Veille sécuritéCMS & e-commerce
P4Moyenne
Form Maker by 10Web présente une XSS stockée via des paramètres de soumission de formulaire, exploitable sans authentification sous certaines conditions. La cible doit contenir un champ File Upload et l’exécution a lieu lorsqu’un administrateur consulte les soumissions ; aucun correctif n’est indiqué dans la source.
WordPress
IdentifiantCVE-2026-118067
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118067
Analyse technique
La combinaison du paramètre `wdform__element` et de `disabled_fields` peut déplacer une valeur contrôlée vers un emplacement où l’échappement est omis.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.
ImpactExécution de scripts dans le navigateur de l’administrateur consultant les soumissions du formulaire affecté.
Versions affectéesToutes les versions jusqu’à 1.15.50 inclusivement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,31% · percentile 23,4%
Publication2026-11-07T03:17:00.533Z
Mise à jour2026-11-07T18:17:13.630Z
Détection / vérification
Vérifier si Form Maker by 10Web est installé en version 1.15.50 ou antérieure et si les formulaires concernés comportent un champ File Upload.
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).