Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Social Slider Feed pour WordPress présente une XSS stockée via le paramètre `slidespeed`. La vulnérabilité concerne les versions jusqu’à 2.3.8 incluse et permet à des utilisateurs authentifiés disposant au minimum d’un compte Subscriber de modifier des réglages de flux.
WordPress
IdentifiantCVE-2026-121519
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-121519
Analyse technique
L’absence de contrôle de capacité dans le dispatcher permet de contourner la restriction manage_options et de modifier la valeur utilisée par le shortcode du flux.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée; l’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa modification ultérieure.
ImpactExécution de scripts sur les pages publiques affichant le flux concerné.
Versions affectéesToutes les versions jusqu’à 2.3.8 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,22% · percentile 12,1%
Publication2026-11-07T03:17:08.077Z
Mise à jour2026-11-07T18:17:19.393Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
Sources
Priorisation DFS : P4 · 1 source(s).