Veille sécuritéCMS & e-commerce
P3Élevée
AcyMailing jusqu’à la version 11.1.0 incluse est vulnérable à une XSS stockée via le paramètre customField[] de son endpoint public d’inscription. Une valeur piégée peut être rendue sans encodage dans l’archive en ligne d’un abonné et déclencher un script lorsque cette page est consultée.
WordPress
IdentifiantCVE-2026-102562
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-102562
Analyse technique
Assainissement incomplet dans acym_cleanVar() et absence d’encodage HTML de la valeur stockée dans le rendu de l’archive.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-13 à 08:16:59.263Z, dans la période demandée.
ImpactExécution de scripts dans l’archive en ligne d’un abonné lorsque la page infectée est consultée.
Versions affectéesAcyMailing jusqu’à 11.1.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,25% · percentile 14,8%
Publication2026-10-13T08:16:59.263Z
Mise à jour2026-10-13T13:29:12.567Z
Sources
Priorisation DFS : P3 · 1 source(s).