Veille sécuritéFrontend
P3Élevée
GRR reflète sans échappement adéquat le paramètre `forcemaj` dans `maj.php` si les fichiers d’installation restent accessibles. Un lien spécialement construit peut déclencher du JavaScript dans le navigateur d’une victime et compromettre sa session ; mettre à niveau vers 4.5.0 et supprimer les fichiers d’installation.
JavaScript
IdentifiantCVE-2026-58205
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.5.0
Source : NVD — CVE-2026-58205
Analyse technique
XSS réfléchie via `maj.php`; le cookie d’authentification n’est pas `HttpOnly`, ce qui peut faciliter le vol de session.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27 à 23:17:05.840Z, soit le 2026-10-28 à 01:17:05.840+02:00, dans la période figée.
ImpactExécution de JavaScript dans le navigateur d’une victime, avec risque de phishing, de redirection et de vol ou détournement de session.
Versions affectéesVersions antérieures à 4.5.0, lorsque les fichiers d’installation restent accessibles.
Version corrigée4.5.0
ContournementSupprimer les fichiers d’installation accessibles.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS0,29% · percentile 21,2%
Publication2026-10-28T01:17:05.840+02:00
Mise à jour2026-10-29T21:17:24.100+02:00
Action recommandée
Mettre à niveau vers GRR 4.5.0 et vérifier que les fichiers d’installation ne sont plus accessibles.
Sources
Priorisation DFS : P3 · 1 source(s).