Veille sécuritéFrontend
P4Moyenne
La recommandation WebSub ne prescrit pas de type MIME sûr ni la désactivation du MIME sniffing pour la réponse de vérification. Selon la configuration du subscriber, un challenge contrôlé par l’attaquant peut être interprété comme du HTML ou une ressource JavaScript dans son origine ; configurer un type de contenu sûr et `X-Content-Type-Options: nosniff`.
JavaScript
IdentifiantCVE-2026-50571
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-50571
Analyse technique
Le protocole de vérification peut refléter `hub.challenge` dans une réponse mal typée. L’avis ne démontre pas d’impact pratique sur le site de démonstration WebSub Rocks.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27 à 23:17:05.687Z, soit le 2026-10-28 à 01:17:05.687+02:00, dans la période figée. La mise à jour NVD du 2026-10-28 n’est pas retenue comme événement distinct.
ImpactDans les configurations vulnérables, un navigateur peut exécuter du contenu contrôlé par un attaquant dans l’origine du subscriber.
ContournementRetourner un type MIME sûr et définir `X-Content-Type-Options: nosniff`.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.7
EPSS0,23% · percentile 14,2%
Publication2026-10-28T01:17:05.687+02:00
Mise à jour2026-10-28T19:18:30.363+02:00
Action recommandée
Appliquer les mesures de typage MIME sûr et de désactivation du MIME sniffing aux réponses de vérification WebSub.
Sources
Priorisation DFS : P4 · 1 source(s).