Joinchat : XSS réfléchie via la variable dynamique {HREF}

Veille sécuritéCMS & e-commerce

P4Moyenne

Joinchat ne nettoie ni n’échappe correctement une variable dynamique {HREF} lorsque le nom d’un paramètre de requête est utilisé. Toutes les versions jusqu’à 6.3.1 inclus sont concernées ; l’exploitation nécessite qu’un administrateur ait configuré un numéro de téléphone et intégré {HREF} au texte d’appel à l’action, et aucune version corrigée n’est précisée dans les informations fournies.

IdentifiantCVE-2026-15785

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-15785

Analyse technique

XSS réfléchie déclenchée par un paramètre de requête et rendue possible par l’utilisation de la variable dynamique {HREF} dans le texte d’appel à l’action.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-11-11T08:17:18.397Z, dans la période demandée ; sa mise à jour ultérieure est également datée dans la période.

ImpactUn attaquant peut amener un utilisateur à exécuter un script dans son navigateur en le conduisant vers un lien spécialement préparé.

Versions affectéesJoinchat jusqu’à 6.3.1 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.1

EPSS0,34% · percentile 27,9%

Publication2026-11-11T08:17:18.397Z

Mise à jour2026-11-11T14:17:40.667Z

Action recommandée

Mettre à jour Joinchat dès qu’un correctif est disponible ; vérifier la configuration du numéro et du texte d’appel à l’action utilisant {HREF}.

Sources

NVD — CVE-2026-15785

Priorisation DFS : P4 · 1 source(s).