Veille sécuritéFrontend
P4Moyenne
Dans les options d’invocation iframe de Revive Adserver, les paramètres `frame_width` et `frame_height` peuvent être insérés dans des attributs HTML sans encodage, ce qui permet une XSS réfléchie. Un attaquant non authentifié peut viser un utilisateur authentifié avec une URL forgée; Revive Adserver 6.0.9 corrige la faille par encodage HTML.
JavaScript
IdentifiantCVE-2026-108559
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.9
Source : NVD — CVE-2026-108559
Analyse technique
Les valeurs concernées sont incluses sans encodage approprié dans les champs du formulaire d’options d’invocation pour une zone de taille quelconque.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:18:26 +02:00, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur authentifié amené à visiter une URL forgée.
Versions affectéesRevive Adserver 6.0.8 et versions antérieures
Version corrigée6.0.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-11-11T20:18:26.370+02:00
Mise à jour2026-11-11T20:18:26.370+02:00
Action recommandée
Mettre à niveau vers Revive Adserver 6.0.9.
Sources
Priorisation DFS : P4 · 1 source(s).