Veille sécuritéFrontend
P4Moyenne
SemanticMediaWiki présente une XSS stockée dans le nom canonique d’un schéma de groupe de propriétés, rendu sans échappement dans les titres de Special:Browse. Une personne disposant du droit `smw-schemaedit` peut y injecter du balisage provoquant l’exécution de JavaScript chez les visiteurs.
JavaScript
IdentifiantCVE-2026-116888
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.3.1
Source : NVD — CVE-2026-116888
Analyse technique
`GroupFormatter` rend sans échappement le champ `canonical_name` du schéma de groupe.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 27 octobre 2026 à 11:17:31.263Z, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur des utilisateurs affichant les titres affectés.
Versions affectéesSemanticMediaWiki à partir de 3.2.0 et avant 7.3.1
Version corrigée7.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
Publication2026-10-27T11:17:31.263Z
Action recommandée
Mettre à niveau SemanticMediaWiki vers la version 7.3.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).