Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Link Library ne nettoie ni n’échappe un champ de lien avant de l’insérer dans un attribut HTML de l’aperçu, ce qui permet une XSS stockée aux utilisateurs ayant le rôle Contributor ou supérieur. L’aperçu peut être généré sans authentification et avant approbation du lien ; les versions antérieures à 7.9.6 sont concernées.
WordPress
IdentifiantCVE-2026-78392
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.9.6
Source : NVD — CVE-2026-78392
Analyse technique
Valeur du champ lien non assainie ni échappée dans un attribut de l’aperçu ; une soumission non approuvée peut être accessible via cet aperçu.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-22 à 06:17:15Z, soit pendant la période demandée.
ImpactDu script injecté peut s’exécuter dans le navigateur de visiteurs ouvrant l’aperçu du lien, même si celui-ci n’a pas été approuvé.
Versions affectéesLink Library antérieur à 7.9.6.
Version corrigée7.9.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,19% · percentile 7,8%
Publication2026-10-22T08:17:15.303+02:00
Mise à jour2026-10-22T17:16:14.027+02:00
Action recommandée
Mettre à jour Link Library vers la version 7.9.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).