Veille sécuritéFrontend
P3Critique
SunEditor avant 3.4.0 peut laisser passer un schéma JavaScript dans un lien, car son nettoyage d’URL traite incorrectement des entités nommées telles que :. Un utilisateur qui clique sur un lien stocké ainsi préparé peut déclencher l’exécution de JavaScript.
JavaScript
IdentifiantCVE-2026-124494
GravitéCritique
Exploitationnon connue / non déterminée
Correctif3.4.0
Source : NVD — CVE-2026-124494
Analyse technique
Contournement du contrôle _isSafeURL() dans html.clean() : _normalizeURL() ne traite pas correctement l’entité : avant l’interprétation du navigateur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:19.277Z, dans la période demandée; l’avis GitHub consulté confirme la publication le même jour.
ImpactExécution de JavaScript à l’activation d’un lien stocké malveillant.
Versions affectéesSunEditor avant 3.4.0
Version corrigée3.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
Publication2026-11-08T14:18:19.277Z
Mise à jour2026-11-08T14:18:19.277Z
Détection / vérification
Vérifier la version de SunEditor et inspecter les contenus stockés comportant des liens générés ou nettoyés par l’éditeur.
Action recommandée
Mettre à jour vers SunEditor 3.4.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).