Veille sécuritéCMS & e-commerce
P4Moyenne
HivePress jusqu’à la version 1.7.32 incluse permet une XSS persistante via le paramètre message. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter un script lorsque la soumission d’annonces par les utilisateurs est activée ; le script s’exécute lors de la connexion réussie d’une victime via le formulaire intégré à l’annonce.
WordPress
IdentifiantCVE-2026-109388
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109388
Analyse technique
La vulnérabilité résulte d’une sanitisation et d’un échappement insuffisants du paramètre message.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactExécution de script dans le navigateur de la victime lors de sa connexion réussie via le formulaire concerné.
Versions affectéesToutes les versions jusqu’à 1.7.32 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,26% · percentile 16,1%
Publication2026-10-16T07:17:09.730Z
Mise à jour2026-10-16T15:17:07.240Z
Action recommandée
Mettre à jour dès qu’un correctif est disponible ; désactiver la soumission d’annonces par les utilisateurs si elle n’est pas nécessaire.
Sources
Priorisation DFS : P4 · 1 source(s).