XSS stockée dans la configuration de galerie Final Tiles Grid

Veille sécuritéCMS & e-commerce

P4Moyenne

Image Photo Gallery Final Tiles Grid n’échappe pas les valeurs de configuration de la lightbox avant de les écrire dans un script intégré à la page, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’enregistrer du JavaScript exécuté par les visiteurs de la galerie. Mettre à jour vers la version 3.6.16 ou ultérieure.

IdentifiantCVE-2026-107178

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.6.16

Source : NVD — CVE-2026-107178

Analyse technique

Les valeurs de configuration de la lightbox sont imprimées dans un script intégré sans échappement sur les pages contenant la galerie. Le code injecté s’exécute dans le navigateur des personnes qui consultent ces pages.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14T07:17:01.673Z et une mise à jour le 2026-10-14T16:14:02.800Z, dans la période demandée ; la description concerne une XSS stockée.

ImpactExécution de JavaScript dans le navigateur des visiteurs des pages intégrant une galerie affectée.

Versions affectéesVersions antérieures à 3.6.16.

Version corrigée3.6.16

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

EPSS0,20% · percentile 9,0%

Publication2026-10-14T07:17:01.673Z

Mise à jour2026-10-14T16:14:02.800Z

Détection / vérification

Vérifier si Image Photo Gallery Final Tiles Grid est installé dans une version antérieure à 3.6.16 et si des pages intègrent ses galeries.

Action recommandée

Mettre à jour le plugin vers la version 3.6.16 ou ultérieure.

Sources

NVD — CVE-2026-107178

Priorisation DFS : P4 · 1 source(s).