XSS stockée dans l’extension WordPress Flash & HTML5 Video

Veille sécuritéFrontend

P4Moyenne

Une vulnérabilité de type XSS stockée affecte l’extension WordPress Flash & HTML5 Video de bPlugins. Les versions jusqu’à 2.14.1 sont indiquées comme concernées.

IdentifiantCVE-2026-119500

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119500

Analyse technique

La faille est une neutralisation incorrecte d’entrées lors de la génération de pages Web (CWE-79). Le vecteur CVSS 3.1 publié par le CNA indique un accès réseau, des privilèges faibles et une interaction utilisateur requise.

Impact, versions et correctif

Événement datéLa publication NVD est horodatée 2026-11-07T10:17:08.683Z, soit 2026-11-07T12:17:08.683+02:00, dans la période demandée. La modification NVD horodatée plus tard le même jour est administrative et n’est pas retenue comme événement distinct faute de preuve d’un changement substantiel.

ImpactExécution de scripts injectés et stockés dans des pages Web consultées par des utilisateurs.

Versions affectéesFlash & HTML5 Video : versions jusqu’à 2.14.1 inclusivement.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5 · CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L

Publication2026-11-07T12:17:08.683+02:00

Mise à jour2026-11-07T20:17:15.670+02:00

Détection / vérification

Vérifier la version installée de l’extension Flash & HTML5 Video (html5-video-player).

Action recommandée

Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour dès qu’elle est confirmée. Si aucune version corrigée n’est disponible, envisager de désactiver l’extension jusqu’à publication d’un correctif.

Sources

NVD — CVE-2026-119500

Priorisation DFS : P4 · 1 source(s).