FOSSBilling : XSS stockée dans les notes de tickets de support

Veille sécuritéFrontend

P3Élevée

FOSSBilling stockait sans assainissement les notes de tickets de support et les affichait via innerHTML dans la liste d’administration, permettant à un utilisateur autorisé à gérer les tickets d’injecter du contenu actif. Les versions de 0.1.0 à 0.8.8 sont concernées selon la fiche; la version 0.8.9 corrige le problème.

IdentifiantCVE-2026-111048

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.8.9

Source : NVD — CVE-2026-111048

Analyse technique

La note persistée est affichée via innerHTML dans la liste d’administration des tickets; la page de détail du ticket n’est pas concernée selon la fiche candidate.

Impact, versions et correctif

Événement datéPublication NVD le 2026-11-02 à 18:18:35.530Z, soit le 2026-11-02 à 20:18:35.530+02:00, dans la période retenue. La mise à jour NVD ultérieure du 2026-11-03 est après la borne de fin et n’est pas utilisée pour retenir l’événement.

ImpactExécution de script dans la session du personnel consultant les notes, avec les privilèges accessibles à ce compte.

Versions affectéesFOSSBilling 0.1.0 à 0.8.8

Version corrigée0.8.9

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.4

Publication2026-11-02T18:18:35.530Z

Mise à jour2026-11-03T19:17:49.650Z

Détection / vérification

Vérifier les versions de FOSSBilling et le rendu des notes de tickets dans l’interface d’administration; appliquer la mise à niveau.

Action recommandée

Mettre à niveau FOSSBilling vers 0.8.9 ou une version ultérieure; limiter les permissions de gestion des tickets aux personnes de confiance.

Sources

NVD — CVE-2026-111048

Priorisation DFS : P3 · 1 source(s).