CVE-2026-119735 : XSS stockée dans Munshi (by Petpooja)

Veille sécuritéFrontend

P4Moyenne

Munshi (by Petpooja) présente une vulnérabilité XSS stockée : un utilisateur authentifié peut injecter du contenu dans une description d’article ou un message de fil Purchase Inquiry, exécuté dans le navigateur d’un autre utilisateur qui consulte ce fil. La fiche indique que les versions antérieures au 2026-07-13 sont concernées, mais ne précise pas de version corrective.

IdentifiantCVE-2026-119735

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119735

Analyse technique

Le contenu fourni indique que les données sont affectées à innerHTML pendant le rendu avant la fin du nettoyage du texte, ce qui permet l’exécution de JavaScript et une défiguration répétée lors de la réouverture du fil.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-02 dans la période demandée; l’événement retenu est la publication de cette vulnérabilité, et non une simple modification administrative ultérieure.

ImpactExécution de JavaScript dans le navigateur d’un autre utilisateur et défiguration de la page du fil concerné.

Versions affectéesVersions antérieures au 2026-07-13

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.1

Publication2026-11-02T19:18:02.367Z

Mise à jour2026-11-02T19:35:33.347Z

Action recommandée

Mettre à jour vers une version publiée à partir du 2026-07-13; la fiche fournie ne précise pas de numéro de version correctif.

Sources

NVD — CVE-2026-119735

Priorisation DFS : P4 · 1 source(s).