TYPE DE FAIBLESSE

Vérification d'authenticité insuffisante CWE-345

107 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-345 (en anglais) →

CVE-2026-115933Postiz est un outil open-source de programmation de publications pour les réseaux sociaux. La faille provient du fait que l'application utilise un secret partagé unique pour signer… 9.9 CRITIQUE

CVE-2026-114612Les versions 1.87.0 à 1.104.0-rc.2 de LiteLLM (à l'exclusion de certains correctifs spécifiques) sont concernées. Ce logiciel fait office de passerelle proxy qui standardise les ap… 9.9 CRITIQUE

CVE-2026-102946joserfc est une bibliothèque Python utilisée pour gérer les normes JOSE (JSON Object Signing and Encryption). Dans les versions antérieures à la 1.7.4, une faille existe dans la ma… 9.1 CRITIQUE

CVE-2026-107102Ce système ERP ne vérifie pas correctement les rappels de paiement (callbacks) et l'authentification API, ce qui permet à un attaquant de tromper l'application pour obtenir une ses… 9.3 CRITIQUE

CVE-2026-16516Les clients wolfSSH sont affectés par une faille dans la manière dont ils vérifient les clés d'hôte lors de la phase initiale de connexion (handshake). Un attaquant positionné en t… 9.0 CRITIQUE

CVE-2026-104056Les applications utilisant Authlib version 1.7.2 ou antérieure sont vulnérables à une attaque par empoisonnement de cache concernant les métadonnées de découverte OpenID Connect. U… 9.8 CRITIQUE

CVE-2026-89238Les systèmes utilisant la bibliothèque WSS4J pour la sécurité SOAP sont affectés par une faille dans la manière dont les en-têtes chiffrés sont traités. Un attaquant distant non au… 9.1 CRITIQUE

CVE-2026-92161Les forums Flarum utilisant le fournisseur OAuth Discord de FriendsOfFlarum sont concernés. Un attaquant non authentifié connaissant l'adresse e-mail d'un utilisateur peut lier son… 9.8 CRITIQUE

CVE-2026-81630Les caméras de bord Botslab G980H sont vulnérables à l'installation de micrologiciels malveillants car l'appareil n'utilise pas de signatures cryptographiques pour vérifier les mis… 9.2 CRITIQUE

CVE-2026-28324Les installations auto-hébergées de SolarWinds Observability configurées avec des paramètres non standard et non sécurisés sont vulnérables à l'exécution de code à distance. Un att… 9.8 CRITIQUE

CVE-2025-12999Les serveurs Open VSX sont affectés par une faille d'empoisonnement de cache qui permet à un attaquant distant non authentifié de remplacer les liens de téléchargement d'extensions… 9.1 CRITIQUE

CVE-2026-62874Azure Billing est affecté par une faille qui permet à un attaquant non authentifié d'obtenir des privilèges élevés via le réseau. Comme le système ne vérifie pas correctement l'aut… 10.0 CRITIQUE

CVE-2026-88592Les serveurs kkFileView (version 4.2.0 et versions ultérieures) sont vulnérables à une faille de falsification de requête qui permet à un attaquant de contourner les filtres de séc… 9.1 CRITIQUE

CVE-2026-80172Les appliances et applications Dell SCG 5.0 (versions antérieures à 5.36.00.16 et 5.36.00.00) sont vulnérables à une attaque par rejeu en raison d'un manque de validation des requê… 9.8 CRITIQUE

CVE-2026-85435Le MOOS-IvP uFldNodeBroker (jusqu'à la version 24.8.1) ne parvient pas à vérifier la source de certains messages réseau sur le bus du véhicule. Un attaquant ayant accès au réseau p… 9.3 CRITIQUE

CVE-2026-85434Les versions de MOOS-IvP uFldShoreBroker allant jusqu'à la 24.8.1 sont affectées car elles ne vérifient pas l'authenticité des pings de nœuds. Un attaquant distant peut envoyer des… 9.3 CRITIQUE

