Veille sécuritéCMS & e-commerce
P3Élevée
Welcart e-Commerce est vulnérable à une XSS stockée via le paramètre « gid » dans les versions jusqu’à 2.12.5 incluses. Une requête de retour de navigateur forgée peut placer la valeur malveillante dans les métadonnées d’une commande; le script s’exécute ensuite lorsqu’un administrateur ouvre cette commande dans l’interface WordPress.
WordPress
IdentifiantCVE-2026-118070
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118070
Analyse technique
Assainissement insuffisant de l’entrée et échappement insuffisant de la sortie du paramètre « gid » dans le traitement des métadonnées de commande.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-31T07:16:36.007Z, dans la période retenue; la mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue.
ImpactUn attaquant non authentifié peut provoquer l’exécution d’un script dans l’interface d’administration lorsqu’un administrateur consulte la commande concernée.
Versions affectéesToutes les versions jusqu’à 2.12.5 incluses
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,3%
Publication2026-10-31T07:16:36.007Z
Sources
Priorisation DFS : P3 · 1 source(s).