Veille sécuritéCMS & e-commerce
P4Moyenne
SureDash jusqu’à la version 1.12.0 incluse présente une XSS stockée via le paramètre `display_name`. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter du contenu qui est interprété comme HTML lorsque le gestionnaire d’infobulle l’insère dans `innerHTML`.
WordPress
IdentifiantCVE-2026-96870
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96870
Analyse technique
Le gestionnaire d’infobulle réinterprète comme HTML la valeur contrôlée de `data-tooltip-description`.
Impact, versions et correctif
Événement datéFiche publiée par la NVD le 2026-10-16 à 08:17:13.783Z (UTC); date de publication dans la période demandée.
ImpactExécution de scripts dans le navigateur des utilisateurs consultant les pages communautaires concernées.
Versions affectéesJusqu’à la version 1.12.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 9,9%
Publication2026-10-16T08:17:13.783Z
Mise à jour2026-10-16T15:17:37.933Z
Action recommandée
Mettre à jour vers une version corrigée dès disponibilité et limiter les comptes pouvant modifier leur profil ou publier des commentaires communautaires.
Sources
Priorisation DFS : P4 · 1 source(s).