GeoNetwork : XSS réfléchie via évaluation de modèle AngularJS

Veille sécuritéFrontend

P3Élevée

GeoNetwork peut refléter du contenu contrôlé par l’attaquant dans une page d’erreur sans neutralisation suffisante, permettant l’évaluation d’expressions AngularJS et l’exécution de JavaScript dans le navigateur d’une victime. Les versions de 3.0.0 à 4.2.15 et 4.4.10 sont concernées selon la fiche fournie; appliquer le correctif en passant à une version corrigée.

IdentifiantCVE-2026-39379

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif4.2.15 et 4.4.10

Source : CVE-2026-39379 — NVD

Analyse technique

Un lien forgé visant une URL de service inexistante ou non autorisée peut faire évaluer une expression AngularJS dans la session authentifiée de la victime; une évasion du bac à sable AngularJS peut permettre l’exécution de code JavaScript.

Impact, versions et correctif

Événement datéLa publication NVD est horodatée le 3 novembre 2026 à 19:18:05.733Z, soit dans la période demandée en +02:00.

ImpactExécution de JavaScript dans le navigateur d’une victime, avec risque de divulgation d’informations ou d’actions au nom de l’utilisateur.

Versions affectéesDe 3.0.0 jusqu’à 4.2.15 et 4.4.10; les bornes exactes des plages ne sont pas précisées dans les données fournies.

Version corrigée4.2.15 et 4.4.10

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-11-03T19:18:05.733Z

Mise à jour2026-11-03T23:17:43.130Z

Action recommandée

Mettre à niveau GeoNetwork vers une version corrigée, au minimum 4.2.15 ou 4.4.10 selon la branche utilisée.

Sources

CVE-2026-39379 — NVD

Priorisation DFS : P3 · 1 source(s).