Veille sécuritéFrontend
P4Moyenne
AVideo 26.0 à 29.3.0 présente une XSS stockée dans le rendu Markdown des commentaires : un commentateur authentifié peut injecter du JavaScript exécuté dans le navigateur des visiteurs. Mettez à niveau vers une version corrigée dès qu’elle est disponible.
JavaScript
IdentifiantCVE-2026-116139
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116139
Analyse technique
La fonction markDownToHTML() préserverait des attributs de gestionnaire d’événement dans certains blocs HTML initiaux.
Impact, versions et correctif
Événement datéLa fiche CVE indique une publication le 2026-10-25; l’heure UTC fournie, convertie en +02:00, tombe dans la période demandée.
ImpactExécution de JavaScript dans le contexte de l’application pour les personnes consultant le commentaire.
Versions affectéesAVideo 26.0 à 29.3.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-25T16:16:51.610+02:00
Mise à jour2026-10-26T19:17:21.390+02:00
Action recommandée
Vérifier l’exposition des commentaires et appliquer une mise à niveau dès publication d’un correctif.
Sources
Priorisation DFS : P4 · 1 source(s).