Veille sécuritéFrontend
P4Non déterminée
Thelia 2.6.0 présente des XSS stockées dans plusieurs fonctions d’administration, notamment la création de catégories et de produits, pouvant entraîner l’exécution de JavaScript dans l’interface d’administration ou sur les pages produit. La version corrigée et une mesure de contournement ne sont pas indiquées dans les informations fournies.
JavaScript
IdentifiantCVE-2026-103524
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103524
Analyse technique
Les données fournies par l’utilisateur sont stockées sans encodage ou assainissement de sortie suffisant, puis rendues dans l’interface d’administration et/ou les pages produit.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12, dans la période demandée ; l’événement retenu est la publication d’une vulnérabilité, et non une simple modification administrative NVD.
ImpactL’exécution de JavaScript peut toucher les utilisateurs qui consultent les contenus affectés.
Versions affectéesThelia 2.6.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-12T15:17:05.970Z
Mise à jour2026-10-12T15:17:05.970Z
Action recommandée
Appliquer une version corrigée dès qu’elle est disponible ; limiter en attendant la saisie de contenus non fiables dans les fonctions concernées.
Sources
Priorisation DFS : P4 · 1 source(s).