Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-120550 est une XSS stockée dans WP User Manager : un utilisateur authentifié peut injecter un script dans le champ « display_name » via l’API REST WordPress. Les versions jusqu’à 2.10.2 incluse sont concernées ; la voie REST contourne l’assainissement appliqué au formulaire frontal du plugin.
WordPress
IdentifiantCVE-2026-120550
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120550
Analyse technique
La valeur est enregistrée via POST /wp-json/wp/v2/users/me dans wp_users.display_name.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication initiale le 2026-11-06 ; cette divulgation est dans la période demandée, indépendamment de ses modifications administratives.
ImpactExécution de script dans le navigateur des personnes consultant une page où le nom compromis est rendu.
Versions affectéesToutes les versions jusqu’à 2.10.2 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,38% · percentile 31,6%
Publication2026-11-06T10:16:37.047Z
Mise à jour2026-11-06T15:17:13.433Z
Détection / vérification
Un compte authentifié disposant au moins du rôle abonné est requis.
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).