XSS stockée dans Real Testimonials (CVE-2026-120509)

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée via le paramètre `tpro_client_name`, exploitable sans authentification si un administrateur publie le témoignage, déclenche l’aperçu AJAX puis enregistre une mise à jour. L’attaquant peut alors faire persister un script dans le titre Manage View ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.

IdentifiantCVE-2026-120509

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120509

Analyse technique

XSS stockée par assainissement des entrées et échappement de sortie insuffisants ; l’exploitation dépend d’actions de modération et de sauvegarde par un administrateur.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:44.503Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.

ImpactExécution de scripts dans le navigateur des visiteurs des pages affectées après approbation et traitement du témoignage par un administrateur.

Versions affectéesReal Testimonials jusqu’à 4.1.0 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.7

Publication2026-11-07T12:17:44.503Z

Mise à jour2026-11-07T18:17:16.910Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; dans l’intervalle, modérer les témoignages soumis et éviter les actions de prévisualisation/sauvegarde décrites.

Sources

NVD — CVE-2026-120509

Priorisation DFS : P4 · 1 source(s).