← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités activement exploitées : autres éditeurs

Les 244 entrées du catalogue KEV de la CISA dont l’éditeur compte moins de trois vulnérabilités exploitées, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi. Page 2 sur 5.

CVE-2025-11953 — React Native Community CLI : injection de commandes système Critique

  • Produit : React Native Community CLI
  • Ajoutée au catalogue : 5 février 2026
  • Échéance CISA : 26 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 94 %

Le cli de react native community contient une vulnérabilité d'injection de commandes système qui pourrait permettre à des attaquants réseau non authentifiés d'envoyer des requêtes post au metro development server et d'exécuter des exécutables arbitraires via un point de terminaison vulnérable exposé par le serveur. sous windows, les attaquants peuvent également exécuter des commandes shell arbitraires avec des arguments entièrement contrôlés.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-54313 — Prettier, eslint-config-prettier : vulnérabilité de code malveillant intégré

  • Produit : Prettier eslint-config-prettier
  • Ajoutée au catalogue : 22 janvier 2026
  • Échéance CISA : 12 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-506
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 5 %

Prettier eslint-config-prettier contient une vulnérabilité de code malveillant intégré. L'installation d'un paquet affecté exécute un fichier install.js qui lance le malware node-gyp.dll sur Windows.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

CVE-2025-34026 — Versa Concerto : vulnérabilité d'authentification incorrecte Critique

  • Produit : Versa Concerto
  • Ajoutée au catalogue : 22 janvier 2026
  • Échéance CISA : 12 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-288
  • Gravité : CVSS 9,2 (critique)
  • Probabilité d’exploitation (EPSS) : 82 %

La plateforme d'orchestration SD-WAN Versa Concerto contient une vulnérabilité d'authentification incorrecte dans la configuration du proxy inverse Traefik, permettant à un attaquant d'accéder aux points de terminaison administratifs. le point de terminaison Actuator interne peut être exploité pour accéder aux dumps de tas et aux journaux de trace.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · security-portal.versa-networks.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-31125 — Vitejs : vulnérabilité de contrôle d'accès incorrect

  • Produit : Vite Vitejs
  • Ajoutée au catalogue : 22 janvier 2026
  • Échéance CISA : 12 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-200, CWE-284
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 75 %

Vite Vitejs contient une vulnérabilité de contrôle d'accès incorrect qui expose le contenu de fichiers non autorisés en utilisant ?inline&import ou ?raw?import. Seules les applications exposant explicitement le serveur de développement Vite au réseau (en utilisant --host ou l'option de configuration server.host) sont affectées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2025-8110 — Gogs : vulnérabilité de traversée de répertoires

  • Produit : Gogs Gogs
  • Ajoutée au catalogue : 12 janvier 2026
  • Échéance CISA : 2 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 8,7 (élevée)
  • Probabilité d’exploitation (EPSS) : 85 %

Gogs contient une vulnérabilité de traversée de répertoires affectant la gestion incorrecte des liens symboliques dans l'API PutContents qui pourrait permettre une exécution de code.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

CVE-2025-37164 — Hewlett Packard Enterprise (HPE) OneView Code Injection Vulnerability Critique

  • Produit : Hewlett Packard Enterprise (HPE) OneView
  • Ajoutée au catalogue : 7 janvier 2026
  • Échéance CISA : 28 janvier 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 90 %

Hewlett Packard Enterprise (HPE) OneView contains a code injection vulnerability that allows a remote unauthenticated user to perform remote code execution.

Action requise : Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Traduction en cours : texte original de la CISA.

