Veille sécuritéFrontend
P3Élevée
VNote permet l’exécution de JavaScript stocké lorsqu’un utilisateur ouvre une note Markdown piégée. La faille concerne les versions antérieures à 4.3.0 et peut exposer des fichiers de notes accessibles localement ; mettre à niveau vers la version 4.3.0 ou ultérieure.
JavaScript
IdentifiantCVE-2026-86016
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.3.0
Source : NVD — CVE-2026-86016
Analyse technique
Les métadonnées YAML sont insérées avec innerHTML avant le passage de nettoyage XSS. Dans le visualiseur file://, le contenu JavaScript peut accéder à des URL distantes et transmettre le contenu de fichiers de notes accessibles après ouverture du document piégé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-13 à 20:18:55Z, dans la période demandée, et décrit une vulnérabilité avec correctif identifié.
ImpactExécution de JavaScript à l’ouverture d’une note malveillante et possibilité de lire puis d’exfiltrer des fichiers de notes locaux accessibles.
Versions affectéesVersions antérieures à 4.3.0
Version corrigée4.3.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
Publication2026-10-13T20:18:55.303Z
Mise à jour2026-10-13T20:18:55.303Z
Action recommandée
Mettre à niveau VNote vers la version 4.3.0 ou ultérieure et éviter d’ouvrir des notes Markdown non fiables sur les versions vulnérables.
Sources
Priorisation DFS : P3 · 1 source(s).