Veille sécuritéCMS & e-commerce
P4Moyenne
easy.jobs jusqu’à la version 2.8.2 présente une XSS stockée via l’attribut icon du bloc Gutenberg easyjobs/job-list. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts dans les pages concernées ; mettre à jour vers une version corrigée, si disponible.
WordPress
IdentifiantCVE-2026-108366
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-108366
Analyse technique
L’attribut icon fourni par l’utilisateur dans le bloc Gutenberg n’est pas suffisamment assaini ni échappé.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28 ; seule cette publication est retenue comme événement dans la période. La mise à jour NVD du 2026-10-29 est postérieure à la borne de fin.
ImpactUn utilisateur authentifié disposant au moins du rôle Contributor peut injecter un script persistant dans une page.
Versions affectéesToutes les versions jusqu’à 2.8.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 10,6%
Publication2026-10-28T07:16:43.963Z
Mise à jour2026-10-29T02:16:46.540Z
Action recommandée
Mettre à jour easy.jobs vers une version corrigée lorsqu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).