Références : NVD · CISA · support.hpe.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-14847 — MongoDB, MongoDB Server : vulnérabilité de gestion incorrecte de l'incohérence du paramètre de longueur

  • Produit : MongoDB MongoDB and MongoDB Server
  • Ajoutée au catalogue : 29 décembre 2025
  • Échéance CISA : 19 janvier 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-130
  • Gravité : CVSS 8,7 (élevée)
  • Probabilité d’exploitation (EPSS) : 83 %

MongoDB Server contient une vulnérabilité de gestion incorrecte de l'incohérence du paramètre de longueur dans les en-têtes de protocole compressé Zlib. Cette vulnérabilité peut permettre à un client non authentifié de lire une mémoire de tas non initialisée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-52163 — Digiever DS-2105 Pro : vulnérabilité d'autorisation manquante

  • Produit : Digiever DS-2105 Pro
  • Ajoutée au catalogue : 22 décembre 2025
  • Échéance CISA : 12 janvier 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-862
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 97 %

Digiever DS-2105 Pro contient une vulnérabilité d'autorisation manquante qui pourrait permettre une injection de commandes via time_tzsetup.cgi.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · digiever.com

CVE-2018-4063 — Sierra Wireless AirLink ALEOS : téléversement non restreint de fichier avec type dangereux

  • Produit : Sierra Wireless AirLink ALEOS
  • Ajoutée au catalogue : 12 décembre 2025
  • Échéance CISA : 2 janvier 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 27 %

Sierra Wireless AirLink ALEOS contient une vulnérabilité de téléversement non restreint de fichier avec type dangereux. Une requête HTTP spécialement conçue peut téléverser un fichier, ce qui entraîne le téléversement de code exécutable et routable, vers le serveur web. Un attaquant peut effectuer une requête HTTP authentifiée pour déclencher cette vulnérabilité. Le produit impacté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · source.sierrawireless.com · source.sierrawireless.com

CVE-2025-66644 — Array Networks ArrayOS AG : injection de commandes système Critique

  • Produit : Array Networks ArrayOS AG
  • Ajoutée au catalogue : 8 décembre 2025
  • Échéance CISA : 29 décembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 3 %

Array Networks ArrayOS AG contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant d'exécuter des commandes arbitraires.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.arraynetworks.net · jpcert.or.jp

Fiche détaillée : versions, références, chronologie →

CVE-2025-55182 — Meta React Server Components : exécution de code à distance Critique

  • Produit : Meta React Server Components
  • Ajoutée au catalogue : 5 décembre 2025
  • Échéance CISA : 12 décembre 2025
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

Meta React Server Components contient une vulnérabilité d'exécution de code à distance qui pourrait permettre une exécution de code à distance non authentifiée en exploitant une faille dans la manière dont React décode les charges utiles envoyées aux points de terminaison React Server Function. Veuillez noter que CVE-2025-66478 a été rejeté, mais il est associé à CVE-2025-55182.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-26828 — OpenPLC ScadaBR : téléversement non restreint de fichiers de type dangereux

  • Produit : OpenPLC ScadaBR
  • Ajoutée au catalogue : 3 décembre 2025
  • Échéance CISA : 24 décembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 39 %

OpenPLC ScadaBR contient une vulnérabilité de téléversement non restreint de fichier avec type dangereux qui permet aux utilisateurs authentifiés à distance de téléverser et d'exécuter des fichiers JSP arbitraires via view_edit.shtm.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2021-26829 — OpenPLC ScadaBR : vulnérabilité cross-site scripting

  • Produit : OpenPLC ScadaBR
  • Ajoutée au catalogue : 28 novembre 2025
  • Échéance CISA : 19 décembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-79
  • Gravité : CVSS 5,4 (moyenne)
  • Probabilité d’exploitation (EPSS) : 48 %

OpenPLC ScadaBR contient une vulnérabilité cross-site scripting via system_settings.shtm.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2025-48703 — CWP Control Web Panel : injection de commandes système Critique

  • Produit : CWP Control Web Panel
  • Ajoutée au catalogue : 4 novembre 2025
  • Échéance CISA : 25 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,0 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

CWP Control Web Panel (anciennement CentOS Web Panel) contient une vulnérabilité d'injection de commandes système qui permet une exécution de code à distance non authentifiée via des métacaractères de shell dans le paramètre t_total d'une requête changePerm du gestionnaire de fichiers. Un nom d'utilisateur valide non-root doit être connu.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · control-webpanel.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-24893 — XWiki Platform : vulnérabilité d'injection eval Critique

  • Produit : XWiki Platform
  • Ajoutée au catalogue : 30 octobre 2025
  • Échéance CISA : 20 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-95
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

