Veille sécuritéCMS & e-commerce
P3Élevée
Ultra Addons for Contact Form 7 présente une XSS stockée liée au téléversement de fichiers texte dont le contenu HTML n’est pas correctement neutralisé. La description indique qu’un attaquant non authentifié peut provoquer l’injection de script dans des pages consultées par les utilisateurs.
WordPress
IdentifiantCVE-2026-103999
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103999
Analyse technique
Le contrôle de liste de blocage accepte certains fichiers texte (.txt, .csv, .vtt, .srt, .asc) sans examiner leur contenu HTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactExécution de scripts injectés dans les pages consultées par les utilisateurs.
Versions affectéesToutes les versions jusqu’à 3.5.54 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,26% · percentile 16,4%
Publication2026-10-16T06:17:03.927Z
Mise à jour2026-10-16T15:17:02.880Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; désactiver les téléversements concernés si aucune mise à jour n’est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).