CVE-2026-82858Les systèmes utilisant des versions de `@hulumi/drift` antérieures à la 1.3.2 sont sensibles à une faille où le logiciel accepte des plans d'exécution provenant de sources non fiab… 9.3 CRITIQUE

CVE-2026-19410Les utilisateurs de Google Cloud Build qui utilisent le contrôle des commentaires des déclencheurs GitHub (GitHub Trigger Comment Control) sont concernés par une faille dans la man… 9.4 CRITIQUE

CVE-2026-81706Les versions d'OpenSSL antérieures à 1.4.9 sont affectées par une faille dans la manière dont l'IdentityStore gère les espaces de noms des contacts. Un attaquant distant et non aut… 9.3 CRITIQUE

CVE-2026-81702Les logiciels utilisant la bibliothèque `openssl_encrypt` (versions antérieures à 1.4.9) sont affectés par une faille dans la gestion des fichiers `identity.json`. Un attaquant dis… 9.3 CRITIQUE

CVE-2026-74890Les applications PHP utilisant des versions de `openssl_encrypt` antérieures à 1.4.0 sont concernées si elles utilisent le CamelliaCipher. Un attaquant capable d'influencer les var… 9.3 CRITIQUE

CVE-2026-74875La bibliothèque `openssl_encrypt` (versions antérieures à 1.4.0) ne parvient pas à valider les métadonnées JSON si le package `jsonschema` est absent du système. Un attaquant dista… 9.3 CRITIQUE

CVE-2026-28185L'extension « Log in with Google » pour WordPress (versions 1.4.2 et antérieures) contient une faille qui permet de contourner le processus d'authentification. Un attaquant non aut… 9.8 CRITIQUE

CVE-2026-65583Les installations d'Apache CXF utilisant la validation de jetons de partie dépendante (relying-party) OIDC sont affectées si elles sont configurées pour accepter des jetons d'ident… 9.1 CRITIQUE

CVE-2026-63687Les serveurs Apache CXF utilisant `JwtRequestCodeFilter` sont vulnérables à une faille permettant aux revendications (claims) d'un JWT signé d'écraser des paramètres de sécurité se… 9.1 CRITIQUE

CVE-2026-48063Les applications utilisant l'API TypeScript/JavaScript Baileys pour WhatsApp Web sont concernées. Un attaquant peut envoyer une charge utile malveillante via le réseau pour usurper… 9.3 CRITIQUE

CVE-2026-18248Les applications utilisant la version 6.4.0 de `@fastify/aws-lambda` sont vulnérables à un contournement complet de l'authentification. Un attaquant non authentifié disposant d'un … 9.1 CRITIQUE

CVE-2026-15612Les serveurs d'authentification Logto sont affectés par une faille qui ignore les vérifications de sécurité lorsqu'un identifiant « nonce » spécifique est absent d'un jeton d'ident… 9.1 CRITIQUE

CVE-2026-54496Les nœuds Zcash exécutant zebrad (avant la version 5.0.0) ou zcashd (avant la version 6.20.0) sont affectés par une faille dans la manière dont les preuves de transaction sont vali… 9.3 CRITIQUE

CVE-2026-53513Les applications TypeScript utilisant le plugin Better Auth SSO avant la version 1.6.11 sont concernées. Un attaquant disposant d'un compte utilisateur basique peut fournir des URL… 9.6 CRITIQUE

CVE-2026-53512Les applications utilisant la bibliothèque TypeScript Better Auth (avant la version 1.6.11) avec les plugins legacy oidcProvider ou mcp sont concernées. Un attaquant possédant un j… 9.1 CRITIQUE

CVE-2026-56073Les versions de Cap-go antérieures à 12.128.2 sont affectées par une faille dans la manière dont le logiciel vérifie les mots de passe à usage unique (OTP) pour la confirmation d'e… 9.3 CRITIQUE

CVE-2026-48781Les outils de planification de réseaux sociaux Postiz AI, avant la version 2.21.8, sont affectés par une faille dans le rappel (callback) de l'intégration Skool. Tout utilisateur d… 9.9 CRITIQUE

