Veille sécuritéFrontend
P4Moyenne
RTIR laisse passer des liens contenant un marqueur interne, y compris des liens utilisant le schéma javascript:, ce qui permet d’introduire un lien dangereux dans un ticket. Le script s’exécute si un utilisateur clique le lien et agit avec ses privilèges RT; le défaut est corrigé dans RT 5.0.11 et 6.0.4.
JavaScript
IdentifiantCVE-2026-105456
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.0.11 et 6.0.4
Source : NVD — CVE-2026-105456
Analyse technique
L’extension du filtre HTML de RTIR vérifie la présence du marqueur interne dans le lien, mais ne bloque pas le schéma exécutable javascript:. Le changement s’applique à l’instance RT entière lorsqu’RTIR est installé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30; la description fournie précise le défaut et les versions corrigées.
ImpactExécution de script dans la session RT de l’utilisateur qui clique le lien.
Versions affectéesVersions antérieures à 5.0.11 et 6.0.4.
Version corrigée5.0.11 et 6.0.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-30T16:17:37.147Z
Mise à jour2026-10-30T19:37:07.073Z
Action recommandée
Mettre à niveau RT vers la version 5.0.11 ou 6.0.4, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).