TYPE DE FAIBLESSE

CWE-436

175 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-436 (en anglais) →

CVE-2026-67201Les serveurs Go utilisant la version 0.5.2 ou une version antérieure sont susceptibles de subir un contournement des listes d'autorisation basées sur l'hôte. Un attaquant non authe… 7.7 ÉLEVÉE

CVE-2026-49332Les systèmes utilisant `openshift/oauth-proxy` en amont de frameworks WSGI ou PHP sont concernés. Un attaquant disposant d'un compte avec des privilèges restreints peut contourner … 8.5 ÉLEVÉE

CVE-2026-16221Les applications utilisant la bibliothèque `fast-uri` pour valider ou filtrer des URL (comme les protecteurs SSRF ou les listes d'autorisation) sont concernées. Un attaquant non au… 7.5 ÉLEVÉE

CVE-2026-63030Les sites WordPress utilisant les versions 6.9.x antérieures à 6.9.5 ou 7.0.x antérieures à 7.0.2 sont sensibles à une faille dans l'API REST. Un attaquant non authentifié peut exp… KEV 9.8 CRITIQUE

CVE-2026-44974Les applications utilisant la bibliothèque `@hapi/content` pour analyser les en-têtes HTTP sont vulnérables au détournement de paramètres (parameter smuggling). Un attaquant peut c… 7.7 ÉLEVÉE

CVE-2026-47767Les applications web basées sur des versions affectées du framework PHP Symfony sont vulnérables à un contournement de configuration. Un attaquant non authentifié peut envoyer une … 8.3 ÉLEVÉE

CVE-2026-45066Les applications web utilisant des versions affectées du framework PHP Symfony sont vulnérables à un contournement de la désinfection des données. Un attaquant peut tromper le syst… 2.3 FAIBLE

CVE-2026-56329Les versions de Capgo antérieures à 12.128.2 sont affectées par une faille dans la manière dont les noms d'hôte de prévisualisation sont analysés, où les tirets bas sont traités co… 5.3 MOYENNE

CVE-2026-56669Les applications conçues avec le framework TypeScript Elysia (avant la version 1.4.29) sont vulnérables à une attaque par déni de service. Un attaquant non authentifié peut faire p… 7.5 ÉLEVÉE

CVE-2026-59882Les applications PHP utilisant la bibliothèque `guzzlehttp/psr7` avant la version 2.12.3 sont affectées par une incohérence dans l'analyse des URI. Un attaquant non authentifié pou… 4.2 MOYENNE

CVE-2026-14198Les applications utilisant `@fastify/middie` (versions 9.1.0 à 9.3.2) sont vulnérables à un contournement de sécurité permettant à un attaquant d'ignorer les vérifications des midd… 9.1 CRITIQUE

CVE-2026-13676Les applications utilisant la bibliothèque `fast-uri` pour valider ou filtrer des URL sont concernées. Un attaquant peut utiliser des noms d'hôte Unicode spécialement conçus pour c… 7.5 ÉLEVÉE

CVE-2026-53538Les applications Python utilisant la bibliothèque `python-multipart` (avant la version 0.0.30) sont sensibles à une divergence d'analyse concernant la manière dont les données de f… 3.7 FAIBLE

CVE-2026-53537Les applications utilisant la bibliothèque `python-multipart` (versions antérieures à 0.0.30) pour analyser les téléchargements de fichiers sont concernées. Un attaquant distant no… 3.7 FAIBLE

CVE-2026-53655Les applications utilisant la bibliothèque `node-tar` pour extraire des archives sont affectées par une faille dans la manière dont elles gèrent certains en-têtes d'archives. Un at… 6.9 MOYENNE

CVE-2026-48788Les versions 1.6.0 à 1.15.0 des moteurs de commentaires Remark42 sont vulnérables à une attaque de type cross-site scripting (XSS) via le proxy d'images. Un attaquant non authentif… 8.2 ÉLEVÉE