XWiki Platform contient une vulnérabilité d'injection eval qui pourrait permettre à n'importe quel invité d'exécuter du code à distance arbitraire via une requête à SolrSearch.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-61932 — Motex LANSCOPE Endpoint Manager : vérification incorrecte de la source d'un canal de communication Critique

  • Produit : Motex LANSCOPE Endpoint Manager
  • Ajoutée au catalogue : 22 octobre 2025
  • Échéance CISA : 12 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-940
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 3 %

Motex LANSCOPE Endpoint Manager contient une vulnérabilité de vérification incorrecte de la source d'un canal de communication permettant à un attaquant d'exécuter du code arbitraire en envoyant des paquets spécialement conçus.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · motex.co.jp

Fiche détaillée : versions, références, chronologie →

CVE-2025-47827 — IGEL OS : utilisation d'une clé expirée

  • Produit : IGEL IGEL OS
  • Ajoutée au catalogue : 14 octobre 2025
  • Échéance CISA : 4 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-324
  • Gravité : CVSS 4,6 (moyenne)
  • Probabilité d’exploitation (EPSS) : 5 %

IGEL OS contient une vulnérabilité d'utilisation d'une clé après sa date d'expiration qui permet de contourner Secure Boot. Le module igel-flash-driver vérifie incorrectement une signature cryptographique. En fin de compte, un système de fichiers racine fabriqué peut être monté à partir d'une image SquashFS non vérifiée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2016-7836 — SKYSEA Client View : vulnérabilité d'authentification incorrecte Critique

  • Produit : SKYSEA Client View
  • Ajoutée au catalogue : 14 octobre 2025
  • Échéance CISA : 4 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-287
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 19 %

SKYSEA Client View contient une vulnérabilité d'authentification incorrecte qui permet une exécution de code à distance via une faille dans le traitement de l'authentification sur la connexion TCP avec le programme de console de gestion.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · skyseaclientview.net

Fiche détaillée : versions, références, chronologie →

CVE-2021-43798 — Grafana : vulnérabilité de traversée de répertoires

  • Produit : Grafana Labs Grafana
  • Ajoutée au catalogue : 9 octobre 2025
  • Échéance CISA : 30 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 89 %

Grafana contient une vulnérabilité de traversée de répertoires qui pourrait permettre l'accès à des fichiers locaux.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · grafana.com

CVE-2025-4008 — Smartbedded Meteobridge : injection de commandes

  • Produit : Smartbedded Meteobridge
  • Ajoutée au catalogue : 2 octobre 2025
  • Échéance CISA : 23 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-306, CWE-77
  • Gravité : CVSS 8,7 (élevée)
  • Probabilité d’exploitation (EPSS) : 93 %

Smartbedded Meteobridge contient une vulnérabilité d'injection de commandes qui pourrait permettre à des attaquants distants non authentifiés d'obtenir une exécution de commandes arbitraires avec des privilèges élevés (root) sur les appareils affectés.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forum.meteohub.de

CVE-2025-59689 — Libraesva Email Security Gateway : injection de commandes

  • Produit : Libraesva Email Security Gateway
  • Ajoutée au catalogue : 29 septembre 2025
  • Échéance CISA : 20 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-77
  • Gravité : CVSS 6,1 (moyenne)
  • Probabilité d’exploitation (EPSS) : 2 %

Libraesva Email Security Gateway (ESG) contient une vulnérabilité d'injection de commandes qui permet une injection de commandes via une pièce jointe de courrier électronique compressée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · docs.libraesva.com

CVE-2025-32463 — Sudo : inclusion de fonctionnalité depuis une sphère de contrôle non fiable

  • Produit : Sudo Sudo
  • Ajoutée au catalogue : 29 septembre 2025
  • Échéance CISA : 20 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-829
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 56 %

Sudo contient une vulnérabilité d'inclusion de fonctionnalité depuis une sphère de contrôle non fiable. Cette vulnérabilité pourrait permettre à un attaquant local d'utiliser l'option -R (--chroot) de sudo pour exécuter des commandes arbitraires en tant que root, même si elles ne sont pas répertoriées dans le fichier sudoers.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2021-21311 — Adminer : vulnérabilité de falsification de requêtes côté serveur

