Importation de traces pouvant exécuter du JavaScript et permettre des opérations PLC

Veille sécuritéFrontend

P3Critique

Des appareils concernés ne restreignent pas correctement le contenu exécutable des fichiers de trace importés. Un attaquant peut inciter un utilisateur autorisé disposant du droit « Read diagnostics » à importer un fichier conçu pour exécuter du JavaScript dans son navigateur et effectuer des opérations PLC selon ses autorisations ; les appareils et versions touchés ne sont pas indiqués dans les données fournies.

IdentifiantCVE-2026-63350

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-63350

Analyse technique

Le contenu exécutable intégré à un fichier de trace importé n’est pas correctement restreint ; l’exécution côté navigateur peut permettre des opérations PLC dans les limites des droits de l’utilisateur.

Impact, versions et correctif

Événement datéLa fiche NVD fournie donne une date de publication le 2026-10-13, dans la période retenue ; l’élément est inclus comme divulgation de vulnérabilité, et non sur la seule base de sa date de modification.

ImpactL’exécution de JavaScript dans la session d’un utilisateur autorisé peut permettre des opérations PLC avec ses droits.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.4

Publication2026-10-13T10:17:16.777Z

Mise à jour2026-10-13T13:17:30.600Z

Action recommandée

N’importer que des fichiers de trace provenant de sources de confiance et appliquer les mises à jour du fournisseur dès leur disponibilité.

Sources

NVD — CVE-2026-63350

Priorisation DFS : P3 · 1 source(s).