Veille sécuritéCMS & e-commerce
P4Moyenne
Password Protected jusqu’à la version 2.8.4 incluse présente une XSS stockée dans le traitement du paramètre purchased_plan du SDK Freemius. Un utilisateur authentifié ayant au moins le rôle d’abonné peut injecter un script qui s’exécute lorsqu’un administrateur consulte une page d’administration; mettre à jour le plugin dès qu’un correctif est disponible.
WordPress
IdentifiantCVE-2026-93293
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93293
Analyse technique
Après l’activation de l’opt-in Freemius, le paramètre est enregistré dans une notification administrative persistante sans contrôle de capacité, nonce ou validation de l’achat.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-29, dans la période demandée; cette date est retenue comme publication de la vulnérabilité.
ImpactUn script injecté peut s’exécuter dans l’interface d’administration lorsqu’un administrateur consulte une page standard.
Versions affectéesPassword Protected jusqu’à 2.8.4 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 8,3%
Publication2026-10-29T06:17:24.940Z
Mise à jour2026-10-29T14:56:26.107Z
Action recommandée
Vérifier la disponibilité d’une version corrigée et mettre à jour le plugin; limiter les comptes authentifiés aux rôles nécessaires.
Sources
Priorisation DFS : P4 · 1 source(s).