CVE-2026-9643
Publiée le 2026-06-24 · Dernière modification le 2026-06-29
Les sites WordPress utilisant l'extension WP Meta SEO (v4.5.18 et versions antérieures) sont vulnérables au cross-site scripting (XSS) stocké. Un attaquant distant non authentifié peut injecter des scripts malveillants dans votre base de données simplement en demandant une URL inexistante sur votre site. Ces scripts s'exécutent ensuite dans le navigateur de tout administrateur consultant la page de gestion « 404 & Redirects » de l'extension.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The WP Meta SEO plugin for WordPress is vulnerable to Unauthenticated Stored Cross-Site Scripting via the REQUEST_URI server variable in all versions up to, and including, 4.5.18. When the plugin's `wpmsTemplateRedirect()` hook detects a 404, it concatenates `$_SERVER['HTTP_HOST']` with the raw `$_SERVER['REQUEST_URI']` and inserts that value verbatim into the `wp_wpms_links.link_url` column via `$wpdb->insert()`. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute whenever an administrator views the plugin's 404 & Redirects admin page (`/wp-admin/admin.php?page=metaseo_broken_link`).