Veille sécuritéFrontend
P4Faible
Craft CMS 5.0.0 à toute version antérieure à 5.10.14 présente une XSS fondée sur le DOM dans le flux de connexion au panneau de contrôle et de vérification 2FA. Une URL returnUrl contrôlée acceptant le schéma javascript: peut exécuter du JavaScript dans le panneau de contrôle lorsqu’une victime ayant activé la 2FA est amenée à ouvrir un lien spécialement construit pendant la vérification.
JavaScript
IdentifiantCVE-2026-109307
GravitéFaible
Exploitationnon connue / non déterminée
Correctif5.10.14
Source : NVD — CVE-2026-109307
Analyse technique
Le paramètre returnUrl fourni par l’utilisateur est utilisé pour la navigation côté client sans rejet du schéma javascript:.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12 ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactUn script peut s’exécuter dans le panneau de contrôle avec les permissions de la victime.
Versions affectéesCraft CMS à partir de 5.0.0 et avant 5.10.14
Version corrigée5.10.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
Publication2026-10-12T17:17:25.077Z
Mise à jour2026-10-12T17:17:25.077Z
Action recommandée
Mettre à jour vers Craft CMS 5.10.14 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).