Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Translate WordPress with Weglot ne neutralise pas les URL réinjectées lors de la réécriture des liens pour une langue traduite, permettant à un utilisateur non authentifié d’y stocker une charge exécutée dans le navigateur des visiteurs de la page traduite. Les versions antérieures à 6.4.3 sont concernées ; mettre à jour vers la version 6.4.3 ou ultérieure.
WordPress
IdentifiantCVE-2026-88784
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif6.4.3
Source : NVD — CVE-2026-88784
Analyse technique
Les URL réinsérées lors de la réécriture de liens ne sont pas échappées et leur encodage antérieur est inversé ; cela permet une injection de contenu exécuté dans le navigateur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21 à 06:16:50.617Z, soit le 2026-10-21 à 08:16:50.617+02:00, dans la période retenue.
ImpactUn attaquant non authentifié peut stocker une charge qui s’exécute dans le navigateur des personnes consultant une page dans une langue traduite.
Versions affectéesTranslate WordPress with Weglot, versions antérieures à 6.4.3
Version corrigée6.4.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,17% · percentile 6,4%
Publication2026-10-21T08:16:50.617+02:00
Mise à jour2026-10-21T20:37:38.700+02:00
Action recommandée
Mettre à jour Translate WordPress with Weglot vers la version 6.4.3 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).