Veille sécuritéFrontend
P3Élevée
Froxlor présente une XSS stockée permettant à un client authentifié d’injecter du HTML et du JavaScript via une valeur de thème. Un administrateur consultant la vue concernée peut être exposé à une exécution de script susceptible d’abuser de son jeton CSRF; mettre à jour vers la version 2.3.14.
JavaScript
IdentifiantCVE-2026-109960
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.3.14
Source : NVD — CVE-2026-109960
Analyse technique
L’injection passe par une valeur de thème définie via customer_index.php; le script s’exécute lorsque l’administrateur consulte l’aperçu des clients avec la colonne Thème activée.
Impact, versions et correctif
Événement datéLa fiche NVD est datée du 2026-10-13, dans la période demandée; sa description fournit le mécanisme XSS et le correctif.
ImpactUn script injecté peut s’exécuter dans le navigateur d’un administrateur et permettre l’abus de son jeton CSRF.
Versions affectéesFroxlor 2.0.0 à toute version antérieure à 2.3.14
Version corrigée2.3.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-13T14:17:35.207Z
Mise à jour2026-10-13T14:17:35.357Z
Action recommandée
Mettre à jour Froxlor vers la version 2.3.14 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).