← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités activement exploitées : autres éditeurs

Les 244 entrées du catalogue KEV de la CISA dont l’éditeur compte moins de trois vulnérabilités exploitées, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi. Page 1 sur 5.

CVE-2026-110447 — Collabora Online – Built-in CODE Server : injection de commandes système Critique

  • Produit : Collabora Collabora Online – Built-in CODE Server
  • Ajoutée au catalogue : 23 octobre 2026
  • Échéance CISA : 26 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,2 (critique)
  • Probabilité d’exploitation (EPSS) : 73 %

Collabora Collabora Online – Built-in CODE Server, lorsqu'il est utilisé au sein de la plateforme NextCloud, contient une vulnérabilité d'injection de commandes système qui permet une exécution de code à distance lorsque le serveur CODE n'est pas en cours d'exécution.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · help.nextcloud.com · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-110936 — Siemens Software Center : vulnérabilité d'élément de chemin de recherche incontrôlé

  • Produit : Siemens Software Center
  • Ajoutée au catalogue : 20 octobre 2026
  • Échéance CISA : 3 novembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-427
  • Gravité : CVSS 8,4 (élevée)
  • Probabilité d’exploitation (EPSS) : 1 %

Siemens Software Center contient une vulnérabilité d'élément de chemin de recherche incontrôlé qui pourrait permettre à un attaquant local authentifié de placer une DLL spécialement conçue dans un répertoire que l'application recherche, entraînant une exécution de code arbitraire avec les privilèges de l'application affectée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · productcert.siemens.com

CVE-2026-106931 — EG Secure Solutions SiteGuard Server Edition : injection de commandes système

  • Produit : EG Secure Solutions SiteGuard Server Edition
  • Ajoutée au catalogue : 20 octobre 2026
  • Échéance CISA : 23 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 8,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 3 %

EG Secure Solutions SiteGuard Server Edition contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant d'exécuter des commandes système arbitraires avec des privilèges root ou SYSTEM sur le système exécutant le produit affecté.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · eg-secure.co.jp

CVE-2026-105134 — Ahsay, AhsayCBS : vulnérabilité d'injection de commandes Critique

  • Produit : Ahsay AhsayCBS
  • Ajoutée au catalogue : 14 octobre 2026
  • Échéance CISA : 17 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-77, CWE-78
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 82 %

Ahsay AhsayCBS contient une vulnérabilité d'injection de commandes qui pourrait permettre à un attaquant distant d'exécuter des commandes système d'exploitation via la manipulation du paramètre 'random' dans le point de terminaison /rps/api/json/UpdateReceivers.do du composant Replication Receiver. Cette vulnérabilité peut être chaînée avec CVE-2026-105133.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · ahsay.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-105133 — Ahsay, AhsayCBS : vulnérabilité d'authentification incorrecte

  • Produit : Ahsay AhsayCBS
  • Ajoutée au catalogue : 14 octobre 2026
  • Échéance CISA : 17 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-287
  • Gravité : CVSS 6,9 (moyenne)
  • Probabilité d’exploitation (EPSS) : 79 %

Ahsay AhsayCBS contient une vulnérabilité d'authentification incorrecte qui pourrait permettre à un attaquant distant de contourner l'authentification via la manipulation du paramètre aléatoire dans la fonction checkSysPwd du composant API. Cette vulnérabilité peut être chaînée avec CVE-2026-105134.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · ahsay.com

CVE-2023-22894 — Strapi : stockage en clair d'informations sensibles

  • Produit : Strapi Strapi
  • Ajoutée au catalogue : 8 octobre 2026
  • Échéance CISA : 11 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-312
  • Gravité : CVSS 4,9 (moyenne)
  • Probabilité d’exploitation (EPSS) : 4 %

Strapi contient une vulnérabilité de stockage en clair d'informations sensibles qui pourrait permettre à des attaquants ayant accès au panneau d'administration de découvrir des détails d'utilisateur sensibles via le filtre de requête. le(s) produit(s) impacté(s) pourrait être en fin de vie (eol) et/ou en fin de service (eos). il est conseillé aux utilisateurs de cesser d'utiliser et/ou de migrer vers une version prise en charge. cette vulnérabilité peut être chaînée avec CVE-2023-22621 pour obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

