Veille sécuritéFrontend
P4Moyenne
YesWiki présente une XSS stockée dans la page des sites référents : un attaquant non authentifié peut faire afficher du JavaScript injecté à partir d’un en-tête Referer spécialement construit. Les visiteurs de cette page peuvent alors subir des actions exécutées dans leur session ; mettre à niveau vers YesWiki 4.7.0 ou une version ultérieure.
JavaScript
IdentifiantCVE-2026-116824
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.7.0
Source : NVD — CVE-2026-116824
Analyse technique
XSS stockée dans handlers/page/referrers_sites.php ; la valeur du Referer est rendue sans échappement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27 ; cette publication, et non une simple modification administrative, est retenue comme événement daté dans la période.
ImpactExécution de JavaScript dans le navigateur des visiteurs de la page concernée, avec risque d’actions dans leur contexte de session.
Versions affectéesYesWiki avant 4.7.0
Version corrigée4.7.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,18% · percentile 7,4%
Publication2026-10-27T00:17:17.720Z
Mise à jour2026-10-27T00:17:17.957Z
Action recommandée
Mettre à niveau YesWiki vers la version 4.7.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).