CVE-2026-94387
Vulnérabilité moyenne dans Aureus ERP (Webkul)
CVSS 5.4 · Moyenne
EPSS 0.3%
Webkul•Aureus ERP•Versions : <1.6.0, 0, 1.6.0
Description
Aureus ERP before 1.6.0 contains a stored cross-site scripting vulnerability in the Chatter field-change log where old_value and new_value entries are rendered without proper escaping. Any user permitted to edit tracked text fields can inject malicious markup that executes when other users, including administrators, view the record's Chatter panel.
Gravité et risque d'exploitation
CVE-2026-94387 obtient un score CVSS de 5.4/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.32 %, ce qui la place devant 23.6 % des CVE référencées.
Que faire ?
- Vérifiez si Aureus ERP (versions <1.6.0, 0, 1.6.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/aureuserp/aureuserp/commit/57cf5cf4c98d82a0ad89003402f27823fbe1e27c
- https://github.com/aureuserp/aureuserp/pull/1465
- https://github.com/aureuserp/aureuserp/blob/v1.5.0/plugins/webkul/chatter/resources/views/filament/infolists/components/messages/content-text-entry.blade.php#L165
- https://github.com/aureuserp/aureuserp/blob/v1.5.0/plugins/webkul/chatter/resources/views/filament/infolists/components/messages/content-text-entry.blade.php#L182
- https://hackmd.io/@leediay/stored-xss-aureuserp-chatter
- https://github.com/aureuserp/aureuserp/releases/tag/v1.6.0
- https://github.com/aureuserp/aureuserp
- https://www.vulncheck.com/advisories/aureus-erp-before-1.6.0-stored-xss-via-chatter-field-change-log