CVE-2021-3199 — ONLYOFFICE Docs : vulnérabilité de traversée de répertoires Critique

  • Produit : ONLYOFFICE Docs
  • Ajoutée au catalogue : 8 octobre 2026
  • Échéance CISA : 11 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 30 %

ONLYOFFICE Docs contient une vulnérabilité de traversée de répertoires qui peut se produire lorsque JWT est utilisé, via une séquence /.. dans un paramètre de téléversement d'image et pourrait permettre une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2015-5477 — ISC BIND : erreurs de traitement des données

  • Produit : ISC BIND
  • Ajoutée au catalogue : 8 octobre 2026
  • Échéance CISA : 11 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-19
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 100 %

ISC BIND contient une vulnérabilité d'erreurs de traitement des données qui pourrait permettre à des attaquants distants de provoquer un déni de service via des requêtes TKEY.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · access.redhat.com · supportportal.juniper.net

CVE-2015-3306 — ProFTPD : vulnérabilité de contrôle d'accès incorrect Critique

  • Produit : ProFTPD ProFTPD
  • Ajoutée au catalogue : 8 octobre 2026
  • Échéance CISA : 11 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-284
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %

ProFTPD contient une vulnérabilité de contrôle d'accès incorrect qui pourrait permettre à des attaquants distants de lire et d'écrire dans des fichiers arbitraires via les commandes site cpfr et site cpto.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · lists.debian.org · lists.opensuse.org

Fiche détaillée : versions, références, chronologie →

CVE-2026-102490 — Zammad : gestion incorrecte des privilèges

  • Produit : Zammad GmbH Zammad
  • Ajoutée au catalogue : 2 octobre 2026
  • Échéance CISA : 5 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-269
  • Gravité : CVSS 9,4 (critique)
  • Probabilité d’exploitation (EPSS) : 11 %

Zammad GmbH Zammad contient une vulnérabilité de gestion incorrecte des privilèges qui peut permettre à l'utilisateur local zammad d'élever ses privilèges à root. Cette vulnérabilité peut être chaînée avec CVE-2026-102489.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · zammad.com · community.zammad.org

CVE-2026-102489 — Zammad : vulnérabilité de fixation de session

  • Produit : Zammad GmbH Zammad
  • Ajoutée au catalogue : 2 octobre 2026
  • Échéance CISA : 5 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-384
  • Gravité : CVSS 9,4 (critique)
  • Probabilité d’exploitation (EPSS) : 22 %

Zammad GmbH Zammad contient une vulnérabilité de fixation de session qui peut conduire à une exécution de code à distance en tant qu'utilisateur zammad. Cette vulnérabilité peut être chaînée avec CVE-2026-102490.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · zammad.com · community.zammad.org

CVE-2026-5430 — WSO2, plusieurs produits : vulnérabilité de traversée de répertoires Critique

  • Produit : WSO2 Multiple Products
  • Ajoutée au catalogue : 24 septembre 2026
  • Échéance CISA : 27 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-347
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 22 %

WSO2 API Control Plane, API Manager, Traffic Manager & Universal Gateway contiennent une vulnérabilité de traversée de répertoires qui pourrait permettre un téléversement de fichiers sans restriction et conduire à une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · security.docs.wso2.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-87886 — Acronis Backup : vulnérabilité de permissions par défaut incorrectes

  • Produit : Acronis Backup
  • Ajoutée au catalogue : 16 septembre 2026
  • Échéance CISA : 19 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-276
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 0 %

Le plugin Acronis Backup pour cPanel & WHM et l'extension pour Plesk contiennent une vulnérabilité de permissions par défaut incorrectes qui pourrait permettre une élévation de privilèges.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · security-advisory.acronis.com

CVE-2026-49869 — Kestra OSS : injection de commandes système Critique

  • Produit : Kestra Kestra OSS
  • Ajoutée au catalogue : 2 septembre 2026
  • Échéance CISA : 5 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78, CWE-184, CWE-287, CWE-918
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 2 %

Kestra OSS contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant distant non authentifié de créer et d'exécuter des workflows arbitraires sans identifiants.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2026-48710 — Kludex Starlette : vulnérabilité de smuggling de requêtes/réponses HTTP

