TYPE DE FAIBLESSE

CWE-289

47 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-289 (en anglais) →

CVE-2026-100351Les versions 0.144.0 à 0.147.0 de `kin-openapi` sont utilisées pour gérer et valider les spécifications OpenAPI dans les applications Go. Une faille existe dans la manière dont le … 7.4 ÉLEVÉE

CVE-2026-104143Les versions de DataEase antérieures à la 2.10.26 sont affectées par une faille d'injection SQL dans la gestion des formats de date personnalisés. Un attaquant disposant d'un compt… 8.7 ÉLEVÉE

CVE-2026-57176Les applications utilisant Python Social Auth avec le backend Vend OAuth2 sont concernées si elles prennent en charge plus d'une boutique Vend. Un attaquant disposant d'un compte V… 6.8 MOYENNE

CVE-2026-73511Les proxys Envoy configurés pour utiliser le routage basé sur le chemin (path-based routing) devant des backends tels qu'Apache Tomcat sont concernés. Un attaquant distant non auth… 5.3 MOYENNE

CVE-2026-92579Les versions 29.0 et antérieures d'AVideo installations sont affectées par une faille dans la manière dont le système gère les protections CSRF. Un attaquant peut forcer la déconne… 5.3 MOYENNE

CVE-2026-12101IBM Verify Identity Access est affecté par une faille qui permet à un administrateur d'exécuter des commandes non autorisées en envoyant des requêtes spécialement conçues. Un attaq…

CVE-2026-15980Les sites WordPress utilisant le plugin MyHome Core (v4.4.5 et versions antérieures) en mode legacy/WPBakery avec l'inscription frontend activée sont concernés. Un attaquant distan… 9.8 CRITIQUE

CVE-2026-32639Les versions 1.2.12 et antérieures de Winter CMS contiennent un contournement de permissions dans l'éditeur de thèmes qui permet aux utilisateurs du backend de dépasser leurs privi… 6.8 MOYENNE

CVE-2026-15985Les sites WordPress utilisant l'extension Classified Listing - Mobile Number Verification (version 1.6.0 et versions antérieures) avec l'option Firebase OTP activée sont concernés.… 8.1 ÉLEVÉE

CVE-2026-8457Les sites WordPress utilisant l'extension WooCommerce - Social Login (version 2.8.7 et antérieures) sont vulnérables à un contournement complet de l'authentification. Un attaquant … 9.8 CRITIQUE

CVE-2026-10842IBM WebSphere Application Server (éditions Traditional et Liberty) est affecté par une faille qui permet à des attaquants distants de contourner les restrictions de sécurité. Un at… 7.5 ÉLEVÉE

CVE-2026-9701Les sites WordPress utilisant le plugin Eventer (v4.4.2 et versions antérieures) sur PHP 7.4 ou une version plus ancienne sont concernés. Un attaquant peut prendre le contrôle de n… 9.8 CRITIQUE

CVE-2026-55075Les installations de Coder utilisant OIDC pour l'authentification sont vulnérables aux prises de contrôle de comptes. Un attaquant non authentifié disposant d'un accès réseau peut … 7.4 ÉLEVÉE

CVE-2026-48618Les serveurs Node.js utilisant TLS peuvent valider incorrectement les certificats lorsque certains caractères Unicode sont utilisés dans les noms d'hôte, permettant ainsi à un atta… 6.5 MOYENNE

CVE-2026-56091Les applications web utilisant le module `shiro-guice` d'Apache Shiro dans un contexte de servlet sont vulnérables à un contournement de l'authentification. Un attaquant non authen… 8.2 ÉLEVÉE

CVE-2026-53622Les proxys inverses Traefik avec HTTP/3 activé sont affectés s'ils utilisent des modèles d'hôtes génériques (wildcards) pour appliquer le TLS mutuel (mTLS). Un attaquant non authen… 7.8 ÉLEVÉE

CVE-2026-50627Les serveurs Apache CXF utilisant des jetons d'accès JWT sont concernés s'ils ne valident pas explicitement la revendication « audience ». Un attaquant disposant d'un jeton valide … 9.1 CRITIQUE

CVE-2026-44492Les applications utilisant Axios comme client HTTP dans Node.js sont affectées par un contournement des listes d'exclusion de proxy. Un attaquant non authentifié disposant d'un acc… 8.6 ÉLEVÉE

CVE-2026-43617Les démons Rsync configurés avec chroot et des listes d'accès basées sur le nom d'hôte sont concernés. Un attaquant distant non authentifié peut contourner les règles de refus (« d… 6.3 MOYENNE

CVE-2026-39858Les proxys inverses Traefik utilisant ForwardAuth ou un middleware d'authentification basé sur des snippets sont concernés. Un attaquant non authentifié disposant d'un accès réseau… 7.8 ÉLEVÉE

CVE-2026-3184Les systèmes utilisant le paquet `util-linux` sont affectés par une faille dans le traitement du nom d'hôte de l'utilitaire `login`. Un attaquant distant non authentifié pourrait c… 3.7 FAIBLE

CVE-2026-32036Les versions du plugin de passerelle OpenClaw antérieures à la 2026.2.26 sont vulnérables à une faille de traversée de répertoire (path traversal). Un attaquant distant non authent… 8.3 ÉLEVÉE

CVE-2026-23903Les applications utilisant des versions d'Apache Shiro antérieures à la 2.0.7 sur des systèmes de fichiers qui ne distinguent pas la casse (comme macOS) sont vulnérables à un conto… 5.3 MOYENNE

