Veille sécuritéFrontend
P4Moyenne
Le module Tenders de Coupa Supplier Portal SaaS présente une XSS réfléchie: le paramètre list_item_function est renvoyé sans encodage adéquat dans un gestionnaire d’événement JavaScript. Un utilisateur disposant d’un compte à privilèges faibles peut fabriquer une URL qui, ouverte par une victime, permet l’exécution de scripts; les versions affectées et le correctif ne sont pas précisés dans les informations fournies.
JavaScript
IdentifiantCVE-2026-111037
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111037
Analyse technique
Le paramètre list_item_function est intégré à la réponse dans le contexte d’un gestionnaire d’événement JavaScript sans encodage ou assainissement suffisant.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04; cette publication de vulnérabilité, et non une simple modification administrative, est retenue.
ImpactUn attaquant peut faire exécuter du JavaScript dans le navigateur d’une victime, avec possibilité d’agir en son nom, de consulter les informations accessibles ou de modifier l’interface.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
EPSS0,46% · percentile 40,3%
Publication2026-11-04T10:17:24.927Z
Mise à jour2026-11-04T14:11:57.473Z
Sources
Priorisation DFS : P4 · 1 source(s).