#security

Analyse approfondie

Les passages à WebSocket refusés via le middleware Proxy d’Echo laissent un tunnel brut ouvert vers le serveur en amont. Les requêtes HTTP suivantes sur cette connexion évitent le routeur et les middlewares de route d’Echo, contournant ainsi l’authentification imposée uniquement sur ses routes. La GitHub Advisory Database classe la faille comme critique, CVSS v4.0 9.1, tandis qu’Echo la classe comme modérée. Corrigé dans v4.16.1 et v5.4.1, publiés le 22 octobre 2026. Aucune preuve de concept publique ni exploitation réelle n’est connue.

Analyse approfondie

Laravel classe CVE-2026-114509 comme critique, CVSS v4.0 9.2 : un attaquant non authentifié peut se connecter sous l’identité d’un utilisateur existant du garde d’API historique token sur MySQL ou MariaDB en envoyant un corps JSON tel que {"api_token": [0]}, sans connaître de jeton d’API valide. Corrigé dans 12.68.0 et 13.29.0, avec le correctif également présent dans le tag 11.56.1. Une preuve de concept publique existe depuis le 22 octobre 2026, et aucune exploitation réelle n’est connue.

Analyse approfondie

Le décodage d’une image FlashPix spécialement conçue dans Pillow 12.3.0 ou antérieur, avec olefile installé, permet à un attaquant d’exécuter des commandes ; Pillow 13.0.0 corrige CVE-2026-112398.

Analyse approfondie

Collabora classe CVE-2026-110447 comme critique, CVSS v4.0 9.2 : un attaquant non authentifié peut exécuter des commandes du système d’exploitation sous l’identité du serveur web via proxy.php de l’application Collabora Online Built-in CODE Server (richdocumentscode) pour Nextcloud, dans les versions antérieures à 26.4.303, lorsque le serveur CODE intégré est arrêté. Corrigé dans la version 26.4.303 de l’application. CISA l’a ajoutée au catalogue KEV le 23 octobre 2026, et des administrateurs signalent des attaques depuis la mi-septembre 2026.

Analyse approfondie

Sentry classe CVE-2026-114139 comme critique, CVSS v4.0 9.1 : sur les builds webpack, le SDK @sentry/nextjs ignore le middleware applicatif pour tous les chemins sous un tunnelRoute configuré, alors que la réécriture du tunnel ne traite que son chemin exact. Une requête non authentifiée peut donc atteindre une route sous le tunnel sans autorisation par le middleware. Sont affectés @sentry/nextjs de 9.36.0 à 9.47.1, les versions 10.x antérieures à 10.75.2 et les préversions 11.0.0 antérieures à 11.0.0-rc.1. Corrigé dans 9.47.2, 10.75.2 et 11.0.0-rc.1 ; aucune exploitation réelle n’est connue.

Analyse approfondie

CVE-2026-115889 est une évasion critique du bac à sable Wasmtime : Cranelift compacte des indices dans des champs de 24 bits qu'un module conçu pour l'attaque fait déborder. Corrigée dans 36.0.19 et 43.0.0.

Analyse approfondie

Vercel classe GHSA-2464-fhr4-w9xw comme critique, CVSS v4.0 9.5 : un attaquant non authentifié peut exécuter du code sur un serveur Next.js 10.0.0–15.5.27 ou 16.0.0–16.4.0 dont l'API d'optimisation d'images traite des SVG sous Linux avec glibc. La faille est une utilisation après libération dans librsvg (CVE-2026-96889), embarqué dans les binaires précompilés de sharp. Next.js 15.5.28 et 16.4.1 la corrigent sous Node.js 20.9.0 ou ultérieur en résolvant sharp 0.35.5, qui embarque librsvg 2.63.2 corrigé.

Analyse approfondie

GHSA-673q-mjm6-r5xr est classée critique, CVSS v4.0 9.5, dans la GitHub Advisory Database : un attaquant non authentifié peut exécuter du code sur un serveur Next.js 16 utilisant App Router avec Cache Components et une fonction use cache renvoyant plusieurs tableaux typés. L’examen de la base classe la faille comme une désérialisation de données non fiables (CWE-502) dans le protocole de transport React Server Components embarqué par Next.js. Corrigé dans Next.js 16.4.1, sans solution de contournement disponible.

Analyse approfondie

DOMPurify 3.4.4–3.4.16 laisse des expressions ${...} fragmentées survivre à SAFE_FOR_TEMPLATES dans les racines shadow attachées (critique, CVSS v4.0 9.2). Mettez à jour vers 3.4.17.

Sécurité

Ostorlab vs MobSF (Mobile Security Framework) pour tester la sécurité des applications mobiles : analyse statique et dynamique, prérequis matériels, preuve d'exploitation, tests authentifiés, intégrations, déploiement et coût, avec des alternatives et une FAQ.