Veille sécuritéFrontend
P4Faible
Dans CKEditor 5, du balisage spécialement conçu peut provoquer une exécution de JavaScript dans un contexte isolé de l’origine de l’application lorsque General HTML Support est activé et autorise le contenu object. Les versions concernées sont 29.0.0 à 47.7.3 et 48.0.0 à 48.5.0; mettre à niveau vers 47.7.4 ou 48.5.1.
JavaScript
IdentifiantCVE-2026-116687
GravitéFaible
Exploitationnon connue / non déterminée
Correctif47.7.4 et 48.5.1
Source : NVD — CVE-2026-116687
Analyse technique
Le traitement de balisage construit peut déclencher une XSS dans le navigateur. L’exposition dépend de la configuration de General HTML Support et de l’autorisation du contenu object.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-27, dans la période demandée; sa mise à jour du 2026-10-28 est postérieure à la borne et n’est pas retenue.
ImpactExécution de JavaScript côté navigateur dans un contexte isolé de l’origine de l’application intégrant l’éditeur.
Versions affectéesCKEditor 5 de 29.0.0 à 47.7.3 et de 48.0.0 à 48.5.0, lorsque General HTML Support est configuré pour autoriser le contenu object.
Version corrigée47.7.4 et 48.5.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.1
Publication2026-10-27T20:17:13.890Z
Action recommandée
Mettre à niveau vers CKEditor 5 47.7.4 ou 48.5.1; vérifier que General HTML Support n’autorise pas le contenu object si la mise à niveau est différée.
Sources
Priorisation DFS : P4 · 1 source(s).