Veille sécuritéFrontend
P4Moyenne
LibreNMS présente une faille XSS stockée dans l’affichage des descriptions de capteurs sans échappement HTML. Une personne contrôlant l’agent SNMP d’un appareil surveillé peut faire exécuter du JavaScript lorsqu’un utilisateur authentifié consulte l’onglet Wireless de cet appareil.
JavaScript
IdentifiantCVE-2026-109352
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif26.9.0
Source : NVD — CVE-2026-109352
Analyse technique
La vulnérabilité se trouve dans includes/html/pages/device/wireless.inc.php : des valeurs sensor_descr issues de champs SNMP DisplayString, notamment AI-AP-MIB::aiSSID, sont insérées dans le HTML sans échappement.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-12 à 19:17:32 +02:00, dans la période retenue.
ImpactL’exécution de scripts dans le navigateur d’un utilisateur authentifié peut compromettre sa session.
Versions affectéesLibreNMS avant 26.9.0
Version corrigée26.9.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-12T19:17:32.270+02:00
Mise à jour2026-10-12T19:17:32.270+02:00
Action recommandée
Mettre à niveau LibreNMS vers la version 26.9.0 ou ultérieure et examiner les valeurs SNMP affichées pour les appareils surveillés.
Sources
Priorisation DFS : P4 · 1 source(s).