CVE-2026-118538
Publiée le 2026-10-28 · Dernière modification le 2026-10-28
Les versions de a2ui jusqu'à la 0.12.0 sont concernées. Ce logiciel fournit un framework d'interface utilisateur, et la faille se situe dans la logique de traitement de l'arborescence du moteur de rendu des composants. Plus précisément, le système ne nettoie pas correctement les entrées, ce qui permet à un utilisateur de manipuler dynamiquement les attributs d'un objet.
Un attaquant peut provoquer des modifications non autorisées mineures dans la manière dont les données sont affichées ou stockées côté client. Cela nécessite que l'attaquant dispose d'un compte avec des privilèges restreints et implique d'inciter un utilisateur légitime à effectuer une action spécifique. Comme cela requiert à la fois une authentification et une interaction de l'utilisateur, le risque d'une compromission complète du système est faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was determined in a2ui-project a2ui up to 0.12.0. This issue affects the function Root.renderComponentTree of the file src/0.8/ui/root.js of the component Renderer. Executing a manipulation can lead to dynamically-determined object attributes. The attack may be launched remotely. The pull request to fix this issue awaits acceptance.