TYPE DE FAIBLESSE

CWE-348

96 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-348 (en anglais) →

CVE-2026-112378Les versions 17.8 à 19.3.5, 19.4 avant 19.4.3 et 19.5 avant 19.5.1 de GitLab Enterprise Edition sont concernées. Ce logiciel fournit une plateforme DevOps complète pour la gestion … 4.3 MOYENNE

CVE-2026-114474Les versions 6.0.0 à 6.3.6 de hMailServer sont concernées. Ce logiciel est utilisé pour gérer l'hébergement et le routage d'e-mails sur les serveurs Windows. La faille réside dans … 5.9 MOYENNE

CVE-2026-114437Le framework web Golang Chi (versions antérieures à 5.4.0) utilise un middleware appelé ClientIPFromXFF pour identifier l'adresse IP réelle d'un utilisateur lorsque le serveur se t… 6.3 MOYENNE

CVE-2026-107567Les versions 6.0.0 à 6.3.6 de hMailServer sont concernées. Ce logiciel gère les services de messagerie pour les serveurs, et la faille réside dans la manière dont il gère la signat… 7.5 ÉLEVÉE

CVE-2026-111934Les versions de Coder antérieures à la 2.34.7 sont affectées par une faille dans le middleware ExtractRealIPAddress. Ce composant est utilisé pour déterminer l'adresse IP réelle d'… 6.3 MOYENNE

CVE-2026-111450Les versions de Wheels jusqu'à la 4.1.1, un framework pour le serveur d'applications Lucee, présentent une faille dans la gestion du rapport d'erreurs par défaut. Si aucun e-mail d… 5.9 MOYENNE

CVE-2026-111443Les versions 4.0.6 à 4.1.2 de Wheels sont affectées par une faille dans la manière dont le framework gère les contextes d'application. En envoyant un en-tête HTTP, un cookie ou un … 6.5 MOYENNE

CVE-2026-110726Les versions 1.7.3 et antérieures de `api-gateway` utilisent un résolveur de limitation de débit (rate-limit) par défaut qui identifie les clients en se basant sur la première adre… 6.5 MOYENNE

CVE-2026-93483Les versions de Znuny allant jusqu'à la version 7.3.6 inclusive sont affectées. Ce logiciel est un système de gestion de tickets et de centre d'assistance. La faille se trouve dans… 9.5 CRITIQUE

CVE-2026-108736Les versions de Speedtest Tracker jusqu'à la 1.15.0 sont affectées par une faille qui permet à des attaquants distants de contourner les restrictions d'accès basées sur l'IP. En us… 6.3 MOYENNE

CVE-2026-108555Les instances PairDrop auto-hébergées (version 1.11.2 et antérieures) qui ne sont pas protégées par Cloudflare sont concernées. Un attaquant distant connaissant votre adresse IP pu… 2.3 FAIBLE

CVE-2026-108162Les versions de Pingvin Share antérieures à la 1.22.0 sont affectées par une faille qui permet à des attaquants distants de contourner la limitation du débit en usurpant les en-têt… 6.9 MOYENNE

CVE-2026-78015Les versions de Dell Secure Connect Gateway Policy Manager antérieures à la 5.34.00.16 sont vulnérables à la manipulation d'informations. Un attaquant distant et non authentifié po… 3.7 FAIBLE

CVE-2026-107271Les installations de Gophish en version 0.12.1 et antérieures sont affectées par une faille dans la gestion de la limitation du débit (rate limiting) de la page de connexion. Un at… 6.9 MOYENNE

CVE-2026-105051Le logiciel Denuvo Anti-Tamper est affecté par une faille qui permet à un utilisateur de masquer la présence d'un hyperviseur au système. Un attaquant disposant déjà de privilèges … 1.9 FAIBLE

CVE-2026-103592Les applications web utilisant `simple-php-router` (version 5.4.1.7 et versions antérieures) sont sensibles à un contournement de sécurité dans le middleware de restriction d'IP. U… 6.9 MOYENNE

