Veille sécuritéCMS & e-commerce
P4Moyenne
Ninja Forms est vulnérable à une XSS DOM réfléchie via le paramètre d’URL `querystring:` jusqu’à la version 3.15.5 incluse. Un attaquant non authentifié peut déclencher l’exécution de script en incitant une victime à suivre un lien spécialement conçu.
WordPress
IdentifiantCVE-2026-100151
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100151
Analyse technique
Le défaut de filtrage et d’échappement permet à un paramètre `field:` correspondant de contourner la valeur assainie côté serveur et de reconstruire le contenu depuis la chaîne de requête brute.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31 ; cette publication est l’événement retenu. La mise à jour du 2026-11-02 est postérieure à la période.
ImpactExécution de scripts dans le navigateur d’un utilisateur qui suit le lien piégé.
Versions affectéesToutes les versions jusqu’à 3.15.5 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
EPSS0,41% · percentile 35,1%
Publication2026-10-31T10:16:29.037Z
Mise à jour2026-11-02T16:19:19.997Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible ; dans l’intervalle, limiter l’exposition du formulaire et éviter les liens non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).