TYPE DE FAIBLESSE

Fixation de session CWE-384

447 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-384 (en anglais) →

CVE-2026-115910Les versions de Python Social Auth antérieures à 6.2.0 fournissent un mécanisme permettant aux sites web de gérer les connexions et les inscriptions via les réseaux sociaux. La fai… 6.8 MOYENNE

CVE-2026-49410Les versions d'OpenHuman antérieures à 0.56.0, un harnais d'agent open-source utilisé comme application de bureau ou bibliothèque Rust, contiennent une faille de type falsification… 8.1 ÉLEVÉE

CVE-2026-55682Les versions de WeGIA web manager antérieures à la 3.8.6 sont affectées par une faille qui divulgue le nom d'hôte de la base de données interne et permet le détournement de session… 8.1 ÉLEVÉE

CVE-2026-107421L'intégration VideoWhisper Broadcast Live Video (versions jusqu'à 7.3.2) est vulnérable à la fixation de session, ce qui permet à un attaquant de détourner la session active d'un u… 7.3 ÉLEVÉE

CVE-2026-93909Les versions 17.0.0.3 à 26.0.0.10 d'IBM WebSphere Application Server Liberty sont affectées si la fonctionnalité `samlWeb-2.0` est activée. Un attaquant non authentifié disposant d… 9.1 CRITIQUE

CVE-2026-63161Les versions d'Omnispace Agora Project antérieures à la 26.10.0 sont affectées par une faille de fixation de session. Un attaquant peut détourner le compte d'un utilisateur en le p… 8.6 ÉLEVÉE

CVE-2024-34324ProPhoenix Law RMS (v2022.2403.3.101) est affecté par une faille qui permet à un attaquant de détourner des sessions utilisateur actives en injectant une chaîne de caractères spéci… 9.1 CRITIQUE

CVE-2026-107226Les applications Java utilisant la bibliothèque AsyncHttpClient (versions 2.1.0 à 3.0.13) sont affectées par une faille dans la gestion des cookies sécurisés. Un attaquant capable … 6.8 MOYENNE

CVE-2026-107229Les applications Java utilisant la bibliothèque AsyncHttpClient (versions 2.16.0 à 3.0.13) sont vulnérables à l'injection de cookies en raison d'une validation incorrecte du domain… 4.0 MOYENNE

CVE-2026-92414Les serveurs Apache Jackrabbit WebDAV (versions 2.20.0–2.20.17, 2.22.0–2.22.4 et 2.23.0–2.23.5) sont vulnérables à la réutilisation de session. Un attaquant distant non authentifié… 9.3 CRITIQUE

CVE-2026-105233Le système kishor-23 food-waste-management-system est susceptible d'une fixation de session via le fichier `login.php`. Un attaquant peut détourner à distance la session d'un utili… 2.1 FAIBLE

CVE-2026-104469Les versions de YesWiki antérieures à la 4.6.7 sont affectées par une faille de fixation de session qui permet à un attaquant de détourner le compte authentifié d'un utilisateur. E… 7.6 ÉLEVÉE

CVE-2026-102489Les versions 6.3.0 à 6.5.4 du logiciel de help desk Zammad sont vulnérables à un détournement de session permettant à un attaquant d'exécuter du code arbitraire sur votre serveur e… KEV 9.4 CRITIQUE

CVE-2026-92609Apache Qpid Broker-J (jusqu'à la version 10.1.0) est affecté par une faille dans la gestion des sessions d'administration. Un attaquant distant non authentifié peut prendre le cont… 9.8 CRITIQUE

CVE-2026-57179Les applications utilisant Python Social Auth (avant la version 5.0.0) avec des étapes d'authentification pouvant être reprises, comme la validation d'un e-mail, sont concernées. U… 4.2 MOYENNE

CVE-2026-61687Les instances Hatchet antérieures à la version 0.91.1 utilisant l'authentification Google, GitHub ou Slack sont concernées. Un attaquant distant non authentifié peut détourner la s… 7.1 ÉLEVÉE

