Veille sécuritéFrontend
P4Moyenne
DataEase présente une XSS stockée dans les libellés de dimensions de graphiques à barres horizontales. Un utilisateur authentifié pouvant modifier les champs d’un jeu de données et la configuration d’un graphique peut provoquer l’exécution de JavaScript dans la session d’une victime qui consulte le tableau de bord et survole le libellé tronqué.
JavaScript
IdentifiantCVE-2026-102756
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.10.26
Source : NVD — CVE-2026-102756
Analyse technique
Lorsque la limite de longueur tronque le libellé d’axe, le code récupère le libellé complet et l’affecte à l’élément g2-tooltip-title via innerHTML. Le déclenchement nécessite que la victime survole le libellé tronqué dans le tableau de bord.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14; cette vulnérabilité nouvellement documentée, et non la seule modification administrative de la fiche, est retenue dans la période.
ImpactExécution de JavaScript dans la session d’un utilisateur consultant un tableau de bord spécialement préparé.
Versions affectéesVersions antérieures à 2.10.26
Version corrigée2.10.26
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-14T19:17:06.013Z
Mise à jour2026-10-14T19:17:06.127Z
Action recommandée
Mettre à niveau DataEase vers la version 2.10.26 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).