Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Turisbook Booking System jusqu’à la version 1.3.8 ne vérifie pas correctement les droits ni les requêtes CSRF lors de l’enregistrement de ses réglages et ne sécurise pas une valeur affichée dans l’administration. Un attaquant non authentifié peut ainsi provoquer une XSS stockée visant les administrateurs ; mettre à jour vers une version corrigée, si disponible.
WordPress
IdentifiantCVE-2026-103303
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.3.9
Source : NVD — CVE-2026-103303
Analyse technique
Absence de contrôles d’autorisation et CSRF lors de l’enregistrement des réglages, ainsi que d’assainissement et d’échappement d’une valeur rendue dans une page d’administration.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée pendant la période : 2026-11-08T06:17:02.487Z.
ImpactUn attaquant non authentifié peut injecter du script exécuté dans le navigateur d’un administrateur.
Versions affectéesJusqu’à la version 1.3.8 incluse
Version corrigée1.3.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,16% · percentile 4,8%
Publication2026-11-08T06:17:02.487Z
Mise à jour2026-11-08T19:17:31.017Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).