Veille sécuritéCMS & e-commerce
P4Moyenne
Hustle jusqu’à la version 7.8.14.3 présente une XSS stockée via le paramètre content[title]. L’exploitation requiert un compte authentifié auquel un administrateur a explicitement accordé la capacité de créer et modifier des modules ; mettre à jour vers une version corrigée, si disponible, et vérifier ces délégations.
WordPress
IdentifiantCVE-2026-107710
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107710
Analyse technique
Le paramètre content[title] n’est pas suffisamment assaini ni échappé ; l’exploitation suppose l’octroi explicite des capacités Create and Update Modules.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28 ; seule cette publication est retenue comme événement dans la période.
ImpactUn utilisateur authentifié doté des capacités déléguées peut injecter des scripts exécutés par les visiteurs des pages affectées.
Versions affectéesToutes les versions jusqu’à 7.8.14.3 incluse
ContournementRetirer aux rôles concernés les capacités hustle_create et hustle_edit_module dans les réglages de permissions de Hustle.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 10,0%
Publication2026-10-28T07:16:43.810Z
Mise à jour2026-10-28T16:17:00.310Z
Action recommandée
Mettre à jour Hustle vers une version corrigée lorsqu’elle est disponible et contrôler les capacités attribuées aux rôles.
Sources
Priorisation DFS : P4 · 1 source(s).