Veille sécuritéFrontend
P4Non déterminée
Dans Thelia 2.6.0, les modèles Smarty address.html et address-update.html n’échappent pas correctement les guillemets doubles du paramètre « next », ce qui permet une XSS réfléchie. L’attaque décrite nécessite qu’un utilisateur authentifié ouvre un lien malveillant ; aucune version corrigée n’est précisée dans les informations fournies.
JavaScript
IdentifiantCVE-2026-103527
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103527
Analyse technique
Le paramètre « next » est rendu sans échappement suffisant des guillemets doubles dans deux modèles Smarty.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12, dans la période demandée ; l’événement retenu est la publication d’une vulnérabilité, et non une simple modification administrative NVD.
ImpactL’ouverture du lien spécialement construit peut exécuter du JavaScript dans le contexte de Thelia.
Versions affectéesThelia 2.6.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-12T15:17:06.240Z
Mise à jour2026-10-12T15:17:06.240Z
Action recommandée
Appliquer une version corrigée dès qu’elle est disponible et éviter d’ouvrir des liens non fiables lorsque la session Thelia est authentifiée.
Sources
Priorisation DFS : P4 · 1 source(s).