XSS stockée dans Falang multilanguage - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-118047 est une XSS stockée dans Falang multilanguage, versions jusqu’à 1.4.6 incluses; un compte abonné ou supérieur peut l’exploiter. La fiche indique aussi qu’un nonce nécessaire est accessible à tout utilisateur connecté via un gestionnaire AJAX insuffisamment protégé; aucun correctif n’est fourni dans les données.

IdentifiantCVE-2026-118047

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118047

Analyse technique

La vulnérabilité concerne le paramètre falang_term[][][] via order[] et wp_update_term; l’accès au nonce requis ne nécessite pas de privilèges élevés.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-07T12:17:43.230Z, dans la période demandée; les conditions et le niveau d’accès requis sont tirés de la fiche fournie.

ImpactExécution de scripts dans le navigateur des utilisateurs consultant une page affectée.

Versions affectéesJusqu’à 1.4.6 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

Publication2026-11-07T12:17:43.230Z

Mise à jour2026-11-07T18:17:13.030Z

Détection / vérification

Vérifier si Falang est installé en version 1.4.6 ou antérieure et examiner les privilèges accordés aux comptes abonnés.

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les comptes connectés aux utilisateurs de confiance.

Sources

NVD — CVE-2026-118047

Priorisation DFS : P4 · 1 source(s).