BuddyForms jusqu’à la version 2.10.5 incluse présente une XSS stockée exploitable sans authentification, sous certaines conditions de configuration des formulaires publics et du thème. Mettre à jour vers une version corrigée dès qu’elle est disponible et, dans l’intervalle, désactiver les soumissions publiques si elles ne sont pas nécessaires.
Source : NVD — CVE-2026-107658
Analyse technique
La faille concerne les paramètres bf_post_type et buddyforms_form_content. L’exploitation nécessite un formulaire BuddyForms public permettant de récupérer un nonce et un thème avec une barre latérale widgetisée.
Impact, versions et correctif
Action recommandée
Mettre à jour BuddyForms dès qu’un correctif est disponible; désactiver les soumissions publiques des formulaires si elles ne sont pas indispensables.
Sources
Priorisation DFS : P4 · 1 source(s).