Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée impliquant le paramètre d’image JPEG IPTC caption et le shortcode « du témoignage. L’exploitation requiert l’approbation du témoignage et que l’option Strip All HTML Tags soit désactivée ; aucune version corrigée ni solution de contournement n’est fournie.
WordPress
IdentifiantCVE-2026-120685
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120685
Analyse technique
Défaut d’assainissement et d’échappement affectant le rendu du contenu de témoignage ; l’option de rendu HTML et l’approbation par un administrateur sont des prérequis.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:44.813Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.
ImpactExécution de scripts dans les pages affichant le témoignage malveillant.
Versions affectéesReal Testimonials jusqu’à 4.1.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-07T12:17:44.813Z
Mise à jour2026-11-07T18:17:18.233Z
Action recommandée
Mettre à jour dès disponibilité d’un correctif ; à défaut, conserver l’option Strip All HTML Tags activée et modérer les témoignages.
Sources
Priorisation DFS : P4 · 1 source(s).