Veille sécuritéCMS & e-commerce
P4Moyenne
Firelight Lightbox avant 2.3.23 n’échappe pas l’URL d’un lien ouvert dans sa lightbox classique avant de l’insérer dans la page comme HTML. Un utilisateur ayant au moins le rôle Contributeur peut provoquer un XSS stocké visant les personnes qui ouvrent un lien préparé à cet effet.
WordPress
IdentifiantCVE-2026-118165
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.3.23
Source : NVD — CVE-2026-118165
Analyse technique
L’URL est insérée sans échappement dans le HTML produit par la lightbox classique.
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-30, dans la période demandée; retenue comme nouvelle vulnérabilité.
ImpactExécution de scripts dans le navigateur des utilisateurs ouvrant un lien préparé.
Versions affectéesFirelight Lightbox avant 2.3.23
Version corrigée2.3.23
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,15% · percentile 4,4%
Publication2026-10-30T06:16:47.097Z
Mise à jour2026-10-30T17:49:38.703Z
Action recommandée
Mettre à jour Firelight Lightbox vers la version 2.3.23 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).