CVE-2026-24058Les serveurs Git Soft Serve version 0.11.2 et antérieures sont affectés par une faille dans le processus de handshake SSH. Un attaquant ayant un accès réseau peut usurper l'identit… 8.1 ÉLEVÉE

CVE-2025-55130Les utilisateurs de Node.js employant le modèle de permissions expérimental dans les versions 20, 22, 24 ou 25 sont concernés. Un attaquant peut utiliser des liens symboliques spéc… 9.1 CRITIQUE

CVE-2025-14777A flaw was found in Keycloak. An IDOR (Broken Access Control) vulnerability exists in the admin API endpoints for authorization resource management, specifically in ResourceSetServ… 6.0 MOYENNE

CVE-2025-13613Les sites WordPress utilisant l'extension Elated Membership (version 1.2 et versions antérieures) sont susceptibles de présenter une faille de contournement d'authentification. Un … 9.8 CRITIQUE

CVE-2025-64521authentik is an open-source Identity Provider. Prior to versions 2025.8.5 and 2025.10.2, when authenticating with client_id and client_secret to an OAuth provider, authentik create… 4.8 MOYENNE

CVE-2025-64343Les utilisateurs de l'outil Conda Constructor (version 3.12.2 et versions antérieures) sont concernés par des permissions par défaut non sécurisées sur les répertoires d'installati… 7.8 ÉLEVÉE

CVE-2025-60375Les versions de Perfex CRM antérieures à la 3.3.1 sont affectées par une faille dans le processus de connexion qui ne valide pas correctement les champs vides. Un attaquant non aut… 7.3 ÉLEVÉE

CVE-2025-41248Les applications Java utilisant `@EnableMethodSecurity` de Spring Security sont concernées si elles utilisent des annotations de sécurité (comme `@PreAuthorize`) sur des méthodes a… 7.5 ÉLEVÉE

CVE-2025-8415A vulnerability was found in the Cryostat HTTP API. Cryostat's HTTP API binds to all network interfaces, allowing possible external visibility and access to the API port if Network… 5.9 MOYENNE

CVE-2025-29266Les serveurs Unraid utilisant la version 7.0.0 sont concernés s'ils possèdent un conteneur utilisant à la fois le réseau « Host » et l'option « Use Tailscale ». Un attaquant ayant … 9.6 CRITIQUE

CVE-2024-11283Les sites WordPress utilisant l'extension WP JobHunt (version 7.1 et antérieures) sont susceptibles de subir un contournement d'authentification. Un attaquant distant non authentif… 7.5 ÉLEVÉE

CVE-2024-56511Les outils de visualisation DataEase antérieurs à la version 2.10.4 sont susceptibles de présenter une faille de contournement d'authentification si un chemin de contexte personnal… 9.3 CRITIQUE

CVE-2024-55634Les installations de Drupal Core (versions 8.0.0 à 10.2.10, 10.3.0 à 10.3.8, et 11.0.0 à 11.0.7) sont affectées par une faille d'élévation de privilèges. Un attaquant disposant d'u… 8.1 ÉLEVÉE

CVE-2024-51996Les applications conçues avec le framework PHP Symfony sont concernées si elles utilisent des cookies « remember-me » pour la persistance des sessions. Un attaquant peut contourner… 7.5 ÉLEVÉE

CVE-2024-2098Les sites WordPress utilisant l'extension Download Manager (version 3.2.89 ou antérieure) sont affectés par une faille dans la manière dont le logiciel vérifie les permissions des … 7.5 ÉLEVÉE

CVE-2024-34519Avantra Server 24.x before 24.0.7 and 24.1.x before 24.1.1 mishandles the security of dashboards, aka XAN-5367. If a user can create a dashboard with an auto-login user, data discl… 6.8 MOYENNE

CVE-2023-51663Hail is an open-source, general-purpose, Python-based data analysis tool with additional data types and methods for working with genomic data. Hail relies on OpenID Connect (OIDC) … 5.3 MOYENNE

CVE-2023-41890Les sites web ASP.NET utilisant la bibliothèque Sustainsys.Saml2 pour gérer l'authentification SAML sont concernés. Un attaquant peut créer une réponse d'identité falsifiée pour us… 7.5 ÉLEVÉE

CVE-2023-3263Les PDU Dataprobe iBoot utilisant la version 1.43.03312023 ou une version antérieure du firmware sont vulnérables à un contournement de l'authentification via l'API REST. Un attaqu… 7.5 ÉLEVÉE

CVE-2023-38487HedgeDoc is software for creating real-time collaborative markdown notes. Prior to version 1.9.9, the API of HedgeDoc 1 can be used to create notes with an alias matching the ID of… 6.5 MOYENNE

CVE-2023-20046Le logiciel Cisco StarOS est affecté par une faille dans sa manière de valider l'authentification par clé SSH. Un attaquant disposant d'un compte avec des privilèges limités peut o… 8.8 ÉLEVÉE

CVE-2023-1803Les routeurs Redline utilisant des versions de firmware antérieures à la 7.17 sont vulnérables à un contournement de l'authentification. Un attaquant distant peut obtenir un contrô… 9.8 CRITIQUE

CVE-2021-34746Le logiciel Cisco Enterprise NFV Infrastructure (NFVIS) utilisant la fonctionnalité TACACS+ est affecté par un défaut de validation des entrées. Un attaquant distant et non authent… 9.8 CRITIQUE

CVE-2017-16590NetGain Systems Enterprise Manager (version 7.2.699 build 1001) contient une faille dans son servlet MainFilter qui permet à des attaquants distants de contourner l'authentificatio… 8.8 ÉLEVÉE