CVE-2026-33979
Publiée le 2026-03-27 · Dernière modification le 2026-06-17
Les applications Node.js utilisant le middleware Express XSS Sanitizer (versions antérieures à 2.0.2) sont concernées car elles peuvent ignorer des paramètres de désinfection personnalisés et restrictifs. Un attaquant peut contourner ces filtres pour injecter des scripts malveillants dans vos pages, ce qui pourrait permettre de voler des sessions utilisateur ou de défigurer votre site. Cette action peut être exécutée via le réseau par tout utilisateur non authentifié, sans nécessiter d'interaction de la part de vos visiteurs légitimes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Express XSS Sanitizer is Express 4.x and 5.x middleware which sanitizes user input data (in req.body, req.query, req.headers and req.params) to prevent Cross Site Scripting (XSS) attack. A vulnerability has been identified in versions prior to 2.0.2 where restrictive sanitization configurations are silently ignored. In version 2.0.2, the validation logic has been updated to respect explicitly provided empty configurations. Now, if allowedTags or allowedAttributes are provided (even if empty), they are passed directly to sanitize-html without being overridden.