Veille sécuritéFrontend
P4Moyenne
YesWiki comporte une XSS stockée dans les commentaires : un utilisateur authentifié peut insérer du contenu HTML brut qui est ensuite rendu sans échappement, avec exécution de JavaScript dans les sessions des visiteurs ou des administrateurs. Les versions à partir de 4.2.0 et antérieures à 4.7.0 sont concernées ; mettre à jour vers 4.7.0 ou une version ultérieure.
JavaScript
IdentifiantCVE-2026-116206
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.7.0
Source : NVD — CVE-2026-116206
Analyse technique
Le contenu vulnérable peut être soumis dans le corps d’un commentaire via l’API `/api/comments`, en utilisant la syntaxe HTML brute de Wakka. Le contenu est rendu sans échappement par le filtre Twig `raw`.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-25T14:17:01.690Z, dans la période demandée. L’événement retenu est la publication de la vulnérabilité, et non une simple modification administrative.
ImpactUn commentaire malveillant peut exécuter du JavaScript dans la session des visiteurs ou des administrateurs qui l’affichent.
Versions affectéesYesWiki à partir de 4.2.0 et avant 4.7.0
Version corrigée4.7.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-25T14:17:01.690Z
Mise à jour2026-10-25T14:17:01.803Z
Action recommandée
Mettre à jour YesWiki vers la version 4.7.0 ou ultérieure et contrôler les commentaires déjà publiés.
Sources
Priorisation DFS : P4 · 1 source(s).