Veille sécuritéFrontend
P4Moyenne
Dans react-admin, des URI javascript: stockées dans des champs d’enregistrement peuvent déclencher une XSS lorsque UrlField ou FileField les affiche. Le défaut affecte les versions antérieures à 5.15.5 et peut viser une session administrateur si un attaquant peut influencer les champs URL du backend.
JavaScript
IdentifiantCVE-2026-113350
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.15.5
Source : CVE-2026-113350 — NVD
Analyse technique
L’exécution requiert que l’administrateur clique sur le lien rendu ; les données URL du backend doivent pouvoir être influencées par l’attaquant.
Impact, versions et correctif
Événement datéLa fiche CVE/NVD indique une publication le 2026-10-20 à 11:17:19 UTC, soit 13:17:19.197+02:00, dans la période demandée.
ImpactExécution de JavaScript dans la session authentifiée d’un administrateur après clic sur un lien rendu.
Versions affectées< 5.15.5
Version corrigée5.15.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-20T13:17:19.197+02:00
Mise à jour2026-10-20T22:06:37.150+02:00
Action recommandée
Mettre à jour react-admin vers la version 5.15.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).