Veille sécuritéFrontend
P3Élevée
AsiaInfo BSS Platform 9.2 avant 9.2.38 permet à un utilisateur authentifié disposant de privilèges ordinaires de téléverser une icône SVG contenant du JavaScript. Le script s’exécute dans l’origine de l’application si une victime ouvre le SVG comme document, par exemple en accédant directement à son URL ; le rendu normal de l’icône ne l’exécute pas.
JavaScript
IdentifiantCVE-2026-122095
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.38
Source : NVD — CVE-2026-122095
Analyse technique
Le scénario dépend de l’ouverture du SVG comme document ; son affichage normal dans un élément HTML ne déclenche pas le script selon la source.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:17:07.023Z, dans la période demandée ; sa mise à jour du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactExécution de JavaScript dans l’origine de l’application lorsqu’une victime ouvre le SVG téléversé comme document.
Versions affectéesAsiaInfo BSS Platform 9.2 antérieure à 9.2.38
Version corrigée9.2.38
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.6
Publication2026-11-11T20:17:07.023Z
Action recommandée
Mettre à niveau AsiaInfo BSS Platform vers la version 9.2.38 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).