Veille sécuritéCMS & e-commerce
P3Élevée
Simply Schedule Appointments présente une XSS stockée via le paramètre « status », en raison d’une assainissement et d’un échappement insuffisants. La charge peut être enregistrée dans les journaux de débogage et s’exécuter dans le navigateur d’un administrateur consultant le visualiseur de journaux avec le Support PIN du site.
WordPress
IdentifiantCVE-2026-104000
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104000
Analyse technique
La journalisation de débogage est activée par défaut selon la description; l’accès au visualiseur dépend du Support PIN du site.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactExécution de script dans la session d’un administrateur consultant les journaux concernés.
Versions affectéesToutes les versions jusqu’à 1.6.12.35 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 13,6%
Publication2026-10-16T06:17:04.667Z
Mise à jour2026-10-16T16:16:54.417Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; désactiver la journalisation de débogage si elle n’est pas nécessaire et protéger l’accès au visualiseur.
Sources
Priorisation DFS : P3 · 1 source(s).