Veille sécuritéFrontend
P4Moyenne
Lorsque Direct Selection est activé, un identifiant de bannière contrôlé par l’attaquant peut être inséré sans encodage dans les champs HTML de l’interface de génération des balises d’invocation de Revive Adserver. Cette XSS réfléchie, qui concerne une option désactivée par défaut, est corrigée en version 6.0.9.
JavaScript
IdentifiantCVE-2026-108564
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.9
Source : NVD — CVE-2026-108564
Analyse technique
L’exploitation peut viser un utilisateur authentifié amené à consulter une URL forgée. La correction encode en HTML les valeurs d’identifiant de bannière dans les champs d’options d’invocation.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:18:27 +02:00, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur authentifié amené à visiter une URL forgée.
Versions affectéesRevive Adserver 6.0.8 et versions antérieures
Version corrigée6.0.9
ContournementDirect Selection est désactivé par défaut.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
Publication2026-11-11T20:18:27.023+02:00
Mise à jour2026-11-11T20:18:27.023+02:00
Action recommandée
Mettre à niveau vers Revive Adserver 6.0.9; laisser Direct Selection désactivé si la mise à niveau n’est pas encore possible.
Sources
Priorisation DFS : P4 · 1 source(s).