Wp Parsidate : faille XSS stockée jusqu'à la version 6.4, correctif non précisé

En bref

• Produit : Wp Parsidate (Parsi Date), extension WordPress
• Versions affectées : jusqu'à la 6.4 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : moyenne, score CVSS 6.4
• CVE : CVE-2026-97642
• Exploitation active : inconnu
• Date de l'avis : 6 novembre 2026

Une vulnérabilité de type Cross-Site Scripting (XSS) stockée a été publiée le 6 novembre 2026 dans la base NVD pour l'extension WordPress Wp Parsidate, diffusée sur WordPress.org sous le nom Parsi Date. Elle concerne toutes les versions jusqu'à la 6.4 incluse et porte l'identifiant CVE-2026-97642.

Selon l'avis, le problème se situe dans le bloc Gutenberg de calendrier fourni par l'extension : une valeur saisie dans les réglages de ce bloc n'est ni suffisamment filtrée à l'enregistrement, ni correctement échappée à l'affichage. Un utilisateur connecté disposant au minimum du rôle Contributeur peut ainsi enregistrer du script dans une page. Ce script s'exécute ensuite dans le navigateur de chaque visiteur qui consulte la page concernée, y compris les administrateurs.

Le score CVSS de 6.4 classe la faille en sévérité moyenne. L'exploitation suppose un compte authentifié : un site sans inscription ouverte ni contributeurs externes est moins exposé, mais une XSS stockée visant un administrateur peut servir de point d'appui à une prise de contrôle plus large du site.

Qui est concerné ?

Sont concernés les sites WordPress qui ont installé et activé Wp Parsidate dans une version jusqu'à la 6.4 incluse. La fiche WordPress.org de l'extension indique environ 100 000 installations actives, principalement des sites en langue persane qui l'utilisent pour le calendrier et la localisation de WordPress et WooCommerce.

Le risque est le plus élevé pour les sites qui accordent le rôle Contributeur ou un rôle supérieur à des personnes extérieures : rédacteurs invités, prestataires, comptes partagés ou inscriptions ouvertes avec un rôle trop large. À la date de publication de cet article, l'avis n'indique pas d'exploitation active et ne précise pas de version corrigée.

Que faire ?

• Vérifier la version de Wp Parsidate installée sur chacun de vos sites.
• Mettre à jour vers une version corrigée dès que l'éditeur en publie une ; la version corrigée n'est pas précisée par l'éditeur à ce jour.
• En attendant, si l'extension n'est pas indispensable, la désactiver ; sinon, limiter les comptes de niveau Contributeur et au-dessus aux seules personnes de confiance.
• Relire les pages et articles récemment créés ou modifiés par des contributeurs, en particulier ceux qui contiennent le bloc de calendrier.
• Vérifier les journaux d'activité et la liste des comptes administrateurs à la recherche de modifications inattendues.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes à privilèges.

Sources

• NVD : CVE-2026-97642 (avis de référence)
• Wordfence Intelligence : fiche de la vulnérabilité (recoupement)
• WordPress.org : fiche de l'extension Parsi Date