Cachet : XSS stockée dans la création d’incidents

Veille sécuritéFrontend

P4Moyenne

Une faille XSS stockée dans les champs Nom et Message du formulaire de création d’incident peut exécuter du JavaScript dans le navigateur des personnes consultant la page d’état publique. L’avis indique que cela peut compromettre les comptes des utilisateurs concernés ; aucun correctif ni contournement n’est précisé dans les données fournies.

IdentifiantCVE-2026-113712

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifCorrectifs dans les commits 57b44a8bac0b250b0d5751e93e0349070d14606e et 23adbb88ffa819f92be4a905ff1d812670d980a2

Source : GHSA-x397-5hrv-j9m9 — Cachet has Stored XSS in Incident Component

Analyse technique

La vulnérabilité concerne la création d’incidents à /dashboard/incidents/ : des attributs de gestionnaire d’événement HTML ne seraient pas correctement assainis dans les champs Nom et Message. L’avis évoque un risque de vol de jetons de session et de prise de contrôle de compte.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-20 à 21:09:40 UTC, soit le 2026-10-20 à 23:09:40 +02:00, dans la période demandée.

ImpactExécution de JavaScript dans le navigateur des visiteurs de la page d’état publique ; risque de compromission de comptes.

Versions affectéesLes métadonnées de l’avis indiquent cachethq/cachet <= 2.4.1 ; le texte de l’avis mentionne Cachet v3.

Version corrigéeCorrectifs dans les commits 57b44a8bac0b250b0d5751e93e0349070d14606e et 23adbb88ffa819f92be4a905ff1d812670d980a2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8

Publication2026-10-20T21:09:40Z

Mise à jour2026-10-20T21:09:40Z

Action recommandée

Consulter l’avis de sécurité pour les informations de correction et appliquer une version corrigée dès qu’elle est indiquée par l’éditeur ; aucune version corrigée n’est précisée dans les données fournies.

Sources

Priorisation DFS : P4 · 2 source(s).