Veille sécuritéFrontend
P3Critique
SunEditor avant 3.4.0 insère sans échappement dans innerHTML le texte des en-têtes h1 à h6 lors de l’initialisation du mode document:header. Un contenu préparé peut ainsi exécuter du JavaScript dans le navigateur des utilisateurs de l’éditeur configuré dans ce mode.
JavaScript
IdentifiantCVE-2026-124493
GravitéCritique
Exploitationnon connue / non déterminée
Correctif3.4.0
Source : NVD — CVE-2026-124493
Analyse technique
XSS stockée dans le constructeur DocumentType par insertion de textContent d’en-têtes dans innerHTML sans échappement HTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:19.130Z, dans la période demandée.
ImpactExécution de JavaScript dans les éditeurs concernés, avec risque pour la session de l’utilisateur.
Versions affectéesSunEditor avant 3.4.0
Version corrigée3.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-11-08T14:18:19.130Z
Mise à jour2026-11-08T14:18:19.130Z
Détection / vérification
Vérifier la version de SunEditor et l’emploi du mode document:header (ou document:header,page).
Action recommandée
Mettre à jour vers SunEditor 3.4.0 ou ultérieure; vérifier en particulier les éditeurs configurés en mode document:header.
Sources
Priorisation DFS : P3 · 1 source(s).