CVE-2026-102630
Publiée le 2026-09-29 · Dernière modification le 2026-10-02
Les versions d'UnoPim antérieures à 2.0.1 et 2.1.1 sont vulnérables à une faille d'injection d'en-tête qui permet à un attaquant distant non authentifié de tromper le système pour lui faire charger du JavaScript malveillant provenant d'un serveur externe. Pour que cela fonctionne, un administrateur doit consulter une page mise en cache que l'attaquant a préalablement manipulée via l'en-tête `X-Forwarded-Host`. Bien que l'attaque soit techniquement simple à déclencher, elle nécessite des conditions spécifiques concernant la mise en cache par proxy partagé et l'interaction d'un administrateur pour exécuter du code dans une session privilégiée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
UnoPim versions before 2.0.1 and 2.1.1 trust all connecting clients as proxies and honor the X-Forwarded-Host header without validation, allowing unauthenticated attackers to inject arbitrary origins into admin layout pages. Attackers can set X-Forwarded-Host to redirect JavaScript asset loading to their server, and when responses are cached by shared proxies, subsequent administrators execute attacker-supplied code in their authenticated sessions.