Veille sécuritéCMS & e-commerce
P3Élevée
Contact Form DB for Enfold présente une XSS stockée dans les valeurs de champs de formulaire, exploitable sans authentification. Sont concernées les versions jusqu’à 2.0.2 incluse ; la source ne précise ni version corrigée ni contournement.
WordPress
IdentifiantCVE-2026-83592
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-83592
Analyse technique
Les valeurs enregistrées sont restituées sans échappement dans un attribut HTML title et dans le corps d’une cellule de admin/ecf_index.php ; leur encodage Base64 et leur sérialisation ne neutralisent pas le contenu.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn attaquant non authentifié peut injecter du script stocké exécuté lors de l’affichage des données de formulaire.
Versions affectéesToutes les versions jusqu’à 2.0.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 22,1%
Publication2026-10-14T04:18:38.893Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; désactiver le plugin si les formulaires concernés sont exposés.
Sources
Priorisation DFS : P3 · 1 source(s).