XSS dans Data::MuForm via des valeurs et libellés non échappés

Veille sécuritéFrontend

P4Non déterminée

Data::MuForm pour Perl, jusqu’à la version 0.05 incluse, rend sans échappement des valeurs d’attributs et des libellés d’options, ce qui peut permettre l’injection de JavaScript dans les pages générées. Aucune version corrigée n’est indiquée dans les informations fournies; éviter d’utiliser des données non fiables dans ces champs et appliquer un correctif dès qu’il est disponible.

IdentifiantCVE-2026-121632

GravitéNon déterminée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-121632

Analyse technique

Les valeurs d’options peuvent être rendues comme attributs non échappés et les libellés comme contenu HTML; les attributs fournis par element_attr sont également concernés.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-04; cette publication de vulnérabilité, et non une simple modification administrative, est retenue.

ImpactInjection de JavaScript dans les pages rendues par les applications utilisant des données contrôlables dans les options ou attributs.

Versions affectéesData::MuForm pour Perl, versions jusqu’à 0.05 incluses

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-11-04T15:17:42.130Z

Mise à jour2026-11-04T19:17:31.367Z

Action recommandée

Ne pas alimenter les options ou attributs de formulaires avec des données non fiables sans échappement; appliquer une version corrigée lorsqu’elle est publiée.

Sources

NVD — CVE-2026-121632

Priorisation DFS : P4 · 1 source(s).