Veille sécuritéCMS & e-commerce
P3Élevée
Mang Board comporte une seconde faille de script intersites stocké, exploitable sans authentification via le point d’accès public mb_template en mode content_reply. Les versions jusqu’à 2.4.3 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les données fournies.
WordPress
IdentifiantCVE-2026-109998
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109998
Analyse technique
Le point d’accès wp_ajax_nopriv_mb_template est public ; la vérification du nonce n’est pas appliquée en mode content_reply, et la réponse HTML peut entraîner l’exécution de balises injectées.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-16 ; l’événement retenu est la publication de la vulnérabilité, datée dans la période demandée.
ImpactUn attaquant non authentifié peut injecter du contenu scripté susceptible d’être exécuté par les visiteurs.
Versions affectéesToutes les versions jusqu’à 2.4.3 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,27% · percentile 18,3%
Publication2026-10-16T05:17:29.717Z
Mise à jour2026-10-16T15:17:08.570Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; limiter temporairement l’exposition du point d’accès concerné si possible.
Sources
Priorisation DFS : P3 · 1 source(s).