CVE-2026-42157: XSS dans Flowsint via Map Nodes
Plateforme
javascript
Composant
flowsint
Corrigé dans
1.2.3
Flowsint est un outil open-source d'exploration de graphes OSINT conçu pour les investigations de cybersécurité. Avant la version 1.2.3, une vulnérabilité XSS permet à un attaquant distant de créer un nœud de carte contenant du HTML arbitraire. Lorsque l'onglet carte est sélectionné et qu'un marqueur de nœud de carte est sélectionné, le HTML arbitraire est rendu, ce qui peut déclencher une attaque XSS stockée. Cette faille affecte les versions 1.0.0 jusqu'à la version 1.2.3 (exclusivement) et a été corrigée dans la version 1.2.3.
Impact et Scénarios d'Attaque
Un attaquant exploitant cette vulnérabilité peut injecter du code HTML malveillant dans les nœuds de carte de Flowsint. Lorsque ces nœuds sont affichés, le code HTML injecté est exécuté dans le navigateur de l'utilisateur, ce qui peut entraîner l'exécution de scripts malveillants. Cela peut permettre à l'attaquant de voler des cookies, de rediriger l'utilisateur vers un site web malveillant, ou même de compromettre le système de l'utilisateur. La nature stockée de cette XSS rend l'attaque particulièrement dangereuse, car elle peut affecter tous les utilisateurs qui accèdent aux nœuds de carte compromis.
Contexte d'Exploitation
La vulnérabilité CVE-2026-42157 a été publiée le 12 mai 2026. Il n'y a pas d'informations disponibles concernant son inclusion dans KEV ou son score EPSS. Aucun PoC public n'est actuellement connu. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour toute nouvelle information concernant l'exploitation de cette vulnérabilité.
Logiciel Affecté
Classification de Faiblesse (CWE)
Chronologie
- Publiée
Mitigation et Contournements
La mitigation principale consiste à mettre à jour Flowsint vers la version 1.2.3 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, désactivez temporairement la fonctionnalité de création de nœuds de carte ou mettez en œuvre une validation stricte du contenu HTML saisi par les utilisateurs. Utilisez une politique de sécurité de contenu (CSP) pour limiter les sources de scripts autorisées. Une surveillance du trafic réseau pour détecter des requêtes suspectes peut également aider à identifier une exploitation potentielle. Après la mise à jour, vérifiez que la fonctionnalité de création de nœuds de carte fonctionne correctement et que le contenu HTML est correctement validé.
Comment corrigertraduction en cours…
Actualice Flowsint a la versión 1.2.3 o posterior para mitigar el riesgo de XSS. Esta versión corrige la vulnerabilidad al sanitizar correctamente las entradas de los usuarios en los marcadores del mapa, evitando la ejecución de código malicioso.
Questions fréquentes
Qu'est-ce que CVE-2026-42157 — XSS dans Flowsint ?
C'est une vulnérabilité XSS dans Flowsint permettant l'injection de HTML malveillant via les nœuds de carte.
Suis-je affecté(e) par CVE-2026-42157 dans Flowsint ?
Oui, si vous utilisez Flowsint versions 1.0.0 < 1.2.3.
Comment corriger CVE-2026-42157 dans Flowsint ?
Mettez à jour Flowsint vers la version 1.2.3 ou supérieure.
CVE-2026-42157 est-il activement exploité ?
Aucune exploitation publique n'est connue à ce jour.
Où trouver l'avis officiel de Flowsint pour CVE-2026-42157 ?
Consultez la documentation de Flowsint et les bases de données de vulnérabilités comme NVD.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Essayez maintenant — sans compte
scanZone.subtitle
Glissez-déposez votre fichier de dépendances
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...