Meow Lightbox — XSS persistante sous conditions (CVE-2026-109234)

Veille sécuritéCMS & e-commerce

P3Élevée

Le module WordPress Meow Lightbox présentait une XSS persistante via le contenu de réponses bbPress, permettant l’exécution de scripts dans le navigateur des visiteurs lorsque plusieurs réglages et conditions de stockage HTML étaient réunis. Les versions jusqu’à 5.6.4 inclus sont indiquées comme vulnérables; le correctif n’est pas établi par les éléments consultés.

IdentifiantCVE-2026-109234

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109234

Analyse technique

Les préconditions mentionnées incluent Output Buffering, HtmlDomParser et Aggressive Resolve activés, ainsi qu’une surface acceptant du HTML stocké.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-31 à 06:16:31.510Z, soit le 2026-10-31 à 08:16:31.510+02:00, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure à la borne et n’est pas retenue.

ImpactExécution de JavaScript dans le navigateur des utilisateurs qui consultent une page injectée.

Versions affectéesJusqu’à 5.6.4 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,38% · percentile 32,4%

Publication2026-10-31T08:16:31.510+02:00

Action recommandée

Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour; à défaut, désactiver les réglages concernés et limiter les soumissions HTML stockées.

Sources

NVD — CVE-2026-109234

Priorisation DFS : P3 · 1 source(s).