Veille sécuritéFrontend
P4Moyenne
Wallos, de la version 4.4.0 jusqu’aux versions antérieures à 5.10.3, présente une XSS stockée liée aux réponses de services de notification non échappées. Un utilisateur inscrit peut configurer un endpoint contrôlé qui renvoie du JavaScript, exécuté dans la session d’un administrateur lorsque le fichier de notifications est ouvert.
JavaScript
IdentifiantCVE-2026-126778
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.10.3
Source : NVD — CVE-2026-126778
Analyse technique
La faille se trouve dans `endpoints/cronjobs/sendnotifications.php` et concerne notamment les réponses de webhook Mattermost ou de Web Push.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 19:17:38.677Z, dans la période demandée ; sa mise à jour du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactExécution de JavaScript dans la session d’un administrateur visitant la page concernée.
Versions affectéesWallos 4.4.0 à toute version antérieure à 5.10.3
Version corrigée5.10.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-11-11T19:17:38.677Z
Action recommandée
Mettre à niveau Wallos vers la version 5.10.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).