XSS stockée via les icônes SVG de Gutenverse Form

Veille sécuritéCMS & e-commerce

P4Non déterminée

Gutenverse Form ne désinfecte pas le balisage SVG d’icône enregistré dans les blocs de formulaire avant son insertion dans la page, ce qui permet à un utilisateur authentifié ayant le rôle Contributeur ou supérieur d’y stocker du JavaScript malveillant. Mettre à jour vers la version 3.0.11 ou ultérieure.

IdentifiantCVE-2026-106469

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif3.0.11

Source : NVD — CVE-2026-106469

Analyse technique

Le SVG est décodé puis inséré dans la page du navigateur sans assainissement préalable. Le script peut s’exécuter lorsqu’un utilisateur consulte ou prévisualise le formulaire, notamment un administrateur examinant un article en attente.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14T07:17:01.137Z et une mise à jour le 2026-10-14T16:14:02.800Z, dans la période demandée ; la description documente une XSS stockée via SVG.

ImpactExécution de JavaScript dans le navigateur des utilisateurs consultant ou prévisualisant le formulaire compromis.

Versions affectéesVersions antérieures à 3.0.11.

Version corrigée3.0.11

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,19% · percentile 8,3%

Publication2026-10-14T07:17:01.137Z

Mise à jour2026-10-14T16:14:02.800Z

Détection / vérification

Vérifier la version installée de Gutenverse Form et rechercher les formulaires dont les blocs comportent des icônes SVG.

Action recommandée

Mettre à jour Gutenverse Form vers la version 3.0.11 ou ultérieure.

Sources

NVD — CVE-2026-106469

Priorisation DFS : P4 · 1 source(s).