FICHE CVE

CVE-2026-27120

Publiée le 2026-02-20 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le moteur de templating Leafkit avant la version 1.4.1 sont vulnérables au cross-site scripting (XSS) car certains caractères spéciaux peuvent contourner l'échappement HTML. Un attaquant peut injecter des scripts malveillants dans une page en fournissant une entrée spécialement conçue qui est ensuite affichée dans un attribut HTML. Cela ne nécessite aucune authentification ni privilège particulier, mais requiert qu'une victime visite une page contenant l'entrée malveillante.

CVSS 3.16.1 MOYENNE

Type de faiblesse

Publiée2026-02-20

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Leafkit is a templating language with Swift-inspired syntax. Prior to 1.4.1, htmlEscaped in leaf-kit will only escape html special characters if the extended grapheme clusters match, which allows bypassing escaping by using an extended grapheme cluster containing both the special html character and some additional characters. In the case of html attributes, this can lead to XSS if there is a leaf variable in the attribute that is user controlled. This vulnerability is fixed in 1.4.1.