Veille sécuritéFrontend
P3Élevée
Les versions de `@tinacms/mdx` antérieures à 2.4.2 ne neutralisent pas certaines valeurs de texte enrichi avant de les écrire dans des expressions MDX. Un éditeur authentifié peut ainsi injecter du code qui s’exécute dans le navigateur des visiteurs ou pendant la génération et le rendu côté serveur.
JavaScript
IdentifiantCVE-2026-126774
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.2
Source : NVD — CVE-2026-126774
Analyse technique
Les valeurs peuvent sortir des expressions MDX associées aux champs de liste ou à `highlightColor` dans le fichier `.mdx` stocké.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 19:17:37.937Z, dans la période demandée ; sa mise à jour du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactExécution de code JavaScript dans les navigateurs des visiteurs ou sur les hôtes de construction et de rendu côté serveur.
Versions affectées@tinacms/mdx antérieur à 2.4.2
Version corrigée2.4.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-11-11T19:17:37.937Z
Action recommandée
Mettre à niveau `@tinacms/mdx` vers la version 2.4.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).