Veille sécuritéCMS & e-commerce
P3Élevée
CVE-2026-100186 est une XSS stockée dans le champ Prénom de Profile Builder. Toutes les versions jusqu’à 4.0.3 incluses sont concernées ; la faille n’est exploitable que lorsque la confirmation par e-mail est activée.
WordPress
IdentifiantCVE-2026-100186
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100186
Analyse technique
La fiche attribue la faille à une validation insuffisante des entrées et à un échappement de sortie inadéquat dans le champ Prénom.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16T06:17:02.317Z, dans la période demandée.
ImpactUn attaquant non authentifié peut injecter un script qui s’exécute lorsque des pages affectées sont consultées.
Versions affectéesProfile Builder jusqu’à la version 4.0.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 14,2%
Publication2026-10-16T06:17:02.317Z
Mise à jour2026-10-16T15:16:58.640Z
Action recommandée
Si la confirmation par e-mail est activée, évaluer la désactivation de cette fonction jusqu’à l’application d’un correctif éditeur.
Sources
Priorisation DFS : P3 · 1 source(s).