Veille sécuritéCMS & e-commerce
P3Élevée
WP Booking System stocke puis affiche dans une page d’administration une valeur de requête contrôlable par le client sans la nettoyer ni l’échapper correctement. Un attaquant non authentifié peut ainsi provoquer une XSS stockée lorsque l’administrateur consulte les données concernées.
WordPress
IdentifiantCVE-2026-107126
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.1.0.1
Source : NVD — CVE-2026-107126
Analyse technique
La valeur contrôlée est stockée puis restituée dans l’interface d’administration sans assainissement et échappement adéquats.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période retenue; l’événement retenu est la publication de la vulnérabilité, et non la seule modification administrative.
ImpactExécution de JavaScript dans la session d’un administrateur consultant les données stockées.
Versions affectéesWP Booking System antérieur à 2.1.0.1
Version corrigée2.1.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,22% · percentile 12,3%
Publication2026-10-14T09:17:01.350+02:00
Mise à jour2026-10-14T18:14:02.800+02:00
Action recommandée
Mettre à jour WP Booking System vers la version 2.1.0.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).