XSS stockée dans SureCart - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P3Élevée

SureCart jusqu’à la version 4.9.4 présente une XSS stockée via le paramètre `comment`, exploitable par un attaquant non authentifié si le commentaire est approuvé ou auto-approuvé et s’affiche sur une page chargeant le bundle SureCart. La fiche NVD a été publiée pendant la période ; aucune version corrigée n’est indiquée dans les données fournies.

IdentifiantCVE-2026-107653

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-107653

Analyse technique

XSS stockée due à une validation et un échappement insuffisants de `comment`. L’exécution nécessite que le commentaire injecté soit visible sur une page comportant un bloc SureCart Buy Button ou chargeant autrement le bundle de composants Web SureCart.

Impact, versions et correctif

Événement datéPublication de la fiche NVD le 2026-10-31, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue comme événement.

ImpactExécution de scripts arbitraires dans le navigateur des visiteurs consultant une page contenant un commentaire injecté.

Versions affectéesToutes les versions jusqu’à 4.9.4 inclusivement

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,28% · percentile 20,5%

Publication2026-10-31T07:16:32.940Z

Action recommandée

Mettre à jour SureCart dès qu’une version corrigée est disponible ; vérifier les commentaires en attente ou récemment approuvés et leur visibilité sur les pages concernées.

Sources

NVD — CVE-2026-107653

Priorisation DFS : P3 · 1 source(s).