Veille sécuritéFrontend
P4Faible
Rapyd Admin comporte une XSS stockée dans le composant Blade `x-rpd::rich-text`, qui restitue sans assainissement des valeurs de modèle liées. Un utilisateur authentifié peut enregistrer du JavaScript via l’API client Livewire, exécuté lorsqu’un administrateur ouvre le formulaire de l’enregistrement.
JavaScript
IdentifiantCVE-2026-110239
GravitéFaible
Exploitationnon connue / non déterminée
Correctif9.20.0
Source : NVD — CVE-2026-110239
Analyse technique
La faille réside dans la sortie HTML brute, sans assainissement, des valeurs liées au modèle.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-13, pendant la période demandée.
ImpactDu JavaScript injecté peut s’exécuter dans le navigateur d’un administrateur consultant l’enregistrement.
Versions affectéesRapyd Admin antérieur à 9.20.0
Version corrigée9.20.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
Publication2026-10-13T19:18:49.210Z
Mise à jour2026-10-13T19:30:29.797Z
Action recommandée
Mettre à niveau Rapyd Admin vers la version 9.20.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).