Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Booking Package pour WordPress jusqu’à la version 1.7.29 incluse présente une faille de XSS stockée via le paramètre « id », exploitable par un utilisateur authentifié disposant au moins du rôle Contributor. Le défaut permet l’injection de scripts qui s’exécutent lorsqu’un utilisateur consulte la page affectée ; les éléments fournis ne précisent ni version corrigée ni contournement.
WordPress
IdentifiantCVE-2026-103425
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103425
Analyse technique
XSS stockée due à une validation insuffisante des entrées et à un échappement insuffisant de la sortie du paramètre « id ».
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD le 2026-10-14T02:16:55.793Z, dans la période demandée.
ImpactExécution de scripts injectés dans le navigateur des utilisateurs consultant une page affectée.
Versions affectéesBooking Package jusqu’à la version 1.7.29 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,26% · percentile 16,8%
Publication2026-10-14T02:16:55.793Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; aucune version corrigée n’est indiquée dans la source fournie.
Sources
Priorisation DFS : P4 · 1 source(s).