  • Produit : Adminer Adminer
  • Ajoutée au catalogue : 29 septembre 2025
  • Échéance CISA : 20 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-918
  • Gravité : CVSS 7,2 (élevée)
  • Probabilité d’exploitation (EPSS) : 98 %

Adminer contient une vulnérabilité de falsification de requêtes côté serveur qui, lorsqu'elle est exploitée, permet à un attaquant distant d'obtenir des informations potentiellement sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

CVE-2025-48384 — Git : vulnérabilité de suivi de liens

  • Produit : Git Git
  • Ajoutée au catalogue : 25 août 2025
  • Échéance CISA : 15 septembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-59, CWE-436
  • Gravité : CVSS 8,0 (élevée)
  • Probabilité d’exploitation (EPSS) : 4 %

Git contient une vulnérabilité de suivi de liens découlant du traitement incohérent des caractères de retour chariot dans les fichiers de configuration de git.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · access.redhat.com · alas.aws.amazon.com · linux.oracle.com

CVE-2025-47812 — Wing FTP Server : vulnérabilité de neutralisation incorrecte du caractère nul Critique

  • Produit : Wing FTP Server Wing FTP Server
  • Ajoutée au catalogue : 14 juillet 2025
  • Échéance CISA : 4 août 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-158
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 94 %

Wing FTP Server contient une vulnérabilité de neutralisation incorrecte du caractère nul ou NUL qui peut permettre l'injection de code Lua arbitraire dans les fichiers de session utilisateur. Ceci peut être utilisé pour exécuter des commandes système arbitraires avec les privilèges du service FTP (root ou SYSTEM par défaut).

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · wftpserver.com

Fiche détaillée : versions, références, chronologie →

CVE-2014-3931 — Looking Glass, Multi-Router Looking Glass (MRLG) : dépassement de tampon Critique

  • Produit : Looking Glass Multi-Router Looking Glass (MRLG)
  • Ajoutée au catalogue : 7 juillet 2025
  • Échéance CISA : 28 juillet 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-119
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 29 %

Multi-Router Looking Glass (MRLG) contient une vulnérabilité de dépassement de tampon qui pourrait permettre à des attaquants distants de provoquer une écriture mémoire arbitraire et une corruption de la mémoire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · mrlg.op-sec.us

Fiche détaillée : versions, références, chronologie →

CVE-2024-54085 — AMI MegaRAC SPx : contournement de l'authentification par usurpation Critique

  • Produit : AMI MegaRAC SPx
  • Ajoutée au catalogue : 25 juin 2025
  • Échéance CISA : 16 juillet 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-290
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 61 %

AMI MegaRAC SPx contient une vulnérabilité de contournement de l'authentification par usurpation dans l'interface hôte Redfish. Une exploitation réussie de cette vulnérabilité peut entraîner une perte de confidentialité, d'intégrité et/ou de disponibilité.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · security.netapp.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-24016 — Wazuh Server : vulnérabilité de désérialisation de données non fiables

  • Produit : Wazuh Wazuh Server
  • Ajoutée au catalogue : 10 juin 2025
  • Échéance CISA : 1 juillet 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,9 (critique)
  • Probabilité d’exploitation (EPSS) : 94 %

Wazuh contient une vulnérabilité de désérialisation de données non fiables qui permet une exécution de code à distance sur les serveurs Wazuh.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · wazuh.com · github.com

CVE-2025-32433 — Erlang, Erlang/OTP : absence d'authentification pour une fonction critique Critique

  • Produit : Erlang Erlang/OTP
  • Ajoutée au catalogue : 9 juin 2025
  • Échéance CISA : 30 juin 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-306
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %

