Veille sécuritéFrontend
P4Moyenne
Dans le formulaire OAuth du type de média e-mail, la valeur du point de terminaison Authorization est transmise à window.open() sans validation du schéma d’URL. Une configuration de type de média malveillante importée peut ainsi exécuter du JavaScript lorsque le superadministrateur donne son consentement.
JavaScript
IdentifiantCVE-2026-59788
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-59788
Analyse technique
La valeur Authorization peut contenir une URL de schéma javascript:, exécutée par le navigateur via window.open().
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-05, dans la période demandée ; c’est cet événement de vulnérabilité nouvellement publié qui est retenu.
ImpactExécution de JavaScript dans le navigateur du superadministrateur ayant accordé son consentement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.7
Publication2026-10-05T11:17:00.113Z
Mise à jour2026-10-05T12:17:10.463Z
Action recommandée
Ne pas importer de configurations de types de média non fiables et consulter les recommandations de l’éditeur pour connaître le correctif.
Sources
Priorisation DFS : P4 · 1 source(s).