Veille sécuritéFrontend
P4Moyenne
SemanticMediaWiki comporte une XSS stockée dans le rendu des info-bulles : des attributs `data-*` sont rendus avec `innerHTML` et HTML autorisé. Un éditeur peut ainsi exécuter du JavaScript dans le navigateur des personnes qui survolent le contenu, y compris des administrateurs.
JavaScript
IdentifiantCVE-2026-116884
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.3.1
Source : NVD — CVE-2026-116884
Analyse technique
La faille se trouve dans `ext.smw.tooltip.tippy.js`, qui interprète des attributs `data-content`, `data-title`, `data-top`, `data-bottom` ou `data-theme` comme du HTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 27 octobre 2026 à 11:17:30.700Z, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur des utilisateurs qui consultent ou survolent le contenu affecté.
Versions affectéesSemanticMediaWiki à partir de 5.0.0 et avant 7.3.1
Version corrigée7.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-27T11:17:30.700Z
Action recommandée
Mettre à niveau SemanticMediaWiki vers la version 7.3.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).