Veille sécuritéFrontend
P4Moyenne
Pimcore jusqu’à la version 2026.3.1 présente une XSS stockée dans des champs ExternalImage, exploitable par un utilisateur authentifié disposant des droits de modification d’objets de données. Le script peut s’exécuter dans l’origine d’administration lorsqu’un autre utilisateur consulte un aperçu ou une comparaison de versions ; la version corrigée n’est pas indiquée.
JavaScript
IdentifiantCVE-2026-109392
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109392
Analyse technique
Des URL non échappées enregistrées dans les champs ExternalImage peuvent permettre de briser les attributs rendus dans les vues d’aperçu ou de comparaison.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12 ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactUn script peut s’exécuter dans l’interface d’administration lors de la consultation des vues concernées.
Versions affectéesPimcore jusqu’à 2026.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-12T16:17:04.557Z
Mise à jour2026-10-12T16:17:04.687Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible et réserver les droits de modification des objets aux utilisateurs de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).