Veille sécuritéCMS & e-commerce
P3Élevée
VikBooking jusqu’à la version 1.8.17 incluse présente une XSS stockée via le paramètre `guests[][][documents]`. L’attaque nécessite une paire valide `sid/ts`, obtenable par une réservation publique standard selon la source ; aucune version corrigée ni mesure de contournement n’est indiquée.
WordPress
IdentifiantCVE-2026-93429
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93429
Analyse technique
Le jeton de session requis par le contrôle JSession est émis par le formulaire de pré-enregistrement accessible publiquement ; les valeurs de documents ne sont pas suffisamment assainies ni échappées.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:46.967Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.
ImpactExécution de scripts dans les pages affichant les données de réservation malveillantes.
Versions affectéesVikBooking jusqu’à 1.8.17 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-07T12:17:46.967Z
Mise à jour2026-11-07T18:17:29.627Z
Action recommandée
Mettre à jour dès disponibilité d’une version corrigée et examiner les données de réservation soumises pour détecter des contenus suspects.
Sources
Priorisation DFS : P3 · 1 source(s).