Veille sécuritéFrontend
P4Moyenne
tia Viewer présente une faille XSS persistante liée à l’absence de validation des annotations : un utilisateur authentifié peut y injecter du JavaScript qui s’exécute lorsqu’un document est ouvert. La faille est corrigée dans la version 1.2.8 ; mettre à niveau le logiciel.
JavaScript
IdentifiantCVE-2026-105987
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctiftia Viewer 1.2.8
Source : NVD — CVE-2026-105987
Analyse technique
L’injection est possible via l’API d’annotation et concerne les annotations de type note autocollante. Le contenu est exécuté dans le navigateur lorsqu’un utilisateur ouvre le document.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 27 octobre 2026 à 15:16:31 UTC, dans la période demandée ; sa description fournit le vecteur d’attaque et la version corrigée.
ImpactLe code injecté peut compromettre la session de l’utilisateur qui consulte le document.
Version corrigéetia Viewer 1.2.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-27T17:16:31.130+02:00
Mise à jour2026-10-27T18:04:22.707+02:00
Action recommandée
Mettre à niveau tia Viewer vers la version 1.2.8.
Sources
Priorisation DFS : P4 · 1 source(s).