Veille sécuritéCMS & e-commerce
P4Moyenne
Zephyr Project Manager pour WordPress comporte une XSS stockée dans le paramètre « zpm_profile_picture », exploitable par un utilisateur authentifié ayant le rôle Abonné ou supérieur. Toutes les versions jusqu’à 3.3.209 incluses sont concernées ; la source ne précise pas de version corrigée.
WordPress
IdentifiantCVE-2026-120514
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120514
Analyse technique
Le contenu injecté dans le profil Zephyr peut s’exécuter dans le navigateur d’un administrateur lors d’une recherche de mentions avec autocomplétion ; une action de l’administrateur est nécessaire au déclenchement.
Impact, versions et correctif
Événement datéLa fiche NVD est publiée le 2026-11-07, dans la période demandée ; la description fournie documente une vulnérabilité, et non une simple modification administrative.
ImpactExécution de scripts dans le navigateur d’un administrateur lorsque l’autocomplétion de mentions affiche le champ d’avatar compromis.
Versions affectéesJusqu’à la version 3.3.209 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,31% · percentile 24,5%
Publication2026-11-07T10:17:09.513Z
Mise à jour2026-11-07T18:17:17.143Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; à défaut, désactiver le plugin ou limiter l’accès à ses fonctions de profil.
Sources
Priorisation DFS : P4 · 1 source(s).