Veille sécuritéCMS & e-commerce
P4Moyenne
Tour Booking Manager est vulnérable à une XSS stockée dans les attributs width, height et zoom du shortcode [ttbm-hotel-map] jusqu’à la version 2.3.6 incluse. Un utilisateur authentifié ayant au moins le rôle Contributor peut injecter du script dans une page; aucun correctif n’est indiqué dans les données fournies, et une mise à jour est recommandée dès disponibilité.
WordPress
IdentifiantCVE-2026-109590
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109590
Analyse technique
Les valeurs brutes des attributs du shortcode sont concaténées dans des attributs HTML entre guillemets doubles sans assainissement ni échappement suffisant.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-28T07:16:44.867Z, dans la période demandée; aucune mise à jour ultérieure n’est fournie pour ce candidat.
ImpactExécution de scripts dans le navigateur des visiteurs des pages affectées.
Versions affectéesToutes les versions jusqu’à 2.3.6 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,24% · percentile 15,5%
Publication2026-10-28T07:16:44.867Z
Action recommandée
Mettre à jour vers une version corrigée dès sa disponibilité et examiner les pages utilisant le shortcode concerné.
Sources
Priorisation DFS : P4 · 1 source(s).