Veille sécuritéCMS & e-commerce
P3Élevée
Forms ne nettoie pas les valeurs soumises avant leur stockage et ne les échappe pas sur l’écran d’administration des soumissions. Un attaquant non authentifié peut ainsi injecter un script exécuté dans le navigateur de tout administrateur consultant ces soumissions; mettre à jour vers la version 3.0.2 ou ultérieure.
WordPress
IdentifiantCVE-2026-86799
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.0.2
Source : NVD — CVE-2026-86799
Analyse technique
Le défaut de nettoyage à l’enregistrement et d’échappement à l’affichage rend possible une injection de script persistante dans l’interface des soumissions.
Impact, versions et correctif
Événement datéLa fiche NVD est datée du 2026-10-14 et décrit une vulnérabilité nouvellement publiée, et non une simple modification administrative; cette date se situe dans la période demandée.
ImpactExécution de scripts dans le navigateur des administrateurs consultant les soumissions.
Versions affectéesForms avant 3.0.2
Version corrigée3.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,21% · percentile 10,5%
Publication2026-10-14T07:17:03.860Z
Mise à jour2026-10-14T16:14:02.800Z
Détection / vérification
Vérifier si le plugin Forms est installé et s’il est antérieur à la version 3.0.2.
Action recommandée
Mettre à jour Forms vers la version 3.0.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).