AI Marketing Expert : XSS stockée déclenchable sans authentification

Veille sécuritéCMS & e-commerce

P3Élevée

Le plugin AI Marketing Expert permet une XSS stockée via le paramètre `name` lorsque le module chatbot est actif et qu’au moins un bot est configuré. L’attaque décrite ne requiert pas d’authentification et peut faire exécuter le script injecté à un administrateur qui ouvre le tableau de bord ; vérifier la disponibilité d’un correctif éditeur et limiter l’exposition du plugin.

IdentifiantCVE-2026-109999

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109999

Analyse technique

La fiche décrit une XSS DOM stockée : des appels REST non authentifiés stockent la donnée, puis le widget du chatbot la transmet lors de son interrogation automatique.

Impact, versions et correctif

Événement datéPublication NVD le 2026-10-28 à 03:17:09.630Z, soit le 2026-10-28 à 05:17:09.630+02:00, dans la période figée.

ImpactExécution de scripts dans le navigateur d’utilisateurs administrateurs consultant la page concernée.

Versions affectéesToutes les versions jusqu’à 1.2.8 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,29% · percentile 21,8%

Publication2026-10-28T05:17:09.630+02:00

Mise à jour2026-10-28T19:17:36.817+02:00

Action recommandée

Vérifier auprès de l’éditeur la disponibilité d’une version corrigée; en attendant, désactiver le module chatbot si la configuration concernée est présente.

Sources

NVD — CVE-2026-109999

Priorisation DFS : P3 · 1 source(s).