XSS stockée dans Tourfic via les commentaires WooCommerce

Veille sécuritéCMS & e-commerce

P4Moyenne

Tourfic contient une XSS stockée liée au contenu des commentaires et à l’attribution de `unfiltered_html` au rôle Customer, dans les versions jusqu’à 3.0.1 incluse. WooCommerce doit être actif ; un visiteur peut créer un compte client, puis le contenu non assaini peut être renvoyé par l’API REST des commentaires et les flux RSS, sans correctif ni contournement précisé dans la source.

IdentifiantCVE-2026-97470

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-97470

Analyse technique

Le contenu est renvoyé sans assainissement par `GET /wp-json/wp/v2/comments` dans `content.rendered` et par les flux RSS ; les modèles de pages d’annonces du plugin utilisent, eux, `wp_kses_post()`.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée ; la description porte sur une vulnérabilité, et non uniquement sur une modification administrative.

ImpactUn contenu malveillant peut être exécuté par les clients sans tête, lecteurs de flux ou widgets tiers qui affichent les commentaires.

Versions affectéesTourfic jusqu’à 3.0.1 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

Publication2026-10-16T14:19:27.763Z

Mise à jour2026-10-16T15:17:38.140Z

Action recommandée

Vérifier la publication d’un correctif auprès de l’éditeur ; limiter la création de comptes clients si elle n’est pas nécessaire et contrôler le rendu des contenus de commentaires par les consommateurs de l’API et des flux.

Sources

NVD — CVE-2026-97470

Priorisation DFS : P4 · 1 source(s).