Veille sécuritéCMS & e-commerce
P4Moyenne
Tutor LMS est affecté par une XSS réfléchie via le paramètre tab, exploitable sans authentification si un utilisateur est amené à suivre un lien piégé. Sont concernées les versions jusqu’à 4.1.0 incluse ; la source ne précise pas de version corrigée ni de contournement.
WordPress
IdentifiantCVE-2026-100193
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100193
Analyse technique
La vulnérabilité apparaît sur une page de leçon dont le tableau nav-items est vide, condition possible lorsque la leçon n’a pas de contenu ni de pièces jointes et que les commentaires ne sont pas accessibles.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn attaquant peut déclencher l’exécution de script dans le navigateur d’un utilisateur qui ouvre un lien spécialement conçu.
Versions affectéesToutes les versions jusqu’à 4.1.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
EPSS0,24% · percentile 14,4%
Publication2026-10-14T04:18:03.967Z
Mise à jour2026-10-14T18:17:08.733Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; en attendant, éviter les pages de leçon correspondant aux conditions décrites.
Sources
Priorisation DFS : P4 · 1 source(s).