Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin WP Data Access jusqu’à la version 5.5.90 permet à des utilisateurs authentifiés ayant au moins le rôle Subscriber d’injecter du JavaScript stocké via les formulaires Data Projects. Le code injecté s’exécute lorsqu’un utilisateur consulte la page concernée.
WordPress
IdentifiantCVE-2026-120479
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120479
Analyse technique
Défaut de validation et d’échappement de valeurs de colonnes texte affichées par les formulaires Data Projects. Score CVSS indiqué : 6.4; vecteur non fourni.
Impact, versions et correctif
Événement datéFiche NVD publiée pendant la période, le 2026-11-07; retenue comme publication d’une vulnérabilité.
ImpactExécution de scripts dans le navigateur des visiteurs de pages contenant une valeur injectée.
Versions affectéesToutes les versions jusqu’à 5.5.90 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 10,0%
Publication2026-11-07T07:17:03.547Z
Mise à jour2026-11-07T18:17:16.787Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible; limiter l’accès aux formulaires Data Projects aux utilisateurs de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).