Veille sécuritéCMS & e-commerce
P3Élevée
La faille permet à des attaquants non authentifiés d’injecter du JavaScript persistant via le paramètre `data[ip]`, exécuté lorsqu’une page infectée est consultée. Elle concerne Subscribe2 jusqu’à la version 10.47 incluse; aucune version corrigée n’est précisée dans les éléments vérifiés.
WordPress
IdentifiantCVE-2026-120531
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120531
Analyse technique
XSS stockée; assainissement des entrées et échappement de sortie insuffisants.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 7 novembre à 22:16:36 UTC, soit le 8 novembre à 00:16:36 en UTC+02, dans la période demandée. La mise à jour NVD du 8 novembre n’est pas retenue comme événement distinct.
ImpactExécution de scripts dans le navigateur des visiteurs des pages compromises.
Versions affectéesSubscribe2 jusqu’à 10.47 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 14,9%
Publication2026-11-08T00:16:36+02:00
Mise à jour2026-11-08T21:17:35+02:00
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est confirmée par l’éditeur; à défaut, désactiver le plugin jusqu’à disponibilité d’un correctif.
Sources
Priorisation DFS : P3 · 1 source(s).