Veille sécuritéCMS & e-commerce
P4Moyenne
UiChemy permet une XSS stockée via un lien `slot_{N}_link` insuffisamment assaini dans les versions jusqu’à 5.3.0 incluse. L’exécution du lien JavaScript nécessite qu’un utilisateur privilégié clique dessus en examinant ou prévisualisant le contenu ; vérifier la publication d’un correctif éditeur et éviter ce clic sur du contenu non fiable.
JavaScriptWordPress
IdentifiantCVE-2026-109385
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109385
Analyse technique
La valeur `javascript:` injectée se déclenche au clic, et non au chargement de la page.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28 à 07:16:44.720Z, soit le 2026-10-28 à 09:16:44.720+02:00, dans la période figée.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur privilégié qui clique sur le lien injecté.
Versions affectéesToutes les versions jusqu’à 5.3.0 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,26% · percentile 17,2%
Publication2026-10-28T09:16:44.720+02:00
Mise à jour2026-10-29T04:16:47.113+02:00
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’une version corrigée; sensibiliser les réviseurs à ne pas cliquer sur des liens issus de contenus non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).