Veille sécuritéCMS & e-commerce
P4Non déterminée
Donation Thermometer n’échappe pas une valeur de couleur fournie dans un attribut de shortcode avant de l’insérer dans le balisage de la légende. Avant la version 2.3.0, un utilisateur ayant le rôle Contributor ou supérieur peut injecter des gestionnaires d’événements exécutés lorsqu’une page est consultée.
WordPress
IdentifiantCVE-2026-92409
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif2.3.0
Source : NVD — CVE-2026-92409
Analyse technique
La valeur contrôlée par l’utilisateur est insérée sans échappement dans un attribut du balisage généré; l’impact est une injection de script côté client.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 07:17:05.043Z, dans la période demandée; c’est cette date de publication, et non la modification ultérieure, qui est retenue.
ImpactDu code côté client peut être exécuté lors de la consultation de la page concernée.
Versions affectéesDonation Thermometer versions antérieures à 2.3.0
Version corrigée2.3.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,19% · percentile 7,6%
Publication2026-10-14T07:17:05.043Z
Mise à jour2026-10-14T16:14:02.800Z
Détection / vérification
Vérifier si Donation Thermometer est installé et antérieur à la version 2.3.0.
Action recommandée
Mettre à jour Donation Thermometer vers la version 2.3.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).