Veille sécuritéCMS & e-commerce
P3Élevée
WPO365 | Microsoft 365 Graph Mailer présente une XSS stockée dans le sujet transmis par une fonctionnalité d’envoi de courriel. Toutes les versions jusqu’à 6.2 inclus sont concernées; l’injection peut être réalisée sans authentification lorsque le plugin est activé mais que l’autorisation OAuth n’a pas été achevée.
WordPress
IdentifiantCVE-2026-107759
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107759
Analyse technique
Un sujet contrôlé par le soumetteur d’un formulaire, par exemple Contact Form 7, peut être enregistré sans assainissement suffisant puis exécuté dans une page consultée par un utilisateur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T08:16:48.033Z, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure à la période et n’est pas retenue.
ImpactUn script injecté peut s’exécuter dans le navigateur de chaque utilisateur qui consulte la page affectée.
Versions affectéesToutes les versions jusqu’à 6.2 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,27% · percentile 19,6%
Publication2026-10-31T08:16:48.033Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; terminer l’autorisation OAuth et contrôler les formulaires et contenus transmis par courriel.
Sources
Priorisation DFS : P3 · 1 source(s).