Le serveur SSH d'Erlang Erlang/OTP contient une vulnérabilité d'absence d'authentification pour une fonction critique. cela pourrait permettre à un attaquant d'exécuter des commandes arbitraires sans informations d'identification valides, conduisant potentiellement à une exécution de code à distance (RCE) non authentifiée. en exploitant une faille dans la manière dont les messages du protocole SSH sont gérés, un acteur malveillant pourrait obtenir un accès non autorisé aux systèmes affectés. cette vulnérabilité pourrait affecter divers produits qui implémentent le serveur SSH Erlang/OTP, y compris, mais sans s'y limiter, Cisco, NetApp et SUSE.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · sec.cloudapps.cisco.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-27920 — Srimax Output Messenger : vulnérabilité de traversée de répertoires

  • Produit : Srimax Output Messenger
  • Ajoutée au catalogue : 19 mai 2025
  • Échéance CISA : 9 juin 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %

Srimax Output Messenger contient une vulnérabilité de traversée de répertoires qui permet à un attaquant d'accéder à des fichiers sensibles en dehors du répertoire prévu, ce qui peut potentiellement entraîner une fuite de configuration ou un accès à des fichiers arbitraires.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · outputmessenger.com

CVE-2024-11182 — MDaemon Email Server : vulnérabilité cross-site scripting (XSS)

  • Produit : MDaemon Email Server
  • Ajoutée au catalogue : 19 mai 2025
  • Échéance CISA : 9 juin 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-79
  • Gravité : CVSS 5,3 (moyenne)
  • Probabilité d’exploitation (EPSS) : 33 %

MDaemon Email Server contient une vulnérabilité cross-site scripting (XSS) qui permet à un attaquant distant de charger du code JavaScript arbitraire via un message e-mail HTML.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · files.mdaemon.com · mdaemon.com

CVE-2023-38950 — ZKTeco BioTime : vulnérabilité de traversée de répertoires

  • Produit : ZKTeco BioTime
  • Ajoutée au catalogue : 19 mai 2025
  • Échéance CISA : 9 juin 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 92 %

ZKTeco BioTime contient une vulnérabilité de traversée de répertoires dans l'API iclock qui permet à un attaquant non authentifié de lire des fichiers arbitraires en fournissant une charge utile élaborée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · zkteco.com

CVE-2024-6047 — GeoVision, plusieurs appareils : injection de commandes système Critique

  • Produit : GeoVision Multiple Devices
  • Ajoutée au catalogue : 7 mai 2025
  • Échéance CISA : 28 mai 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 10 %

Plusieurs appareils GeoVision contiennent une vulnérabilité d'injection de commandes système qui permet à un attaquant distant et non authentifié d'injecter et d'exécuter des commandes système arbitraires. Les produits affectés pourraient être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · dlcdn.geovision.com.tw

Fiche détaillée : versions, références, chronologie →

CVE-2024-11120 — GeoVision, plusieurs appareils : injection de commandes système Critique

  • Produit : GeoVision Multiple Devices
  • Ajoutée au catalogue : 7 mai 2025
  • Échéance CISA : 28 mai 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 28 %

Plusieurs appareils GeoVision contiennent une vulnérabilité d'injection de commandes système qui permet à un attaquant distant et non authentifié d'injecter et d'exécuter des commandes système arbitraires. Les produits affectés pourraient être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · dlcdn.geovision.com.tw

Fiche détaillée : versions, références, chronologie →

CVE-2025-27363 — FreeType : vulnérabilité d'écriture hors limites

  • Produit : FreeType FreeType
  • Ajoutée au catalogue : 6 mai 2025
  • Échéance CISA : 27 mai 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-787
  • Gravité : CVSS 8,1 (élevée)
  • Probabilité d’exploitation (EPSS) : 28 %

FreeType contient une vulnérabilité d'écriture hors limites lors de la tentative d'analyse des structures de sous-glyphes de police relatives aux fichiers TrueType GX et aux polices variables, ce qui pourrait permettre une exécution de code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2025-34028 — Commvault Command Center : vulnérabilité de traversée de répertoires Critique

  • Produit : Commvault Command Center
  • Ajoutée au catalogue : 2 mai 2025
  • Échéance CISA : 23 mai 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 98 %

Commvault Command Center contient une vulnérabilité de traversée de répertoires qui permet à un attaquant distant et non authentifié d'exécuter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · documentation.commvault.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-58136 — Yiiframework Yii : protection incorrecte de chemin alternatif Critique

