Auteur
Ostorlab Team
RCE du chargeur ICO d'imgproxy, corrigé dans 4.0.16 (GHSA-hff9-5pqw-6w9f)
imgproxy 4.0.0 à 4.0.15 alloue les données ICO avec une taille qui boucle, transformable en corruption du tas par une image forgée ; corrigé dans 4.0.16.
31 octobre 2026
RCE pgAdmin 4 via Import/Export, corrigé dans 9.19 (CVE-2026-116241)
pgAdmin 4 avant 9.19 laisse tout utilisateur d'Import/Export exécuter une commande TO PROGRAM psq...
31 octobre 2026
RCE WordPress Core pendant la fenêtre de mise à jour, corrigé dans 7.1.4 (CVE-2026-119977)
WordPress 4.7 à 7.1.3 décompacte ses mises à jour dans un chemin web prévisible permettant l’exéc...
31 octobre 2026
Contournement du superutilisateur par auto-login Langflow et RCE via MCP (CVE-2026-93680)
Langflow OSS 1.0.0 à 1.12.8 donne à n’importe quel appelant une session superutilisateur qui mène...
30 octobre 2026
Autres articles par Ostorlab Team
testmetest : le ver npm arme 42 dépôts GitHub avec un éditeur caché
Le ver npm testmetest a volé des identifiants, posé des hooks IA dans 42 dépôts GitHub et caché un éditeur de paquets ; toute installation vaut compromission.
30 octobre 2026
L’extension Claude Code trojanisée sur Cursor installe une porte dérobée SSH
Une version malveillante 2.1.313 de l’extension Claude Code sur le marketplace Cursor a ajouté une porte dérobée SSH ; 5 000 utilisateurs au plus l’ont installée le 29 octobre 2026.
30 octobre 2026
Contournement de contrôle d'accès Drupal Commerce, exploité dans la nature (CVE-2026-118539)
Drupal Commerce avant 2.41 et 3.3.13 laisse des comptes limités s'approprier variations et coupons d'autres vendeurs via JSON:API ; exploité.
30 octobre 2026
RCE par métadonnées PDF Gotenberg, exploitée dans la nature (CVE-2026-42589)
Un saut de ligne dans une clé de métadonnées PDF exécute du Perl sur les Gotenberg non authentifiés avant 8.31.0 ; faille exploitée par sept groupes.
30 octobre 2026
Course critique dans la poignée de main TCP du noyau Linux (CVE-2026-98432)
Une course dans les poignées de main TCP IPv4 libère des options encore lues depuis Linux 4.4 ; 9,8 selon le noyau, sans correctif Ubuntu ni RHEL.
30 octobre 2026
RCE par appel vocal sur Telegram pour Android, corrigée dans 12.10.4
Telegram pour Android 8.6.2 à 12.10.3 laissait un appelant exécuter du code si la victime répondait. Aucune exploitation connue. Corrigé dans 12.10.4.
29 octobre 2026
DoS SSL VPN Cisco ASA et FTD exploité dans la nature (CVE-2026-76418)
Une requête SSL VPN non authentifiée fait redémarrer les pare-feu Cisco ASA et FTD utilisant l’authentification secondaire ; High 8,6, exploitée, KEV.
29 octobre 2026
GoAhead : le mTLS accepte des certificats clients révoqués (CVE-2026-115881)
GoAhead charge la CRL mais ne la vérifie jamais, donc des certificats clients révoqués passent le mTLS ; corrigé dans 6.1.1, livré aux fabricants le 2 août.
29 octobre 2026
Oracle PeopleSoft : RCE exploitée par ShinyHunters (CVE-2026-35273)
RCE non authentifiée dans PeopleTools 8.61 et 8.62 via une chaîne SSRF vers PSEMHUB : exploitée comme zéro-day par ShinyHunters, corrigée le 10 juin.
29 octobre 2026
Exécution de code dans Apple CoreGraphics exploitée sur iOS (CVE-2026-86950)
CVE-2026-86950, écriture hors limites exploitée dans CoreGraphics, est au KEV de la CISA ; corrigée dans iOS/iPadOS 26.7.1 et 18.7.11 et macOS 26.7.1 et 15.8.1.
28 octobre 2026