CVE-2026-120443
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 1.4.1 et antérieures de GoFound sont affectées par une faille de cross-site scripting (XSS) stockée. Le logiciel est utilisé pour l'indexation et la recherche de documents, mais il ne nettoie pas correctement le texte soumis au point de terminaison `/api/index`. Par conséquent, du HTML ou des scripts malveillants sont enregistrés dans la base de données, puis transmis sans être échappés à l'interface utilisateur.
Un attaquant non authentifié disposant d'un accès réseau peut injecter un script qui s'exécute dans le navigateur d'un administrateur lorsque celui-ci recherche le document concerné. Bien que cela ne compromette pas le serveur lui-même, cela permet à l'attaquant d'effectuer des actions au nom de l'administrateur, impactant ainsi l'intégrité de la session administrative. L'attaque est facile à exécuter, mais nécessite que l'administrateur interagisse avec le tableau de bord en effectuant une recherche spécifique.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
GoFound through 1.4.1 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts by submitting document text to /api/index. Attackers can index malicious HTML that searcher/engine.go returns unescaped and dashboard.vue renders with v-html, executing script in an administrator's browser when an admin search matches the document.