Veille sécuritéFrontend
P4Moyenne
DataEase présente une XSS stockée : un utilisateur authentifié autorisé à créer des dossiers peut y enregistrer un nom contenant du HTML, ensuite interprété dans les dialogues de déplacement. Un autre utilisateur peut déclencher l’exécution de JavaScript dans sa session en ouvrant le dialogue et en saisissant une recherche.
JavaScript
IdentifiantCVE-2026-102755
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.10.26
Source : NVD — CVE-2026-102755
Analyse technique
Le nom de dossier enregistré est repris depuis l’attribut title d’un nœud et du contenu de recherche mis en évidence est affecté à innerHTML. L’exploitation requiert des droits de création de dossiers et l’interaction de la victime avec le dialogue « Move to ».
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14; cette vulnérabilité nouvellement documentée, et non la seule modification administrative de la fiche, est retenue dans la période.
ImpactExécution de JavaScript dans la session DataEase d’un utilisateur qui consulte le dialogue de déplacement affecté.
Versions affectéesVersions antérieures à 2.10.26
Version corrigée2.10.26
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-14T19:17:05.857Z
Mise à jour2026-10-14T20:17:28.493Z
Action recommandée
Mettre à niveau DataEase vers la version 2.10.26 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).