DJ-HelpfulArticles : XSS persistante via le champ ip du vote

Veille sécuritéCMS & e-commerce

P3Élevée

CVE-2026-102800 est une XSS persistante non authentifiée dans DJ-HelpfulArticles, affectant les versions antérieures à 1.3.0. La valeur ip fournie au vote est enregistrée sans validation de provenance puis affichée sans échappement dans l’administration.

IdentifiantCVE-2026-102800

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.3.0

Source : CVE-2026-102800 — NVD

Analyse technique

Les gestionnaires AJAX getDeny, getConfirm et getDenyReason, accessibles sans authentification via com_ajax, stockent le champ ip fourni par le client. Cette valeur est ensuite affichée sans échappement dans la vue d’administration des articles utiles.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-27, dans la période demandée. L’événement retenu est la publication de la vulnérabilité, et non sa mise à jour ultérieure.

ImpactUn attaquant non authentifié peut enregistrer une valeur qui, lorsqu’elle est affichée dans l’administration, peut exécuter du contenu scripté dans le navigateur d’un administrateur.

Versions affectéesDJ-HelpfulArticles antérieur à 1.3.0

Version corrigée1.3.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.7

Publication2026-10-27T12:17:04.137Z

Mise à jour2026-10-27T15:08:50.630Z

Détection / vérification

Vérifier la version de DJ-HelpfulArticles et rechercher les valeurs de vote fournies par le client dans les données et l’interface d’administration.

Action recommandée

Mettre à jour DJ-HelpfulArticles vers la version 1.3.0 ou une version ultérieure.

Sources

CVE-2026-102800 — NVD

Priorisation DFS : P3 · 1 source(s).