Élevée CVSS 8.8
CVE-2026-14293
Analyse NVD en cours
The Autopay WordPress plugin before 5.0.1 does not perform any capability or nonce check before saving a styling option from a public request, and does not escape that value when it is later output on the checkout page, allowing unauthenticated attackers to store JavaScript that executes in the browser of any user, including administrators, who loads the checkout page.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau et sans authentification — mais seulement si un utilisateur ouvre un contenu piégé.
- Impact
- Un attaquant peut lire des données sensibles, modifier ou détruire des données et mettre le service hors ligne.
- Faiblesse
- Du script fourni par l’attaquant s’exécute dans le navigateur des autres utilisateurs (XSS).
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ intégrer au prochain cycle de correctifs.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.