Veille sécuritéFrontend
P3Élevée
CKEditor 5 utilise une version vulnérable de es-toolkit dont le comportement de pollution de prototype est atteignable pendant le traitement des valeurs d’attribut style; un contenu d’éditeur construit peut alors provoquer une exécution de JavaScript dans le navigateur. Les versions concernées sont 45.0.0 à 47.7.3 et 48.0.0 à 48.5.0; la correction est disponible dans 47.7.4 et 48.5.1.
JavaScript
IdentifiantCVE-2026-116688
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif47.7.4 et 48.5.1
Source : NVD — CVE-2026-116688
Analyse technique
Le traitement des valeurs entrantes d’attribut style atteint le comportement de pollution de prototype de la dépendance es-toolkit vulnérable, ce qui permet une exécution de JavaScript côté navigateur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-27, dans la période demandée; sa mise à jour du 2026-10-28 est postérieure à la borne et n’est pas retenue.
ImpactExécution non autorisée de JavaScript dans le navigateur lors du traitement de contenu construit.
Versions affectéesCKEditor 5 de 45.0.0 à 47.7.3 et de 48.0.0 à 48.5.0.
Version corrigée47.7.4 et 48.5.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
Publication2026-10-27T20:17:14.037Z
Action recommandée
Mettre à niveau vers CKEditor 5 47.7.4 ou 48.5.1.
Sources
Priorisation DFS : P3 · 1 source(s).