CVE-2026-42462Les serveurs utilisant des versions affectées de la bibliothèque TypeScript Fedify sont susceptibles de subir un contournement de signature lors du traitement de données ActivityPu… 7.0 ÉLEVÉE

CVE-2026-47344Les installations TYPO3 utilisant le package `html-sanitizer` avant la version 2.3.2 sont concernées si le paramètre `ALLOW_INSECURE_RAW_TEXT` est activé. Un attaquant disposant d'… 2.1 FAIBLE

CVE-2026-40930Les applications utilisant la bibliothèque libpng 1.8.0 pour traiter des images PNG sont affectées par une erreur d'analyse dans le gestionnaire APNG. Un attaquant distant non auth… 5.4 MOYENNE

CVE-2026-47076Les applications utilisant le client HTTP `hackney` (versions 0.13.0 à 4.0.0) sont vulnérables à la falsification de requête côté serveur (SSRF). Un attaquant peut contourner les l… 6.9 MOYENNE

CVE-2026-40165Les instances Authentik utilisant une source SAML sont affectées par une faille dans la manière dont elles traitent les identités des utilisateurs. Un attaquant disposant d'un comp… 8.7 ÉLEVÉE

CVE-2026-42551Les applications PHP utilisant le micro-framework Flight (versions antérieures à 3.18.1) sont touchées par une faille qui permet à un attaquant de masquer une action destructrice, … 7.5 ÉLEVÉE

CVE-2026-44576Les applications Next.js utilisant les React Server Components sont sensibles à l'empoisonnement du cache si elles utilisent des caches partagés qui ne partitionnent pas correcteme… 5.4 MOYENNE

CVE-2026-42177Les utilisateurs de l'extension de navigateur `linux-entra-sso` sur Chrome sont concernés par une faille dans la manière dont l'extension filtre les URL. Un attaquant peut voler vo… 5.3 MOYENNE

CVE-2026-42274Les versions de Heimdall antérieures à la 0.17.14 sont sensibles à une erreur de normalisation de chemin, où le proxy ne parvient pas à résoudre les segments de points (comme `/../… 7.8 ÉLEVÉE

CVE-2026-42273Les versions de Heimdall Identity Aware Proxy antérieures à la 0.17.14 sont affectées par une incohérence dans la gestion de la casse des noms d'hôte. Un attaquant peut contourner … 7.8 ÉLEVÉE

CVE-2026-42272Les versions de Heimdall Identity Aware Proxy antérieures à la 0.17.14 sont affectées par une incohérence dans la gestion de la sensibilité à la casse pour les slashs encodés en UR… 7.8 ÉLEVÉE

CVE-2026-8034GitHub Enterprise Server (versions antérieures à 3.21) est affecté par une faille dans son visionneur de notebooks qui permet à un attaquant de forcer le serveur à envoyer des requ… 7.9 ÉLEVÉE

CVE-2026-30246Les applications web utilisant le framework Go Fiber (versions jusqu'à 3.1.0) avec le middleware de cache par défaut sont concernées. Un attaquant peut forcer le serveur à envoyer … 6.5 MOYENNE

CVE-2026-6322Les applications utilisant la bibliothèque `fast-uri` (version 3.1.1 et versions antérieures) pour valider ou acheminer des URL sont sensibles à une erreur d'analyse (parsing) d'UR… 7.5 ÉLEVÉE

CVE-2026-41248Les applications utilisant l'authentification Clerk avec Next.js, Nuxt ou Astro sont concernées si elles utilisent `createRouteMatcher` pour protéger des pages privées. Un attaquan… 9.1 CRITIQUE

CVE-2026-33804Les applications utilisant `@fastify/middie` (version 9.3.1 ou antérieure) sont vulnérables si l'option obsolète `ignoreDuplicateSlashes` est activée. Un attaquant distant non auth… 7.4 ÉLEVÉE

CVE-2026-6270Les applications Fastify utilisant `@fastify/middie` (version 9.3.1 et antérieures) peuvent ne pas appliquer les middlewares d'authentification aux routes des plugins enfants. Un a… 9.1 CRITIQUE

