Veille sécuritéBackend & données
P3Faible
Une faille XSS dans le traitement des SVG affecte DataEase jusqu’à la version 2.10.27. Le correctif mentionné dans l’avis est disponible en version 2.10.28 et renforce la validation des contenus SVG et leur politique de sécurité.
Java
IdentifiantCVE-2026-123992
GravitéFaible
Exploitationrapportée, à confirmer
CorrectifDataEase 2.10.28
Source : NVD — CVE-2026-123992
Analyse technique
Le traitement de validateSvgContent est concerné par un contournement dans la validation de contenu SVG. Le correctif utilise des listes d’autorisation tenant compte des espaces de noms, limite les références aux fragments locaux et applique une politique CSP restrictive aux SVG téléversés.
Impact, versions et correctif
Événement datéNouvelle publication NVD le 2026-11-07 à 18:17:21 UTC, soit 20:17:21 +02:00.
ImpactExécution de script côté client via un contenu SVG spécialement conçu; l’avis signale une divulgation publique d’un exploit susceptible d’être utilisé.
Versions affectéesDataEase jusqu’à 2.10.27
Version corrigéeDataEase 2.10.28
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS2.1
Publication2026-11-07T20:17:21.367+02:00
Mise à jour2026-11-07T20:17:21.540+02:00
Détection / vérification
La vulnérabilité concerne la fonction StaticResourceServer.validateSvgContent du gestionnaire SVG.
Action recommandée
Mettre à niveau vers DataEase 2.10.28.
Sources
Priorisation DFS : P3 · 1 source(s).