Le plugin Hustle est vulnérable à un script intersites persistant via le paramètre content[cta_label], dans les versions jusqu’à 7.8.14.3 inclus. L’exploitation requiert la capacité hustle_edit_module, attribuée par défaut aux administrateurs mais délégable à des rôles moins privilégiés ; aucun correctif n’est indiqué dans les éléments fournis.
Source : NVD — CVE-2026-118169
Analyse technique
Une validation et un échappement insuffisants permettent à un utilisateur disposant de hustle_edit_module d’injecter un script persistant. Le risque concerne aussi les comptes de niveau inférieur lorsque cette capacité leur a été déléguée dans les permissions du plugin.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les délégations de hustle_edit_module.
Sources
Priorisation DFS : P4 · 1 source(s).