FICHE CVE

CVE-2026-11403

Publiée le 2026-07-14 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Sonatype Nexus Repository Manager est affecté si vous avez activé les domaines de clés API NuGet, Docker ou npm. Un attaquant distant peut exploiter cette faille pour usurper l'identité d'un utilisateur spécifique et effectuer des opérations non autorisées sur le dépôt. Cette attaque peut être réalisée via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur, à condition que l'utilisateur ciblé possède déjà une clé API active.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-331

Publiée2026-07-14

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability in Sonatype Nexus Repository Manager's format-specific API key generation may allow a remote attacker to gain unauthorized access to repository operations as a targeted user. A format-specific API key realm (NuGet API Key, Docker Bearer Token, or npm Bearer Token) must be enabled and the targeted user must have an active API key for this vulnerability to be exploitable.