Veille sécuritéFrontend
P3Élevée
Dans Vue I18n, la protection escapeParameter ne neutralise pas l’attribut srcdoc lorsque des traductions sont rendues comme HTML avec v-html, ce qui peut permettre l’exécution de script dans le contexte de même origine. Le changement substantiel retenu dans la période est l’enrichissement CISA ADP de la fiche le 2026-10-29 ; l’avis initial avait été publié avant cette période.
Vue.js
IdentifiantCVE-2026-118257
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif11.4.14; 12.0.0-alpha.5
Source : NVD — CVE-2026-118257
Analyse technique
Le navigateur décode les références de caractères dans srcdoc et analyse la valeur comme un document HTML imbriqué de même origine. Les versions 9 et 10 affectées ne sont plus prises en charge selon l’avis GitHub.
Impact, versions et correctif
Événement datéLa fiche initiale est antérieure à la période. L’enrichissement CISA ADP, horodaté 2026-10-29T15:43:29.896851Z, est un changement substantiel intervenu dans la fenêtre ; la mise à jour NVD indiquée au candidat est datée du 2026-10-29T21:17:15.557Z.
ImpactExécution de script côté client par XSS, avec atteinte potentielle à la confidentialité et à l’intégrité.
Versions affectéesvue-i18n 9.14.5 et 10.0.8 ; >=11.1.10 et =12.0.0-alpha.4 et <12.0.0-alpha.5
Version corrigée11.4.14; 12.0.0-alpha.5
ContournementÉviter de rendre avec v-html des traductions contenant des données non fiables ; privilégier l’interpolation de composants i18n-t et ne pas insérer de srcdoc dans les messages.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
EPSS0,27% · percentile 19,6%
Publication2026-10-28T19:17:30.207Z
Mise à jour2026-10-29T21:17:15.557Z
Action recommandée
Mettre à jour vers Vue I18n 11.4.14 ou 12.0.0-alpha.5 selon la branche ; migrer les installations affectées en version 9 ou 10 vers une branche maintenue.
Sources
Priorisation DFS : P3 · 1 source(s).