  • Produit : Kludex Starlette
  • Ajoutée au catalogue : 2 septembre 2026
  • Échéance CISA : 16 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-444
  • Gravité : CVSS 6,5 (moyenne)
  • Probabilité d’exploitation (EPSS) : 70 %

Kludex Starlette contient une vulnérabilité de smuggling de requêtes/réponses HTTP qui pourrait permettre aux attaquants d'injecter des chemins dans la partie hôte, préfixant le chemin réel menant à des problèmes tels que le contournement de l'authentification lorsque l'authentification dépend du chemin de l'url reconstruit. Cette vulnérabilité pourrait être liée à CVE-2026-42271.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

CVE-2023-49105 — ownCloud : vulnérabilité d'authentification incorrecte Critique

  • Produit : ownCloud ownCloud
  • Ajoutée au catalogue : 27 août 2026
  • Échéance CISA : 30 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-287
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 43 %

OwnCloud contient une vulnérabilité d'authentification incorrecte qui permet à un attaquant d'accéder, de modifier ou de supprimer n'importe quel fichier sans authentification si le nom d'utilisateur d'une victime est connu et que la victime n'a pas de clé de signature configurée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · owncloud.org · owncloud.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-23758 — Ajax.NET Professional : désérialisation de données non fiables Critique

  • Produit : Ajax.NET Professional Ajax.NET Professional
  • Ajoutée au catalogue : 26 août 2026
  • Échéance CISA : 9 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 83 %
  • Technologie : .NET

Ajax.NET Professional (AjaxPro) contient une vulnérabilité de désérialisation de données non fiables qui pourrait permettre une exécution de code à distance via des classes .NET arbitraires. Le(s) produit(s) impacté(s) pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Il est conseillé aux utilisateurs de cesser son utilisation et/ou de migrer vers une version supportée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2026-60004 — Gitea : vulnérabilité d'injection de code Critique

  • Produit : Gitea Gitea
  • Ajoutée au catalogue : 25 août 2026
  • Échéance CISA : 28 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 24 %

Gitea contient une vulnérabilité d'injection de code qui permet à un attaquant disposant d'un accès d'écriture au dépôt d'envoyer un patch malveillant à l'endpoint diffpatch pour planter un hook Git exécutable et exécuter des commandes shell en tant que compte de service Gitea.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-64849 — MLflow : vulnérabilité de falsification de requêtes côté serveur Critique

  • Produit : MLflow MLflow
  • Ajoutée au catalogue : 19 août 2026
  • Échéance CISA : 2 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-918
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 10 %

MLflow contient une vulnérabilité de falsification de requêtes côté serveur qui peut permettre aux attaquants d'accéder à des services de métadonnées internes ou cloud et de recevoir response_status et response_body.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-62593 — Ray-Project Ray : vulnérabilité d'injection de code

  • Produit : Ray-Project Ray
  • Ajoutée au catalogue : 17 août 2026
  • Échéance CISA : 20 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94, CWE-352
  • Gravité : CVSS 9,4 (critique)
  • Probabilité d’exploitation (EPSS) : 60 %

Ray-Project Ray contient une vulnérabilité d'injection de code qui pourrait permettre une exécution de code à distance. Les développeurs utilisant Ray comme outil de développement peuvent être exposés à cette vulnérabilité exploitable via Firefox et Safari.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com · github.com

CVE-2026-72898 — Metabase : vulnérabilité d'injection SQL Critique

  • Produit : Metabase Metabase
  • Ajoutée au catalogue : 11 août 2026
  • Échéance CISA : 14 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-89
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %

Metabase contient une vulnérabilité d'injection SQL qui permet à un attaquant distant non authentifié d'injecter du SQL arbitraire dans la base de données de l'application Metabase, ce qui peut lui donner un accès administrateur à l'instance. À partir de là, l'attaquant pourrait modifier la configuration de l'application, voler les identifiants stockés pour les bases de données connectées, lire toutes les données accessibles via ces connexions et exporter des données.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · metabase.com · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-27137 — DD-WRT : dépassement de tampon basé sur la pile

  • Produit : DD-WRT DD-WRT
  • Ajoutée au catalogue : 21 juillet 2026
  • Échéance CISA : 24 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-121
  • Gravité : CVSS 8,1 (élevée)
  • Probabilité d’exploitation (EPSS) : 4 %

