Veille sécuritéCMS & e-commerce
P4Moyenne
Awesome Support jusqu’à la version 6.4.1 présente une XSS stockée via le paramètre wpas_files, due à un assainissement et un échappement insuffisants. L’exploitation requiert un compte authentifié avec un accès de niveau personnalisé ou supérieur et l’activation de l’option d’envoi par glisser-déposer, désactivée par défaut ; mettre à jour vers une version corrigée, si disponible.
WordPress
IdentifiantCVE-2026-103370
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103370
Analyse technique
Le paramètre wpas_files n’est pas suffisamment assaini ni échappé ; l’exploitation dépend de l’activation du téléverseur par glisser-déposer des formulaires de ticket.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28 ; seule cette publication est retenue comme événement dans la période. La mise à jour NVD du 2026-10-29 est postérieure à la borne de fin.
ImpactUn utilisateur authentifié disposant d’un accès personnalisé ou supérieur peut injecter des scripts persistants lorsque l’option concernée est activée.
Versions affectéesToutes les versions jusqu’à 6.4.1 incluse
ContournementDésactiver l’option « Enable drag-n-drop uploader for ticket form » jusqu’à l’installation d’un correctif.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,26% · percentile 17,2%
Publication2026-10-28T07:16:43.070Z
Mise à jour2026-10-29T02:16:45.167Z
Action recommandée
Mettre à jour Awesome Support vers une version corrigée lorsqu’elle est disponible ; à défaut, désactiver le téléverseur concerné.
Sources
Priorisation DFS : P4 · 1 source(s).