TYPE DE FAIBLESSE

CWE-88

103 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-88 (en anglais) →

CVE-2026-111813Apache Traffic Server (versions 8.0.1–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 et 10.2.0) est un proxy de mise en cache utilisé pour accélérer la diffusion de contenus web. La faille se… 10.0 CRITIQUE

CVE-2026-113708Argo CD (versions 2.7.0 à 3.3.14, 3.4.0-3.4.9, 3.5.0-3.5.3 et 3.6.0-rc1) est un outil GitOps utilisé pour automatiser les déploiements Kubernetes. La faille provient du fait que Ku… 9.9 CRITIQUE

CVE-2026-112900Pillow est une bibliothèque Python populaire utilisée pour ouvrir, manipuler et enregistrer de nombreux formats de fichiers image. Les versions allant de 2.6.0 à 13.0.0 sont affect… 9.2 CRITIQUE

CVE-2026-96620Les versions du SDK Claude Agent antérieures à la 0.2.121, utilisées pour intégrer Claude Code dans des applications Python, contiennent une faille d'injection d'arguments. Lorsque… 9.2 CRITIQUE

CVE-2026-110858Les versions 3.1.30 à 3.2.0 de GitPython sont affectées lors de l'utilisation de la fonction `Remote.pull()`. Un attaquant capable de contrôler le refspec (la référence source) peu… 9.2 CRITIQUE

CVE-2026-108390Les versions 1.9.7 à 1.10.4 du panneau de contrôle Hestia sont affectées par une faille permettant à un utilisateur disposant d'un compte avec des privilèges restreints d'obtenir u… 9.9 CRITIQUE

CVE-2026-92892Les systèmes exécutant ce logiciel sous certaines configurations spécifiques sont susceptibles de permettre l'exécution de code à distance. Un attaquant non authentifié disposant d… 9.0 CRITIQUE

CVE-2026-108929Les routeurs Netcore NR268 utilisant la version 1.7.121109 sont susceptibles de subir une injection d'arguments via la page de configuration DDNS. Un attaquant disposant d'identifi… 9.4 CRITIQUE

CVE-2026-107510Les utilisateurs disposant de privilèges administratifs de haut niveau sur le système concerné peuvent injecter des arguments malveillants dans des commandes de dépannage afin d'él… 9.1 CRITIQUE

CVE-2026-100714Les installations de Froxlor antérieures à la version 2.3.12 sont affectées par une faille d'injection d'arguments dans la configuration Let's Encrypt. Un attaquant disposant de pr… 9.4 CRITIQUE

CVE-2026-87900WP Toolkit pour cPanel (version 6.11.2-10794 et versions antérieures) contient une faille qui permet à un utilisateur connecté d'exécuter du code arbitraire ou de lire des fichiers… 9.4 CRITIQUE

CVE-2026-84502Les utilisateurs disposant des permissions de base pour créer ou modifier des projets dans l'automation-controller de Red Hat Ansible Automation Platform peuvent exécuter des comma… 9.9 CRITIQUE

CVE-2026-54501Les instances Browsertrix auto-hébergées entre les versions 1.15.0 et 1.22.8 sont vulnérables à l'injection de commandes via des URL Git mal assainies. Un attaquant disposant de pe… 9.4 CRITIQUE

CVE-2026-54337Les installations de Fireshare auto-hébergées antérieures à la version 1.6.14 sont affectées par une faille dans la fonctionnalité de téléchargement de vidéos. Un attaquant non aut… 9.8 CRITIQUE

CVE-2026-86060Les appareils MikroTik RouterOS sont affectés par une faille dans la manière dont le processus de connexion SSH gère certains noms d'utilisateur. Un attaquant non authentifié dispo… KEV 9.2 CRITIQUE

CVE-2026-79675Les applications Python utilisant la bibliothèque NLTK (versions antérieures à 3.10.3) sont vulnérables à l'exécution de code à distance via la fonction `java()`. Un attaquant peut… 9.3 CRITIQUE

CVE-2026-78676Les applications utilisant la bibliothèque GitPython avant la version 3.1.59 sont susceptibles de permettre l'exécution de code arbitraire. Un attaquant peut y parvenir en fourniss… 9.3 CRITIQUE

CVE-2026-62867Les gestionnaires de conteneurs système et de machines virtuelles Incus antérieurs à la version 7.3.0 sont concernés. Un utilisateur disposant d'un accès projet de bas niveau peut … 9.9 CRITIQUE

CVE-2026-65770Azure Managed Instance for Apache Cassandra est affecté par une faille d'injection d'arguments qui permet à un attaquant distant d'exécuter du code arbitraire sur le système. Comme… 10.0 CRITIQUE

