Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Remove Google Fonts – Disable, Block, or Replace with Bunny Fonts for GDPR Compliance est affecté par une XSS stockée via des commentaires. L’exploitation nécessite que le mode Remove soit actif et que le commentaire malveillant soit publié, automatiquement ou après modération.
WordPress
IdentifiantCVE-2026-97397
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97397
Analyse technique
Une validation et un échappement insuffisants dans le traitement de sortie peuvent laisser du script injecté par un commentaire publié.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-04, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactExécution de scripts dans le navigateur des personnes consultant une page affectée.
Versions affectéesToutes les versions jusqu’à 1.7 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-04T12:17:07.123Z
Mise à jour2026-11-04T16:17:55.547Z
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible; à défaut, désactiver le mode Remove et modérer les commentaires avant publication.
Sources
Priorisation DFS : P3 · 1 source(s).