XSS stockée dans JetFormBuilder (CVE-2026-121977)

Veille sécuritéCMS & e-commerce

P4Moyenne

JetFormBuilder jusqu’à la version 3.6.8 incluse présente une XSS stockée liée au champ `note` d’un formulaire. L’exploitation est possible sans authentification, mais nécessite qu’un utilisateur privilégié disposant de `edit_others_posts` ouvre une URL de formulaire contenant l’identifiant de publication préparé par l’attaquant ; aucun correctif n’est indiqué.

IdentifiantCVE-2026-121977

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-121977

Analyse technique

Assainissement et échappement insuffisants de la valeur du champ `note` enregistrée dans les métadonnées de publication ; l’accès de la victime privilégiée à l’URL est nécessaire.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:45.453Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.

ImpactExécution de scripts dans le navigateur d’un utilisateur privilégié consultant un formulaire contenant la valeur malveillante.

Versions affectéesJetFormBuilder jusqu’à 3.6.8 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.4

Publication2026-11-07T12:17:45.453Z

Mise à jour2026-11-07T18:17:20.110Z

Action recommandée

Mettre à jour dès qu’une version corrigée est disponible et avertir les utilisateurs privilégiés de ne pas ouvrir les URL de formulaire suspectes.

Sources

NVD — CVE-2026-121977

Priorisation DFS : P4 · 1 source(s).