#RCE

Analyse approfondie

Un saut de ligne dans une clé de métadonnées PDF exécute du Perl sur les Gotenberg non authentifiés avant 8.31.0 ; faille exploitée par sept groupes.

Analyse approfondie

RCE non authentifiée dans PeopleTools 8.61 et 8.62 via une chaîne SSRF vers PSEMHUB : exploitée comme zéro-day par ShinyHunters, corrigée le 10 juin.

Analyse approfondie

Le service gRPC non authentifié de FortiSIEM 7.5.0 sur TCP 27918 permet d’écraser des fichiers pour exécuter du code à distance ; corrigé en 7.5.1, PoC publique, aucune exploitation connue.

Analyse approfondie

PAN-OS exploité ; à part, une chaîne a pris root sur 25 serveurs via des pare-feu d'un éditeur non nommé : RCE PHP corrigée en 8.5.12, 8.4.27, 8.3.36, 8.2.35.

Analyse approfondie

GHSA-673q-mjm6-r5xr est classée critique, CVSS v4.0 9.5, dans la GitHub Advisory Database : un attaquant non authentifié peut exécuter du code sur un serveur Next.js 16 utilisant App Router avec Cache Components et une fonction use cache renvoyant plusieurs tableaux typés. L’examen de la base classe la faille comme une désérialisation de données non fiables (CWE-502) dans le protocole de transport React Server Components embarqué par Next.js. Corrigé dans Next.js 16.4.1, sans solution de contournement disponible.

Sécurité

Une analyse technique de CVE-2026-44109, une vulnérabilité critique de contournement de l'authentification (CVSS 9,2) dans OpenClaw (< 2026.4.15). Deux inversions logiques en fail-open dans le plugin Feishu/Lark permettent à un attaquant non authentifié d'injecter des événements arbitraires et d'obtenir une RCE complète sur la machine hôte.

Sécurité

Une analyse technique de la CVE-2026-26720, une vulnérabilité critique d'exécution de code à distance (RCE) authentifiée avec un score CVSS de 9,8 dans Twenty CRM (≤ v1.15.0). Tout membre d'un espace de travail peut créer et exécuter des fonctions serverless sans sandbox disposant d'un accès complet à process.env, exposant APP_SECRET, PG_DATABASE_URL et tous les identifiants côté serveur. Combiné à des workflows déclenchés par webhook exposés via PublicEndpointGuard, un attaquant authentifié peut installer une porte dérobée RCE permanente non authentifiée accessible depuis n'importe où sur Internet.

Sécurité

Analyse technique de CVE-2026-27971, une vulnérabilité critique d'exécution de code à distance non authentifiée (CVSS 9.2) dans Qwik (< 1.19.1). La désérialisation non sécurisée dans le flux RPC de server$ permet de reconstruire des objets QRL contrôlés par l'attaquant à partir de requêtes application/qwik-json, ce qui autorise la résolution d'un chemin de module et d'un symbole arbitraires et, lorsque require() est disponible, l'exécution de code à distance via l'invocation d'une fonction côté serveur forgée.

Sécurité

Analyse technique de la CVE-2026-2599, une vulnérabilité critique d'injection d'objets PHP non authentifiée (CVSS 9,8) dans l'extension WordPress « Contact Form Entries » (≤ 1.4.7). La fonction download_csv désérialise des entrées utilisateur non fiables sans restriction allowed_classes. Combinée avec WordPress 6.4.0-6.4.1, la classe native WP_HTML_Token fournit une chaîne POP entièrement publique menant à une exécution de code à distance (RCE) complète via deux requêtes HTTP non authentifiées.

Sécurité

Analyse de GHSA-cr3w-cw5w-h3fj, une vulnérabilité critique XSS-vers-RCE de score CVSS 9.7 dans Saltcorn (≤ 1.5.0-beta.19). Deux failles enchaînées, un XSS réfléchi dans les paramètres de route et une injection de commandes dans la génération des sauvegardes, permettent l'exécution de code à distance via le phishing d'un administrateur.