Veille sécuritéFrontend
P4Moyenne
Admidio 5.0.0 à toute version antérieure à 5.0.15 présente une XSS stockée dans le flux d’inscription, exploitable sans authentification. Le prénom FIRST_NAME est inséré sans encodage dans un attribut data-message ; le JavaScript peut s’exécuter dans la session d’un administrateur qui survole l’entrée dans la page de gestion des inscriptions.
JavaScript
IdentifiantCVE-2026-109328
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.0.15
Source : NVD — CVE-2026-109328
Analyse technique
RegistrationPresenter.php insère la valeur FIRST_NAME fournie lors de l’inscription dans un attribut data-message sans encodage suffisant.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-10-12 ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactUn script peut s’exécuter dans le navigateur d’un administrateur consultant les inscriptions.
Versions affectéesAdmidio 5.0.0 avant 5.0.15
Version corrigée5.0.15
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-12T17:17:28.340Z
Mise à jour2026-10-12T17:17:28.340Z
Action recommandée
Mettre à jour vers Admidio 5.0.15 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).