Veille sécuritéFrontend
P4Moyenne
QCubed 2.2.0 à 3.1.1 présente une vulnérabilité XSS réfléchie exploitable sans authentification via le paramètre installation_path. La fiche NVD est datée du 2026-10-22, mais les éléments fournis ne donnent pas de version corrigée ni d’action de remédiation.
JavaScript
IdentifiantCVE-2017-20288
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2017-20288
Analyse technique
La valeur du paramètre installation_path est renvoyée sans échappement dans la page de l’installateur. Des observations d’exploitation sont signalées à partir du 2023-10-20, hors de la période du bulletin.
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-22T11:17:02.913Z, dans la période demandée ; l’exploitation rapportée date de 2023 et n’est pas retenue comme événement de la période.
ImpactUn attaquant peut faire exécuter du script dans le navigateur d’une victime qui suit une requête forgée.
Versions affectéesQCubed 2.2.0 à 3.1.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-22T13:17:02.913+02:00
Mise à jour2026-10-22T19:40:46.877+02:00
Action recommandée
Éviter d’exposer les versions concernées et vérifier auprès du projet si une version corrigée est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).