Veille sécuritéCMS & e-commerce
P4Moyenne
Kali Forms pour WordPress, avant la version 2.4.29, permet à des utilisateurs ayant le rôle Author ou un rôle supérieur de stocker du JavaScript dans la configuration d’un bouton de formulaire. Le script s’exécute dans la session du navigateur de toute personne qui clique sur le bouton, y compris un administrateur; mettre à jour vers la version 2.4.29 ou ultérieure.
JavaScriptWordPress
IdentifiantCVE-2026-106649
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.4.29
Source : NVD — CVE-2026-106649
Analyse technique
Du JavaScript arbitraire peut être enregistré dans la configuration d’un bouton puis placé dans un contexte d’exécution JavaScript.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04; cette publication de vulnérabilité, et non une simple modification administrative, est retenue.
ImpactExécution de JavaScript dans la session du navigateur de toute personne cliquant sur le bouton affecté.
Versions affectéesKali Forms — Contact Form & Drag-and-Drop Builder pour WordPress, versions antérieures à 2.4.29
Version corrigée2.4.29
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,18% · percentile 7,9%
Publication2026-11-04T06:16:57.750Z
Mise à jour2026-11-04T15:17:25.343Z
Action recommandée
Mettre à jour Kali Forms vers la version 2.4.29 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).