Vulnérabilités Gladinet activement exploitées (KEV)

CVE-2025-14611 — Gladinet, CentreStack et Triofox : vulnérabilité de clés cryptographiques codées en dur

• Produit : Gladinet CentreStack and Triofox
• Ajoutée au catalogue : 15 décembre 2025
• Échéance CISA : 5 janvier 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-798
• Gravité : CVSS 7,1 (élevée)
• Probabilité d’exploitation (EPSS) : 53 %

Gladinet CentreStack et TrioFox contiennent une vulnérabilité de clés cryptographiques codées en dur pour leur implémentation du schéma cryptographique AES. Cette vulnérabilité dégrade la sécurité pour les points d'accès exposés sur Internet qui pourraient l'utiliser et pourrait offrir une inclusion de fichiers locaux arbitraire lorsqu'une requête spécialement élaborée est fournie sans authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · centrestack.com · access.triofox.com · support.centrestack.com

CVE-2025-12480 — Gladinet Triofox : vulnérabilité de contrôle d'accès incorrect Critique

• Produit : Gladinet Triofox
• Ajoutée au catalogue : 12 novembre 2025
• Échéance CISA : 3 décembre 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-284
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : 96 %

Gladinet Triofox contient une vulnérabilité de contrôle d'accès incorrect qui permet d'accéder aux pages de configuration initiale même après que la configuration soit terminée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · access.triofox.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-11371 — Gladinet, CentreStack et Triofox : fichiers ou répertoires accessibles aux parties externes

• Produit : Gladinet CentreStack and Triofox
• Ajoutée au catalogue : 4 novembre 2025
• Échéance CISA : 25 novembre 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-552
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 92 %

Gladinet CentreStack et Triofox contient une vulnérabilité de fichiers ou de répertoires accessibles aux parties externes qui permet une divulgation non intentionnelle de fichiers système.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · centrestack.com

CVE-2025-30406 — Gladinet CentreStack et Triofox : utilisation d'une clé cryptographique codée en dur Critique

• Produit : Gladinet CentreStack
• Ajoutée au catalogue : 8 avril 2025
• Échéance CISA : 29 avril 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-321
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 94 %

Gladinet CentreStack et Triofox contient une vulnérabilité d'utilisation d'une clé cryptographique codée en dur dans la manière dont l'application gère les clés utilisées pour la vérification de l'intégrité de ViewState. Une exploitation réussie permet à un attaquant de falsifier des charges utiles ViewState pour la désérialisation côté serveur, permettant une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · gladinetsupport.s3.us-east-1.amazonaws.com · gladinetsupport.s3.us-east-1.amazonaws.com

Fiche détaillée : versions, références, chronologie →