Veille sécuritéFrontend
P3Élevée
La publication stable de tsParticles pouvait exécuter des commandes shell lors du traitement de notes de version contrôlées par un contributeur. Le problème concerne les versions 4.0.0 à 4.3.1 et est corrigé en 4.3.2.
TypeScript
IdentifiantCVE-2026-76826
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.3.2
Source : NVD — CVE-2026-76826
Analyse technique
Le workflow de publication stable insérait directement le texte des notes de version dans une commande echo Bash avant d’écrire RAW_RELEASE.md. Des métacaractères shell pouvaient alors modifier des artefacts ou scripts du workspace et affecter les étapes ultérieures de publication disposant de GITHUB_TOKEN et de permissions d’écriture.
Impact, versions et correctif
Événement datéLa fiche NVD a été mise à jour le 2026-11-05T21:18:53.357Z, pendant la période demandée. Le candidat décrit un défaut exploitable dans le workflow de publication et indique la version corrective 4.3.2.
ImpactUn contributeur capable d’influencer le texte des notes de version pouvait provoquer l’exécution de commandes lors du lancement d’une publication stable, avec un risque pour les artefacts et les étapes de publication.
Versions affectéestsParticles 4.0.0 à 4.3.1
Version corrigée4.3.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,31% · percentile 23,4%
Publication2026-11-04T23:17:58.400Z
Mise à jour2026-11-05T21:18:53.357Z
Action recommandée
Mettre à niveau tsParticles vers la version 4.3.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).