Colibri Page Builder : XSS stockée via le paramètre comment

Veille sécuritéCMS & e-commerce

P3Élevée

Colibri Page Builder présente une faille de XSS stockée dans toutes les versions jusqu’à 1.0.390 incluse. Une entrée `comment` insuffisamment filtrée peut conduire à l’injection de scripts qui s’exécutent lorsqu’un utilisateur consulte une page affectée; mettre à jour vers une version corrigée.

IdentifiantCVE-2026-107758

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-107758

Analyse technique

La description attribue la faille à une validation insuffisante du paramètre `comment` et à l’utilisation par le JavaScript frontal d’une valeur `data-target` décodée comme sélecteur jQuery. Le texte source fourni est tronqué; les détails techniques au-delà de ces éléments ne sont pas établis ici.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée le 2026-10-16; la date de publication, et non la mise à jour NVD, est retenue dans la période demandée.

ImpactDes scripts injectés peuvent s’exécuter dans le navigateur des utilisateurs consultant une page affectée.

Versions affectéesColibri Page Builder jusqu’à 1.0.390 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,36% · percentile 27,8%

Publication2026-10-16T04:18:24.003Z

Mise à jour2026-10-16T15:17:05.540Z

Action recommandée

Mettre à jour Colibri Page Builder vers une version corrigée; en attendant, limiter la soumission de commentaires et surveiller les pages concernées.

Sources

NVD — CVE-2026-107758

Priorisation DFS : P3 · 1 source(s).