CVE-2026-2102 in wrensec-commons
Résumé
par VulDB • 02/11/2026
wrensec-commons contient une vulnérabilité de type cross-site scripting (XSS) réfléchi dans le binding HTTP du framework CREST. La méthode HttpUtils.prepareResponse() utilisait le paramètre de requête _mimeType pour définir l'en-tête de réponse Content-Type sans validation appropriée. En envoyant une requête GET avec _mimeType=text/html, un attaquant peut amener le navigateur à interpréter une réponse JSON CREST comme du HTML, permettant ainsi l'exécution de JavaScript arbitraire dans le navigateur de la victime. La vulnérabilité est exploitable en incitant un utilisateur à visiter une URL fabriquée ciblant n'importe quel point de terminaison (endpoint) CREST déployé. Le problème est corrigé dans les versions 22.6.2 et 23.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.