Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin MotoPress Appointment Booking Lite pour WordPress présente une XSS stockée via le point d’accès REST public de création de clients. La vulnérabilité concerne les versions jusqu’à 2.4.8 incluse et résulte de l’absence de nettoyage de la valeur `name` ainsi que de son échappement insuffisant dans une liste d’administration.
WordPress
IdentifiantCVE-2026-120741
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120741
Analyse technique
La route REST accepte les requêtes sans contrôle d’autorisation; le script peut s’exécuter dans la liste des réservations affichée par un utilisateur ayant certaines permissions limitées.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée; l’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa modification ultérieure.
ImpactInjection de scripts dans l’interface d’administration lorsque la donnée enregistrée est affichée.
Versions affectéesToutes les versions jusqu’à 2.4.8 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,27% · percentile 19,1%
Publication2026-11-07T03:17:04.650Z
Mise à jour2026-11-07T18:17:18.477Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
Sources
Priorisation DFS : P4 · 1 source(s).