Veille sécuritéCMS & e-commerce
P3Élevée
Document Gallery présente une XSS stockée via le corps d’une requête à l’action dg_thumber_webhook, exploitable sans authentification lorsque la journalisation du plugin est activée. Les versions jusqu’à 5.1.1 incluse sont concernées ; la source ne précise pas de version corrigée.
WordPress
IdentifiantCVE-2026-77114
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-77114
Analyse technique
La journalisation est activée par défaut lorsque WP_DEBUG est vrai ; sinon, elle doit avoir été activée manuellement dans les réglages avancés.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn attaquant non authentifié peut injecter du script stocké, sous réserve que la journalisation soit activée.
Versions affectéesToutes les versions jusqu’à 5.1.1 incluse
ContournementDésactiver la journalisation du plugin si elle n’est pas indispensable.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 22,1%
Publication2026-10-14T04:18:36.537Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible et désactiver la journalisation si elle n’est pas nécessaire.
Sources
Priorisation DFS : P3 · 1 source(s).