  • Produit : Yiiframework Yii
  • Ajoutée au catalogue : 2 mai 2025
  • Échéance CISA : 23 mai 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-424
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 88 %

Yii Framework contient une vulnérabilité de protection incorrecte de chemin alternatif qui pourrait permettre à un attaquant distant d'exécuter du code arbitraire. Cette vulnérabilité pourrait affecter d'autres produits qui implémentent Yii, y compris, mais sans s'y limiter, Craft CMS, comme représenté par CVE-2025-32432.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2025-42599 — Qualitia Active! Mail : dépassement de tampon basé sur la pile Critique

  • Produit : Qualitia Active! Mail
  • Ajoutée au catalogue : 28 avril 2025
  • Échéance CISA : 19 mai 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-121
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 3 %

Qualitia Active! Mail contient une vulnérabilité de dépassement de tampon basé sur la pile qui permet à un attaquant distant et non authentifié d'exécuter du code arbitraire ou de déclencher un déni de service via une requête spécialement conçue.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · qualitia.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-3928 — Commvault Web Server : vulnérabilité non spécifiée

  • Produit : Commvault Web Server
  • Ajoutée au catalogue : 28 avril 2025
  • Échéance CISA : 19 mai 2025
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 8,7 (élevée)
  • Probabilité d’exploitation (EPSS) : 3 %

Commvault Web Server contient une vulnérabilité non spécifiée qui permet à un attaquant distant et authentifié de créer et d'exécuter des webshells.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · documentation.commvault.com · commvault.com

CVE-2025-30154 — reviewdog, action-setup GitHub Action : vulnérabilité de code malveillant intégré

  • Produit : reviewdog action-setup GitHub Action
  • Ajoutée au catalogue : 24 mars 2025
  • Échéance CISA : 14 avril 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-506
  • Gravité : CVSS 8,6 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %

L'action reviewdog action-setup GitHub Action contient une vulnérabilité de code malveillant intégré qui déverse les secrets exposés dans les journaux de flux de travail GitHub Actions.

Action requise : Appliquer les mesures d'atténuation telles que stipulées dans les instructions de la CISA liées ci-dessous. Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2025-1316 — Edimax IC-7100 IP Camera : injection de commandes système Critique

  • Produit : Edimax IC-7100 IP Camera
  • Ajoutée au catalogue : 19 mars 2025
  • Échéance CISA : 9 avril 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,3 (critique)
  • Probabilité d’exploitation (EPSS) : 74 %

La caméra IP Edimax IC-7100 contient une vulnérabilité d'injection de commandes système due à une validation incorrecte des entrées, ce qui permet à un attaquant d'obtenir une exécution de code à distance via des requêtes spécialement conçues. Le produit affecté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · edimax.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-48248 — NAKIVO Backup and Replication : vulnérabilité de traversée de répertoires par chemin absolu

  • Produit : NAKIVO Backup and Replication
  • Ajoutée au catalogue : 19 mars 2025
  • Échéance CISA : 9 avril 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-36
  • Gravité : CVSS 8,6 (élevée)
  • Probabilité d’exploitation (EPSS) : 94 %

NAKIVO Backup and Replication contient une vulnérabilité de traversée de répertoires par chemin absolu qui permet à un attaquant de lire des fichiers arbitraires.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · helpcenter.nakivo.com

CVE-2025-30066 — tj-actions, changed-files GitHub Action : vulnérabilité de code malveillant intégré

  • Produit : tj-actions changed-files GitHub Action
  • Ajoutée au catalogue : 18 mars 2025
  • Échéance CISA : 8 avril 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-506
  • Gravité : CVSS 8,6 (élevée)
  • Probabilité d’exploitation (EPSS) : 72 %

Tj-actions/changed-files GitHub Action contient une vulnérabilité de code malveillant intégré qui permet à un attaquant distant de découvrir des secrets en lisant les journaux de workflow GitHub Actions. Ces secrets peuvent inclure, sans s'y limiter, des clés d'accès AWS valides, des jetons d'accès personnels GitHub (PATs), des jetons npm et des clés RSA privées.

