Veille sécuritéCMS & e-commerce
P4Moyenne
Events Made Easy présente une XSS stockée via `event[location_name]`, réalisable sans authentification lorsque la soumission d’événements par les invités et la création forcée de lieux sont toutes deux activées. Les versions jusqu’à 3.2.22 incluse sont concernées ; la source ne précise ni version corrigée ni contournement.
WordPress
IdentifiantCVE-2026-107649
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107649
Analyse technique
L’exploitation nécessite que les options `eme_fs[guest_submit]` et `eme_fs[force_location_creation]` soient explicitement activées ; elles sont désactivées par défaut.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée ; la description porte sur une vulnérabilité, et non uniquement sur une modification administrative.
ImpactUn attaquant non authentifié peut injecter des scripts qui s’exécutent lorsqu’une page affectée est consultée.
Versions affectéesEvents Made Easy jusqu’à 3.2.22 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,36% · percentile 27,8%
Publication2026-10-16T10:18:04.307Z
Mise à jour2026-10-16T15:17:05.340Z
Action recommandée
Désactiver la soumission d’événements par les invités et la création forcée de lieux si ces fonctions ne sont pas nécessaires ; appliquer un correctif dès qu’il est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).