Veille sécuritéCMS & e-commerce
P3Élevée
Bit Integrations jusqu’à la version 2.10.6 incluse présente une XSS stockée exploitable sans authentification dans une configuration particulière d’intégration avec BuddyBoss. L’attaque nécessite un flux préconfiguré reliant le webhook public Bit Assist à l’action « Send Notification », un champ mappé vers notification_content et la connaissance de l’URL de callback UUID.
WordPress
IdentifiantCVE-2026-102007
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-102007
Analyse technique
Assainissement des entrées et échappement de sortie insuffisants pour le champ mappé à notification_content.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-13 à 08:16:57.567Z, dans la période demandée.
ImpactExécution de scripts dans les pages consultées par les utilisateurs lorsque les préconditions de configuration sont réunies.
Versions affectéesBit Integrations jusqu’à 2.10.6 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 14,1%
Publication2026-10-13T08:16:57.567Z
Mise à jour2026-10-13T13:29:12.567Z
Sources
Priorisation DFS : P3 · 1 source(s).