Aller au contenu

Blog · page 5/7

L'actualité des CVE, analysée

Vulnérabilités critiques et ajouts au CISA KEV, expliqués : ce qui est touché, les versions correctives, et quoi vérifier en premier.

  1. Fortinet au KEV : 2 RCE FortiSandbox et un bypass du correctif anti-persistance FortiOS

    CVE-2026-39808 et CVE-2026-25089 (FortiSandbox, injection de commandes non authentifiée) et CVE-2025-68686 (FortiOS, contournement du correctif de persistance par symlink). Trois CVE au CISA KEV.

    CVE-2026-39808 CVE-2026-25089 CVE-2025-68686 · 9 min

  2. Arista VeloCloud Orchestrator CVE-2026-16812 : RCE 10.0 exploitée sur le SD-WAN

    VeloCloud Orchestrator on-prem (ex-VMware SD-WAN) expose une fonctionnalité interne à distance : injection de commandes OS, CVSS 10.0, exploitation active confirmée par l'éditeur. Versions et mitigation.

    CVE-2026-16812 · 7 min

  3. Langflow CVE-2026-0770 : RCE root non authentifiée sur l'outillage LLM (CVSS 9.8)

    Langflow expose le paramètre exec_globals de son endpoint validate : exécution de code en root sans authentification. Avec CVE-2026-55255 (exécution de flows d'autres utilisateurs), deux CVE au CISA KEV.

    CVE-2026-0770 CVE-2026-55255 · 8 min

  4. SharePoint : 4 CVE ajoutées au KEV en 3 semaines — chaîne RCE non authentifiée

    Microsoft SharePoint cumule 4 CVE au catalogue CISA KEV en juillet 2026 : deux désérialisations CVSS 9.8, un bypass d'authentification et une RCE authentifiée. Analyse de la chaîne, détection et patch.

    CVE-2026-50522 CVE-2026-58644 CVE-2026-56164 CVE-2026-45659 · 7 min

  5. WordPress Core CVE-2026-60137 + 63030 : SQLi chaînée vers RCE non authentifiée

    Deux CVE du cœur de WordPress (6.9.x < 6.9.5, 7.0.x < 7.0.2) se chaînent en RCE non authentifiée sur installation par défaut : confusion de routes REST API + SQL injection author__not_in. Au CISA KEV.

    CVE-2026-60137 CVE-2026-63030 · 9 min

  6. Joomla : 4 extensions ajoutées au KEV en 4 jours — upload non authentifié vers RCE

    iCagenda, Balbooa Forms, Joomlack Page Builder, JoomShaper SP Page Builder : quatre extensions Joomla au CISA KEV début juillet 2026, toutes en upload de fichier arbitraire menant au RCE. Audit et mitigation.

    CVE-2026-48939 CVE-2026-56291 CVE-2026-56290 CVE-2026-48908 · 8 min

  7. SimpleHelp CVE-2026-48558 : signature OIDC non vérifiée, RMM compromis (CVSS 10.0)

    SimpleHelp ≤ 5.5.15 accepte les tokens OIDC sans vérifier leur signature cryptographique. Un token forgé donne une session technicien complète, MFA contourné. CVSS 10.0, au CISA KEV.

    CVE-2026-48558 · 7 min

  8. Ubiquiti UniFi OS : 3 CVE au KEV le même jour, une chaîne vers la prise de contrôle

    CVE-2026-34908, 34909 et 34910 : contrôle d'accès défaillant, path traversal et injection de commandes sur UniFi OS. Trois CVE ajoutées au CISA KEV le même jour, exploitables en chaîne.

    CVE-2026-34908 CVE-2026-34909 CVE-2026-34910 · 8 min

  9. WordPress Mai 2026 : 4 plugins critiques en auth bypass / RCE (CVSS 9.8)

    Burst Analytics, Career Section, InfusedWoo Pro, Form Notify — 4 plugins WordPress avec auth bypass / RCE / privilege escalation publiés en mai 2026. Versions et mitigation.

    CVE-2026-8181 CVE-2026-6271 CVE-2026-6510 CVE-2026-5229 · 6 min

  10. SAP S/4HANA CVE-2026-34260 : SQL injection authentifiée dans Enterprise Search ABAP

    SAP S/4HANA Enterprise Search ABAP : SQL injection (CVSS 9.6) via user input concaténé sans validation. Compromission de données critiques, audit recommandé.

