Veille sécuritéCMS & e-commerce
P3Élevée
Community Events avant 1.6.0 ne vérifie pas l’autorisation ni le nonce lors du traitement des événements soumis publiquement et n’échappe pas plusieurs valeurs avant leur affichage. Un attaquant non authentifié peut injecter des scripts exécutés dans le navigateur d’un administrateur examinant la soumission ; mettre à jour vers la version 1.6.0 ou ultérieure.
WordPress
IdentifiantCVE-2026-86794
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.6.0
Source : NVD — CVE-2026-86794
Analyse technique
Soumissions publiques sans contrôle d’autorisation ou de nonce et échappement insuffisant dans l’administration et le calendrier public.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29T06:17:24.350Z, dans la période demandée.
ImpactExécution de scripts dans le navigateur de l’administrateur qui consulte une soumission, et affichage possible de scripts dans le calendrier public.
Versions affectéesVersions antérieures à 1.6.0
Version corrigée1.6.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,17% · percentile 6,7%
Publication2026-10-29T06:17:24.350Z
Mise à jour2026-10-29T15:18:27.920Z
Action recommandée
Mettre à jour Community Events vers la version 1.6.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).