TYPE DE FAIBLESSE

CWE-598

101 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-598 (en anglais) →

CVE-2026-113669ApostropheCMS (versions antérieures à 4.33.0) et passport-bridge (versions antérieures à 1.6.1) sont des outils Node.js utilisés pour la création et la gestion du contenu de sites … 5.3 MOYENNE

CVE-2026-107370Les applications utilisant la bibliothèque `auth0-lock` pour l'authentification Active Directory sont concernées si les utilisateurs saisissent un nom de domaine sans nom d'utilisa… 5.3 MOYENNE

CVE-2026-108808Le logiciel d'enregistrement d'appels Eleveo (jusqu'à la version 10.3.0) contient une faille dans son gestionnaire de jetons JWT qui pourrait permettre à un attaquant distant de di… 1.2 FAIBLE

CVE-2026-107807Les versions 2.0.0 à 2.5.0 de Nginx UI divulguent des identifiants administratifs car le système permet de les transmettre via des paramètres d'URL plutôt que par des en-têtes sécu… 8.8 ÉLEVÉE

CVE-2026-81632Les applications utilisant les bibliothèques `ash_authentication_phoenix` et `ash_authentication` sont concernées car elles transmettent des jetons de connexion à usage unique via … 7.2 ÉLEVÉE

CVE-2026-55375Les applications utilisant la bibliothèque PHP `canto-saas-api` avant la version 3.0.0 divulguent par inadvertance des identifiants d'API sensibles en texte clair dans les journaux… 5.3 MOYENNE

CVE-2026-88897Le CMS Flextype (versions jusqu'à 1.0.0-alpha.3) expose les identifiants de l'API car il permet de les transmettre directement dans l'URL. Toute personne ayant accès à votre serveu… 8.2 ÉLEVÉE

CVE-2026-61614Les versions de SolidInvoice antérieures à la 3.0.1 permettent de transmettre les jetons d'API en tant que paramètres d'URL, ce qui entraîne le stockage de ces identifiants sensibl… 5.9 MOYENNE

CVE-2026-82181Le système de gestion de cabinet médical de Le-yan divulgue des informations sensibles en les incluant directement dans l'URL. Un attaquant ayant un accès local à l'appareil d'une … 6.8 MOYENNE

CVE-2026-76179Certains produits de passerelle Ebyte ne protègent pas correctement les jetons d'authentification dans l'interface de gestion web. Un attaquant ayant accès au réseau peut voler ces… 9.3 CRITIQUE

CVE-2026-63408Les sites utilisant le plugin Grav API dans une version antérieure à la 1.0.0-rc.16 sont concernés car ils permettent la transmission des jetons d'authentification via l'URL plutôt… 7.5 ÉLEVÉE

CVE-2026-74880Les versions d'OpenSSL_encrypt antérieures à la 1.4.0 sont affectées car les routes du serveur de clés et du serveur de télémétrie acceptent incorrectement les jetons de rafraîchis… 9.3 CRITIQUE

CVE-2026-66832L'application Android Mira divulgue des jetons de session actifs et des identifiants d'utilisateur à des sites web tiers lors de l'ouverture de contenus via le navigateur intégré. … 6.9 MOYENNE

CVE-2026-14838HUMANIST Digital Human Resources (versions antérieures à 26.1) expose des données de session sensibles dans l'URL lors de l'utilisation de requêtes GET. Un attaquant non authentifi… 7.4 ÉLEVÉE

CVE-2026-47768Les instances auto-hébergées de nebula-mesh antérieures à la version 0.3.2 sont concernées. Un attaquant disposant d'un accès local au système et de privilèges limités peut voler u… 5.5 MOYENNE

CVE-2026-16207Les applications utilisant `django-tastypie` (version 0.15.1 et antérieures) sont sensibles à une faille pouvant entraîner la fuite d'informations confidentielles liées aux clés AP… 6.3 MOYENNE

CVE-2026-15322Les versions 1.0.0 à 1.2.0 d'IBM Engineering AI Hub exposent des jetons de session dans les URL, ce qui pourrait permettre à un attaquant distant de détourner des sessions utilisat… 7.5 ÉLEVÉE

