Veille sécuritéCMS & e-commerce
P3Élevée
Happyforms jusqu’à la version 1.38.9 incluse présente une XSS stockée via les en-têtes IP client usurpables lors de soumissions de formulaire non authentifiées. La valeur est stockée puis affichée sans échappement dans l’écran d’administration des soumissions ; la source ne précise pas de version corrigée.
WordPress
IdentifiantCVE-2026-93755
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93755
Analyse technique
La fonction happyforms_get_client_ip() lit HTTP_CLIENT_IP et HTTP_X_FORWARDED_FOR sans validation ni assainissement, puis la valeur est rendue dans la métabox Details sans échappement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:47.120Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.
ImpactExécution de scripts dans le navigateur d’un utilisateur consultant l’écran d’administration d’une soumission affectée.
Versions affectéesHappyforms jusqu’à 1.38.9 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-07T12:17:47.120Z
Mise à jour2026-11-07T18:17:29.750Z
Action recommandée
Mettre à jour dès disponibilité d’un correctif et examiner avec prudence les soumissions, notamment avant leur consultation dans l’administration.
Sources
Priorisation DFS : P3 · 1 source(s).