Veille sécuritéFrontend
P4Moyenne
Une valeur `period_preset` contrôlable peut être enregistrée dans la session d’un utilisateur puis intégrée sans encodage approprié dans du JavaScript des contrôles de sélection de dates des rapports de Revive Adserver. Cette XSS stockée est corrigée en version 6.0.9 par un encodage JSON adapté au contexte JavaScript.
JavaScript
IdentifiantCVE-2026-108561
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.9
Source : NVD — CVE-2026-108561
Analyse technique
Un attaquant non authentifié peut amener la victime à suivre une URL de rapport forgée puis à effectuer la réauthentification normale. La valeur peut s’exécuter lors de l’affichage initial et des affichages ultérieurs utilisant les valeurs enregistrées.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:18:26 +02:00, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution persistante de JavaScript dans le navigateur de la victime sur les pages de rapport concernées.
Versions affectéesRevive Adserver 6.0.8 et versions antérieures
Version corrigée6.0.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-11-11T20:18:26.630+02:00
Mise à jour2026-11-11T20:18:26.630+02:00
Action recommandée
Mettre à niveau vers Revive Adserver 6.0.9.
Sources
Priorisation DFS : P4 · 1 source(s).