Veille sécuritéFrontend
P3Élevée
OHIF Viewers peut traiter comme type MIME une valeur contrôlée par l’attaquant dans un objet DICOM encapsulé, puis afficher le document dans un contexte où du contenu HTML peut exécuter du JavaScript dans l’origine OHIF. Mettez à jour l’extension @ohif/extension-dicom-pdf vers la version corrigée correspondant à votre branche : 3.12.18, 3.13.10 ou 3.14.0-beta.36.
JavaScript
IdentifiantCVE-2026-118670
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.12.18, 3.13.10 ou 3.14.0-beta.36 selon la branche
Analyse technique
Le type MIME du document encapsulé est transmis aux chemins de création de Blob puis rendu par l’extension dicom-pdf. Les versions corrigées annoncées sont 3.12.18, 3.13.10 et 3.14.0-beta.36.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-11-10T15:57:51Z et mis à jour à 15:57:54Z, dans la période demandée en +02:00.
ImpactL’ouverture d’un objet DICOM préparé peut conduire à l’exécution de JavaScript dans l’origine OHIF, avec accès aux ressources permises dans cette origine.
Versions affectées@ohif/extension-dicom-pdf : >= 3.5.0-beta.0 et < 3.12.18 ; >= 3.13.0-beta.0 et < 3.13.10 ; >= 3.14.0-beta.0 et < 3.14.0-beta.36
Version corrigée3.12.18, 3.13.10 ou 3.14.0-beta.36 selon la branche
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,42% · percentile 36,7%
Publication2026-11-10T15:57:51Z
Mise à jour2026-11-10T15:57:54Z
Action recommandée
Mettre à jour @ohif/extension-dicom-pdf vers la version corrigée applicable à la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).