CVE-2026-97030

Les moteurs de modèles utilisés pour générer des pages web dynamiques sont affectés lorsqu'ils ne parviennent pas à échapper correctement le mot-clé « yield ». Cette faille permet à certains modèles, traités de manière inappropriée, d'afficher du contenu brut au lieu de texte assaini. Elle impacte spécifiquement les modèles écrits par des auteurs qui s'appuyaient précédemment sur un mécanisme d'échappement incohérent.

Un attaquant peut utiliser cela pour effectuer une attaque par cross-site scripting (XSS), permettant potentiellement de voler des cookies de session ou de modifier le contenu de la page pour d'autres utilisateurs. Bien que l'attaque nécessite un accès réseau, elle est relativement facile à exécuter car elle ne requiert aucune authentification. Elle nécessite toutefois qu'une victime interagisse avec un lien ou une page malveillante pour déclencher la charge utile.