Veille sécuritéFrontend
P3Critique
Goobi viewer présente une XSS réfléchie dans les points d’accès IIIF Auth 2.0 : le paramètre origin est repris sans validation dans un corps HTML et un argument JavaScript. Les versions à partir de 25.08 et antérieures à 26.05 sont concernées ; mettre à jour vers 26.05 ou une version ultérieure.
JavaScript
IdentifiantCVE-2026-55486
GravitéCritique
Exploitationnon connue / non déterminée
Correctif26.05
Source : NVD — CVE-2026-55486
Analyse technique
Les points auth/login et auth/token intègrent origin dans une réponse HTML et dans un argument postMessage JavaScript sans échappement.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-10-23, pendant la période demandée ; l’événement retenu est la divulgation de la vulnérabilité.
ImpactExécution de JavaScript via une valeur origin contrôlée dans le flux d’authentification IIIF.
Versions affectéesGoobi viewer à partir de 25.08 et avant 26.05
Version corrigée26.05
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-23T15:17:33.657Z
Mise à jour2026-10-23T16:28:32.357Z
Action recommandée
Mettre à jour Goobi viewer vers la version 26.05 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).