Veille sécuritéFrontend
P4Faible
NextScan 1.1.0 à 1.2.0 présente une XSS stockée dans la fenêtre de détail des URL de l’interface ns-admin : les corps de requête de formulaire collectés sont rendus avec `innerHTML` sans encodage. Un attaquant peut faire stocker un formulaire malveillant par un site exploré, puis déclencher l’exécution de JavaScript lorsque l’utilisateur consulte le détail de l’actif.
JavaScript
IdentifiantCVE-2026-126798
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-126798
Analyse technique
La donnée concernée est `Asset_URL.data` ; la source indique que l’accès au stockage local peut exposer des jetons d’accès.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 21:16:43.190Z, dans la période demandée ; sa mise à jour du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactExécution de JavaScript dans l’interface, avec risque de vol de jetons d’accès stockés localement et de détournement de session.
Versions affectéesNextScan 1.1.0 à 1.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
Publication2026-11-11T21:16:43.190Z
Action recommandée
Limiter l’accès à l’interface ns-admin et appliquer un correctif dès qu’une version corrigée est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).