TYPE DE FAIBLESSE

CWE-113

127 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-113 (en anglais) →

CVE-2026-112880Le client HTTP hackney (versions 2.0.0 à 4.8.x) est une bibliothèque Erlang utilisée pour effectuer des requêtes web. La faille réside dans la manière dont la bibliothèque gère les… 2.1 FAIBLE

CVE-2026-55486Les versions 25.08 à 26.04 de Goobi viewer permettent l'affichage de documents numérisés dans les navigateurs web. Le logiciel ne valide pas le paramètre de requête « origin » dans… 9.3 CRITIQUE

CVE-2026-103930Les applications utilisant la bibliothèque `cpp-httplib` (versions 0.29.0 à 0.51.0) sont vulnérables à la contrebande de requêtes HTTP (HTTP request smuggling) si elles transmetten… 3.7 FAIBLE

CVE-2026-85976Les versions 11.x (antérieures à 11.3.7) et 12.x (antérieures à 12.1.0) de Progress MarkLogic Server sont affectées par un défaut de désinfection des entrées dans la console de req… 5.4 MOYENNE

CVE-2026-105324Les versions 4.1.0 à 4.3.3.RWC1 et 5.0.0 à 5.1.4.RL21 d'ADM sont affectées par une faille dans le composant `start-page-loader.cgi`. Un attaquant distant peut lire des fichiers arb… 9.2 CRITIQUE

CVE-2026-106512Les applications CakePHP sont affectées par une faille dans la gestion des noms de fichiers lors des téléchargements. Un attaquant disposant d'un compte avec des privilèges limités… 8.4 ÉLEVÉE

CVE-2026-94216Les anciens systèmes ST Engineering iDirect iDX et Evo iDX (spécifiquement les versions EOL X7 et Evolution 21.x) sont sensibles au fractionnement de réponse HTTP (HTTP response sp… 2.1 FAIBLE

CVE-2026-85077Les applications Python utilisant le framework web Sanic (avant les versions 24.12.1 ou 25.12.0) sont susceptibles d'être affectées par le fractionnement de réponse HTTP (HTTP resp… 8.2 ÉLEVÉE

CVE-2026-77360Les serveurs utilisant des versions d'oRPC antérieures à la 1.14.8 sont susceptibles d'être victimes d'un empoisonnement de cache s'ils sont déployés derrière un CDN, un proxy inve… 6.3 MOYENNE

CVE-2026-69211Les applications utilisant la bibliothèque Scala Http4s pour gérer les cookies HTTP sont concernées si elles transmettent des entrées utilisateur non validées directement dans les … 4.8 MOYENNE

CVE-2026-91991Les applications web utilisant le framework Tornado (versions antérieures à 6.5.8) sont concernées. Un attaquant peut manipuler les attributs des cookies, tels que `Domain` ou `Sam… 6.3 MOYENNE

CVE-2024-58384Les applications utilisant `CurlAsyncHTTPClient` du framework web Tornado sont concernées. Un attaquant peut injecter des en-têtes malveillants ou forger entièrement de nouvelles r… 6.3 MOYENNE

CVE-2026-90819La version 1.2.0 de a2a-java est vulnérable au fractionnement de réponse HTTP (HTTP response splitting) en raison d'une mauvaise gestion des en-têtes d'autorisation dans les notifi… 6.9 MOYENNE

CVE-2026-2811Les sites WordPress utilisant l'extension Ajaxify Comments (versions antérieures à 3,2) sont vulnérables à l'injection d'en-têtes HTTP. Un attaquant distant non authentifié peut in… 5.4 MOYENNE

CVE-2026-77341Les applications utilisant la bibliothèque `cpp-httplib` (version 0.49.0) sont vulnérables au fractionnement de réponse HTTP (HTTP response splitting) si elles permettent d'insérer… 5.3 MOYENNE

CVE-2026-75419Les versions de GoWind CMS antérieures à la 1.0.0 ne parviennent pas à appliquer les vérifications de permissions, ce qui signifie que tout utilisateur disposant d'un compte standa… 8.8 ÉLEVÉE

