Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin WordPress Form Maker by 10Web présente une XSS stockée exploitable par un attaquant non authentifié au moyen d’un champ caché insuffisamment assaini. L’exécution nécessite qu’un administrateur ouvre l’écran des soumissions et clique sur le lien Show-on-Map associé à l’entrée piégée.
JavaScriptWordPress
IdentifiantCVE-2026-120512
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120512
Analyse technique
La valeur field_id est réinjectée sans échappement dans une chaîne JavaScript lors de l’affichage de la fenêtre FormMakerEditCountryinPopup.
Impact, versions et correctif
Événement datéNouvelle fiche publiée par le NVD le 2026-11-07T03:17:03.210Z, dans la période demandée.
ImpactUn script injecté peut s’exécuter dans le navigateur d’un administrateur qui consulte l’entrée piégée.
Versions affectéesToutes les versions jusqu’à et y compris 1.15.50.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,3%
Publication2026-11-07T03:17:03.210Z
Mise à jour2026-11-07T18:17:17.027Z
Action recommandée
Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
Sources
Priorisation DFS : P3 · 1 source(s).