CVE-2026-9592SEPPmail Secure Email Gateway et SEPPmail Cloud (versions antérieures à 15.0.4.2) sont affectés par une faille qui expose les jetons de session dans les URL et les en-têtes HTTP. U… 7.5 ÉLEVÉE

CVE-2026-62386Le plugin Grav API (versions antérieures à 1.0.0-rc.16) permet incorrectement la transmission de jetons d'authentification via des paramètres d'URL, ce qui entraîne l'enregistremen… 8.2 ÉLEVÉE

CVE-2026-54652La version 0.17.1 de Frigate NVR permet à tout utilisateur disposant d'un compte simple de type « viewer » de télécharger les journaux système et nginx via l'API. Étant donné que c… 8.1 ÉLEVÉE

CVE-2026-58656Les sites Grav CMS utilisant le plugin API (avant la version 1.0.0-rc.16) sont vulnérables si un attaquant obtient un jeton d'authentification divulgué via des journaux (logs) ou l… 8.7 ÉLEVÉE

CVE-2026-10078L'outil de configuration de Quay divulgue les identifiants OAuth de GitLab (ID client et secret) en les envoyant en texte clair dans les paramètres de l'URL. Un attaquant disposant… 2.7 FAIBLE

CVE-2026-44883Portainer Community Edition (versions 2.33.0 à <2.33.8, 2.39.2 et 2.41.0) permet accidentellement que les jetons d'authentification soient transmis dans l'URL plutôt que uniquement… 7.7 ÉLEVÉE

CVE-2026-2237Les versions de Synology Storage Manager antérieures à la 1.0.1-1100 sur les systèmes Windows ne protègent pas correctement les données sensibles lors de l'utilisation de requêtes … 6.2 MOYENNE

CVE-2025-62317HCL AION traite les données sensibles d'une manière qui permet leur fuite dans les paramètres d'URL, où elles peuvent être mises en cache dans l'historique du navigateur ou dans le… 2.6 FAIBLE

CVE-2026-43875Les plateformes vidéo AVideo (version 29.0 et antérieures) laissent fuiter les hachages de mots de passe des utilisateurs dans l'URL lors des connexions OAuth. Un attaquant capable… 6.8 MOYENNE

CVE-2026-37504Les versions de V2Board jusqu'à la 1.7.4 laissent fuiter le jeton d'authentification du serveur car celui-ci est transmis en tant que paramètre d'URL. Un attaquant ayant accès aux … 5.3 MOYENNE

CVE-2026-34020Apache OpenMeetings (versions 3.1.3 à 8.x) est affecté par une faille où les identifiants de connexion sont envoyés via l'URL plutôt que dans le corps d'une requête sécurisée. Un a… 7.5 ÉLEVÉE

CVE-2026-27949Les installations de Plane project management antérieures à la version 1.3.0 peuvent divulguer les adresses e-mail des utilisateurs dans l'URL lorsqu'une erreur d'authentification … 2.0 FAIBLE

CVE-2026-34969Les installations de Nhost antérieures à la version 0.48.0 laissent fuiter les jetons de rafraîchissement (refresh tokens) OAuth en les plaçant directement dans l'URL de redirectio… 2.3 FAIBLE

CVE-2026-25118Les instances Immich auto-hébergées antérieures à la version 2.6.0 sont affectées par une faille qui expose les mots de passe des albums partagés en texte clair. Comme les mots de … 6.3 MOYENNE

CVE-2026-33620Les serveurs HTTP PinchTab (versions 0.7.8 à 0.8.3) permettent la transmission des jetons d'API via la chaîne de requête de l'URL, et pas seulement via l'en-tête d'autorisation. Ce… 4.3 MOYENNE

CVE-2025-14808IBM InfoSphere Information Server (versions 11.7.0.0 à 11.7.1.6) peut divulguer des données sensibles contenues dans les chaînes de requête HTTP GET. Un attaquant authentifié peut … 3.1 FAIBLE