CVE-2026-82355Les versions 3.3.0 et 3.3.1 d'Apache Airflow sont affectées par une faille où le système donne la priorité aux cookies de session sur les jetons porteurs (bearer tokens), ce qui en… 4.2 MOYENNE

CVE-2026-86688Les applications utilisant la bibliothèque `ash_authentication` (versions 0.2.0–4.14.9 et 5.0.0-rc.0–rc.13) sont vulnérables à la fixation de session. Un attaquant peut détourner l… 7.4 ÉLEVÉE

CVE-2026-92984Les versions 2.2.32 et antérieures du CMS HUBzero sont affectées par une faille de fixation de session. Un attaquant distant non authentifié peut détourner le compte d'un utilisate… 8.5 ÉLEVÉE

CVE-2026-77614Les plateformes de gestion vidéo Opencast antérieures aux versions 19.7 et 20.2 sont vulnérables aux attaques par fixation de session. Un attaquant non authentifié peut envoyer un … 8.8 ÉLEVÉE

CVE-2026-78428Les systèmes utilisant SAML ou OpenID Connect (OIDC) pour l'authentification unique (SSO) sont susceptibles de subir une confusion de session lors de tentatives de connexion simult… 8.0 ÉLEVÉE

CVE-2026-61592Les applications Django utilisant la bibliothèque `djust` pour le rendu côté serveur (versions antérieures à 1.0.7) sont concernées. Un attaquant qui obtient l'identifiant de sessi… 7.4 ÉLEVÉE

CVE-2026-69214Les applications utilisant la bibliothèque Scala Http4s pour les requêtes HTTP sont concernées. Un attaquant contrôlant un serveur auquel votre application se connecte peut implant… 6.8 MOYENNE

CVE-2026-1758Secomea GateManager (versions 11.5 et 11.4.625515072) est affecté par une faille qui permet à un attaquant de détourner la session d'un utilisateur. Un attaquant peut prendre le co… 8.3 ÉLEVÉE

CVE-2026-86674Le système de gestion scolaire ningzichun est vulnérable à la fixation de session via la page de connexion. Un attaquant distant peut détourner la session d'un utilisateur, mais se… 2.1 FAIBLE

CVE-2026-85238Les instances MISP utilisant une configuration d'authentification personnalisée sont vulnérables au détournement de session. Un attaquant capable de forcer une victime à utiliser u… 7.6 ÉLEVÉE

CVE-2026-84652Les installations de Jenkins (version 2.579 ou antérieure) sont vulnérables à une attaque par fixation de session via le cookie « remember me ». Un attaquant capable de diffuser du… 7.3 ÉLEVÉE

CVE-2026-18527IBM Application Runtime Expert (ARE) pour i est affecté par une faille dans son composant GUI qui permet à un attaquant distant d'effectuer des actions en utilisant le profil authe… 9.9 CRITIQUE

CVE-2026-81826Les versions 3.3.0 et ultérieures de Flowintel ne ferment pas les sessions actives lorsqu'un utilisateur modifie son mot de passe. Si un attaquant a déjà volé un jeton de session o… 9.1 CRITIQUE

CVE-2026-70594Les versions 2.2.0 à 6.54.1 de Ghost CMS sont affectées par une faille de fixation de session dans le panneau d'administration. Un attaquant pourrait potentiellement détourner la s… 6.7 MOYENNE

CVE-2026-69245Les applications utilisant le client HTTP Guzzle pour PHP sont concernées si le support des cookies est activé. Un attaquant peut utiliser des noms de domaine formatés spécifiqueme… 6.5 MOYENNE

CVE-2026-16496Les instances de `terraform-mcp-server` antérieures à la version 1.1.0 sont affectées lors de l'utilisation du mode de transport avec état streamable-HTTP. Un attaquant qui obtient… 8.9 ÉLEVÉE

CVE-2021-32088L'appliance Quest KACE Systems Deployment Appliance (SMA) version 11.0.273 est affectée par une faille qui permet à des attaquants de contourner la protection contre les attaques p… 9.8 CRITIQUE

