XSS stockée dans SOCFortress CoPilot - developpeur-full-stack.fr

Veille sécuritéFrontend

P3Critique

CVE-2026-61728 concerne des champs SOC rendus sans assainissement, pouvant entraîner une XSS stockée lorsque des utilisateurs consultent des alertes ou dossiers piégés. Un script exécuté dans le navigateur peut voler les jetons d’accès et de renouvellement; les réparations des sinks d’alerte et SOC sont indiquées comme présentes en 0.1.76, et celle du bilan de santé en 0.1.70.

IdentifiantCVE-2026-61728

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.1.76 pour les réparations décrites; 0.1.70 pour le sink de bilan de santé

Source : NVD — CVE-2026-61728

Analyse technique

Le contenu de commentaires et d’autres champs SOC est transmis à v-html sans échappement ni assainissement. Les jetons sont conservés dans un stockage lisible par JavaScript.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30; les données fournies décrivent la vulnérabilité et les versions de réparation.

ImpactVol de jetons, usurpation de compte et accès ou actions non autorisés dans l’application.

Versions affectéesSnapshots antérieurs aux réparations indiquées en 0.1.70 et 0.1.76; détails par composant dans la source.

Version corrigée0.1.76 pour les réparations décrites; 0.1.70 pour le sink de bilan de santé

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.9

Publication2026-10-30T15:16:52.937Z

Mise à jour2026-10-30T17:13:54.187Z

Action recommandée

Mettre à niveau vers la version 0.1.76 ou ultérieure afin d’inclure les réparations décrites; vérifier séparément la réparation du bilan de santé.

Sources

NVD — CVE-2026-61728

Priorisation DFS : P3 · 1 source(s).