CVE-2026-59314Les applications Java utilisant des versions affectées du Spring Framework sont vulnérables si elles permettent à une saisie utilisateur de déterminer le nom d'un fichier télécharg… 3.7 FAIBLE

CVE-2026-39915Les versions de TIM Flow antérieures à la 26.0.6 sont vulnérables à une faille d'injection CRLF. Un attaquant distant non authentifié peut voler des jetons de session ou modifier l… 8.5 ÉLEVÉE

CVE-2026-50576Les logiciels utilisant l'intégration ePA 3.x pour les dossiers patients électroniques en Allemagne sont concernés. Un utilisateur authentifié peut injecter des en-têtes malveillan… 6.8 MOYENNE

CVE-2026-67289Les clients FreeRDP (versions 3.28.0 et antérieures) sont concernés s'ils se connectent à un serveur RDP via un proxy HTTP. Un serveur RDP malveillant peut injecter des en-têtes ou… 9.3 CRITIQUE

CVE-2026-66753Les applications utilisant la bibliothèque `tiny-http` (version 0.12.0 et versions antérieures) sont vulnérables à l'injection d'en-têtes HTTP. Un attaquant non authentifié disposa… 6.3 MOYENNE

CVE-2026-66746Les applications utilisant le framework web Rouille (versions 0.4.0 à 3.6.2) sont vulnérables au fractionnement de réponse HTTP (HTTP response splitting). Un attaquant distant et n… 5.3 MOYENNE

CVE-2026-63771Les versions d'Adminer antérieures à 5.4.3 sont vulnérables si elles sont déployées derrière un proxy inverse mal configuré. Un attaquant distant non authentifié peut inciter un ad… 6.0 MOYENNE

CVE-2026-54163Les applications Ruby utilisant la gem `secure_headers` avant la version 7.3.0 sont concernées si elles permettent à des entrées fournies par l'utilisateur de modifier les directiv… 4.7 MOYENNE

CVE-2025-62826Les appareils FortiOS et FortiProxy sont affectés par une faille dans la manière dont ils traitent les demandes d'authentification du portail captif. Un attaquant capable d'interce… 3.1 FAIBLE

CVE-2025-62675Les utilisateurs de FortiOS et FortiProxy sont touchés par une faille qui permet à un attaquant d'injecter des en-têtes HTTP personnalisés dans une réponse. Pour y parvenir, l'atta… 3.4 FAIBLE

CVE-2026-50188Les sites et plugins Kirby CMS qui utilisent la classe `Http Remote` pour envoyer des requêtes sortantes sont concernés s'ils incluent des données non approuvées dans les en-têtes.… 6.9 MOYENNE

CVE-2025-71381Les applications web utilisant le framework Hono (version 4.10.2 et antérieures) sont affectées par une faille dans le middleware CORS. Un attaquant non authentifié peut envoyer un… 6.9 MOYENNE

CVE-2026-55766Les applications PHP utilisant la bibliothèque `guzzlehttp/psr7` sont affectées si elles sérialisent des messages HTTP contenant des données contrôlées par un attaquant. Un attaqua… 4.8 MOYENNE

CVE-2026-50269Les applications Python utilisant le framework aiohttp avant la version 3.14.0 sont concernées si elles transmettent des chaînes de caractères fournies par l'utilisateur directemen… 2.7 FAIBLE

CVE-2026-50630Les logiciels utilisant la classe AuthorizationUtils d'OAuth2 sont vulnérables à l'injection CRLF via le paramètre « realm ». Un attaquant non authentifié disposant d'un accès rése… 6.5 MOYENNE

CVE-2026-44489Les applications utilisant le client HTTP Axios (versions 1.15.2 à 1.15.9) sont vulnérables à la pollution de prototype. Un attaquant capable d'injecter des données dans certains o… 3.7 FAIBLE

CVE-2026-49214Les applications PHP utilisant la bibliothèque `guzzlehttp/psr7` sont concernées si elles permettent aux utilisateurs de fournir des URL pour des requêtes sortantes, comme c'est le… 5.3 MOYENNE

