Veille sécuritéFrontend
P4Moyenne
Une vérification de propriété incorrecte et un traitement inadéquat du paramètre d’heure permettent une XSS réfléchie dans les pages de statistiques de conversion de Revive Adserver. Un attaquant non authentifié peut piéger un utilisateur authentifié avec une URL forgée; la correction est disponible dans Revive Adserver 6.0.9.
JavaScript
IdentifiantCVE-2026-108558
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.9
Source : NVD — CVE-2026-108558
Analyse technique
Le contrôle vérifie l’identifiant de l’annonceur au lieu de l’identifiant du site fourni, laissant une entrée atteindre la sortie HTML sans encodage. Un problème connexe concerne le paramètre `hour`.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:18:26 +02:00, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur authentifié amené à visiter une URL forgée.
Versions affectéesRevive Adserver 6.0.8 et versions antérieures
Version corrigée6.0.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-11-11T20:18:26.227+02:00
Mise à jour2026-11-11T20:18:26.227+02:00
Action recommandée
Mettre à niveau vers Revive Adserver 6.0.9.
Sources
Priorisation DFS : P4 · 1 source(s).