CVE-2026-2102
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
La bibliothèque `wrensec-commons`, utilisée au sein du framework CREST pour la gestion des communications HTTP, est affectée dans les versions antérieures à 22.6.2 et 23.0.0. La faille se situe dans la méthode `HttpUtils.prepareResponse()`, qui ne nettoie pas correctement le paramètre de requête `_mimeType`. En manipulant ce paramètre, un attaquant peut forcer le serveur à indiquer au navigateur qu'une réponse JSON est en réalité une page HTML.
Un attaquant peut utiliser cela pour exécuter du JavaScript arbitraire dans le navigateur d'une victime, permettant potentiellement le vol de cookies de session ou la modification du contenu de la page. Cela ne nécessite ni authentification ni privilèges particuliers, mais repose sur l'ingénierie sociale pour inciter un utilisateur à cliquer sur un lien spécialement conçu. S'agissant d'une attaque réfléchie, l'exploit est transmis via le réseau mais nécessite cette interaction spécifique de l'utilisateur pour réussir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
wrensec-commons contains a reflected cross-site scripting (XSS) vulnerability in the CREST framework's HTTP binding. The HttpUtils.prepareResponse() method used the _mimeType request parameter to set the Content-Type response header without proper sanitization. By sending a GET request with _mimeType=text/html, an attacker could cause the browser to interpret a CREST JSON response as HTML, enabling execution of arbitrary JavaScript in the victim's browser. The vulnerability is exploitable by tricking a user into visiting a crafted URL targeting any deployed CREST endpoint. The issue is fixed in versions 22.6.2 and 23.0.0.