CVE-2026-43966Les applications utilisant la bibliothèque cowlib (version 2.9.0 et versions ultérieures) pour gérer les en-têtes HTTP sont concernées. Un attaquant peut injecter des caractères sp… 6.3 MOYENNE

CVE-2026-48596Les applications utilisant le client HTTP Tesla pour Elixir (versions 0.8.0 à 1.18.2) sont concernées si elles transmettent des entrées utilisateur non validées dans les paramètres… 2.1 FAIBLE

CVE-2026-38967Les applications utilisant le framework web CrowCpp Crow (version 1.3.1 et antérieures) sont vulnérables à l'injection d'en-têtes de réponse. Un attaquant non authentifié disposant… 9.8 CRITIQUE

CVE-2026-38978Les versions de Transmission allant jusqu'à la 4.1.1 sont affectées par une faille de clickjacking dans l'interface web et les réponses RPC. Un attaquant pourrait inciter un utilis… 5.3 MOYENNE

CVE-2026-47675Les applications web utilisant le framework Hono (versions antérieures à 4.12.21) sont susceptibles d'être victimes d'une injection d'en-tête si elles permettent de transmettre des… 4.3 MOYENNE

CVE-2026-9658Les applications Perl utilisant Plack::Middleware::Security::Common (versions antérieures à 0.13.1) sont vulnérables à l'injection d'en-têtes via des chemins de requête spécialemen… 7.3 ÉLEVÉE

CVE-2026-44214Les applications utilisant la bibliothèque `eventsource-encoder` pour envoyer des événements envoyés par le serveur (Server-Sent Events) sont concernées. Un attaquant capable de co… 5.8 MOYENNE

CVE-2026-42578Les applications utilisant le framework réseau Netty pour le proxy HTTP sont concernées si elles permettent à des données fournies par l'utilisateur d'influencer les en-têtes sorta… 2.9 FAIBLE

CVE-2026-7010Les applications utilisant la bibliothèque Perl `HTTP::Tiny` (versions antérieures à 0,093) sont vulnérables au détournement de requêtes HTTP (HTTP request smuggling). Si votre app… 6.5 MOYENNE

CVE-2026-42874Les applications Python utilisant le framework web Microdot dans des versions antérieures à la 2.6.1 sont sensibles à l'injection d'en-têtes HTTP. Un attaquant pourrait potentielle… 3.7 FAIBLE

CVE-2026-41683Les applications web Node.js utilisant le package `i18next-http-middleware` (avant la version 3.9.3) sont vulnérables à l'injection d'en-têtes HTTP. Un attaquant distant non authen… 8.6 ÉLEVÉE

CVE-2026-43870Les versions d'Apache Thrift antérieures à la 0.23.0 sont vulnérables à plusieurs failles, notamment le traversée de répertoire (path traversal) et le fractionnement de requêtes HT… 7.3 ÉLEVÉE

CVE-2026-42035Les applications utilisant le client HTTP Axios (versions antérieures à 1.15.1 ou 0.31.1) sous Node.js sont susceptibles de permettre à un attaquant d'injecter des en-têtes arbitra… 7.4 ÉLEVÉE

CVE-2026-39971Les versions 2.6-beta2 et antérieures du moteur de blog Serendipity sont vulnérables à l'injection d'en-têtes SMTP. Un attaquant non authentifié disposant d'un accès réseau peut ma… 7.2 ÉLEVÉE

CVE-2026-40175Les applications utilisant des versions d'Axios antérieures à 1.15.0 ou 0.3.1 sont susceptibles d'être victimes d'une attaque permettant à un acteur distant non authentifié d'injec… 4.8 MOYENNE

CVE-2026-34767Les applications de bureau conçues avec le framework Electron sont affectées si elles reflètent des entrées utilisateur dans des en-têtes de réponse HTTP personnalisés. Un attaquan… 5.9 MOYENNE

CVE-2026-34715Les applications web utilisant le serveur ewe Gleam version 3.0.5 ou antérieure sont concernées si elles utilisent des données fournies par l'utilisateur pour définir les en-têtes … 5.3 MOYENNE