TeamPlus Messenger : injection de code via un lien piégé

Veille sécuritéFrontend

P3Élevée

TeamPlus Messenger présente une vulnérabilité d’injection de code permettant à un attaquant distant non authentifié de faire exécuter du JavaScript arbitraire après qu’un utilisateur a ouvert un lien spécialement conçu. Si l’utilisateur confirme ensuite un avertissement de sécurité Windows, l’attaquant peut exécuter du code avec les privilèges de cet utilisateur.

IdentifiantCVE-2026-110444

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-110444 — NVD

Analyse technique

L’interaction avec un lien piégé permet l’injection et l’exécution de JavaScript ; une confirmation supplémentaire de l’avertissement Windows est nécessaire à l’exécution de code avec les privilèges de l’utilisateur.

Impact, versions et correctif

Événement datéPublication NVD le 14 octobre 2026 à 03:17:20Z, soit le 14 octobre à 05:17:20 +02:00, dans la période demandée.

ImpactExécution de JavaScript, puis potentiellement de code avec les privilèges de l’utilisateur après confirmation de l’avertissement Windows.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.6 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

EPSS0,58% · percentile 46,6%

Publication2026-10-14T05:17:20.363+02:00

Mise à jour2026-10-14T05:17:20.363+02:00

Action recommandée

Appliquer la mise à jour du fournisseur dès qu’elle est disponible ; éviter d’ouvrir des liens non fiables dans l’application.

Sources

CVE-2026-110444 — NVD

Priorisation DFS : P3 · 1 source(s).