Vulnérabilités Progress activement exploitées (KEV)

CVE-2026-8037 — Progress LoadMaster : vulnérabilité d'injection de commandes Critique

• Produit : Progress LoadMaster
• Ajoutée au catalogue : 7 août 2026
• Échéance CISA : 10 août 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Progress LoadMaster contient une vulnérabilité d'injection de commandes qui permet à un attaquant non authentifié d'exécuter des commandes arbitraires sur l'appliance LoadMaster en exploitant des entrées non assainies dans plusieurs points d'accès de commandes.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · community.progress.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-4885 — Progress WhatsUp Gold : vulnérabilité de traversée de répertoires Critique

• Produit : Progress WhatsUp Gold
• Ajoutée au catalogue : 3 mars 2025
• Échéance CISA : 24 mars 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Progress WhatsUp Gold contient une vulnérabilité de traversée de répertoires qui permet à un attaquant non authentifié d'obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · community.progress.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-1212 — Progress Kemp LoadMaster : injection de commandes système Critique

• Produit : Progress Kemp LoadMaster
• Ajoutée au catalogue : 18 novembre 2024
• Échéance CISA : 9 décembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 95 %

Progress Kemp LoadMaster contient une vulnérabilité d'injection de commandes système qui permet à un attaquant distant non authentifié d'accéder au système via l'interface de gestion LoadMaster, permettant l'exécution de commandes système arbitraires.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · community.progress.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-6670 — Progress WhatsUp Gold : vulnérabilité d'injection SQL Critique

• Produit : Progress WhatsUp Gold
• Ajoutée au catalogue : 16 septembre 2024
• Échéance CISA : 7 octobre 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-89
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 93 %

Progress WhatsUp Gold contient une vulnérabilité d'injection SQL qui permet à un attaquant non authentifié de récupérer le mot de passe chiffré de l'utilisateur si l'application est configurée avec un seul utilisateur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · community.progress.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-4358 — Progress Telerik Report Server : contournement de l'authentification par usurpation

• Produit : Progress Telerik Report Server
• Ajoutée au catalogue : 13 juin 2024
• Échéance CISA : 4 juillet 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-290
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 97 %

Progress Telerik Report Server contient une vulnérabilité de contournement d'autorisation par usurpation qui permet à un attaquant d'obtenir un accès non autorisé.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · docs.telerik.com

CVE-2023-40044 — Progress WS_FTP Server : vulnérabilité de désérialisation de données non fiables

• Produit : Progress WS_FTP Server
• Ajoutée au catalogue : 5 octobre 2023
• Échéance CISA : 26 octobre 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-502
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 90 %

Progress WS_FTP Server contient une vulnérabilité de désérialisation de données non fiables dans le module Ad Hoc Transfer qui permet à un attaquant authentifié d'exécuter des commandes à distance sur le système d'exploitation sous-jacent.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · community.progress.com

CVE-2023-34362 — Progress MOVEit Transfer : vulnérabilité d'injection SQL Critique

• Produit : Progress MOVEit Transfer
• Ajoutée au catalogue : 2 juin 2023
• Échéance CISA : 23 juin 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-89
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Progress MOVEit Transfer contient une vulnérabilité d'injection SQL qui pourrait permettre à un attaquant non authentifié d'accéder sans autorisation à la base de données de MOVEit Transfer. Selon le moteur de base de données utilisé (MySQL, Microsoft SQL Server ou Azure SQL), un attaquant pourrait être en mesure d'inférer des informations sur la structure et le contenu de la base de données en plus d'exécuter des instructions SQL qui modifient ou suppriment des éléments de la base de données.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2019-18935 — Progress Telerik UI for ASP.NET AJAX : désérialisation de données non fiables Critique

• Produit : Progress Telerik UI for ASP.NET AJAX
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-502
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : .NET

Progress Telerik UI for ASP.NET AJAX contient une vulnérabilité de désérialisation de données non fiables via RadAsyncUpload, ce qui conduit à une exécution de code sur le serveur dans le contexte du processus w3wp.exe.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2017-9248 — Progress Telerik UI pour ASP.NET AJAX et Sitefinity : faiblesse cryptographique

• Produit : Progress ASP.NET AJAX and Sitefinity
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-522
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 75 %
• Technologie : .NET

Progress Telerik UI pour ASP.NET AJAX et Sitefinity présentent une faiblesse cryptographique dans Telerik.Web.UI.dll qui peut être exploitée pour divulguer les clés de chiffrement (Telerik.Web.UI.DialogParametersEncryptionKey et/ou le MachineKey), effectuer des attaques de cross-site-scripting (XSS), compromettre l'ASP.NET ViewState, et/ou téléverser et télécharger des fichiers.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA