Veille sécuritéFrontend
P3Élevée
OCO-Server avant la version 1.2.1 présente une XSS stockée dans un nom d’hôte intégré à un gestionnaire JavaScript en ligne, qui peut s’exécuter lorsqu’un administrateur active un bouton de commande. Un attaquant doit notamment disposer de la clé d’enregistrement des agents et l’auto-inscription doit être activée ; la fiche NVD est datée du 2026-10-22.
JavaScript
IdentifiantCVE-2026-61791
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.2.1
Source : NVD — CVE-2026-61791
Analyse technique
L’échappement HTML ne protège pas la chaîne JavaScript dans l’attribut onclick. Le script peut agir avec les privilèges de l’administrateur, y compris le déploiement de logiciels.
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-22T15:17:05.980Z, dans la période demandée.
ImpactExécution de JavaScript dans la session d’un administrateur, avec possibilité d’abuser de ses privilèges.
Versions affectéesOCO-Server avant 1.2.1
Version corrigée1.2.1
ContournementDésactiver l’auto-inscription des agents si elle n’est pas nécessaire.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
Publication2026-10-22T17:17:05.980+02:00
Mise à jour2026-10-22T19:40:46.877+02:00
Action recommandée
Mettre à niveau OCO-Server vers la version 1.2.1 ou une version ultérieure ; désactiver l’auto-inscription si elle n’est pas nécessaire.
Sources
Priorisation DFS : P3 · 1 source(s).