FICHE CVE

CVE-2026-25688

Publiée le 2026-06-09 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les versions d'Apache Answer jusqu'à la 2.0.0 sont affectées par une faille de cross-site scripting (XSS) où le contenu généré par IA n'est pas correctement nettoyé avant d'être affiché dans le navigateur. Un attaquant non authentifié disposant d'un accès réseau peut injecter des scripts malveillants qui s'exécutent dans la session d'un autre utilisateur, bien que cela nécessite que la victime consulte le contenu spécifique concerné. Cela pourrait permettre à l'attaquant de voler des cookies de session ou d'effectuer des actions au nom de l'utilisateur qui consulte la page.

CVSS 3.16.1 MOYENNE

Type de faiblesse

CWE-87

Publiée2026-06-09

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper Neutralization of Alternate XSS Syntax vulnerability in Apache Answer. This issue affects Apache Answer: through 2.0.0. AI-generated response content was rendered in the browser without proper sanitization, allowing malicious scripts to be executed when the content was viewed. Users are recommended to upgrade to version 2.0.1, which fixes the issue.