Veille sécuritéFrontend
P4Moyenne
Des valeurs libres de style de widget peuvent être insérées sans échappement dans l’attribut HTML `style`. Un éditeur capable de modifier le widget peut provoquer une XSS persistante sur les pages où celui-ci est rendu.
JavaScript
IdentifiantCVE-2026-112958
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifapostrophe 4.34.0
Analyse technique
Un champ de style de type chaîne peut conserver des guillemets; la sérialisation des attributs du widget les concatène sans échappement HTML. L’avis indique qu’un champ libre `class` pourrait aussi être concerné, mais que le chemin vérifié dynamiquement est celui de l’attribut `style`.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-21T17:15:07Z, dans la période demandée; retenu comme vulnérabilité nouvelle.
ImpactExécution de JavaScript sur l’origine du site lors de l’affichage d’une page affectée.
Versions affectéesapostrophe < 4.34.0
Version corrigéeapostrophe 4.34.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,30% · percentile 21,8%
Publication2026-10-21T17:15:07Z
Mise à jour2026-10-21T17:15:08Z
Action recommandée
Mettre à niveau ApostropheCMS vers 4.34.0 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).