Veille sécuritéCMS & e-commerce
P3Élevée
TranslatePress jusqu’à la version 3.3.8 présente une XSS stockée déclenchable sans authentification via des paramètres liés aux commentaires et aux données de langue. Le script injecté s’exécute lorsqu’un utilisateur consulte une page affectée.
WordPress
IdentifiantCVE-2026-120537
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120537
Analyse technique
La faille résulte d’une validation des entrées et d’un échappement de sortie insuffisants. Score CVSS indiqué : 7.2; vecteur non fourni.
Impact, versions et correctif
Événement datéFiche NVD publiée pendant la période, le 2026-11-07; retenue comme publication d’une vulnérabilité.
ImpactExécution de scripts dans le navigateur des visiteurs de pages affectées.
Versions affectéesToutes les versions jusqu’à 3.3.8 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,25% · percentile 16,0%
Publication2026-11-07T07:17:04.057Z
Mise à jour2026-11-07T18:17:17.520Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).