SEOPress contient une faille XSS stockée liée aux paramètres de suivi Google Analytics, qui permet à un utilisateur authentifié disposant des droits requis d’injecter du script exécuté lors de l’affichage d’une page concernée. Les versions affectées vont jusqu’à 10.3 inclus ; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-120515
Analyse technique
La faille concerne les paramètres seopress_google_analytics_affiliate_tracking et seopress_google_analytics_download_tracking, interpolés dans le code de suivi JavaScript sans assainissement ou échappement suffisant. L’exploitation requiert un compte authentifié et la capacité analytics déléguée.
Impact, versions et correctif
Action recommandée
Mettre à jour SEOPress vers une version corrigée dès qu’elle est disponible et limiter la capacité analytics aux comptes de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).