XSS stockée dans le plugin WordPress Flying Images

Veille sécuritéCMS & e-commerce

P3Élevée

Flying Images présente une XSS stockée via le paramètre `comment`, exploitable sans authentification. Avec la configuration de modération par défaut, le premier commentaire doit être approuvé ; les commentaires suivants du même nom et de la même adresse e-mail peuvent ensuite contourner la modération, et aucun correctif n’est indiqué dans la source.

IdentifiantCVE-2026-119175

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119175

Analyse technique

Après approbation initiale, les commentaires ultérieurs du même couple nom/e-mail échappent à la modération et le script est rendu sur le site public.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.

ImpactExécution de scripts dans le navigateur de toute personne visitant un article affecté.

Versions affectéesToutes les versions jusqu’à 2.4.15 inclusivement.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,31% · percentile 23,5%

Publication2026-11-07T03:17:01.443Z

Mise à jour2026-11-07T18:17:14.913Z

Détection / vérification

Vérifier si Flying Images est installé en version 2.4.15 ou antérieure.

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; modérer les commentaires et examiner les commentaires déjà approuvés.

Sources

NVD — CVE-2026-119175

Priorisation DFS : P3 · 1 source(s).