Veille sécuritéCMS & e-commerce
P4Moyenne
HappyForms, avant la version 1.26.15, n’échappe pas une valeur de recommandation contrôlée par l’utilisateur avant de l’insérer dans le courriel de notification du formulaire. Un attaquant non authentifié peut injecter du HTML dans les courriels reçus par les administrateurs du site.
WordPress
IdentifiantCVE-2026-14556
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.26.15
Source : NVD — CVE-2026-14556
Analyse technique
La valeur de recommandation fournie par l’utilisateur est incluse dans le courriel de notification sans assainissement ni échappement.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-21T09:17:07.173Z, pendant la période demandée.
ImpactLes courriels de notification destinés aux administrateurs peuvent contenir du HTML contrôlé par un attaquant.
Versions affectéesHappyForms antérieur à 1.26.15
Version corrigée1.26.15
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,16% · percentile 4,3%
Publication2026-10-21T09:17:07.173Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour HappyForms vers la version 1.26.15 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).