Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Tourfic est vulnérable à une XSS stockée via le paramètre « type », faute de validation et d’échappement suffisants. Un attaquant authentifié ayant au moins le rôle Contributor peut injecter un script exécuté lors de l’affichage d’une page affectée.
WordPress
IdentifiantCVE-2026-103480
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103480
Analyse technique
La valeur du paramètre « type » peut conserver une charge utile dans l’attribut rendu par la branche d’affichage destinée aux visiteurs.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactExécution de scripts dans le navigateur des visiteurs consultant une page contenant la valeur injectée.
Versions affectéesToutes les versions jusqu’à 3.0.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 8,4%
Publication2026-10-16T06:17:02.673Z
Mise à jour2026-10-16T16:16:53.123Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter entre-temps les accès aux rôles pouvant modifier les données concernées.
Sources
Priorisation DFS : P4 · 1 source(s).