#CVE

Analyse approfondie

Pillow 2.6.0 à 12.3.0 transmet sans assainissement à Ghostscript un nom de fichier EPS ou PostScript contrôlé par l’attaquant, permettant une injection d’arguments et une exécution de commandes ; corrigé dans 13.0.0.

Analyse approfondie

CVE-2026-110264, dépassement d’entier à 10,0, expose tout GitLab autogéré depuis 7.0 à une RCE non authentifiée ; corrigé le 21 octobre ; son jumeau est au KEV.

Analyse approfondie

CVE-2026-111497 (CVSS v4.0 9,2) : dépassement de tampon du décodeur Brotli dans Node.js, Bun, .NET, Python, Envoy et Istio, désormais inscrit au catalogue des vulnérabilités exploitées connues de CISA.

Analyse approfondie

Quatre failles en chaîne dans Plex Media Server avant 1.43.3.10861 permettent à un attaquant non authentifié d'exécuter du code sous l'utilisateur Plex ; elles sont exploitées dans la nature depuis le 17 octobre 2026.

Analyse approfondie

Les clés privées de huit CA intermédiaires eMudhra se calculent à partir de leurs certificats publics, permettant l'usurpation de sites ; environ 30 800 certificats cesseront de fonctionner lorsque Chrome retirera emSign ECC Root CA - G3 le 27 octobre 2026.

Analyse approfondie

PAN-OS exploité ; à part, une chaîne a pris root sur 25 serveurs via des pare-feu d'un éditeur non nommé : RCE PHP corrigée en 8.5.12, 8.4.27, 8.3.36, 8.2.35.

Analyse approfondie

Laravel classe CVE-2026-114509 comme critique, CVSS v4.0 9.2 : un attaquant non authentifié peut se connecter sous l’identité d’un utilisateur existant du garde d’API historique token sur MySQL ou MariaDB en envoyant un corps JSON tel que {"api_token": [0]}, sans connaître de jeton d’API valide. Corrigé dans 12.68.0 et 13.29.0, avec le correctif également présent dans le tag 11.56.1. Une preuve de concept publique existe depuis le 22 octobre 2026, et aucune exploitation réelle n’est connue.

Analyse approfondie

Le décodage d’une image FlashPix spécialement conçue dans Pillow 12.3.0 ou antérieur, avec olefile installé, permet à un attaquant d’exécuter des commandes ; Pillow 13.0.0 corrige CVE-2026-112398.

Analyse approfondie

Collabora classe CVE-2026-110447 comme critique, CVSS v4.0 9.2 : un attaquant non authentifié peut exécuter des commandes du système d’exploitation sous l’identité du serveur web via proxy.php de l’application Collabora Online Built-in CODE Server (richdocumentscode) pour Nextcloud, dans les versions antérieures à 26.4.303, lorsque le serveur CODE intégré est arrêté. Corrigé dans la version 26.4.303 de l’application. CISA l’a ajoutée au catalogue KEV le 23 octobre 2026, et des administrateurs signalent des attaques depuis la mi-septembre 2026.

Analyse approfondie

Sentry classe CVE-2026-114139 comme critique, CVSS v4.0 9.1 : sur les builds webpack, le SDK @sentry/nextjs ignore le middleware applicatif pour tous les chemins sous un tunnelRoute configuré, alors que la réécriture du tunnel ne traite que son chemin exact. Une requête non authentifiée peut donc atteindre une route sous le tunnel sans autorisation par le middleware. Sont affectés @sentry/nextjs de 9.36.0 à 9.47.1, les versions 10.x antérieures à 10.75.2 et les préversions 11.0.0 antérieures à 11.0.0-rc.1. Corrigé dans 9.47.2, 10.75.2 et 11.0.0-rc.1 ; aucune exploitation réelle n’est connue.