Veille sécuritéFrontend
P4Non déterminée
NextChat 2.16.1 présente une XSS côté client dans l’éditeur de plugins: le schéma OpenAPI chargé depuis une URL distante est rendu sans assainissement adéquat. Un contenu malveillant peut exécuter du JavaScript dans l’origine NextChat et accéder aux données accessibles côté client; aucun correctif n’est indiqué dans les informations fournies.
JavaScript
IdentifiantCVE-2026-118132
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118132
Analyse technique
Le contenu du schéma distant est placé dans plugin.content puis rendu avec React dangerouslySetInnerHTML sans assainissement adéquat.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-27, dans la période demandée; les détails issus de sa mise à jour du 2026-10-28 ne sont pas retenus.
ImpactExécution de JavaScript dans l’origine NextChat et accès possible aux données côté client accessibles au script.
Versions affectéesNextChat 2.16.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-27T18:17:36.807Z
Mise à jour2026-10-27T18:17:36.807Z
Sources
Priorisation DFS : P4 · 1 source(s).