Deux applications métier open source, deux failles 9.8, un point commun : aucune authentification requise. PHPNuxBill, un logiciel de facturation pour hotspots et accès réseau, et Wukong HRM, un logiciel de gestion RH. Le premier détient des comptes clients, le second la paie.
Ce sont typiquement des applications installées par une petite équipe, depuis GitHub, sur un serveur exposé pour que les utilisateurs y accèdent de partout. Elles n'ont pas de cycle de mise à jour automatique et passent souvent sous le radar de la veille.
| CVE-2026-108107 | CVE-2026-108707 | |
|---|---|---|
| Produit | PHPNuxBill | Wukong HRM |
| CVSS 3.1 | 9.8 (CRITICAL) | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Publication NVD | 2026-10-09 | 2026-10-11 |
| Concerné selon NVD | jusqu'à 2025.3.20 | jusqu'au commit 186115e |
| CISA KEV | non (à la date de rédaction) | non (à la date de rédaction) |
PHPNuxBill — CVE-2026-108107 : injection SQL dans l'endpoint FreeRADIUS
PHPNuxBill through 2025.3.20 contains an unauthenticated SQL injection vulnerability in the radius.php FreeRADIUS REST endpoint
PHPNuxBill expose un endpoint REST destiné à FreeRADIUS, le serveur qui authentifie les clients et comptabilise leur consommation. Cet endpoint insère des paramètres de la requête directement dans des requêtes SQL, sans paramétrage. Comme il doit répondre à FreeRADIUS, il est joignable sans authentification.
Selon NVD, l'attaquant peut ainsi extraire les fiches clients et des identifiants depuis la base, par une injection SQL à l'aveugle basée sur le temps. Lente, mais fiable, et facile à automatiser.
Ce qui est en jeu : les comptes des abonnés, leurs identifiants d'accès réseau, et potentiellement les comptes d'administration de l'application si leurs empreintes sont dans la même base.
Versions : NVD indique « through 2025.3.20 » et ne publie pas de version corrigée à la date de rédaction. Vérifie le dépôt du projet pour un correctif ou un commit postérieur, et ne considère pas une version supérieure comme corrigée sans confirmation.
Mesures spécifiques :
- Restreindre l'endpoint RADIUS aux seules adresses de ton serveur FreeRADIUS, au niveau du serveur web ou du pare-feu. C'est la mesure la plus efficace en attendant un correctif : cet endpoint n'a aucune raison d'être joignable depuis Internet.
- Appliquer le correctif du projet dès qu'il est publié.
- Faire tourner les identifiants stockés en base si l'endpoint a été exposé : comptes clients, secrets RADIUS, comptes admin.
Wukong HRM — CVE-2026-108707 : toutes les API RH sans jeton
Attackers gain HR administrator access to read payslips, salary history and employee personal data
Le contrôle d'authentification de Wukong HRM est implémenté dans un aspect (ParamAspect) censé vérifier le jeton de chaque appel d'API. Il échoue « ouvert » : une requête qui ne présente pas de jeton n'est pas rejetée. Toutes les API RH deviennent appelables sans compte.
Selon NVD, l'attaquant obtient l'équivalent d'un administrateur RH : lecture des bulletins de paie, de l'historique des salaires et des données personnelles des salariés, téléchargement des pièces jointes, modification ou suppression des dossiers RH.
Ce qui est en jeu : des données personnelles au sens du RGPD, et parmi les plus sensibles qu'une entreprise détienne. Une fuite de ce type est une violation de données à notifier, et de la matière première pour de la fraude au virement ou de l'ingénierie sociale ciblée.
Versions : NVD indique « through commit 186115e », sans version corrigée à la date de rédaction. Si tu as déployé depuis le dépôt, vérifie le commit en production et surveille le dépôt pour un correctif.
Mesures spécifiques :
- Retirer l'application d'Internet : la placer derrière un VPN ou un proxy d'authentification (SSO) qui exige une session valide avant même d'atteindre l'application.
- Appliquer le correctif dès qu'il est disponible sur le dépôt.
- Évaluer la notification auprès de la CNIL si les journaux montrent des accès anormaux aux données des salariés.
Détection
- Pour PHPNuxBill : requêtes vers l'endpoint RADIUS provenant d'une autre adresse que ton serveur FreeRADIUS ; requêtes inhabituellement lentes ou très nombreuses sur cet endpoint ; erreurs SQL dans les journaux PHP.
- Pour Wukong HRM : appels aux API RH sans session associée dans les journaux applicatifs ou du reverse proxy ; volumes de lecture anormaux sur les fiches salariés ou les bulletins ; téléchargements massifs de pièces jointes.
- Pour les deux : nouveaux comptes administrateurs, changements de mots de passe non sollicités, connexions depuis des pays ou des fournisseurs d'hébergement inhabituels.
Mitigation générale
- Recenser les instances : ces applications sont souvent déployées hors du périmètre de la DSI.
- Ne pas exposer directement une application métier auto-hébergée sur Internet sans couche d'authentification en amont.
- Suivre les dépôts des projets open source que tu fais tourner : sans éditeur, il n'y a pas d'avis poussé vers toi.
- En cas d'accès suspect : préserver les journaux, faire tourner tous les secrets de l'application et de sa base, et traiter l'incident comme une fuite de données.
Pourquoi surveiller en continu vos applications métier open source
Une application installée depuis GitHub n'envoie pas de bulletin de sécurité. Sans veille active, une CVE 9.8 peut rester ouverte jusqu'au jour où quelqu'un s'en sert. Et ces outils détiennent souvent les données les plus sensibles : clients, salaires, identifiants.
Avec cveo.tech, ajoute tes applications open source auto-hébergées à ton parc et reçois une alerte dès qu'une CVE critique les concerne.