CVE-2026-102630Les versions d'UnoPim antérieures à 2.0.1 et 2.1.1 sont vulnérables à une faille d'injection d'en-tête qui permet à un attaquant distant non authentifié de tromper le système pour … 2.3 FAIBLE

CVE-2026-102275Les applications Python utilisant les versions 2.1.0 à 2.15.0 de PyJWT sont concernées si elles acceptent des paramètres de clé privée dans les en-têtes de preuve. Un attaquant pou… 6.5 MOYENNE

CVE-2026-100653Les serveurs vLLM utilisant les architectures FunAudioChat ou Tarsier2 sont concernés s'ils s'appuient sur des versions spécifiques (pins) de modèles pour garantir la sécurité ou l… 8.3 ÉLEVÉE

CVE-2026-80514Les sites WordPress utilisant l'extension wpForo Forum (versions 3.0.0 à 3.1.5) sont vulnérables à un contournement de la limitation de débit (rate-limit). Un attaquant distant non… 5.3 MOYENNE

CVE-2026-97404Les installations d'OpenStack Zaqar utilisant le transport WSGI sont affectées par une faille dans le traitement des signatures d'URL. Un attaquant distant non authentifié connaiss… 9.2 CRITIQUE

CVE-2026-92530Les instances GitLab CE et EE (versions 19.1 à 19.4) sont affectées par une faille dans le processus d'importation Direct Transfer. Un attaquant disposant d'un compte utilisateur s… 4.3 MOYENNE

CVE-2026-84718L'automation-controller d'Ansible Automation Platform est affecté par une faille qui permet à un utilisateur d'usurper son adresse IP dans les journaux système. Un attaquant dispos… 4.3 MOYENNE

CVE-2026-62987Les routeurs Fabio (versions 1.6.6 à 1.7.1) utilisant des options personnalisées pour `ClientIPHeader`, `TLSHeader` ou `RequestID` sont concernés. Un attaquant distant non authenti… 5.8 MOYENNE

CVE-2026-61682Les plans de contrôle kcp (versions antérieures à 0.31.4 et 0.32.2) sont affectés par une faille où le front-proxy ne parvient pas à supprimer les en-têtes d'identité des requêtes … 9.9 CRITIQUE

CVE-2026-61589Les applications Django utilisant la bibliothèque `djust` avant la version 1.0.7 sont concernées. Un attaquant authentifié disposant d'un accès réseau peut potentiellement consulte… 6.3 MOYENNE

CVE-2026-92395Les applications Fastify utilisant le plugin `@fastify/proxy-addr` sont concernées si elles utilisent une notation IPv6 mappée IPv4 spécifique pour les sous-réseaux de confiance. U… 9.1 CRITIQUE

CVE-2026-90711Les applications Node.js utilisant le module `proxy-addr` (y compris celles utilisant Express) sont concernées si elles utilisent une notation IPv6 mappée IPv4 spécifique pour les … 9.1 CRITIQUE

CVE-2026-90679Les serveurs Forgejo avec la fédération activée sont susceptibles de subir une usurpation d'identité via le protocole ActivityPub. Un attaquant distant disposant de son propre comp… 4.3 MOYENNE

CVE-2026-16272Les utilisateurs du module WHMCS PayTR Virtual Pos iFrame API (versions 9.0.0 à 9.0.2) sont concernés par une faille dans la manière dont le système valide les identifiants de conf… 9.1 CRITIQUE

CVE-2026-16732Les applications Node.js utilisant le framework web Fastify (versions 5.8.3 à 5.12.0) sont concernées si elles utilisent une valeur numérique pour le paramètre `trustProxy`. Un att… 6.1 MOYENNE

CVE-2026-25552Les instances Ghost CMS auto-hébergées sont concernées si elles utilisent une configuration Nginx spécifique qui gère incorrectement les en-têtes de proxy. Un attaquant distant non… 6.3 MOYENNE

CVE-2026-63220Les applications web conçues avec des versions de CodeIgniter antérieures à la 4.7.4 sont vulnérables à une faille d'usurpation d'en-têtes (header spoofing). Un attaquant distant n… 4.8 MOYENNE

