Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin VikRentCar est vulnérable à une injection de scripts persistante via le paramètre className, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Toutes les versions jusqu’à 1.4.10 inclus sont concernées ; aucune version corrigée n’est indiquée dans les éléments fournis.
WordPress
IdentifiantCVE-2026-116749
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116749
Analyse technique
La validation et l’échappement sont insuffisants dans un contexte d’attribut HTML ; le traitement des blocs peut rétablir le guillemet injecté après l’enregistrement. Le script injecté s’exécute lorsqu’un utilisateur consulte la page affectée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T07:16:47.610Z, dans la période demandée. Sa mise à jour du 2026-10-29T02:16:51.117Z est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactExécution de scripts dans le navigateur des visiteurs de pages affectées.
Versions affectéesJusqu’à 1.4.10 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,0%
Publication2026-10-28T07:16:47.610Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter la création de contenus par des comptes non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).