DD-WRT contient une vulnérabilité de dépassement de tampon basé sur la pile qui pourrait permettre à un attaquant non authentifié de déborder un tampon interne utilisé par UPnP et de déclencher une vulnérabilité d'exécution de code.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

CVE-2023-4346 — KNX Association, KNX Protocol Connection Authorization Option 1 : mécanisme de verrouillage de compte trop restrictif

  • Produit : KNX Association KNX Protocol Connection Authorization Option 1
  • Ajoutée au catalogue : 15 juillet 2026
  • Échéance CISA : 29 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-645
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 1 %

KNX Association KNX Protocol Connection Authorization Option 1 contient une vulnérabilité de mécanisme de verrouillage de compte trop restrictif qui pourrait permettre à un attaquant d'effacer tous les appareils sans options de sécurité supplémentaires activées et de définir une clé BCU pour verrouiller l'appareil.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

CVE-2026-56291 — Balbooa Forms : téléversement de fichiers non restreint avec type dangereux Critique

  • Produit : Balbooa Forms
  • Ajoutée au catalogue : 10 juillet 2026
  • Échéance CISA : 13 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 15 %

Balbooa Forms contient une vulnérabilité de téléversement de fichier non restreint avec type dangereux qui permet un téléversement de fichier arbitraire non authentifié, ce qui pourrait permettre le téléversement de fichiers exécutables menant à une exécution de code à distance complète (RCE).

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · balbooa.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-48939 — iCagenda : téléversement non restreint de fichiers de type dangereux Critique

  • Produit : iCagenda iCagenda
  • Ajoutée au catalogue : 10 juillet 2026
  • Échéance CISA : 13 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 20 %

ICagenda contient une vulnérabilité de téléversement non restreint de fichiers de type dangereux qui permet le téléversement de fichiers arbitraires dans la fonctionnalité de pièce jointe, aboutissant finalement au téléversement et à l'exécution de code PHP.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · icagenda.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-56290 — Joomlack Page Builder : vulnérabilité de contrôle d'accès incorrect Critique

  • Produit : Joomlack Page Builder
  • Ajoutée au catalogue : 7 juillet 2026
  • Échéance CISA : 10 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-284
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 31 %

Joomlack Page Builder contient une vulnérabilité de contrôle d'accès incorrect qui pourrait permettre une exécution de code à distance via un téléversement de fichier arbitraire non authentifié.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · joomlack.fr

Fiche détaillée : versions, références, chronologie →

CVE-2026-48908 — JoomShaper SP Page Builder : téléversement non restreint de fichiers avec type dangereux Critique

  • Produit : JoomShaper SP Page Builder
  • Ajoutée au catalogue : 7 juillet 2026
  • Échéance CISA : 10 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 89 %

JoomShaper SP Page Builder contient une vulnérabilité de téléversement de fichiers non restreint avec type dangereux qui permet aux utilisateurs non authentifiés de téléverser des fichiers arbitraires, ce qui aboutit finalement au téléversement et à l'exécution de code PHP.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · extensions.joomla.org

Fiche détaillée : versions, références, chronologie →

CVE-2026-12569 — PTC Windchill et FlexPLM : validation incorrecte des entrées Critique

  • Produit : PTC Windchill and FlexPLM
  • Ajoutée au catalogue : 25 juin 2026
  • Échéance CISA : 28 juin 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-20, CWE-502
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 46 %

PTC Windchill et FlexPLM contient une vulnérabilité de validation incorrecte des entrées permettant à un attaquant distant non authentifié d'exécuter du code arbitraire en envoyant une requête malveillante sur le réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · ptc.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-67038 — Lantronix EDS5000 : vulnérabilité d'injection de code Critique

  • Produit : Lantronix EDS5000
  • Ajoutée au catalogue : 23 juin 2026
  • Échéance CISA : 26 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78, CWE-94
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 20 %

Lantronix EDS5000 contient une vulnérabilité d'injection de code qui pourrait permettre à des attaquants d'injecter des commandes système arbitraires dans le paramètre de nom d'utilisateur. Les commandes injectées sont exécutées avec des privilèges root.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · ltrxdev.atlassian.net

