Veille sécuritéFrontend
P3Élevée
Dans traQ configuré avec le stockage local, des fichiers SVG ou HTML téléversés peuvent être servis pour un rendu direct dans le navigateur et exécuter du JavaScript lorsqu’un utilisateur ouvre leur URL. Les versions antérieures à 3.28.3 sont concernées; mettre à niveau vers 3.28.3 ou une version ultérieure.
JavaScript
IdentifiantCVE-2026-63197
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.28.3
Source : CVE-2026-63197 — NVD
Analyse technique
Un utilisateur ayant la capacité de téléverser des fichiers peut fournir du contenu actif accessible via /files/{fileId}; l’exécution dépend de l’ouverture de l’URL par une autre personne.
Impact, versions et correctif
Événement datéLa publication NVD est horodatée le 3 novembre 2026 à 19:18:08.907Z, soit dans la période demandée en +02:00.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur qui ouvre un fichier malveillant hébergé par l’instance.
Versions affectéesVersions antérieures à 3.28.3, lorsque TRAQ_STORAGE_TYPE=local.
Version corrigée3.28.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.3
Publication2026-11-03T19:18:08.907Z
Mise à jour2026-11-03T23:17:50.943Z
Action recommandée
Mettre à niveau traQ vers la version 3.28.3 ou ultérieure; examiner l’usage du stockage local et le traitement des fichiers téléversés.
Sources
Priorisation DFS : P3 · 1 source(s).