VertiGIS WebOrderSystem : XSS stockée dans les détails de commande

Veille sécuritéFrontend

P4Moyenne

Dans ASMobile, une interface du logiciel VertiGIS GIS Portal, un utilisateur authentifié peut inscrire du JavaScript dans le champ de référence commerciale ; celui-ci est ensuite inclus dans les détails de commande et exécuté lorsqu’un utilisateur hautement privilégié consulte la commande dans le portail OrderAdministration. La version 7.0.8.6 de WebOrderSystem est signalée comme affectée, sans information du fournisseur sur les autres versions ou sur un correctif.

IdentifiantCVE-2026-4952

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-4952

Analyse technique

Le JavaScript saisi dans la référence commerciale est stocké avec la commande et exécuté dans le portail d’administration lors de l’affichage de celle-ci.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-23 ; cette publication de vulnérabilité est dans la période demandée.

ImpactUn utilisateur authentifié peut provoquer l’exécution de JavaScript dans le navigateur d’un utilisateur hautement privilégié consultant une commande.

Versions affectéesWebOrderSystem 7.0.8.6 est signalé comme affecté ; les autres versions ne sont pas précisées.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.1

EPSS0,28% · percentile 19,8%

Publication2026-10-23T08:16:55.187Z

Mise à jour2026-10-23T19:57:42.660Z

Action recommandée

Contacter le fournisseur pour obtenir une version corrigée ou des mesures d’atténuation ; limiter les accès à la création de commandes et à leur consultation administrative.

Sources

NVD — CVE-2026-4952

Priorisation DFS : P4 · 1 source(s).