Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Schema App Structured Data présente une faille de XSS stockée via le contenu des commentaires. L’exploitation requiert l’activation de l’option « Remove Microdata » et l’approbation du commentaire malveillant par un administrateur ; les versions jusqu’à 2.3.2 incluse sont concernées.
WordPress
IdentifiantCVE-2026-96666
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96666
Analyse technique
Une validation insuffisante du contenu et un échappement de sortie manquant permettent d’injecter du script dans des pages affichant le commentaire.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-29T04:18:45.273Z, dans la période demandée ; l’item est retenu comme vulnérabilité nouvellement publiée, et non sur la seule base de sa modification ultérieure.
ImpactExécution de scripts dans le navigateur des visiteurs consultant une page contenant le commentaire injecté.
Versions affectéesToutes les versions jusqu’à 2.3.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,30% · percentile 22,2%
Publication2026-10-29T04:18:45.273Z
Mise à jour2026-10-29T14:56:26.107Z
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible ; dans l’intervalle, désactiver « Remove Microdata » et modérer les commentaires.
Sources
Priorisation DFS : P3 · 1 source(s).