Veille sécuritéCMS & e-commerce
P4Moyenne
DiviGear Carousel est vulnérable à une injection XSS persistante via l’action AJAX `update_license`, en raison d’un assainissement et d’un échappement insuffisants. Les versions jusqu’à 5.2.0 inclus sont concernées ; aucune version corrigée n’est précisée dans les éléments vérifiés.
WordPress
IdentifiantCVE-2026-93878
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93878
Analyse technique
Une valeur enregistrée est réaffichée sans échappement dans la page des réglages d’activation ; un attaquant authentifié avec le rôle d’abonné ou supérieur peut injecter du script.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée le 2026-10-20 ; l’événement retenu est la publication de l’avis, dans la période demandée.
ImpactLe script injecté peut s’exécuter lorsqu’un administrateur consulte la page des réglages d’activation.
Versions affectéesToutes les versions jusqu’à 5.2.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,16% · percentile 4,7%
Publication2026-10-20T07:17:09.947Z
Mise à jour2026-10-20T19:27:34.430Z
Action recommandée
Mettre à jour vers une version corrigée dès sa disponibilité ; à défaut, désactiver le plugin.
Sources
Priorisation DFS : P4 · 1 source(s).