Veille sécuritéFrontend
P3Élevée
Trudesk présente une injection de JavaScript côté serveur dans une clause MongoDB `$where` lors de la recherche de tickets. Un utilisateur authentifié peut provoquer un déni de service ou exposer des documents de tickets, y compris des notes internes.
JavaScript
IdentifiantCVE-2026-114396
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-114396
Analyse technique
Le paramètre `search` de l’API de recherche des tickets est incorporé à une clause MongoDB `$where`.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-21 à 13:18:30 UTC, soit 15:18:30 +02:00, pendant la période figée.
ImpactDéni de service ou divulgation de données de tickets et de notes internes.
Versions affectéesJusqu’à 1.2.11 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-10-21T15:18:30+02:00
Mise à jour2026-10-21T23:17:58+02:00
Action recommandée
Restreindre l’accès à l’API concernée aux utilisateurs de confiance et rechercher une mise à jour corrective auprès du projet.
Sources
Priorisation DFS : P3 · 1 source(s).