Veille sécuritéCMS & e-commerce
P4Moyenne
W3 Total Cache jusqu’à la version 2.10.7 présente une XSS stockée via le paramètre comment lorsque certaines conditions de minification HTML sont réunies. Un attaquant non authentifié peut alors faire exécuter du script dans le navigateur d’un visiteur consultant une page injectée.
WordPress
IdentifiantCVE-2026-120019
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120019
Analyse technique
L’exploitation dépend de l’activation de HTML Minify et de la présence de l’entrée mfunc par défaut dans la liste des commentaires ignorés ; elle exige aussi de prédire l’espace de noms du marqueur md5(time()).
Impact, versions et correctif
Événement datéFiche CVE publiée pendant la période le 2026-10-31 ; la mise à jour NVD postérieure au 2026-11-01 est exclue de l’évaluation.
ImpactExécution de scripts arbitraires dans le navigateur des visiteurs de pages affectées.
Versions affectéesToutes les versions jusqu’à 2.10.7 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,22% · percentile 12,7%
Publication2026-10-31T07:16:37.227Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; vérifier la configuration de HTML Minify et désactiver la fonctionnalité si elle n’est pas nécessaire.
Sources
Priorisation DFS : P4 · 1 source(s).