Veille sécuritéCMS & e-commerce
P3Élevée
HivePress jusqu’à la version 1.7.32 incluse permet une XSS persistante via des attributs personnalisés, lorsque le modèle d’affichage configuré place la valeur dans un contexte href, src ou style. Un attaquant non authentifié peut alors injecter du script dans des pages consultées par les utilisateurs.
WordPress
IdentifiantCVE-2026-109193
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109193
Analyse technique
La condition d’exploitation repose sur un attribut utilisateur personnalisé dont le display_format place %value% dans un attribut href, src ou style.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactExécution de scripts dans le navigateur des utilisateurs consultant une page affectée.
Versions affectéesToutes les versions jusqu’à 1.7.32 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,36% · percentile 28,5%
Publication2026-10-16T07:17:09.417Z
Mise à jour2026-10-16T15:17:06.587Z
Action recommandée
Mettre à jour dès qu’un correctif est disponible et éviter les modèles d’attributs qui insèrent des valeurs non fiables dans des contextes d’attribut HTML.
Sources
Priorisation DFS : P3 · 1 source(s).