Veille sécuritéCMS & e-commerce
P4Moyenne
Tutor LMS contient une XSS stockée via le paramètre `display_name`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber lorsque son compte possède un enregistrement de consentement légal. La faille concerne les versions jusqu’à 4.1.0 incluse ; aucun correctif ni contournement n’est indiqué dans la source.
WordPress
IdentifiantCVE-2026-93681
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93681
Analyse technique
L’injection passe par le bouton « View Logs » dans la colonne Consent Logs de wp-admin/users.php, qui apparaît lorsque le compte de l’attaquant possède un enregistrement de consentement légal.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée ; la description porte sur une vulnérabilité, et non uniquement sur une modification administrative.
ImpactUn attaquant authentifié peut injecter des scripts exécutés lorsqu’un utilisateur consulte une page affectée.
Versions affectéesTutor LMS jusqu’à 4.1.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 9,3%
Publication2026-10-16T09:17:05.107Z
Mise à jour2026-10-16T15:17:36.187Z
Action recommandée
Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et appliquer le correctif dès qu’il est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).