FICHE CVE

CVE-2026-75514

Publiée le 2026-08-20 · Dernière modification le 2026-10-18

🇫🇷 EN BREF

Les installations de BunkerWeb antérieures à la version 1.6.13 sont affectées par une faille dans la manière dont le pare-feu gère les vérifications DNS inverses (rDNS). Un attaquant distant non authentifié qui contrôle ses propres enregistrements DNS PTR peut usurper un nom d'hôte approuvé pour contourner les listes noires, les listes grises ou les tests antibots. Bien que cela permette à un utilisateur malveillant d'échapper aux filtres de sécurité, l'attaquant doit disposer d'un contrôle spécifique sur son infrastructure réseau pour tromper le système avec succès.

CVSS 3.15.9 MOYENNE

Type de faiblesse

CWE-350

Publiée2026-08-20

Dernière modification2026-10-18

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

BunkerWeb is an open-source, next-generation Web Application Firewall. Prior to 1.6.13, the blacklist, greylist, and antibot modules in src/common/core/blacklist/blacklist.lua, src/common/core/greylist/greylist.lua, and src/common/core/antibot/antibot.lua trust PTR suffix matches in IGNORE_RDNS, GREYLIST_RDNS, and ANTIBOT_IGNORE_RDNS without using get_ips to confirm that the hostname resolves to the client address. An unauthenticated remote attacker who controls a PTR record can spoof a trusted suffix to bypass rDNS-based blacklisting, gain greylist treatment, or skip an antibot challenge. This issue is fixed in version 1.6.13.