Veille sécuritéFrontend
P4Moyenne
WIT SynApps Runtime jusqu’à la version 1.4.11 expose des identifiants OAuth statiques dans du JavaScript livré au navigateur. Un attaquant non authentifié peut les récupérer et les utiliser pour reproduire la partie applicative du flux d’authentification REDY.
JavaScript
IdentifiantCVE-2026-7003
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-7003
Analyse technique
Les valeurs clientId et clientSecret sont intégrées au JavaScript du frontend, notamment dans parameters.js; elles peuvent servir à solliciter /web/api/v1/auth/token.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30; la description fournie précise les identifiants exposés et leur usage.
ImpactCompromission de la confidentialité attendue pour le client OAuth et possibilité de reproduire une partie du flux d’authentification.
Versions affectéesJusqu’à la version 1.4.11 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-10-30T19:19:13.647Z
Mise à jour2026-10-30T19:23:25.493Z
Action recommandée
Consulter les recommandations de l’éditeur, remplacer les identifiants exposés et limiter leurs privilèges; aucune version corrigée n’est indiquée dans la source fournie.
Sources
Priorisation DFS : P4 · 1 source(s).