Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-100158 est une faille de XSS stockée dans SQL Chart Builder, via la valeur de la colonne d’axe X renvoyée par la requête SQL du graphique. Les versions jusqu’à 3.0.6 incluses sont affectées et l’exploitation suppose notamment qu’un administrateur ait publié un graphique renvoyant une valeur modifiable par un utilisateur moins privilégié.
WordPress
IdentifiantCVE-2026-100158
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100158
Analyse technique
Un utilisateur authentifié de niveau abonné ou supérieur peut modifier une valeur affichée par un graphique, par exemple `wp_users.display_name`, qui est ensuite rendue sans échappement suffisant.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16T06:17:01.323Z, dans la période demandée.
ImpactUn script injecté peut s’exécuter dans le navigateur des personnes consultant une page contenant le graphique.
Versions affectéesSQL Chart Builder jusqu’à la version 3.0.6 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 9,3%
Publication2026-10-16T06:17:01.323Z
Mise à jour2026-10-16T15:16:57.950Z
Action recommandée
Vérifier les graphiques publiés et les colonnes de données qu’ils exposent, puis appliquer un correctif éditeur dès qu’il est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).