Final Tiles Grid : XSS stockée dans un script intégré

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plug-in Image Photo Gallery Final Tiles Grid pour WordPress ne neutralise pas certaines valeurs de configuration de galerie avant de les insérer dans un script intégré à la page. Un utilisateur ayant au moins le rôle de contributeur peut ainsi stocker du JavaScript qui s’exécute dans le navigateur des visiteurs de la galerie, y compris celui des administrateurs ; les versions antérieures à 3.6.15 sont concernées.

IdentifiantCVE-2026-104644

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.6.15

Source : CVE-2026-104644 — NVD

Analyse technique

Les valeurs de configuration de galerie sont émises sans assainissement ni échappement dans un script en ligne sur les pages qui intègrent la galerie ; un compte de contributeur ou supérieur est nécessaire pour exploiter le défaut.

Impact, versions et correctif

Événement datéPublication NVD le 14 octobre 2026 à 07:17:00Z, soit le 14 octobre à 09:17:00 +02:00, dans la période demandée.

ImpactExécution de JavaScript dans le navigateur des personnes consultant une galerie affectée.

Versions affectéesVersions antérieures à 3.6.15.

Version corrigée3.6.15

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

EPSS0,19% · percentile 7,6%

Publication2026-10-14T09:17:00.250+02:00

Mise à jour2026-10-14T18:14:02.800+02:00

Action recommandée

Mettre à jour le plug-in vers la version 3.6.15 ou ultérieure.

Sources

CVE-2026-104644 — NVD

Priorisation DFS : P4 · 1 source(s).