Veille sécuritéFrontend
P4Faible
Eclipse Langium est affecté par une XSS dans les fenêtres contextuelles de diagnostic de `langium-sprotty` : certains textes de référence non résolus peuvent inclure du HTML non échappé. Lorsqu’un utilisateur survole le marqueur d’erreur correspondant dans un diagramme Sprotty ouvert à partir d’un fichier source malveillant, du JavaScript peut s’exécuter dans son navigateur ou sa webview.
JavaScript
IdentifiantCVE-2026-118492
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118492
Analyse technique
Les messages de diagnostic rendus par le gestionnaire `addHoverPopupHandler` ne sont pas échappés en HTML dans le cas décrit.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-09, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur ou la webview d’un utilisateur ouvrant un diagramme concerné et survolant le marqueur d’erreur.
Versions affectéesLangium 3.0.0 et versions ultérieures; conditions décrites dans l’avis concernant les grammaires et le rendu Sprotty.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2
Publication2026-11-09T16:17:26.627Z
Mise à jour2026-11-09T16:17:26.627Z
Sources
Priorisation DFS : P4 · 1 source(s).