ARforms : XSS stockée via le paramètre description

Veille sécuritéCMS & e-commerce

P3Élevée

ARforms jusqu’à la version 7.2.4 incluse présente une faille de XSS stockée via le paramètre description, exploitable sans authentification pour injecter du contenu exécuté lorsqu’un utilisateur consulte une page ou qu’un administrateur ouvre l’entrée concernée. Appliquez un correctif ou une mise à jour dès que l’éditeur en fournit un ; la source fournie ne précise pas de version corrigée.

IdentifiantCVE-2026-12427

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-12427

Analyse technique

Lors de l’affichage des détails d’une entrée par un administrateur, des valeurs page_url et http_referrer contrôlées par l’attaquant peuvent être rendues sans échappement après désérialisation.

Impact, versions et correctif

Événement datéLa publication NVD est datée du 2026-11-11, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.

ImpactExécution de scripts lors de l’affichage des pages ou des détails d’entrées vulnérables, notamment dans l’interface d’administration.

Versions affectéesARforms jusqu’à 7.2.4 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,25% · percentile 16,5%

Publication2026-11-11T10:17:18.250+02:00

Mise à jour2026-11-11T16:17:40.477+02:00

Action recommandée

Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour dès qu’elle est publiée.

Sources

NVD — CVE-2026-12427

Priorisation DFS : P3 · 1 source(s).