Veille sécuritéCMS & e-commerce
P3Élevée
WS Form LITE jusqu’à la version 1.12.18 incluse présente une XSS stockée via le paramètre `field_[0][0]`, exploitable sans authentification. Une valeur non textuelle contourne l’échappement côté client et atteint jQuery `.append()` sans échappement ; aucune version corrigée n’est indiquée.
WordPress
IdentifiantCVE-2026-122231
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-122231
Analyse technique
L’utilitaire client `esc_html()` renvoie inchangées les valeurs qui ne sont pas des chaînes ; un tableau imbriqué peut ainsi parvenir à jQuery `.append()` sans être échappé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:45.763Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.
ImpactExécution de scripts dans les pages concernées après soumission du contenu malveillant.
Versions affectéesWS Form LITE jusqu’à 1.12.18 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-07T12:17:45.763Z
Mise à jour2026-11-07T18:17:20.460Z
Action recommandée
Mettre à jour dès disponibilité d’une version corrigée et surveiller les soumissions de formulaire.
Sources
Priorisation DFS : P3 · 1 source(s).