Veille sécuritéFrontend
P4Moyenne
La VitaFit cloud API avant le 2026-10-30 permettait à un utilisateur authentifié de téléverser un SVG contenant du JavaScript, ensuite exécuté lorsqu’une victime ouvrait directement le fichier. Le défaut concerne le stockage et le service des fichiers SVG sans neutralisation du script ni forçage du téléchargement; mettre à niveau vers une version corrigée et empêcher le service de SVG actifs depuis le stockage partagé.
JavaScript
IdentifiantCVE-2026-54380
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-54380
Analyse technique
XSS stocké via un SVG téléversé; JavaScript exécuté lors de l’ouverture directe du fichier dans le navigateur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04 à 22:18:06 UTC, soit le 2026-11-05 à 00:18:06 +02:00, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur d’une victime ouvrant le SVG; risque d’actions ou d’accès dans le contexte du site.
Versions affectéesVitaFit cloud API antérieure au 2026-10-30
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
EPSS0,17% · percentile 5,8%
Publication2026-11-05T00:18:06+02:00
Mise à jour2026-11-05T17:15:04+02:00
Action recommandée
Mettre à niveau vers une version corrigée; jusqu’alors, empêcher le téléversement ou l’ouverture directe de SVG non fiables depuis le stockage partagé.
Sources
Priorisation DFS : P4 · 1 source(s).