Veille sécuritéFrontend
P3Élevée
baserCMS présente une XSS persistante : l’expansion globale des shortcodes traite aussi les commentaires, y compris lorsqu’ils sont échappés comme HTML. Un commentaire malveillant peut faire charger un script sur l’origine du site lorsqu’un visiteur ou un administrateur consulte l’article ; mettre à jour vers 5.3.2 ou 5.4.2 selon la branche utilisée.
JavaScript
IdentifiantCVE-2026-115457
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.3.2 et 5.4.2
Source : NVD — CVE-2026-115457
Analyse technique
Le shortcode BcBaser.getGoogleMaps peut définir apiBaseUrl sur une URL de script contrôlée par l’attaquant. Le traitement des shortcodes intervient après le rendu HTML des commentaires.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-10-23, pendant la période demandée ; l’événement retenu est la divulgation de la vulnérabilité.
ImpactExécution de JavaScript sur l’origine du site, notamment dans le navigateur d’un administrateur consultant l’article compromis.
Versions affectéesVersions 5.0.0 antérieures à 5.3.2 et versions 5.4.0 antérieures à 5.4.2
Version corrigée5.3.2 et 5.4.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-10-23T14:17:51.867Z
Mise à jour2026-10-23T16:28:32.357Z
Action recommandée
Mettre à jour vers la version 5.3.2 ou 5.4.2, selon la branche.
Sources
Priorisation DFS : P3 · 1 source(s).