Veille sécuritéCMS & e-commerce
P3Élevée
WP Ghost (Hide My WP Ghost) est vulnérable à une XSS stockée jusqu’à la version 7.0.12 incluse. Une entrée malveillante peut être injectée sans authentification et le script s’exécute lorsqu’un utilisateur clique sur le lien injecté.
GhostWordPress
IdentifiantCVE-2026-89051
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-89051
Analyse technique
La fonction replaceHeadersAndTags ne sanitise pas suffisamment les entrées et n’échappe pas correctement la sortie.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-16T06:17:12.167Z, dans la période demandée.
ImpactUn script malveillant peut s’exécuter dans le navigateur d’un utilisateur cliquant sur un lien injecté.
Versions affectéesToutes les versions jusqu’à 7.0.12 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,19% · percentile 8,1%
Publication2026-10-16T06:17:12.167Z
Mise à jour2026-10-16T15:17:33.813Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les contenus ou liens injectés.
Sources
Priorisation DFS : P3 · 1 source(s).