CVE-2026-111714lowCWE-1333

CVE-2026-111714: fallo de gravedad baja en AmauriC tarteaucitron.js

tarteaucitron.js before 1.37.0 ReDoS via Unescaped Cookie Name in cookie.purge

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear tarteaucitron.js

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 2.3epss 0.2%
tarteaucitron.js before 1.37.0 contains a regular expression denial of service vulnerability that allows attackers to block visitor pages by supplying unescaped cookie names to cookie.purge. Attackers can plant a cookie from a sibling subdomain or inject a purgeBtn element with a catastrophic-backtracking data-cookie pattern that freezes the page when the purge button is clicked.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Productos afectados
AmauriC · tarteaucitron.js
CVEs relacionadas — AmauriC tarteaucitron.js

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-31476MEDIUMtarteaucitron.js allows url scheme injection via unfiltered inputsEPSS 0.4%CVE-2026-49977MEDIUMtarteaucitron.js: data-cookie attribute can be used to delete arbitrary cookiesEPSS 0.4%CVE-2025-31475MEDIUMtarteaucitron.js allows prototype pollution via custom text injectionEPSS 0.4%CVE-2025-31138MEDIUMtarteaucitron.js allows UI manipulation via unrestricted CSS injectionEPSS 0.3%CVE-2025-48939MEDIUMtarteaucitron.js vulnerable to DOM Clobbering via document.currentScriptEPSS 0.2%CVE-2026-111713MEDIUMtarteaucitron.js before 1.37.0 XSS via getElemAttr Attribute Validation MismatchEPSS 0.2%