CVE-2026-16089Le Red Hat Build de Keycloak est affecté par une faille dans sa gestion des codes d'autorisation OAuth 2.0. Un attaquant qui intercepte un code peut le modifier pour obtenir des je… 5.4 MOYENNE

CVE-2026-59883Les applications PHP utilisant le client HTTP Guzzle (versions antérieures à 7.12.3) sont concernées. Un attaquant pourrait potentiellement voler, injecter ou fixer des cookies de … 4.7 MOYENNE

CVE-2026-14609Le système de notation automatisé SourceCodester CET (v1.0) est susceptible d'être victime d'une fixation de session, ce qui pourrait permettre à un attaquant distant de détourner … 2.9 FAIBLE

CVE-2026-13707Les serveurs OAuth de la Fondation Wikimedia (versions 1.46.0, 1.45.4, 1.44.6, 1.43.9 et versions antérieures) sont vulnérables à la fixation de session. Un attaquant disposant d'u… 0.0 AUCUNE

CVE-2026-56224Les instances de la console Capgo antérieures à la version 12.128.2 sont affectées par une faille qui permet de transmettre des jetons d'authentification directement via une URL. U… 5.1 MOYENNE

CVE-2026-35095Le logiciel KTM System e-BOK est affecté par une faille de fixation de session qui permet à un attaquant de détourner la session authentifiée d'un utilisateur. Pour y parvenir, l'a… 4.8 MOYENNE

CVE-2026-40082Les installations de Cacti version 1.2.30 et antérieures sont vulnérables à la fixation de session car le système ne renouvelle pas l'identifiant de session après la connexion d'un… 5.4 MOYENNE

CVE-2026-56425Les utilisateurs du plugin d'authentification Azure Active Directory sont exposés à des risques de détournement de session et de prise de contrôle de compte en raison de plusieurs … 9.3 CRITIQUE

CVE-2026-12581Le logiciel EasyFlow .NET de Digiwin est vulnérable à la fixation de session. Un attaquant distant non authentifié peut détourner le compte d'un utilisateur et obtenir l'intégralit… 7.7 ÉLEVÉE

CVE-2026-53900Les utilisateurs de Firefox pour iOS sont affectés par une faille qui permet à un site malveillant d'injecter des cookies arbitraires dans des requêtes envoyées vers un domaine dif… 4.3 MOYENNE

CVE-2009-10007Les applications web utilisant le module Perl Catalyst::Plugin::Authentication (versions antérieures à 0.10_027) sont vulnérables à la fixation de session. Un attaquant qui obtient… 9.1 CRITIQUE

CVE-2026-41839Les applications conçues avec Spring WebFlux sont affectées par une faille qui permet à un attaquant de détourner la session d'un utilisateur authentifié. Pour y parvenir, l'attaqu… 4.2 MOYENNE

CVE-2026-11335Le système de gestion du collège Tittuvarghese est vulnérable à la fixation de session via le formulaire de connexion. Un attaquant distant peut détourner la session d'un utilisate… 2.1 FAIBLE

CVE-2025-67446Les routeurs Neterbit NW-431F (version 20241014-IR03 et versions antérieures) sont affectés par une faille permettant de deviner facilement le cookie de session administrative. Un … 9.8 CRITIQUE

CVE-2026-33384Les installations de QuickCMS antérieures au correctif du 15 mai 2026 sont vulnérables à la fixation de session. Un attaquant capable d'inciter un utilisateur à cliquer sur un lien… 4.8 MOYENNE

CVE-2026-48545Les versions de Gradio antérieures à 6.15.0 sont vulnérables à l'injection de cookies en raison d'un client HTTP partagé dans le point de terminaison du proxy inverse. Un attaquant… 7.6 ÉLEVÉE

CVE-2026-43827Apache Shiro (versions 1.0 à 2.1.0 et 3.0.0-alpha-1) est vulnérable à la fixation de session car il ne renouvelle pas les identifiants de session après la connexion d'un utilisateu… 5.9 MOYENNE