CVE-2026-50214Les systèmes utilisant le service `/v1/Plan` sont concernés car ils s'appuient sur un jeton API global unique et partagé pour les tâches administratives. Un attaquant peut utiliser… 9.3 CRITIQUE

CVE-2026-45058Les utilisateurs du client terminal Electerm (version 3.8.8 et antérieures) sont exposés à un risque d'exécution de code arbitraire sur leur machine locale. Un attaquant peut y par… 9.4 CRITIQUE

CVE-2026-47202Les serveurs de lecture Kavita antérieurs à la version 0.9.0.2 sont vulnérables à une faille dans la manière dont les jetons d'authentification sont validés. Un attaquant disposant… 9.3 CRITIQUE

CVE-2026-44592Les systèmes Gradient CI utilisant la version 1.1.0 sont vulnérables si le paramètre de découverte par défaut est activé. Un attaquant non authentifié ayant un accès réseau au poin… 9.4 CRITIQUE

CVE-2026-44523Note : Les installations utilisant un `JWT_SECRET` court ou faible sont vulnérables à un contournement de l'authentification. Un attaquant peut utiliser des outils de force brute v… 10.0 CRITIQUE

CVE-2026-43534Les versions d'OpenClaw antérieures à la 2026.4.10 sont affectées par une faille dans la manière dont le logiciel valide les entrées pour les crochets (hooks) externes. Un attaquan… 9.3 CRITIQUE

CVE-2026-33471affecte la bibliothèque Rust `nimiq-block` utilisée dans les implémentations de la blockchain Nimiq. Un validateur malveillant disposant d'un accès réseau basique et d'identifiants… 9.6 CRITIQUE

CVE-2026-39324Les applications Ruby utilisant Rack::Session (versions 2.0.0 à 2.1.1) sont concernées si elles utilisent la gestion de session basée sur les cookies. Un attaquant non authentifié … 9.3 CRITIQUE

CVE-2026-35039Les applications utilisant la bibliothèque `fast-jwt` (versions 0.0.1 à 6.1.x) avec un `cacheKeyBuilder` personnalisé sont vulnérables aux collisions de cache. Un attaquant distant… 9.1 CRITIQUE

CVE-2026-25921Les instances auto-hébergées du service Git Gogs antérieures à la version 0.14.2 sont concernées. Un attaquant distant non authentifié peut écraser des objets de stockage de fichie… 9.3 CRITIQUE

CVE-2026-27804Les déploiements de Parse Server avec l'authentification Google activée sont concernés. Un attaquant non authentifié disposant d'un accès réseau peut contourner l'authentification … 9.3 CRITIQUE

CVE-2026-23966Les applications utilisant la bibliothèque JavaScript `sm-crypto` pour le déchiffrement SM2 sont concernées. Un attaquant non authentifié disposant d'un accès réseau peut récupérer… 9.1 CRITIQUE

CVE-2025-15385La version 7.4.63 de Boomplayer sur les appareils TECNO Mobile est vulnérable à un contournement de l'authentification en raison d'une vérification insuffisante de l'authenticité d… 9.8 CRITIQUE

CVE-2025-66570Les applications utilisant la bibliothèque `cpp-httplib` avant la version 0.27.0 sont vulnérables à l'injection d'en-têtes. Un attaquant distant non authentifié peut envoyer des en… 10.0 CRITIQUE

CVE-2025-66255Les émetteurs FM DB Electronica Mozart (diverses versions) sont sensibles à une faille dans le processus de mise à jour du micrologiciel. Un attaquant ayant un accès réseau à l'app… 9.9 CRITIQUE

CVE-2025-66016Les systèmes utilisant le schéma de signature ECDSA à seuil CGGMP24 (versions antérieures à 0.6.3) sont affectés par une faille dans la validation des preuves à divulgation nulle d… 9.3 CRITIQUE

CVE-2025-59951Les plateformes de gestion de serveurs Termix utilisant la version 1.5.0 ou antérieure via l'image Docker officielle sont concernées. Un attaquant distant non authentifié peut accé… 9.2 CRITIQUE