Veille sécuritéFrontend
P4Moyenne
Webmin jusqu’à la version 2.670 n’échappe pas certains champs de table et lignes COMMENT des pages list.cgi des modules Shorewall et Shorewall6. Un utilisateur authentifié autorisé à modifier les tables peut stocker du JavaScript qui s’exécute lorsque d’autres utilisateurs, y compris root, consultent la liste.
JavaScriptWebmin
IdentifiantCVE-2026-124552
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-124552
Analyse technique
XSS persistante par rendu non échappé dans list.cgi, via savecmt.cgi ou des entrées de table.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:19.600Z, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur des utilisateurs consultant les pages de liste affectées.
Versions affectéesWebmin jusqu’à 2.670 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
Publication2026-11-08T14:18:19.600Z
Mise à jour2026-11-08T14:18:19.733Z
Détection / vérification
Vérifier l’usage des modules Shorewall/Shorewall6 de Webmin et limiter les droits d’édition des tables concernés.
Action recommandée
Consulter l’avis Webmin pour le correctif; dans l’intervalle, restreindre les droits d’édition des tables et commentaires concernés.
Sources
Priorisation DFS : P4 · 1 source(s).