Veille sécuritéCMS & e-commerce
P4Moyenne
JS Help Desk présente une XSS stockée de type DOM via le paramètre `jsticket_message`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. Le déclenchement survient lorsqu’un administrateur ou un agent ouvre le ticket affecté ; aucun correctif n’est indiqué dans la source.
WordPress
IdentifiantCVE-2026-118046
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118046
Analyse technique
La valeur contrôlée est lue dans un attribut `data-title` puis transmise à jQuery `.html()` lors de l’initialisation de VenoBox.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.
ImpactExécution de scripts dans le navigateur d’un administrateur ou agent consultant le ticket affecté.
Versions affectéesToutes les versions jusqu’à 5.0.2 inclusivement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 10,0%
Publication2026-11-07T03:17:00.170Z
Mise à jour2026-11-07T18:17:12.900Z
Détection / vérification
Vérifier si JS Help Desk est installé en version 5.0.2 ou antérieure.
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).