Veille sécuritéFrontend
P3Élevée
SunEditor avant 3.4.0 insère dans innerHTML de la liste de signets le texte décodé des en-têtes, sans échappement. Une charge persistée dans ces en-têtes peut s’exécuter quand une victime ouvre la fenêtre de lien et saisit # dans le champ URL.
JavaScript
IdentifiantCVE-2026-124492
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.4.0
Source : NVD — CVE-2026-124492
Analyse technique
XSS stockée dans ModalAnchorEditor, méthode #createBookmarkList, par insertion non échappée du texte des titres h1–h6 dans innerHTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:18.980Z, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur ouvrant la fenêtre de lien sur un contenu affecté.
Versions affectéesSunEditor avant 3.4.0
Version corrigée3.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.3
Publication2026-11-08T14:18:18.980Z
Mise à jour2026-11-08T14:18:18.980Z
Détection / vérification
Vérifier la version de SunEditor et l’usage de la fenêtre modale de lien avec des en-têtes h1 à h6 dans le contenu édité.
Action recommandée
Mettre à jour vers SunEditor 3.4.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).