XSS stockée dans Smart Post - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P4Moyenne

Smart Post présente une XSS stockée dans toutes les versions jusqu’à 4.0.9 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut injecter du script, exécuté lorsqu’un visiteur interagit avec le filtre d’auteurs d’une page concernée ; aucun correctif n’est indiqué dans la source fournie.

IdentifiantCVE-2026-119160

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119160

Analyse technique

Le paramètre display_name n’est pas suffisamment assaini et échappé. L’exploitation nécessite une page comportant le bloc Author Filter avec un bloc de grille ou de filtre dynamique ; l’exécution est déclenchée par la sélection de l’entrée d’auteur injectée.

Impact, versions et correctif

Événement datéFiche NVD publiée le 31 octobre 2026 à 09:16:33Z, soit dans la période demandée ; la mise à jour du 2 novembre est hors période et n’est pas retenue.

ImpactExécution de scripts dans le navigateur d’un visiteur lors de l’utilisation du filtre d’auteurs.

Versions affectéesToutes les versions jusqu’à 4.0.9 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

EPSS0,23% · percentile 14,3%

Publication2026-10-31T11:16:33.760+02:00

Action recommandée

Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les pages utilisant les blocs concernés.

Sources

NVD — CVE-2026-119160

Priorisation DFS : P4 · 1 source(s).