Veille sécuritéCMS & e-commerce
P4Moyenne
Photo Engine (Media Organizer & Lightroom) présente une XSS stockée dans le paramètre « hierarchy[].name ». Les versions jusqu’à 6.5.7 incluse sont concernées; la source indique qu’un utilisateur authentifié ayant le rôle Subscriber peut exploiter le défaut en raison de l’absence de vérification de capacité sur le point de terminaison concerné.
WordPress
IdentifiantCVE-2026-120575
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120575
Analyse technique
Le jeton utilisateur est exposé dans des données de script sur les pages d’administration et le point de terminaison wplr-sync-api ne vérifie pas les capacités.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD dans la période, le 2026-11-03; la mise à jour de la fiche intervient également dans cette période.
ImpactUn script injecté peut s’exécuter dans le navigateur des personnes consultant une page compromise.
Versions affectéesJusqu’à la version 6.5.7 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 10,6%
Publication2026-11-03T05:18:34.060Z
Mise à jour2026-11-03T19:17:59.327Z
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible et limiter les comptes abonnés aux besoins stricts.
Sources
Priorisation DFS : P4 · 1 source(s).