Veille sécuritéCMS & e-commerce
P4Moyenne
LifterLMS présente une XSS stockée via le paramètre `answer[]`, exploitable par un étudiant authentifié inscrit à un cours concerné. Le script s’exécute dans le navigateur de l’administrateur pendant la correction d’une tentative ; aucun correctif n’est indiqué dans la source.
WordPress
IdentifiantCVE-2026-119098
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119098
Analyse technique
La précondition est un cours comportant une question de quiz de type Content ; l’exécution survient lorsque l’administrateur lance la révision de la tentative.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.
ImpactExécution de scripts dans le navigateur de l’administrateur pendant la correction d’une tentative affectée.
Versions affectéesToutes les versions jusqu’à 10.3.2 inclusivement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 10,0%
Publication2026-11-07T03:17:00.897Z
Mise à jour2026-11-07T18:17:14.213Z
Détection / vérification
Vérifier si LifterLMS est installé en version 10.3.2 ou antérieure et si des quiz comportent une question de type Content.
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et examiner les tentatives de quiz concernées.
Sources
Priorisation DFS : P4 · 1 source(s).