Veille sécuritéFrontend
P4Faible
OctoPrint 2.0.0rc1 à 2.0.0rc6 est vulnérable à une XSS stockée via des paramètres port ou baudrate spécialement construits dans les réglages par défaut du plugin Serial Connector. Mettez à jour vers 2.0.0rc7 et vérifiez les valeurs correspondantes dans config.yaml pour retirer d’éventuels fragments JavaScript.
JavaScript
IdentifiantCVE-2026-123364
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.0.0rc7
Analyse technique
Le contenu malveillant peut être enregistré dans les paramètres par défaut du connecteur série et provoquer une XSS stockée.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-11-10T15:57:29Z et mis à jour à 15:57:30Z, dans la période demandée en +02:00 ; sa chronologie indique que le correctif était prêt pour la version 2.0.0rc7.
ImpactDu JavaScript stocké dans les paramètres peut s’exécuter dans le navigateur des utilisateurs exposés à l’interface concernée.
Versions affectéesOctoPrint >= 2.0.0rc1 et <= 2.0.0rc6
Version corrigée2.0.0rc7
ContournementVérifier config.yaml et supprimer les fragments JavaScript dans printerConnection.preferred.parameters.port ou printerConnection.preferred.parameters.baudrate.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,25% · percentile 16,1%
Publication2026-11-10T15:57:29Z
Mise à jour2026-11-10T15:57:30Z
Action recommandée
Mettre à jour OctoPrint vers 2.0.0rc7 ou ultérieure et inspecter les paramètres de connexion enregistrés.
Sources
Priorisation DFS : P4 · 1 source(s).