Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée via le paramètre `tpro_client_testimonial`, après approbation du témoignage par un administrateur. La page cible doit également charger le runtime WordPress Interactivity ; la source ne précise ni version corrigée ni contournement.
WordPress
IdentifiantCVE-2026-120683
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120683
Analyse technique
XSS stockée due à un assainissement des entrées et un échappement de sortie insuffisants ; exploitation conditionnée par l’approbation du témoignage et le chargement de @wordpress/interactivity sur la page cible.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:44.660Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.
ImpactExécution de scripts dans le navigateur des utilisateurs consultant une page affectée, sous les conditions indiquées.
Versions affectéesReal Testimonials jusqu’à 4.1.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-07T12:17:44.660Z
Mise à jour2026-11-07T18:17:18.100Z
Action recommandée
Mettre à jour vers une version corrigée dès disponibilité et vérifier les témoignages en attente ainsi que les pages chargeant le runtime Interactivity.
Sources
Priorisation DFS : P4 · 1 source(s).