Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin SureCart pour WordPress est vulnérable à une XSS persistante via le paramètre comment. L’exploitation est non authentifiée, mais dépend de conditions précises sur la page : chargement du runtime surecart-components, par exemple au moyen de [sc_buy_button], et absence d’un élément sc-checkout.
WordPress
IdentifiantCVE-2026-109224
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109224
Analyse technique
Une validation insuffisante et un échappement déficient permettent d’atteindre un puits innerHTML dans sc-cart-loader lorsque les conditions indiquées sont réunies.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactExécution de scripts dans le navigateur des visiteurs de pages répondant aux conditions d’exploitation.
Versions affectéesVersions jusqu’à 4.9.4 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,28% · percentile 19,1%
Publication2026-10-16T09:17:04.113Z
Mise à jour2026-10-16T15:17:06.923Z
Sources
Priorisation DFS : P3 · 1 source(s).