Veille sécuritéFrontend
P4Moyenne
La bibliothèque unstructured peut produire du HTML non échappé à partir de contenu non fiable, laissant notamment passer des attributs d’événement et des liens javascript:. Lorsqu’un navigateur affiche le HTML généré, un script peut s’exécuter dans l’origine du lecteur; mettre à jour vers 0.24.1.
JavaScript
IdentifiantCVE-2026-104250
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.24.1
Source : NVD — CVE-2026-104250
Analyse technique
Les chemins concernés comprennent partition_html avec html_parser_version="v2", le partitionneur VLM et la génération via elements_to_html()/to_html().
Impact, versions et correctif
Événement datéLa fiche NVD est datée du 2026-10-13, dans la période demandée; elle décrit le vecteur de XSS et le correctif.
ImpactUn contenu de document contrôlé par un attaquant peut provoquer l’exécution de script dans l’origine du lecteur.
Versions affectéesVersions antérieures à 0.24.1
Version corrigée0.24.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-10-13T17:17:15.900Z
Mise à jour2026-10-13T17:17:15.900Z
Action recommandée
Mettre à jour unstructured vers 0.24.1 ou ultérieure et éviter d’afficher du HTML généré à partir de documents non fiables sans assainissement.
Sources
Priorisation DFS : P4 · 1 source(s).