FICHE CVE

CVE-2026-40035

Publiée le 2026-04-08 · Dernière modification le 2026-10-08

🇫🇷 EN BREF

Les versions d'Unfurl allant jusqu'à la 2025.08 sont affectées par une erreur de configuration qui active accidentellement le mode débogage de Flask. Un attaquant ayant un accès réseau peut utiliser le débogueur Werkzeug ainsi exposé pour voler des informations sensibles ou exécuter du code arbitraire sur votre serveur. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et est relativement facile à réaliser.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-489

Publiée2026-04-08

Dernière modification2026-10-08

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Unfurl through 2025.08 contains an improper input validation vulnerability in config parsing that enables Flask debug mode by default. The debug configuration value is read as a string and passed directly to app.run(), causing any non-empty string to evaluate truthy, allowing attackers to access the Werkzeug debugger and disclose sensitive information or achieve remote code execution.