Veille sécuritéCMS & e-commerce
P4Moyenne
LatePoint présente une XSS stockée via l’adresse e-mail du client, exploitable sans compte WordPress au moyen du formulaire public de réservation. Les versions concernées vont jusqu’à 5.7.6 ; aucun correctif n’est indiqué dans la source.
WordPress
IdentifiantCVE-2026-119152
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119152
Analyse technique
Une adresse e-mail avec une partie locale entre guillemets peut satisfaire `FILTER_VALIDATE_EMAIL` tout en étant stockée et affichée sans échappement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.
ImpactExécution de scripts dans le navigateur des visiteurs de pages présentant le contenu affecté.
Versions affectéesToutes les versions jusqu’à 5.7.6 inclusivement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,23% · percentile 13,4%
Publication2026-11-07T03:17:01.080Z
Mise à jour2026-11-07T18:17:14.333Z
Détection / vérification
Vérifier si LatePoint est installé en version 5.7.6 ou antérieure et si le formulaire public de réservation est accessible.
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).