    CVE-2026-34260 · 6 min

  11. Microsoft Patch Tuesday Mai 2026 — Wave 2 : Hyper-V LPE, Entra ID spoofing, Authenticator

    Suite du Patch Tuesday mai 2026 : 3 nouvelles CVE CRITICAL — Hyper-V use-after-free LPE (9.3), Entra ID spoofing (9.3), Microsoft Authenticator info disclosure (9.6). Patch immédiat.

    CVE-2026-40402 CVE-2026-40379 CVE-2026-41615 · 6 min

  12. ArchiveBox CVE-2026-42601 : RCE via /add/ — aucun patch disponible (CVSS 9.8)

    ArchiveBox ≤ 0.8.6rc0 : l'endpoint /add/ injecte une config JSON non validée dans les variables d'environnement des plugins. RCE non auth, aucun correctif officiel. Mitigation.

    CVE-2026-42601 · 5 min

  13. Angular Expressions CVE-2026-44643 : sandbox escape → RCE (CVSS 10.0)

    angular-expressions < 1.5.2 : un attaquant peut écrire une expression avec filtres qui échappe la sandbox et exécute du code arbitraire. CVSS 10.0, scope changed. Patch et mitigation.

    CVE-2026-44643 · 6 min

  14. Adobe Connect : 2 CVE critiques (deserialization + auth bypass) — CVE-2026-34659 & 34660

    Adobe Connect ≤ 2025.9.15 : deserialization untrusted data (CVSS 9.6) + incorrect authorization (CVSS 9.3) → RCE et injection de scripts. Patch et hardening.

    CVE-2026-34659 CVE-2026-34660 · 6 min

  15. PHP 8.x : 3 CVE CRITICAL d'un coup (PDO Firebird SQLi + 2 SOAP UAF)

    PHP 8.2.31 / 8.3.31 / 8.4.21 / 8.5.6 corrigent 3 CVE CRITICAL (CVSS 9.8) : SQL injection PDO Firebird via NUL byte + 2 use-after-free SOAP exploitables en RCE.

    CVE-2025-14179 CVE-2026-6722 CVE-2026-7261 · 7 min

  16. OpenClaw : 3 CVE critiques d'auth bypass dans la sandbox navigateur

    OpenClaw < 2026.4.15 cumule 3 CVE CRITICAL (CVSS 9.6-9.8) : noVNC exposé, webhook Feishu sans validation, CDP relay sur 0.0.0.0. Patch et hardening pour la sandbox de testing.

    CVE-2026-43575 CVE-2026-44109 CVE-2026-43581 · 7 min

  17. Microsoft Patch Tuesday Mai 2026 : 4 CVE CRITICAL (Netlogon, DNS, Dynamics, Azure)

    Patch Tuesday mai 2026 — 4 CVE CRITICAL : Windows Netlogon RCE (9.8), Windows DNS RCE (9.8), Dynamics 365 code injection (9.9), Azure Logic Apps EoP (9.9). Patcher en priorité.

    CVE-2026-41089 CVE-2026-41096 CVE-2026-42898 CVE-2026-42823 · 6 min

  18. Gotenberg CVE-2026-40281 : prise de contrôle d'API PDF via injection ExifTool (CVSS 10.0)

    Gotenberg ≤ 8.30.1 : un newline dans la valeur d'une metadata PDF injecte des pseudo-tags ExifTool — overwrite/symlink arbitraire dans le conteneur. CVSS 10.0, patch 8.31.0.

    CVE-2026-40281 · 6 min

  19. GitHub Enterprise Server CVE-2026-8034 : SSRF via notebook viewer (URL parser confusion)

    GitHub Enterprise Server < 3.21 contient une SSRF (CVSS 9.8) dans le notebook viewer — URL parser confusion entre validation et requête HTTP. Patch et mitigation.

    CVE-2026-8034 · 5 min

  20. Chrome CVE-2026-7910 : use-after-free dans Views (site isolation bypass)

    Chrome < 148.0.7778.96 contient un use-after-free dans Views (CVSS 9.6) permettant le bypass de site isolation depuis un renderer compromis. Patch urgent navigateurs.

    CVE-2026-7910 · 6 min