XSS stockée dans le module BIND8 de Webmin

Veille sécuritéSystèmes & serveurs

P4Moyenne

Webmin jusqu’à la version 2.670 présente une XSS stockée dans le module BIND8 : des valeurs d’enregistrements DNS peuvent être affichées sans échappement en vue ALL et exécuter du script dans le navigateur d’un administrateur. Un utilisateur délégué pouvant gérer une zone peut ainsi viser les administrateurs qui consultent ses enregistrements ; aucune version corrigée n’a pu être confirmée dans les sources consultées.

IdentifiantCVE-2026-125392

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-125392 — NVD

Analyse technique

XSS stockée dans bind8/edit_recs.cgi, en vue ALL, par absence d’échappement HTML des valeurs d’enregistrements DNS.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-10 à 00:17:13.007Z, soit le 2026-11-10 à 02:17:13.007+02:00, dans la période demandée. La mise à jour associée à ce candidat est datée du même jour ; l’événement retenu est la publication de la vulnérabilité, pas une modification NVD prise isolément.

ImpactExécution de script dans le navigateur d’un administrateur consultant les enregistrements DNS concernés.

Versions affectéesWebmin jusqu’à 2.670 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.1

EPSS0,17% · percentile 6,5%

Publication2026-11-10T02:17:13.007+02:00

Mise à jour2026-11-10T19:17:29.927+02:00

Action recommandée

Mettre à niveau vers une version corrigée dès qu’elle est confirmée par le projet ; limiter la gestion déléguée des zones et la consultation des enregistrements non fiables.

Sources

CVE-2026-125392 — NVD

Priorisation DFS : P4 · 1 source(s).