Tag
#CVE
Ivanti Connect Secure : chaîne zero-day exploitée, accès root (CVE-2026-104935)
Une chaîne de trois failles donne un accès root non authentifié sur Ivanti Connect Secure ; passez en 22.8R2.6 ou 25.1.1.3 et chassez toute exploitation.
31 octobre 2026
RCE pgAdmin 4 via Import/Export, corrigé dans 9.19 (CVE-2026-116241)
pgAdmin 4 avant 9.19 laisse tout utilisateur d'Import/Export exécuter une commande TO PROGRAM psq...
31 octobre 2026
RCE WordPress Core pendant la fenêtre de mise à jour, corrigé dans 7.1.4 (CVE-2026-119977)
WordPress 4.7 à 7.1.3 décompacte ses mises à jour dans un chemin web prévisible permettant l’exéc...
31 octobre 2026
Contournement du superutilisateur par auto-login Langflow et RCE via MCP (CVE-2026-93680)
Langflow OSS 1.0.0 à 1.12.8 donne à n’importe quel appelant une session superutilisateur qui mène...
30 octobre 2026
Autres articles avec le tag #CVE
Contournement de contrôle d'accès Drupal Commerce, exploité dans la nature (CVE-2026-118539)
Drupal Commerce avant 2.41 et 3.3.13 laisse des comptes limités s'approprier variations et coupons d'autres vendeurs via JSON:API ; exploité.
30 octobre 2026
RCE par métadonnées PDF Gotenberg, exploitée dans la nature (CVE-2026-42589)
Un saut de ligne dans une clé de métadonnées PDF exécute du Perl sur les Gotenberg non authentifiés avant 8.31.0 ; faille exploitée par sept groupes.
30 octobre 2026
Course critique dans la poignée de main TCP du noyau Linux (CVE-2026-98432)
Une course dans les poignées de main TCP IPv4 libère des options encore lues depuis Linux 4.4 ; 9,8 selon le noyau, sans correctif Ubuntu ni RHEL.
30 octobre 2026
DoS SSL VPN Cisco ASA et FTD exploité dans la nature (CVE-2026-76418)
Une requête SSL VPN non authentifiée fait redémarrer les pare-feu Cisco ASA et FTD utilisant l’authentification secondaire ; High 8,6, exploitée, KEV.
29 octobre 2026
GoAhead : le mTLS accepte des certificats clients révoqués (CVE-2026-115881)
GoAhead charge la CRL mais ne la vérifie jamais, donc des certificats clients révoqués passent le mTLS ; corrigé dans 6.1.1, livré aux fabricants le 2 août.
29 octobre 2026
Oracle PeopleSoft : RCE exploitée par ShinyHunters (CVE-2026-35273)
RCE non authentifiée dans PeopleTools 8.61 et 8.62 via une chaîne SSRF vers PSEMHUB : exploitée comme zéro-day par ShinyHunters, corrigée le 10 juin.
29 octobre 2026
Exécution de code dans Apple CoreGraphics exploitée sur iOS (CVE-2026-86950)
CVE-2026-86950, écriture hors limites exploitée dans CoreGraphics, est au KEV de la CISA ; corrigée dans iOS/iPadOS 26.7.1 et 18.7.11 et macOS 26.7.1 et 15.8.1.
28 octobre 2026
RCE non authentifiée sur les serveurs de tracking MLflow (CVE-2026-116692)
La CVE-2026-116692 (CVSS 9,8) permet à tout appelant d'un serveur de tracking MLflow 3.12.0-3.16.x en configuration par défaut de téléverser du code Python et de le faire exécuter par le processus serveur ; corrigée dans la version 3.17.0.
28 octobre 2026
PolyShell : RCE exploitée dans Magento et Adobe Commerce (CVE-2026-48356)
PolyShell (CVE-2026-48356) permet un téléversement non authentifié dans l'API REST de Magento, exploité massivement depuis mars 2026 ; les correctifs Adobe de juillet 2026 la corrigent.
28 octobre 2026
AuthMask : vol de jetons dans Microsoft Authenticator pour Android (CVE-2026-80097)
Avant 6.2606.4246, Microsoft Authenticator pour Android transmettait les jetons professionnels à toute application usurpant une application Microsoft installée ; une mise à jour corrige la faille.
27 octobre 2026