CVE-2026-50243Les résolveurs DNS Unbound utilisant le module `respip` ou des déclencheurs RPZ-IP sont concernés s'ils sont configurés pour rediriger certaines plages d'adresses IP. Un attaquant … 6.3 MOYENNE

CVE-2026-64619Les versions de FileCodeBox antérieures à la 2.4 sont affectées par une faille qui permet aux attaquants de contourner les limites de débit des requêtes. En usurpant les en-têtes I… 8.7 ÉLEVÉE

CVE-2026-63770La version 0.8.5 de Glance est affectée si l'option « server proxied » est activée. Un attaquant non authentifié disposant d'un accès réseau peut contourner les protections de verr… 8.2 ÉLEVÉE

CVE-2026-46415Les serveurs Caddy utilisant l'extension Caddy Defender derrière un proxy, un CDN ou un équilibreur de charge sont concernés. Un attaquant possédant une adresse IP bloquée peut con… 8.2 ÉLEVÉE

CVE-2026-9561Les installations d'Eclipse Kura antérieures à la version 5.6.2 sont vulnérables à l'usurpation d'adresse IP (IP spoofing) car le système fait confiance aux en-têtes HTTP fournis p… 8.8 ÉLEVÉE

CVE-2026-55641Les versions de 9Router antérieures à la 0.5.2 sont affectées par une faille où le système se fie à l'en-tête Host fourni par l'utilisateur pour déterminer si une requête est local… 8.2 ÉLEVÉE

CVE-2026-58122L'interface WebUI d'Hermes (versions antérieures à 0.51.307) est affectée par une faille qui permet à des attaquants distants de contourner les restrictions de sécurité basées sur … 9.3 CRITIQUE

CVE-2026-59897Les applications web utilisant le framework Hono avec l'adaptateur AWS API Gateway v1 sont concernées. Un attaquant peut envoyer des en-têtes de requête spécifiquement conçus pour … 4.8 MOYENNE

CVE-2026-59999Les serveurs OpenSSH antérieurs à la version 10.4 sont affectés par un défaut de configuration pour lequel le transfert de tunnel reste activé même lorsqu'il est explicitement désa… 5.9 MOYENNE

CVE-2026-46466Les systèmes Dell PowerProtect Data Domain, sur plusieurs versions, sont susceptibles de subir des altérations d'informations. Un attaquant disposant de privilèges administratifs d… 2.7 FAIBLE

CVE-2026-57942Les versions de LibreTranslate jusqu'à la 1.9.7 sont affectées par une faille permettant aux utilisateurs d'usurper leur adresse IP source via l'en-tête X-Forwarded-For. Un attaqua… 6.9 MOYENNE

CVE-2026-54289Les applications web utilisant le framework Hono sur AWS Lambda@Edge sont affectées par une erreur de gestion des en-têtes qui ignore toutes les valeurs, sauf la dernière, des en-t… 4.8 MOYENNE

CVE-2026-12249Les systèmes Ubuntu utilisant ADSys pour l'intégration Active Directory sont concernés car le logiciel demande des certificats CA via HTTP non chiffré. Un attaquant non authentifié… 9.0 CRITIQUE

CVE-2026-48772Les versions 2.0.0 à 3.0.8 de ProxySQL sont affectées par une faille dans la gestion du protocole PROXY. Un attaquant non authentifié disposant d'un accès réseau au port frontend p… 10.0 CRITIQUE

CVE-2026-44046Les versions 1.2.0 à 3.16.0 d'Apache APISIX sont concernées via le plugin wolf-rbac. Un attaquant disposant d'un accès authentifié basique et d'une connectivité réseau peut usurper… 2.3 FAIBLE

CVE-2020-37248Les versions d'OfflineIMAP antérieures à la 8.0.3 sont vulnérables à une attaque de type « homme du milieu » (man-in-the-middle), dans laquelle un adversaire réseau trompe le logic… 6.5 MOYENNE

CVE-2026-43634Les versions 1.2.0 à 1.9.4 de HestiaCP sont affectées par une faille qui permet à des attaquants distants de tromper le système en lui faisant croire qu'une requête provient d'une … 8.7 ÉLEVÉE