Veille sécuritéCMS & e-commerce
P4Moyenne
WP-Members Membership Plugin présente une XSS stockée dans le parcours de paiement WooCommerce classique, via un champ multisélection, dans les versions jusqu’à 3.5.7 incluse. L’exploitation nécessite un compte avec le rôle abonné ou supérieur; la fiche indique une gravité moyenne (CVSS 6.4) et ne donne pas de version corrigée.
WooCommerceWordPress
IdentifiantCVE-2026-96565
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96565
Analyse technique
Le contournement scalaire de `wpmem_sanitize_array` concerne uniquement le chemin du paiement WooCommerce classique; d’autres gestionnaires échouent en mode fermé sur une entrée scalaire.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité publiée par NVD le 2026-11-07, date comprise dans la période demandée.
ImpactUn utilisateur authentifié disposant au minimum du rôle abonné peut injecter des scripts stockés, exécutés lors de l’affichage des pages touchées.
Versions affectéesToutes les versions jusqu’à 3.5.7 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-11-07T12:17:47.607Z
Mise à jour2026-11-07T18:17:30.127Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes pouvant accéder au parcours de paiement concerné.
Sources
Priorisation DFS : P4 · 1 source(s).