ARforms : XSS stockée via l’en-tête Referer

Veille sécuritéCMS & e-commerce

P3Élevée

ARforms jusqu’à la version 7.2.4 incluse présente une faille de XSS stockée via l’en-tête Referer, exploitable sans authentification pour injecter un script qui s’exécute lorsqu’un utilisateur consulte la page concernée. Appliquez un correctif ou une mise à jour dès que l’éditeur en fournit un ; la source fournie ne précise pas de version corrigée.

IdentifiantCVE-2026-12424

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-12424

Analyse technique

Le gestionnaire AJAX arf_save_incomplete_form_data() est accessible sans authentification ; un attaquant peut enregistrer une charge malveillante au moyen d’une entrée de formulaire partielle et d’un en-tête Referer falsifié.

Impact, versions et correctif

Événement datéLa publication NVD est datée du 2026-11-11, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.

ImpactExécution de scripts dans le navigateur des utilisateurs consultant une page contenant la charge injectée.

Versions affectéesARforms jusqu’à 7.2.4 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,29% · percentile 21,8%

Publication2026-11-11T10:17:18.097+02:00

Mise à jour2026-11-11T16:17:40.280+02:00

Action recommandée

Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour dès qu’elle est publiée.

Sources

NVD — CVE-2026-12424

Priorisation DFS : P3 · 1 source(s).