Veille sécuritéCMS & e-commerce
P3Élevée
Opti-Behavior est vulnérable à une XSS DOM stockée via le paramètre de localisation country_name jusqu’à la version 1.9.2.1 incluse. L’endpoint de capture accepte des requêtes non authentifiées dont le nonce peut être obtenu par une action AJAX publique, ce qui permet l’injection d’une charge exécutée sur les pages touchées.
WordPress
IdentifiantCVE-2026-95809
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-95809
Analyse technique
Le nonce de l’action de capture peut être obtenu via l’action AJAX publique opti_behavior_refresh_nonces; les entrées et sorties ne sont pas suffisamment protégées.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-16T06:17:13.300Z, dans la période demandée.
ImpactExécution de script dans le navigateur des utilisateurs consultant une page affectée.
Versions affectéesToutes les versions jusqu’à 1.9.2.1 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,25% · percentile 14,9%
Publication2026-10-16T06:17:13.300Z
Mise à jour2026-10-16T15:17:37.270Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les pages de heatmap susceptibles d’avoir reçu des données injectées.
Sources
Priorisation DFS : P3 · 1 source(s).