Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin wpForo Forum pour WordPress présente une XSS stockée via le paramètre « post[body] », en raison d’une validation insuffisante des entrées et d’un échappement inadéquat. Les versions jusqu’à 3.2.2 incluses sont concernées ; la source ne donne pas de version corrigée.
WordPress
IdentifiantCVE-2026-120532
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120532
Analyse technique
Un utilisateur authentifié ayant le rôle Abonné ou supérieur peut injecter un script dans le contenu d’un message, lequel s’exécute lorsqu’une page affectée est consultée.
Impact, versions et correctif
Événement datéLa fiche NVD est publiée le 2026-11-07, dans la période demandée ; la description fournie documente une vulnérabilité, et non une simple modification administrative.
ImpactExécution de scripts dans le navigateur des personnes consultant une page contenant le message malveillant ; un compte Abonné ou supérieur est requis.
Versions affectéesJusqu’à la version 3.2.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,35% · percentile 28,7%
Publication2026-11-07T10:17:09.700Z
Mise à jour2026-11-07T18:17:17.400Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; si nécessaire, désactiver le plugin en attendant.
Sources
Priorisation DFS : P4 · 1 source(s).