Veille sécuritéCMS & e-commerce
P4Moyenne
Firelight Lightbox, avant la version 2.3.24, n’échappe pas correctement certaines valeurs d’attributs d’image avant leur traitement dans le navigateur. Un utilisateur ayant au moins le rôle de contributeur peut injecter des scripts exécutés lorsqu’un autre utilisateur consulte ou prévisualise le contenu concerné.
WordPress
IdentifiantCVE-2026-118438
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.3.24
Source : NVD — CVE-2026-118438
Analyse technique
Échappement insuffisant de valeurs d’attributs d’image, pouvant conduire à une injection de scripts côté navigateur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-31, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure et n’est pas retenue comme événement.
ImpactUn contenu piégé peut exécuter des scripts dans le navigateur d’un utilisateur qui le consulte ou le prévisualise.
Versions affectéesVersions antérieures à 2.3.24
Version corrigée2.3.24
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,16% · percentile 5,6%
Publication2026-10-31T06:16:33.923Z
Mise à jour2026-11-02T16:20:09.333Z
Action recommandée
Mettre à jour Firelight Lightbox vers la version 2.3.24 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).