Veille sécuritéBackend & données
P3Critique
Une faille XSS dans Vitess permet à un attaquant distant non authentifié d’injecter du contenu dans la réponse HTML du point de terminaison de débogage `/twopcz`. Si un opérateur ouvre la requête piégée, le script s’exécute sur l’origine de débogage et peut accéder aux données de diagnostic disponibles dans le déploiement.
MySQL
IdentifiantCVE-2026-104252
GravitéCritique
Exploitationnon connue / non déterminée
Correctif23.0.5 et 24.0.2
Source : NVD — CVE-2026-104252
Analyse technique
Le gestionnaire `twopczHandler` renvoie sans échappement HTML les valeurs des champs `Action` et `dtid`. Le risque est décrit sous la politique ACL par défaut « allow-all ».
Impact, versions et correctif
Événement datéAvis publié le 2026-10-13 à 20:17:12 UTC, soit pendant la période demandée. La fiche indique les versions correctives 23.0.5 et 24.0.2.
ImpactUn opérateur qui ouvre une requête conçue pour exploiter la faille peut exécuter du script dans son navigateur et accéder aux informations de diagnostic accessibles depuis l’origine de débogage.
Versions affectéesVersions antérieures à 23.0.5 et 24.0.2.
Version corrigée23.0.5 et 24.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
Publication2026-10-13T20:17:12.453Z
Mise à jour2026-10-13T20:17:12.453Z
Action recommandée
Mettre à niveau Vitess vers 23.0.5 ou 24.0.2, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).