Veille sécuritéCMS & e-commerce
P3Élevée
WPConsent est vulnérable à un XSS stocké via le contenu des commentaires lorsque la fonctionnalité Script Blocking est activée. Toutes les versions jusqu’à 1.1.9 inclus sont concernées; la chaîne décrite implique deux commentaires coordonnés et peut exécuter du script dans le navigateur des visiteurs de la page touchée.
WordPress
IdentifiantCVE-2026-97640
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97640
Analyse technique
Une restauration de clés de bruit par Simple HTML DOM Parser, combinée à une validation et un échappement insuffisants, permet une XSS stockée. La condition signalée nécessite Script Blocking et deux commentaires coordonnés.
Impact, versions et correctif
Événement datéLa fiche indique une première publication NVD le 2026-10-16 à 07:17:14.823Z, dans la période demandée; l’item est retenu sur cette date de publication, et non sur la seule date de mise à jour.
ImpactExécution de scripts dans le navigateur des personnes consultant une page contenant le commentaire injecté.
Versions affectéesToutes les versions jusqu’à 1.1.9 inclus
ContournementDésactiver la fonctionnalité Script Blocking en attendant un correctif.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 14,4%
Publication2026-10-16T07:17:14.823Z
Mise à jour2026-10-16T15:17:38.253Z
Action recommandée
Désactiver Script Blocking et appliquer un correctif éditeur dès qu’il est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).