Veille sécuritéFrontend
P4Moyenne
CVE-2026-111713 est une XSS dans tarteaucitron.js avant la version 1.37.0 : la résolution d’attributs préfixés par « data- » n’est pas cohérente avec la vérification qui limite les URL à HTTPS. Un auteur capable d’ajouter du balisage peut ainsi provoquer l’exécution d’une URL JavaScript dans l’origine du site ; mettez à jour vers la version corrigée.
JavaScript
IdentifiantCVE-2026-111713
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.37.0
Source : NVD — CVE-2026-111713
Analyse technique
Contournement du contrôle https-only par l’emploi d’un attribut data-url associé à une URL javascript:.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16T18:17:55.580Z, soit le 2026-10-16T20:17:55+02:00, dans la période retenue.
ImpactExécution de JavaScript dans l’origine du site lorsqu’un utilisateur ouvre la page contenant le balisage piégé.
Versions affectéestarteaucitron.js avant 1.37.0
Version corrigée1.37.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-16T20:17:55+02:00
Mise à jour2026-10-16T21:00:33.600+02:00
Action recommandée
Mettre à jour tarteaucitron.js vers la version 1.37.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).