Veille sécuritéFrontend
P4Faible
REDAXO présente une XSS réfléchie dans l’API des paquets du backend : un paramètre function est intégré sans échappement dans un message d’erreur. Un utilisateur authentifié du backend peut être ciblé par un lien spécialement construit ; mettre à niveau vers REDAXO 5.21.0 ou ultérieur.
JavaScript
IdentifiantCVE-2026-117538
GravitéFaible
Exploitationnon connue / non déterminée
Correctif5.21.0
Source : NVD — CVE-2026-117538
Analyse technique
Le paramètre function est concaténé dans un message d’erreur du backend sans échappement HTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27 ; cette publication est retenue comme événement de sécurité daté dans la période.
ImpactExécution de JavaScript dans le contexte du backend d’un utilisateur authentifié ciblé.
Versions affectéesREDAXO avant 5.21.0
Version corrigée5.21.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
Publication2026-10-27T11:17:34.493Z
Mise à jour2026-10-27T15:02:47.683Z
Action recommandée
Mettre à niveau REDAXO vers la version 5.21.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).