Veille sécuritéFrontend
P4Faible
Bagisto avant la version 2.4.5 permet à des clients authentifiés de téléverser des fichiers HTML via la messagerie RMA sans validation suffisante du type ou de l’extension. Si un administrateur ouvre une pièce jointe HTML servie sous l’origine de la boutique, le JavaScript qu’elle contient peut s’exécuter dans son navigateur.
JavaScript
IdentifiantCVE-2026-121733
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.4.5
Source : NVD — CVE-2026-121733
Analyse technique
Téléversement de fichiers HTML via le point d’envoi de messages RMA; fichiers servis sous /storage/rma-conversation/.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-11-03T23:17:37.177Z, soit le 2026-11-04 à 01:17:37+02:00, dans la période retenue. L’avis décrit la vulnérabilité et sa version corrigée.
ImpactExécution de JavaScript dans l’origine de la boutique lorsqu’un administrateur ouvre une pièce jointe piégée.
Versions affectéesVersions antérieures à 2.4.5
Version corrigée2.4.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
EPSS0,18% · percentile 7,8%
Publication2026-11-03T23:17:37.177Z
Mise à jour2026-11-04T19:17:32.230Z
Action recommandée
Mettre à niveau Bagisto vers la version 2.4.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).