Veille sécuritéFrontend
P4Moyenne
QloApps jusqu’à 1.7.0 comporte une XSS réfléchie dans `AdminSearchConfController::processSave()`. Les valeurs rejetées des champs alias et recherche sont insérées sans échappement dans les erreurs de validation, ce qui peut exécuter du JavaScript dans la session d’un utilisateur authentifié du back-office.
JavaScript
IdentifiantCVE-2026-110224
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110224
Analyse technique
La description vise les valeurs rejetées d’alias et de recherche reflétées dans les erreurs de validation de `AdminSearchConfController::processSave()`.
Impact, versions et correctif
Événement datéFiche CVE publiée par NVD le 2026-10-13; événement retenu : publication de la vulnérabilité dans la période.
ImpactExécution de JavaScript dans la session d’un utilisateur authentifié du back-office.
Versions affectéesQloApps jusqu’à la version 1.7.0 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-13T19:18:47.023Z
Mise à jour2026-10-13T20:17:27.867Z
Action recommandée
Vérifier la disponibilité d’un correctif QloApps et limiter l’accès au back-office aux utilisateurs de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).