Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-118071 est une XSS persistante dans Joinchat : le message d’un bloc de bouton n’est pas échappé avant d’être rendu dans un attribut HTML sur le site. Les versions antérieures à 6.4.2 sont concernées ; un utilisateur ayant le rôle Author ou supérieur peut viser les visiteurs de la publication, y compris les administrateurs.
WordPress
IdentifiantCVE-2026-118071
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.4.2
Source : NVD — CVE-2026-118071
Analyse technique
La valeur du message du bloc de bouton est rendue dans un attribut HTML sans échappement approprié.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30, dans la période demandée ; la source fournit le type de faille, le vecteur et les versions affectées.
ImpactExécution de scripts dans le navigateur des visiteurs de publications contenant le bloc vulnérable.
Versions affectéesVersions antérieures à 6.4.2
Version corrigée6.4.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,15% · percentile 4,4%
Publication2026-10-30T06:16:46.417Z
Mise à jour2026-10-30T17:49:38.703Z
Action recommandée
Mettre à jour vers la version 6.4.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).