Veille sécuritéFrontend
P4Moyenne
Dans les options d’invocation des fenêtres popup de Revive Adserver, les paramètres `top`, `left`, `timeout` et `delay` sont insérés dans des attributs HTML sans encodage approprié, ce qui permet une XSS réfléchie. L’exploitation nécessite une zone popup existante; Revive Adserver 6.0.9 corrige le problème par encodage HTML.
JavaScript
IdentifiantCVE-2026-108565
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.9
Source : NVD — CVE-2026-108565
Analyse technique
Un attaquant non authentifié peut piéger un utilisateur authentifié avec une URL forgée. La création de zones popup est possible via l’API administrateur, mais n’est pas proposée par l’interface normale de création de zones.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 20:18:27 +02:00, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur authentifié amené à visiter une URL forgée.
Versions affectéesRevive Adserver 6.0.8 et versions antérieures
Version corrigée6.0.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
Publication2026-11-11T20:18:27.147+02:00
Mise à jour2026-11-11T20:18:27.147+02:00
Action recommandée
Mettre à niveau vers Revive Adserver 6.0.9.
Sources
Priorisation DFS : P4 · 1 source(s).