p PatchFirst

CVE-2026-49977

CVE-2026-49977 · tarteaucitron.js: data-cookie attribute can be used to delete arbitrary cookies

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

tarteaucitron.js is a compliant and accessible cookie banner. Prior to 1.33.0, tarteaucitron.cookie.purge() is called on any element with the purgeBtn class and does not check whether the element is a legitimate tarteaucitron button or whether the cookie corresponds to a service handled by tarteaucitron. If an attacker can write HTML with data attributes, an element with data-cookie can silently delete a non-HttpOnly cookie with a known name when clicked by a user. This issue is fixed in version 1.33.0.

CVSS 4.3 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • tarteaucitron.js

    Versions du logiciel
    • < 1.33.0: Concernée

    Aucun correctif publié

  • tarteaucitronjs npm

    Plages de versions concernées
    • SEMVER: < 1.33.0

    Mettez à jour vers 1.33.0

Sources originales

Vérifiez votre serveur →