XSS réfléchie dans Eclipse Mojarra via l’identifiant client window

Veille sécuritéFrontend

P4Moyenne

Eclipse Mojarra est vulnérable dans les versions 2.2.0 à 4.0.28, 4.1.0 à 4.1.19 et 5.0.0-M1 à 5.0.0-M11 lorsque le mode URL client window est activé: l’identifiant de fenêtre n’est pas encodé et peut provoquer une XSS réfléchie dans une chaîne JavaScript rendue par h:button. Les informations fournies ne précisent pas de version corrigée; vérifier la configuration et appliquer une mise à jour du fournisseur lorsqu’elle est disponible.

IdentifiantCVE-2026-120421

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120421

Analyse technique

L’identifiant reçu via jfwid ou jakarta.faces.ClientWindow est ajouté aux URL générées sans encodage. Avec com.sun.faces.enableCspNonce=true, le script injecté s’exécute au chargement dans l’élément script portant le nonce CSP.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-04; cette publication de vulnérabilité, et non une simple modification administrative, est retenue.

ImpactExécution de JavaScript dans le navigateur de la victime; dans la configuration CSP nonce décrite, le script peut s’exécuter au chargement de la page.

Versions affectéesEclipse Mojarra 2.2.0 à 4.0.28, 4.1.0 à 4.1.19 et 5.0.0-M1 à 5.0.0-M11; mode URL client window activé

ContournementDésactiver le mode URL client window si cela est compatible avec le déploiement.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.1

Publication2026-11-04T15:17:41.590Z

Mise à jour2026-11-04T20:19:07.470Z

Action recommandée

Désactiver le mode URL client window lorsque possible et appliquer un correctif Mojarra dès qu’il est publié.

Sources

NVD — CVE-2026-120421

Priorisation DFS : P4 · 1 source(s).