CVE-2026-33808Les serveurs utilisant `@fastify/express` (v4.0.4 ou version antérieure) avec des options spécifiques de normalisation du routeur sont susceptibles de présenter une faille de conto… 9.1 CRITIQUE

CVE-2026-33807Les applications utilisant `@fastify/express` (v4.0.4 et versions antérieures) peuvent involontairement ignorer les vérifications de sécurité pour les routes définies dans des plug… 9.1 CRITIQUE

CVE-2026-35200Les installations de Parse Server utilisant des adaptateurs de stockage S3 ou GCS sont concernées si elles n'ont pas été mises à jour vers la version 8.6.73 ou 9.7.1-alpha.4. Un at… 2.1 FAIBLE

CVE-2026-32762Les applications Ruby utilisant des versions affectées de l'interface de serveur web Rack sont susceptibles d'être victimes de « header smuggling » (contrebande d'en-têtes) si elle… 4.8 MOYENNE

CVE-2026-26961Les applications Ruby utilisant l'interface de serveur web Rack sont concernées si elles se trouvent derrière un proxy ou un pare-feu d'application web (WAF). Un attaquant non auth… 3.7 FAIBLE

CVE-2026-32065Les versions d'OpenClaw antérieures à la 2026.2.25 sont affectées par une faille qui permet à un attaquant d'exécuter des binaires non prévus sous le compte utilisateur d'exécution… 5.7 MOYENNE

CVE-2026-32052Les versions d'OpenClaw antérieures à la 2026.2.24 sont vulnérables à l'injection de commandes via l'enveloppe shell `system.run`. Un attaquant authentifié peut exécuter des comman… 5.8 MOYENNE

CVE-2026-32766Les applications utilisant la bibliothèque Rust `astral-tokio-tar` pour traiter des archives sont concernées. Un attaquant pourrait potentiellement induire un système en erreur sur… 1.7 FAIBLE

CVE-2026-27444Les passerelles de messagerie sécurisées SEPPmail antérieures à la version 15.0.1 sont sensibles aux conflits d'interprétation des en-têtes d'e-mail. Un attaquant distant non authe… 7.8 ÉLEVÉE

CVE-2026-27896Les applications utilisant le SDK Go MCP avant la version 1.3.1 sont concernées car elles acceptent incorrectement des messages JSON-RPC dont la casse des lettres est incohérente. … 7.0 ÉLEVÉE

CVE-2026-0958Les installations GitLab CE et EE (versions 18.4 à 18.8) sont vulnérables à une attaque par déni de service capable de faire planter le serveur en épuisant son processeur ou sa mém… 7.5 ÉLEVÉE

CVE-2026-23686SAP NetWeaver Application Server Java est affecté par une faille qui permet à un utilisateur d'injecter des entrées malveillantes dans les fichiers de configuration du système. Un … 3.4 FAIBLE

CVE-2026-25223Les applications Node.js utilisant le framework web Fastify (versions antérieures à 5.7.2) sont affectées par une faille permettant à des attaquants de contourner les schémas de va… 7.5 ÉLEVÉE

CVE-2025-66490Traefik is an HTTP reverse proxy and load balancer. For versions prior to 2.11.32 and 2.11.31 through 3.6.2, requests using PathPrefix, Path or PathRegex matchers can bypass path n… 6.9 MOYENNE

CVE-2025-12816Les applications utilisant la bibliothèque `node-forge` (version 1.3.1 et antérieures) pour des opérations cryptographiques sont concernées. Un attaquant distant non authentifié pe… 8.6 ÉLEVÉE

CVE-2025-54368uv is a Python package and project manager written in Rust. In versions 0.8.5 and earlier, remote ZIP archives were handled in a streamwise fashion, and file entries were not recon… 6.8 MOYENNE

CVE-2025-48384Les utilisateurs de Git sont concernés s'ils initialisent un sous-module malveillant utilisant des caractères de retour chariot spécifiques dans son chemin d'accès. Un attaquant pe… KEV 8.0 ÉLEVÉE