Veille sécuritéFrontend
P4Moyenne
SunEditor avant 3.4.0 insère sans échappement les noms de fichiers retournés par le serveur dans innerHTML du plugin FileUpload. Un nom de fichier forgé peut entraîner l’exécution de JavaScript lorsque le contenu ou une galerie est affiché.
JavaScript
IdentifiantCVE-2026-124491
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.4.0
Source : NVD — CVE-2026-124491
Analyse technique
XSS stockée via le nom d’un fichier, inséré dans innerHTML par la méthode create() du plugin FileUpload.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:18.817Z, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur des utilisateurs affichant le contenu ou la galerie concernés.
Versions affectéesSunEditor avant 3.4.0
Version corrigée3.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-11-08T14:18:18.817Z
Mise à jour2026-11-08T14:18:18.817Z
Détection / vérification
Vérifier la version de SunEditor et si le plugin FileUpload affiche des noms de fichiers téléversés.
Action recommandée
Mettre à jour vers SunEditor 3.4.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).