Veille sécuritéCMS & e-commerce
P3Élevée
VikRentCar jusqu’à la version 1.4.9 présente une XSS stockée via le paramètre `poplink`. Le nonce requis est émis aux visiteurs non authentifiés sur la page publique de confirmation de réservation ; la fiche NVD a été publiée pendant la période.
WordPress
IdentifiantCVE-2026-115840
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115840
Analyse technique
XSS stockée causée par une validation et un échappement insuffisants du paramètre `poplink`. Le nonce `vikwp_nonce` accessible aux visiteurs ne constitue pas une barrière d’authentification.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-31, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue comme événement.
ImpactExécution de scripts arbitraires dans le navigateur des visiteurs consultant une page affectée.
Versions affectéesToutes les versions jusqu’à 1.4.9 inclusivement
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,3%
Publication2026-10-31T07:16:35.140Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; contrôler les contenus associés aux réservations et pages de confirmation.
Sources
Priorisation DFS : P3 · 1 source(s).