Veille sécuritéFrontend
P4Moyenne
Dans Webasyst Framework jusqu’à la version 4.4.0, un utilisateur authentifié disposant de droits de modification d’album peut injecter du JavaScript dans l’application Photos par le paramètre d’URL de l’album. Le code peut ensuite s’exécuter dans les sessions d’administration.
JavaScript
IdentifiantCVE-2026-116212
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116212
Analyse technique
Le paramètre « url » de l’album est enregistré dans un attribut non échappé de DialogAlbumSettings.html.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche NVD indique une publication le 2026-10-26, dans la période demandée.
ImpactExécution de JavaScript dans les sessions d’administration.
Versions affectéesWebasyst Framework jusqu’à la version 4.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-26T14:16:33.863Z
Mise à jour2026-10-26T17:01:22.130Z
Action recommandée
Consulter les informations de l’éditeur et appliquer une version corrective dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).