Veille sécuritéCMS & e-commerce
P4Moyenne
Permalink Manager Lite présente une XSS stockée via le paramètre « slug » : un attaquant authentifié disposant au moins du rôle d’auteur peut injecter du JavaScript qui s’exécute dans le navigateur d’un administrateur. Toutes les versions jusqu’à 2.6.1 incluse sont concernées ; aucun correctif n’est indiqué dans les éléments fournis.
JavaScriptWordPress
IdentifiantCVE-2026-122222
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-122222
Analyse technique
L’attaquant peut soumettre via l’API REST un slug HTML/JavaScript encodé en pourcentage, ensuite exécuté lorsque l’éditeur d’URI est ouvert par un administrateur.
Impact, versions et correctif
Événement datéLa fiche fournie indique une publication le 2026-11-06T09:17:00.910Z, dans la période demandée ; l’information retenue est la vulnérabilité décrite, et non la seule mise à jour administrative de NVD.
ImpactExécution de JavaScript dans le contexte du navigateur d’un administrateur.
Versions affectéesToutes les versions jusqu’à 2.6.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,1%
Publication2026-11-06T09:17:00.910Z
Mise à jour2026-11-06T15:17:13.840Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter les droits d’auteur et contrôler les slugs soumis.
Sources
Priorisation DFS : P4 · 1 source(s).