Veille sécuritéFrontend
P4Moyenne
Dans `updates-history.php` de Revive Adserver, des valeurs contrôlées par l’attaquant peuvent être insérées sans encodage dans des attributs de commandes XML et conduire à une XSS réfléchie. La faille, qui inclut un chemin de requête GET xajax non couvert par le contrôle préliminaire de session, est corrigée en version 6.0.9.
JavaScript
IdentifiantCVE-2026-108560
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.9
Source : NVD — CVE-2026-108560
Analyse technique
Le problème touche les requêtes GET xajax non protégées par la vérification préliminaire de session; les requêtes administrateur authentifiées atteignent également la sortie non sécurisée. Le correctif étend la vérification aux requêtes GET et POST et encode les attributs XML dans les deux sérialiseurs.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:18:26 +02:00, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution de JavaScript dans le navigateur d’une victime; le vecteur décrit comprend des requêtes non authentifiées et des requêtes administrateur authentifiées.
Versions affectéesRevive Adserver 6.0.8 et versions antérieures
Version corrigée6.0.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-11-11T20:18:26.497+02:00
Mise à jour2026-11-11T20:18:26.497+02:00
Action recommandée
Mettre à niveau vers Revive Adserver 6.0.9.
Sources
Priorisation DFS : P4 · 1 source(s).