CVE-2026-31381Les systèmes utilisant cette implémentation d'OAuth divulguent les adresses e-mail des utilisateurs via le paramètre « state » dans les URL de rappel (callback URLs). Un attaquant … 5.3 MOYENNE

CVE-2025-14811IBM Sterling Partner Engagement Manager (versions 6.2.3.0–6.2.3.5 et 6.2.4.0–6.2.4.2) peut divulguer des données sensibles contenues dans les chaînes de requêtes HTTP GET. Un attaq… 3.1 FAIBLE

CVE-2025-13219IBM Aspera Orchestrator (versions 3.0.0 à 4.1.2) expose des données sensibles en les incluant directement dans les paramètres d'URL. Un attaquant qui obtiendrait ces URL — par exem… 5.9 MOYENNE

CVE-2025-41772Les systèmes Ubiquiti Business Routing (UBR) sont affectés par une faille entraînant la fuite de jetons de session en texte clair via l'URL `wwwupdate.cgi`. Un attaquant distant no… 7.5 ÉLEVÉE

CVE-2026-26196Les services Git Gogs auto-hébergés antérieurs à la version 0.14.2 sont concernés car l'API accepte les jetons d'authentification directement dans l'URL. Un attaquant ayant accès a… 6.9 MOYENNE

CVE-2025-59873HCL Software ZIE for Web (v16) transmet les jetons de session et les identifiants d'authentification dans l'URL, lesquels peuvent être divulgués via les journaux réseau ou l'histor… 5.9 MOYENNE

CVE-2026-26721Le logiciel de gestion des installations mondiales de Key Systems Inc (v.20230721a) contient une faille qui permet à des attaquants distants de voler des informations sensibles en … 7.1 ÉLEVÉE

CVE-2025-69634Dolibarr ERP & CRM (v.22.0.9) est affecté par une faille qui permet à un utilisateur connecté d'élever ses propres privilèges au niveau administrateur. Un attaquant peut y parvenir… 9.0 CRITIQUE

CVE-2026-23846Les installations de Tugtainer antérieures à la version 1.16.1 sont concernées car les mots de passe sont transmis dans l'URL plutôt que dans le corps de la requête. Un attaquant a… 8.1 ÉLEVÉE

CVE-2026-22644Les applications web qui transmettent des jetons d'authentification via les paramètres de requête d'une URL s'exposent à un risque de détournement de session. Un attaquant ayant ac… 5.3 MOYENNE

CVE-2025-69270Broadcom DX NetOps Spectrum (version 24.3.8 et versions antérieures) sur Windows et Linux ne parvient pas à masquer les données de session dans les chaînes de requête des requêtes … 2.3 FAIBLE

CVE-2025-36371IBM i 7.2, 7.3, 7.4, 7.5, and 7.6 are impacted by obtaining an information vulnerability in the database plan cache implementation. A user with access to the database plan cache c… 6.5 MOYENNE

CVE-2025-31954HCL iAutomate v6.5.1 and v6.5.2 is susceptible to a sensitive information disclosure. An HTTP GET method is used to process a request and includes sensitive information in the que… 5.4 MOYENNE

CVE-2025-32916Potential use of sensitive information in GET requests in Checkmk GmbH's Checkmk versions <2.4.0p13, <2.3.0p38, <2.2.0p46, and 2.1.0 (EOL) may cause sensitive form data to be inclu… 1.0 FAIBLE

CVE-2025-58584In the HTTP request, the username and password are transferred directly in the URL as parameters. However, URLs can be stored in various systems such as server logs, browser histor… 5.3 MOYENNE

CVE-2025-56551Les panneaux de contrôle DirectAdmin en version 1.680 sont affectés par une faille qui permet à un attaquant de modifier la mise en page de la page et de remplacer l'écran de conne… 8.2 ÉLEVÉE

CVE-2025-50709An issue in Perplexity AI GPT-4 allows a remote attacker to obtain sensitive information via a GET parameter 4.3 MOYENNE