Veille sécuritéFrontend
P4Moyenne
Frappe présente une XSS stockée dans les filtres des graphiques de tableau de bord : des valeurs saisies sont rendues comme du contenu riche via jQuery et peuvent exécuter du script lorsqu’un utilisateur consulte le graphique. La fiche NVD a été publiée pendant la période, mais l’avis de sécurité du projet Frappe avait été publié antérieurement.
jQuery
IdentifiantCVE-2026-109602
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109602
Analyse technique
XSS stockée dans les filtres de graphiques de tableau de bord; l’exploitation nécessite un compte authentifié.
Impact, versions et correctif
Événement datéRetenue comme nouvelle publication NVD datée du 2026-10-12T23:17:23.987Z, soit le 2026-10-13T01:17:23.987+02:00, dans la période demandée. L’avis GitHub du projet Frappe associé à cette faille est daté du 2026-09-22 et n’est pas traité comme un nouvel avis pendant la période.
ImpactUn attaquant authentifié peut enregistrer des valeurs malveillantes qui exécutent du script dans le navigateur des personnes consultant le graphique.
Versions affectéesFrappe <15.118.0 et versions 16.x <16.31.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
EPSS0,17% · percentile 5,7%
Publication2026-10-13T01:17:23.987+02:00
Mise à jour2026-10-13T19:17:29.417+02:00
Action recommandée
Mettre à niveau vers Frappe 15.118.0 ou ultérieur, ou vers Frappe 16.31.0 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).