Veille sécuritéFrontend
P4Non déterminée
blob42 gosuki présente une XSS stockée dans l’interface web locale, car des champs d’URL de signets sont rendus sans échappement contextuel adapté. Les données fournies indiquent une vulnérabilité jusqu’au commit 6e2bf34, mais ne précisent ni version corrigée ni mesure de contournement.
JavaScript
IdentifiantCVE-2026-104587
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104587
Analyse technique
L’application emploie text/template au lieu de html/template dans le rendu des champs URL et DisplayURL des signets. Une URL de signet malveillante peut entraîner l’exécution de JavaScript dans le navigateur lors de l’affichage dans l’interface locale.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-13 à 21:17:25Z, dans la période demandée ; le candidat décrit une vulnérabilité XSS.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur qui affiche un signet malveillant.
Versions affectéesJusqu’au commit 6e2bf34
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-13T21:17:25.703Z
Mise à jour2026-10-13T21:17:25.703Z
Action recommandée
Éviter d’afficher des signets non fiables dans l’interface vulnérable ; aucun correctif n’est précisé dans les données fournies.
Sources
Priorisation DFS : P4 · 1 source(s).