Veille sécuritéFrontend
P4Moyenne
Huginn présente une XSS stockée dans `service_label` : un utilisateur authentifié peut relier un compte OAuth doté d’un nom ou d’une adresse contrôlés, puis le partager pour faire exécuter du JavaScript lorsque des victimes l’associent à des Agents et les consultent. Les données accessibles peuvent inclure Credentials, Agents et Events, et les actions d’administration si la victime est administratrice.
JavaScript
IdentifiantCVE-2026-123094
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2026.11.05
Source : NVD — CVE-2026-123094
Analyse technique
Le nom d’affichage OAuth est marqué `html_safe` sans échappement dans `service_label`.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée et mise à jour le 2026-11-05; la vulnérabilité et la version corrigée sont décrites dans la fiche fournie.
ImpactExécution de JavaScript dans le contexte des utilisateurs qui consultent les Agents concernés; exposition possible de données et actions administratives.
Versions affectéesVersions antérieures à 2026.11.05
Version corrigée2026.11.05
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-11-05T16:17:46.390Z
Mise à jour2026-11-05T16:17:46.390Z
Action recommandée
Mettre à niveau vers Huginn 2026.11.05 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).