VertiGIS WebOrderSystem : XSS réfléchie via searchValue

Veille sécuritéFrontend

P4Moyenne

Le portail CustomerAdministration (KundenManager) de VertiGIS WebOrderSystem exécute du JavaScript fourni dans le paramètre URL searchValue lorsqu’un utilisateur connecté ouvre une URL construite à cet effet. La version 7.0.8.6 est signalée comme affectée ; aucune information de correctif ou sur les autres versions n’est fournie, et l’exécution pourrait permettre une prise de contrôle ou un verrouillage de comptes via les fonctions d’administration.

IdentifiantCVE-2026-4951

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-4951

Analyse technique

XSS réfléchie par le paramètre searchValue ; une victime privilégiée doit être connectée et ouvrir l’URL préparée par l’attaquant.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-23 ; cette publication de vulnérabilité est dans la période demandée.

ImpactL’exécution de JavaScript dans la session d’un utilisateur privilégié pourrait permettre à l’attaquant d’abuser des fonctions de gestion des comptes.

Versions affectéesLa version 7.0.8.6 est affectée ; les autres versions ne sont pas précisées.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.1

EPSS0,36% · percentile 28,9%

Publication2026-10-23T08:16:55.053Z

Mise à jour2026-10-23T19:57:42.660Z

Action recommandée

Contacter le fournisseur pour obtenir une version corrigée ou des mesures d’atténuation ; avertir les utilisateurs privilégiés de ne pas ouvrir de liens non fiables lorsqu’ils sont connectés.

Sources

NVD — CVE-2026-4951

Priorisation DFS : P4 · 1 source(s).