Veille sécuritéBackend & données
P3Élevée
Mythic 3.2.16 à 3.4.0.61 présente une XSS stockée exploitable par un attaquant contrôlant des fichiers déposés sur un terminal cible. Si un opérateur télécharge puis prévisualise un fichier piégé, du contenu HTML s’exécute dans l’origine de l’interface Mythic et peut exposer les jetons JWT stockés localement.
GraphQLJavaScript
IdentifiantCVE-2026-119764
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119764
Analyse technique
Un fichier portant une extension .pdf contient du HTML qui est interprété lors de la prévisualisation via /direct/view après détection de son contenu.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30; les données fournies précisent les versions touchées et le scénario d’exploitation.
ImpactVol de JWT et accès non autorisé aux API GraphQL et REST de Mythic.
Versions affectées3.2.16 à 3.4.0.61
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
Publication2026-10-30T18:17:27.273Z
Mise à jour2026-10-30T19:14:38.697Z
Action recommandée
Identifier les systèmes dans la plage affectée et consulter les publications du projet pour une version corrigée; la source fournie n’en indique pas.
Sources
Priorisation DFS : P3 · 1 source(s).