Une faille XSS réfléchie dans le binding HTTP CREST de wrensec-commons permettait à un paramètre _mimeType de faire interpréter une réponse JSON comme du HTML. Les versions concernées ne sont pas précisées dans les données du candidat; la correction est indiquée dans les versions 22.6.2 et 23.0.0.
Source : NVD — CVE-2026-2102
Analyse technique
Le paramètre de requête _mimeType était utilisé pour définir l’en-tête Content-Type sans assainissement approprié, ce qui pouvait conduire le navigateur à traiter la réponse comme HTML et à exécuter du JavaScript.
Impact, versions et correctif
Détection / vérification
Rechercher les déploiements de wrensec-commons utilisant le binding HTTP CREST et mettre à niveau; vérifier le traitement du paramètre _mimeType.
Action recommandée
Mettre à niveau vers wrensec-commons 22.6.2 ou 23.0.0 et ne pas laisser un paramètre de requête contrôler sans validation le type de contenu de la réponse.
Sources
Priorisation DFS : P4 · 1 source(s).