Veille sécuritéFrontend
P4Moyenne
OpenRemote avant 1.32.2 permet à un utilisateur authentifié disposant de write:admin de téléverser des fichiers HTML ou SVG contenant du JavaScript. Lorsqu’une victime consulte le fichier servi par le point de récupération, le script peut s’exécuter dans l’origine de l’application.
JavaScript
IdentifiantCVE-2026-124435
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.32.2
Source : NVD — CVE-2026-124435
Analyse technique
XSS persistante via téléversement HTML/SVG dans le point d’import de fichiers de configuration du Manager; les fichiers sont servis comme text/html ou image/svg+xml.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:09.837Z, dans la période demandée.
ImpactExécution de scripts dans l’origine de l’application lorsqu’un utilisateur consulte un fichier malveillant.
Versions affectéesOpenRemote avant 1.32.2
Version corrigée1.32.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.6
Publication2026-11-08T14:18:09.837Z
Mise à jour2026-11-08T14:18:09.837Z
Détection / vérification
Vérifier la version d’OpenRemote et les fichiers HTML/SVG téléversés par des comptes disposant de write:admin.
Action recommandée
Mettre à jour vers OpenRemote 1.32.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).