Veille sécuritéCMS & e-commerce
P4Moyenne
Postie jusqu’à la version 1.9.87 permet une injection de script persistante via les URL auto-liées dans le corps des courriels traités. Le point d’accès de récupération des courriels est accessible sans authentification ; mettre à jour vers une version corrigée, si disponible.
WordPress
IdentifiantCVE-2026-100175
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100175
Analyse technique
Le traitement des courriels retire les filtres kses de WordPress avant l’enregistrement et conserve du contenu HTML non échappé ; l’endpoint ?postie=get-mail ne vérifie pas les capacités.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28 ; seule cette publication est retenue comme événement dans la période. La mise à jour NVD du 2026-10-29 est postérieure à la borne de fin.
ImpactUn attaquant non authentifié peut injecter des scripts exécutés par les visiteurs des pages affectées.
Versions affectéesToutes les versions jusqu’à 1.9.87 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,33% · percentile 26,4%
Publication2026-10-28T07:16:42.883Z
Mise à jour2026-10-29T02:16:42.630Z
Action recommandée
Mettre à jour Postie vers une version corrigée lorsqu’elle est disponible et limiter l’accès à l’endpoint de récupération.
Sources
Priorisation DFS : P4 · 1 source(s).