Veille sécuritéCMS & e-commerce
P3Élevée
Smart Forms est vulnérable à une XSS stockée via le paramètre formString, sans authentification dans la configuration par défaut. Le contrôle par nonce n’est appliqué que lorsque l’option smart_forms_block_anonymous_submissions est activée ; aucune version corrective n’est indiquée dans les données fournies.
WordPress
IdentifiantCVE-2026-95816
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-95816
Analyse technique
Le gestionnaire AJAX rednao_smart_forms_save_form_values ne vérifie le nonce que si smart_forms_block_anonymous_submissions est activée ; les valeurs insuffisamment filtrées sont stockées et rendues.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 ; cette date de publication est dans la période demandée.
ImpactUn attaquant non authentifié peut injecter du script persistant exécuté lors de la consultation des pages affectées.
Versions affectéesToutes les versions jusqu’à 2.6.104 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,37% · percentile 28,7%
Publication2026-10-14T04:18:56.647+00:00
Mise à jour2026-10-14T14:26:59.367+00:00
Action recommandée
Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, envisager sa désactivation.
Sources
Priorisation DFS : P3 · 1 source(s).