Veille sécuritéFrontend
P4Moyenne
Retool avant la version 3.88.0 présente une vulnérabilité XSS liée au proxy d’images, permettant de servir un SVG malveillant depuis l’origine Retool. La fiche NVD est datée du 2026-10-22 ; les éléments indiquent la version corrigée 3.88.0, mais l’exploitation signalée date de 2024.
JavaScript
IdentifiantCVE-2024-58394
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.88.0
Source : NVD — CVE-2024-58394
Analyse technique
Le point d’accès /api/imageProxy peut restituer un SVG fourni par un attaquant depuis l’origine Retool, sans politique CSP. Les observations d’exploitation citées remontent au 2024-10-15.
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-22T11:17:06.060Z, dans la période demandée ; l’exploitation rapportée date de 2024.
ImpactUn script peut s’exécuter dans l’origine Retool et la session de l’utilisateur qui consulte le contenu malveillant.
Versions affectéesRetool avant 3.88.0
Version corrigée3.88.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-22T13:17:06.060+02:00
Mise à jour2026-10-22T19:40:46.877+02:00
Action recommandée
Mettre à niveau Retool vers la version 3.88.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).