Extensions for Leaflet Map jusqu’à la version 5.4 incluse est exposé à une XSS stockée basée sur le DOM via feature.properties[]. L’exploitation nécessite une carte publique configurée avec une combinaison précise de shortcodes et une source GeoJSON contrôlée par l’attaquant; mettre à jour dès qu’un correctif est disponible.
Source : NVD — CVE-2026-103485
Analyse technique
La configuration vulnérable utilise [leaflet-map], [leaflet-geojson] et [choropleth] avec une URL src GeoJSON contrôlée par l’attaquant.
Impact, versions et correctif
Détection / vérification
Rechercher Extensions for Leaflet Map jusqu’à 5.4 et vérifier les cartes publiques utilisant les shortcodes et une source GeoJSON décrits dans l’avis.
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible et vérifier les sources GeoJSON utilisées par les cartes publiques.
Sources
Priorisation DFS : P4 · 1 source(s).