Veille sécuritéFrontend
P3Élevée
Une validation insuffisante du HTML collé dans un éditeur ProseMirror permet l’exécution de JavaScript contrôlé par un attaquant dans le navigateur de l’éditeur. Mettez à niveau `prosemirror-view` vers 1.42.3 ou une version ultérieure ; aucun contournement n’est connu.
JavaScript
IdentifiantCVE-2026-104847
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.42.3
Source : GHSA-c8x8-7fp4-3x9w — ProseMirror
Analyse technique
Le défaut se déclenche lorsqu’un utilisateur colle du HTML fourni par un attaquant dans un composant éditeur ProseMirror.
Impact, versions et correctif
Événement datéAvis publié le 5 octobre à 22:36:06 UTC, soit le 6 octobre à 00:36:06 +02:00, dans l’intervalle demandé.
ImpactExécution de JavaScript contrôlé par l’attaquant dans le navigateur contenant l’éditeur.
Versions affectéesprosemirror-view < 1.42.3
Version corrigée1.42.3
ContournementAucun contournement connu.
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,31% · percentile 21,2%
Publication2026-10-06T00:36:06+02:00
Mise à jour2026-10-06T00:36:07+02:00
Action recommandée
Mettre à niveau `prosemirror-view` vers 1.42.3 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).