Veille sécuritéFrontend
P4Moyenne
e107 CMS présente une XSS réfléchie dans `search.php`: le paramètre GET `author` est rendu sans échappement dans un champ HTML. Un attaquant non authentifié peut construire une requête qui injecte du contenu exécuté dans le navigateur de la victime.
JavaScript
IdentifiantCVE-2026-114407
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.3.13
Source : NVD — CVE-2026-114407
Analyse technique
Le paramètre `author`, analysé puis concaténé sans échappement au champ de recherche, permet une injection HTML/JavaScript.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-21 à 13:18:32 UTC, soit 15:18:32 +02:00, pendant la période figée.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur qui suit une requête de recherche malveillante.
Versions affectéesVersions antérieures à 2.3.13
Version corrigée2.3.13
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-21T15:18:32+02:00
Mise à jour2026-10-21T18:17:33+02:00
Action recommandée
Mettre à jour e107 vers la version 2.3.13 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).