Fiche détaillée : versions, références, chronologie →

CVE-2026-20253 — Splunk Enterprise : vulnérabilité d'absence d'authentification pour une fonction critique Critique

  • Produit : Splunk Enterprise
  • Ajoutée au catalogue : 18 juin 2026
  • Échéance CISA : 21 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-306
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 97 %

Splunk Enterprise contient une vulnérabilité d'absence d'authentification pour une fonction critique qui pourrait permettre à un utilisateur non authentifié de créer ou de tronquer des fichiers arbitraires via un point de terminaison de service annexe PostgreSQL.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · advisory.splunk.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-48907 — Widget Factory Joomla Content Editor : vulnérabilité de contrôle d'accès incorrect Critique

  • Produit : Widget Factory Joomla Content Editor
  • Ajoutée au catalogue : 16 juin 2026
  • Échéance CISA : 19 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-284
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 85 %

Widget Factory Joomla Content Editor contient une vulnérabilité de contrôle d'accès incorrect qui pourrait permettre le téléversement et l'exécution de code PHP via la création de nouveaux profils d'éditeur pour des utilisateurs non authentifiés.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · joomlacontenteditor.net · joomlacontenteditor.net

Fiche détaillée : versions, références, chronologie →

CVE-2026-54420 — LiteSpeed cPanel Plugin : vulnérabilité de suivi de lien symbolique UNIX

  • Produit : LiteSpeed cPanel Plugin
  • Ajoutée au catalogue : 15 juin 2026
  • Échéance CISA : 18 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-61
  • Gravité : CVSS 8,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 1 %

Le plugin LiteSpeed cPanel contient une vulnérabilité de suivi de lien symbolique UNIX (Symlink) qui pourrait permettre à un utilisateur disposant d'un accès FTP ou d'un shell web sur un serveur d'hébergement mutualisé exécutant CloudLinux/CageFS.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · blog.litespeedtech.com

CVE-2026-45247 — Mirasvit Full Page Cache Warmer : désérialisation de données non fiables Critique

  • Produit : Mirasvit Mirasvit Full Page Cache Warmer
  • Ajoutée au catalogue : 3 juin 2026
  • Échéance CISA : 6 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 26 %

Mirasvit Full Page Cache Warmer contient une vulnérabilité de désérialisation de données non fiables qui pourrait permettre à des attaquants non authentifiés d'obtenir une exécution de code à distance en fournissant un objet PHP sérialisé élaboré dans le cookie CacheWarmer.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · mirasvit.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-8398 — Daemon Tools Lite : vulnérabilité de code malveillant intégré Critique

  • Produit : Daemon Daemon Tools Lite
  • Ajoutée au catalogue : 27 mai 2026
  • Échéance CISA : 30 mai 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-506
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 1 %

Daemon tools contient une vulnérabilité non spécifiée qui a un impact élevé sur la confidentialité, l'intégrité et la disponibilité.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · blog.daemon-tools.cc

Fiche détaillée : versions, références, chronologie →

CVE-2026-48027 — Nx Console : vulnérabilité de code malveillant intégré Critique

  • Produit : Nx Nx Console
  • Ajoutée au catalogue : 27 mai 2026
  • Échéance CISA : 10 juin 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-506
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 2 %

Nx Console contient une vulnérabilité de code malveillant intégré qui a permis la publication d'une version malveillante de Nx Console. L'extension compromise a récupéré une charge utile obscurcie qui pouvait récolter des identifiants à partir de plusieurs sources sur disque et en mémoire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2026-45321 — TanStack : vulnérabilité non spécifiée

  • Produit : TanStack TanStack
  • Ajoutée au catalogue : 27 mai 2026
  • Échéance CISA : 10 juin 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,6 (critique)
  • Probabilité d’exploitation (EPSS) : 3 %

TanStack contient une vulnérabilité non spécifiée qui a permis à des versions malveillantes du produit d'être publiées sur le registre npm pour publier des logiciels malveillants de vol d'identifiants sous une identité de confiance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2026-48172 — LiteSpeed cPanel Plugin : vulnérabilité d'élévation de privilèges Critique

  • Produit : LiteSpeed cPanel Plugin
  • Ajoutée au catalogue : 26 mai 2026
  • Échéance CISA : 29 mai 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-266
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 18 %

