Veille sécuritéFrontend
P4Moyenne
Un gestionnaire authentifié peut enregistrer un nom de tracker malveillant dans Revive Adserver, qui est ensuite affiché sans encodage HTML sur une page de maintenance consultée par un administrateur. Cette XSS stockée est corrigée en version 6.0.9 par l’encodage des noms de tracker à l’affichage.
JavaScript
IdentifiantCVE-2026-108562
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.9
Source : NVD — CVE-2026-108562
Analyse technique
La faille se situe dans `maintenance-appendcode-check.php`; le nom de tracker est affiché sans encodage dans les résultats de maintenance.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:18:26 +02:00, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution de JavaScript dans le navigateur d’un administrateur consultant les résultats de maintenance concernés.
Versions affectéesRevive Adserver 6.0.8 et versions antérieures
Version corrigée6.0.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-11T20:18:26.753+02:00
Mise à jour2026-11-11T20:18:26.753+02:00
Action recommandée
Mettre à niveau vers Revive Adserver 6.0.9.
Sources
Priorisation DFS : P4 · 1 source(s).