Action requise : Appliquer les mesures d'atténuation telles que stipulées dans les instructions de la CISA liées ci-dessous. Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2025-25181 — Advantive VeraCore : vulnérabilité d'injection SQL

  • Produit : Advantive VeraCore
  • Ajoutée au catalogue : 10 mars 2025
  • Échéance CISA : 31 mars 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-89
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 56 %

Advantive VeraCore contient une vulnérabilité d'injection SQL dans timeoutWarning.asp qui permet à un attaquant distant d'exécuter des commandes SQL arbitraires via le paramètre PmSess1.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · advantive.my.site.com

CVE-2024-57968 — Advantive VeraCore : vulnérabilité de téléversement de fichiers non restreint

  • Produit : Advantive VeraCore
  • Ajoutée au catalogue : 10 mars 2025
  • Échéance CISA : 31 mars 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-434
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 32 %

Advantive VeraCore contient une vulnérabilité de téléversement de fichiers non restreint qui permet à un attaquant distant non authentifié de téléverser des fichiers dans des dossiers non prévus via upload.apsx.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · advantive.my.site.com

CVE-2022-43939 — Hitachi Vantara Pentaho BA Server : contournement d'autorisation Critique

  • Produit : Hitachi Vantara Pentaho Business Analytics (BA) Server
  • Ajoutée au catalogue : 3 mars 2025
  • Échéance CISA : 24 mars 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-647
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 92 %

Hitachi Vantara Pentaho BA Server contient une vulnérabilité d'utilisation de chemins d'URL non canoniques pour les décisions d'autorisation qui permet à un attaquant de contourner l'autorisation.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.pentaho.com

Fiche détaillée : versions, références, chronologie →

CVE-2022-43769 — Hitachi Vantara Pentaho BA Server : vulnérabilité d'injection d'élément spécial

  • Produit : Hitachi Vantara Pentaho Business Analytics (BA) Server
  • Ajoutée au catalogue : 3 mars 2025
  • Échéance CISA : 24 mars 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-74
  • Gravité : CVSS 7,2 (élevée)
  • Probabilité d’exploitation (EPSS) : 98 %

Hitachi Vantara Pentaho BA Server contient une vulnérabilité d'injection d'élément spécial qui permet à un attaquant d'injecter des modèles Spring dans les fichiers de propriétés, permettant une exécution de commandes arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.pentaho.com

CVE-2025-0994 — Trimble Cityworks : vulnérabilité de désérialisation

  • Produit : Trimble Cityworks
  • Ajoutée au catalogue : 7 février 2025
  • Échéance CISA : 28 février 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 8,6 (élevée)
  • Probabilité d’exploitation (EPSS) : 31 %

Trimble Cityworks contient une vulnérabilité de désérialisation. Cela pourrait permettre à un utilisateur authentifié d'effectuer une attaque d'exécution de code à distance contre le serveur web Microsoft Internet Information Services (IIS) d'un client.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.assetlifecycle.trimble.com

CVE-2025-0411 — 7-Zip : vulnérabilité de contournement de la marque web

  • Produit : 7-Zip 7-Zip
  • Ajoutée au catalogue : 6 février 2025
  • Échéance CISA : 27 février 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-693
  • Gravité : CVSS 7,0 (élevée)
  • Probabilité d’exploitation (EPSS) : 48 %

7-Zip contient une vulnérabilité de défaillance du mécanisme de protection qui permet à des attaquants distants de contourner la fonctionnalité de sécurité Mark-of-the-Web pour exécuter du code arbitraire dans le contexte de l'utilisateur actuel.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · 7-zip.org

CVE-2022-23748 — Audinate, Dante Discovery : vulnérabilité de contrôle de processus

  • Produit : Audinate Dante Discovery
  • Ajoutée au catalogue : 6 février 2025
  • Échéance CISA : 27 février 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-114
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 8 %

Dante Discovery contient une vulnérabilité de contrôle de processus dans mDNSResponder.exe qui permet une attaque de sideloading de DLL. Un attaquant local peut exploiter cette vulnérabilité dans la Dante Application Library pour exécuter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · getdante.com

← Retour au suivi KEV · télécharger tout le catalogue (CSV)