Le LiteSpeed cPanel Plugin contient une vulnérabilité d'élévation de privilèges qui est exposée via le plugin cPanel côté utilisateur, et qui peut être abusée par n'importe quel compte utilisateur cPanel pour exécuter des scripts arbitraires avec des privilèges root.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · blog.litespeedtech.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-41940 — WebPros, cPanel & WHM et WP2 : vulnérabilité de contournement d'authentification pour une fonction critique Critique

  • Produit : WebPros cPanel & WHM and WP2 (WordPress Squared)
  • Ajoutée au catalogue : 30 avril 2026
  • Échéance CISA : 3 mai 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-306
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %
  • Technologie : WordPress

WebPros cPanel & WHM (WebHost Manager) et WP2 (WordPress Squared) contiennent une vulnérabilité de contournement d'authentification dans le flux de connexion qui permet à des attaquants distants non authentifiés d'obtenir un accès non autorisé au panneau de contrôle.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.cpanel.net · docs.cpanel.net · docs.wpsquared.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-39987 — Marimo : vulnérabilité d'exécution de code à distance Critique

  • Produit : Marimo Marimo
  • Ajoutée au catalogue : 23 avril 2026
  • Échéance CISA : 7 mai 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-306
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

Marimo contient une vulnérabilité d'exécution de code à distance avant autorisation, permettant à un attaquant non authentifié d'obtenir un accès shell et d'exécuter des commandes système arbitraires.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-32975 — Quest KACE Systems Management Appliance (SMA) : vulnérabilité d'authentification incorrecte Critique

  • Produit : Quest KACE Systems Management Appliance (SMA)
  • Ajoutée au catalogue : 20 avril 2026
  • Échéance CISA : 4 mai 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-287
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 2 %

Quest KACE Systems Management Appliance (SMA) contient une vulnérabilité d'authentification incorrecte qui pourrait permettre à des attaquants d'usurper l'identité d'utilisateurs légitimes sans informations d'identification valides.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.quest.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-33634 — Aquasecurity Trivy : vulnérabilité de code malveillant intégré

  • Produit : Aquasecurity Trivy
  • Ajoutée au catalogue : 26 mars 2026
  • Échéance CISA : 9 avril 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-506
  • Gravité : CVSS 9,4 (critique)
  • Probabilité d’exploitation (EPSS) : 60 %

Aquasecurity Trivy contient une vulnérabilité de code malveillant intégré qui pourrait permettre à un attaquant d'accéder à tout dans l'environnement CI/CD, y compris tous les jetons, clés SSH, identifiants cloud, mots de passe de base de données et toute configuration sensible en mémoire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2025-47813 — Wing FTP Server : divulgation d'informations

  • Produit : Wing FTP Server Wing FTP Server
  • Ajoutée au catalogue : 16 mars 2026
  • Échéance CISA : 30 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-209
  • Gravité : CVSS 4,3 (moyenne)
  • Probabilité d’exploitation (EPSS) : 63 %

Wing FTP Server contient une vulnérabilité de génération de message d'erreur contenant des informations sensibles lors de l'utilisation d'une valeur longue dans le cookie UID.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · wftpserver.com

CVE-2025-68613 — n8n Improper Control of Dynamically-Managed Code Resources Vulnerability

  • Produit : n8n n8n
  • Ajoutée au catalogue : 11 mars 2026
  • Échéance CISA : 25 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-913
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 99 %

n8n contains an improper control of dynamically managed code resources vulnerability in its workflow expression evaluation system that allows for remote code execution.

Action requise : Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Traduction en cours : texte original de la CISA.

