FICHE CVE

CVE-2026-58191

Publiée le 2026-07-08 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les serveurs Appium utilisant des versions antérieures à la 10.7.0 sont vulnérables aux failles de cross-site scripting (XSS) réfléchies. Un attaquant distant non authentifié peut exécuter du JavaScript arbitraire dans le navigateur d'un utilisateur en le poussant à cliquer sur un lien spécialement conçu. Cela nécessite une interaction de l'utilisateur, mais ne requiert aucun identifiant préalable ni accès particulier au système pour être réalisé.

CVSS 3.16.5 MOYENNE

Type de faiblesse

Cross-site scripting (XSS) · CWE-79 CWE-489

Publiée2026-07-08

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Appium is a cross-platform automation framework for all kinds of apps, built on top of the W3C WebDriver protocol. Prior to 10.7.0, Appium's base-driver unconditionally mounts the /test/guinea-pig, /test/guinea-pig-scrollable, and /test/guinea-pig-app-banner routes, and compileLodashTemplate reflects the throwError query parameter, comments POST field, and User-Agent request header into HTML without escaping, allowing reflected cross-site scripting and arbitrary JavaScript execution on the server origin. This issue is fixed in version 10.7.0.