Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin WordPress Optimole est vulnérable à une XSS stockée via des données de srcsets insuffisamment assainies. La description indique que la signature HMAC permettant l’accès à l’endpoint REST est exposée aux visiteurs non authentifiés sur les pages concernées.
JavaScriptWordPress
IdentifiantCVE-2026-120739
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.2.19
Source : NVD — CVE-2026-120739
Analyse technique
Le paramètre concerné est missing_srcsets[*][*].s ; la signature HMAC est publiée dans l’objet JavaScript inline optimoleDataOptimizer sur certaines pages.
Impact, versions et correctif
Événement datéNouvelle fiche publiée par le NVD le 2026-11-07T04:17:13.697Z, dans la période demandée.
ImpactUn attaquant non authentifié peut injecter du script qui s’exécute lorsqu’une page affectée est consultée.
Versions affectéesToutes les versions jusqu’à et y compris 4.2.18.
Version corrigée4.2.19
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,34% · percentile 27,7%
Publication2026-11-07T04:17:13.697Z
Mise à jour2026-11-07T18:17:18.350Z
Action recommandée
Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
Sources
Priorisation DFS : P3 · 1 source(s).