Veille sécuritéBackend & données
P4Moyenne
Le champ couleur acceptait du contenu HTML ajouté après un préfixe rgb() ou hsl() valide, permettant à un utilisateur authentifié disposant de droits d’édition d’enregistrer une charge XSS persistante. Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
Node.js
IdentifiantCVE-2026-112951
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifApostropheCMS 4.34.0
Source : NVD — CVE-2026-112951
Analyse technique
La validation TinyColor ne vérifiait pas que la valeur entière correspondait à une couleur; le contenu ajouté pouvait s’exécuter lors du rendu.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 16:17:05.940Z, soit 2026-10-20T18:17:05.940+02:00, dans la période retenue.
ImpactUn utilisateur authentifié avec droits d’édition peut provoquer l’exécution de HTML/script stocké lors de son rendu.
Versions affectéesAvant 4.34.0
Version corrigéeApostropheCMS 4.34.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-10-20T18:17:05.940+02:00
Mise à jour2026-10-20T21:53:10.247+02:00
Action recommandée
Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).