Veille sécuritéFrontend
P4Moyenne
MQTTX Desktop jusqu’à la version 1.13.3 présente une faille XSS stockée : des noms de topics ou contenus MQTT malveillants peuvent exécuter un script dans le renderer Electron lorsque l’utilisateur survole certains éléments. La faille concerne MQTTX et son utilisation d’Electron, pas le projet Electron lui-même ; la recherche n’a pas permis de confirmer une version corrigée.
Electron
IdentifiantCVE-2026-126495
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-126495
Analyse technique
XSS stockée (CWE-79) dans des tooltips affichant des noms de topics ou des contenus non échappés. Le script s’exécute dans le renderer Electron ; l’avis signale que nodeIntegration y est activé.
Impact, versions et correctif
Événement datéLa publication initiale NVD est horodatée 2026-11-11T01:17:14.187Z, dans la période demandée (2026-11-11T00:00:00+02:00 inclus au 2026-11-12T00:00:00+02:00 exclu). La mise à jour NVD du 2026-11-12 est postérieure à la période et n’est pas retenue comme événement.
ImpactUn attaquant pouvant publier des données MQTT malveillantes peut déclencher l’exécution de script lorsque l’utilisateur survole le contenu concerné dans MQTTX. L’impact est celui de l’application MQTTX, et ne constitue pas en soi une faille du framework Electron.
Versions affectéesMQTTX Desktop jusqu’à la version 1.13.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,26% · percentile 18,2%
Publication2026-11-11T01:17:14.187Z
Sources
Priorisation DFS : P4 · 1 source(s).