AI Marketing Expert : faille XSS stockée sans authentification jusqu'à 1.2.8

En bref

• Produit : AI Marketing Expert, extension WordPress (modules e-mail, génération de contenu, analyse SEO, automatisation, réseaux sociaux et chatbot).
• Versions affectées : toutes les versions jusqu'à 1.2.8 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : élevée, score CVSS 7.2.
• CVE : CVE-2026-109999.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

La base NVD a publié le 28 octobre 2026 la fiche CVE-2026-109999, qui décrit une faille de type cross-site scripting (XSS) stockée dans l'extension WordPress AI Marketing Expert. Le défaut vient d'un filtrage insuffisant des données reçues et d'un échappement absent au moment de leur affichage. Il permet à un attaquant non authentifié d'enregistrer du script dans le site ; ce script s'exécute ensuite dans le navigateur de toute personne qui consulte la page concernée, et en particulier d'un administrateur qui ouvre le tableau de bord WordPress.

Une XSS qui s'exécute dans une session administrateur est sérieuse : le script agit avec les droits de cet administrateur, ce qui peut conduire, selon la configuration du site, à la création de comptes, à la modification de contenus ou à l'installation de code malveillant.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent AI Marketing Expert dans une version allant jusqu'à 1.2.8 incluse. D'après la fiche NVD, l'exploitation suppose que le module chatbot de l'extension soit actif et qu'au moins un bot y soit configuré. Un site où l'extension est installée mais où ce module est désactivé paraît moins exposé, mais la vérification reste nécessaire : un module peut avoir été activé lors d'un essai puis oublié.

Le nombre d'installations actives n'est pas précisé par l'éditeur. D'après les données NVD, cette vulnérabilité ne figure pas au catalogue des failles exploitées activement tenu par la CISA ; aucune source citée ne signale d'attaque en cours, ce qui ne garantit pas qu'il n'y en ait pas.

Que faire ?

Faute de version corrigée identifiée, la priorité est de réduire l'exposition et de vérifier que le site n'a pas déjà été visé.

• Recenser les sites qui utilisent AI Marketing Expert et relever la version installée.
• Surveiller la page de l'extension et le journal des modifications, puis mettre à jour dès qu'une version corrigée est publiée par l'éditeur.
• En attendant, si le chatbot n'est pas indispensable, désactiver ce module, voire l'extension entière.
• Vérifier les journaux et la liste des comptes administrateurs : comptes inconnus, changements de rôle, extensions ou fichiers ajoutés récemment.
• Contrôler les noms et contenus enregistrés par le chatbot à la recherche d'entrées anormales, et les supprimer.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des administrateurs et les clés de sécurité de WordPress.

Sources

• NVD : CVE-2026-109999 (fiche officielle, score et versions affectées).
• Wordfence Threat Intelligence (recoupement).