Références : NVD · CISA · github.com

CVE-2021-22054 — Omnissa Workspace One UEM : falsification de requêtes côté serveur

  • Produit : Omnissa Workspace One UEM
  • Ajoutée au catalogue : 9 mars 2026
  • Échéance CISA : 23 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-918
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 100 %

Omnissa Workspace One UEM, anciennement connu sous le nom de VMware Workspace One UEM, contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui pourrait permettre à un acteur malveillant ayant un accès réseau à UEM d'envoyer ses requêtes sans authentification et d'accéder à des informations sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · web.archive.org

CVE-2021-22681 — Rockwell, plusieurs produits : vulnérabilité de crédentiels insuffisamment protégés Critique

  • Produit : Rockwell Multiple Products
  • Ajoutée au catalogue : 5 mars 2026
  • Échéance CISA : 26 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-522
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 64 %

Plusieurs produits Rockwell contiennent une vulnérabilité de crédentiels insuffisamment protégés. Le logiciel Studio 5000 Logix Designer peut permettre la découverte d'une clé. Cette clé est utilisée pour vérifier que les contrôleurs Logix communiquent avec le logiciel de conception Rockwell Automation. Si elle est exploitée avec succès, cette vulnérabilité pourrait permettre à une application non autorisée de se connecter aux contrôleurs Logix. Pour tirer parti de cette vulnérabilité, un utilisateur non autorisé nécessiterait un accès réseau au contrôleur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.rockwellautomation.com

Fiche détaillée : versions, références, chronologie →

CVE-2017-7921 — Hikvision, plusieurs produits : vulnérabilité d'authentification incorrecte Critique

  • Produit : Hikvision Multiple Products
  • Ajoutée au catalogue : 5 mars 2026
  • Échéance CISA : 26 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-287
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

Plusieurs produits Hikvision contiennent une vulnérabilité d'authentification incorrecte qui pourrait permettre à un utilisateur malveillant d'élever les privilèges sur le système et d'accéder à des informations sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · hikvision.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-25108 — Soliton Systems K.K FileZen : injection de commandes système

  • Produit : Soliton Systems K.K FileZen
  • Ajoutée au catalogue : 24 février 2026
  • Échéance CISA : 17 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 8,7 (élevée)
  • Probabilité d’exploitation (EPSS) : 5 %

Soliton Systems K.K FileZen contient une vulnérabilité d'injection de commandes système lorsqu'un utilisateur se connecte au produit affecté et envoie une requête HTTP spécialement élaborée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · jvn.jp

CVE-2026-22769 — Dell RecoverPoint for Virtual Machines (RP4VMs) : utilisation d'identifiants codés en dur Critique

  • Produit : Dell RecoverPoint for Virtual Machines (RP4VMs)
  • Ajoutée au catalogue : 18 février 2026
  • Échéance CISA : 21 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-798
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 14 %

Dell RecoverPoint for Virtual Machines (RP4VMs) contient une vulnérabilité d'utilisation d'identifiants codés en dur qui pourrait permettre à un attaquant distant non authentifié d'obtenir un accès non autorisé au système d'exploitation sous-jacent et une persistance au niveau root.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · dell.com · dell.com · cloud.google.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-7694 — TeamT5 ThreatSonar Anti-Ransomware : téléversement de fichier sans restriction avec type dangereux

  • Produit : TeamT5 ThreatSonar Anti-Ransomware
  • Ajoutée au catalogue : 17 février 2026
  • Échéance CISA : 10 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 7,2 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %

TeamT5 ThreatSonar Anti-Ransomware contient une vulnérabilité de téléversement de fichier sans restriction avec type dangereux. ThreatSonar Anti-Ransomware ne valide pas correctement le contenu des fichiers téléversés. Des attaquants distants disposant de privilèges administrateur sur la plateforme du produit peuvent téléverser des fichiers malveillants, qui peuvent être utilisés pour exécuter des commandes système arbitraires sur le serveur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · teamt5.org · twcert.org.tw

CVE-2025-15556 — Notepad++ : téléchargement de code sans vérification d'intégrité

  • Produit : Notepad++ Notepad++
  • Ajoutée au catalogue : 12 février 2026
  • Échéance CISA : 5 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-494
  • Gravité : CVSS 7,7 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %

Notepad++ contient une vulnérabilité de téléchargement de code sans vérification d'intégrité lors de l'utilisation de l'actualiseur WinGUp, qui pourrait permettre à un attaquant d'intercepter ou de rediriger le trafic de mise à jour pour télécharger et exécuter un installateur contrôlé par l'attaquant. Cela pourrait entraîner une exécution de code arbitraire avec les privilèges de l'utilisateur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · notepad-plus-plus.org · community.notepad-plus-plus.org

← Retour au suivi KEV · télécharger tout le catalogue (CSV)