CVE-2026-53790Les versions de Rsync antérieures à 3.5.0 sont sensibles à l'injection de commandes via diverses entrées, telles que les noms d'hôte et les variables d'environnement. Un attaquant … 9.2 CRITIQUE

CVE-2026-16770Les applications Perl utilisant la bibliothèque `PDF::WebKit` (version 1.2 et versions antérieures) pour convertir du HTML en PDF sont concernées. Un attaquant peut intégrer des ba… 9.8 CRITIQUE

CVE-2026-73240Les versions d'Apache Allura antérieures à la 1.19.1 sont vulnérables à l'injection d'arguments via des entrées spécialement conçues. Un attaquant non authentifié disposant d'un ac… 9.8 CRITIQUE

CVE-2026-73294Les utilisateurs des versions de Semaphore UI antérieures à 2.18.17 et 2.19.5-beta2 sont concernés par une faille d'injection de commandes liée à la manière dont le logiciel gère l… 9.9 CRITIQUE

CVE-2026-52891Les installations de Wekan antérieures à la version 9.07 sont affectées par une faille dans le processus de téléchargement des avatars. Un utilisateur authentifié peut prendre le c… 9.9 CRITIQUE

CVE-2026-61459Les versions de MCP Server Kubernetes antérieures à la 3.9.0 sont vulnérables à l'injection d'arguments via certains outils tels que `kubectl_get` et `kubectl_describe`. Un attaqua… 9.3 CRITIQUE

CVE-2026-57572Les versions de Crawl4AI antérieures à 0.9.0 s'exécutant sous Docker sont vulnérables à l'exécution à distance de commandes via le serveur API. Un attaquant peut envoyer une requêt… 10.0 CRITIQUE

CVE-2026-40047Les installations d'Apache Camel utilisant le composant `camel-docling` (versions 4.15.0 à 4.18.2) sont vulnérables à l'injection d'arguments. Un attaquant non authentifié peut env… 9.1 CRITIQUE

CVE-2026-54088Les versions de File Browser antérieures à la 2.63.6 sont concernées si vous utilisez la fonctionnalité Hook Authentication pour déléguer les connexions à une commande shell extern… 9.3 CRITIQUE

CVE-2026-44790Les serveurs d'automatisation de flux n8n sont concernés s'ils utilisent une version obsolète. Un attaquant disposant d'un compte et des permissions nécessaires pour modifier les f… 9.4 CRITIQUE

CVE-2026-47365Les serveurs cPanel et WHM utilisant des versions de WordPress Toolkit antérieures à la 6.11.0 sont affectés par une faille d'injection d'arguments. Un attaquant disposant d'un acc… 9.9 CRITIQUE

CVE-2026-44450Les applications de chat Lumiverse AI antérieures à la version 0.9.7 sont vulnérables à l'exécution de code à distance. Tout utilisateur disposant d'un compte standard peut contour… 9.9 CRITIQUE

CVE-2026-44449Les applications de chat Lumiverse AI antérieures à la version 0.9.7 sont vulnérables à l'exécution de commandes à distance sur le serveur hôte. Un attaquant disposant de privilège… 9.1 CRITIQUE

CVE-2026-45158Les pare-feu OPNsense antérieurs à la version 26.1.8 sont vulnérables à une faille où une entrée non assainie dans la configuration DHCP peut être utilisée pour exécuter des comman… 9.1 CRITIQUE

CVE-2026-44193Les installations du pare-feu OPNsense antérieures à la version 26.1.7 sont vulnérables à l'exécution de code à distance en raison d'une faille dans la méthode de restauration de l… 9.1 CRITIQUE

CVE-2026-31230Les systèmes utilisant la version 1.20.1 ou antérieure de l'Adversarial Robustness Toolbox (ART) sont concernés, plus particulièrement ceux qui utilisent le composant Kubeflow pour… 9.8 CRITIQUE

CVE-2026-42601Les versions 0.8.6rc0 et antérieures d'ArchiveBox sont vulnérables à l'exécution de code à distance via le point de terminaison `/add/`. Un attaquant non authentifié ayant un accès… 9.3 CRITIQUE

CVE-2026-43941Les utilisateurs du client de terminal Electerm (version 3.8.15 et antérieures) sont exposés à un risque s'ils cliquent sur un lien malveillant affiché dans leur fenêtre de termina… 9.6 CRITIQUE

CVE-2026-40281Les versions 8.30.1 et antérieures de l'API PDF Gotenberg sont vulnérables à une attaque par injection via le point de terminaison d'écriture des métadonnées. Un attaquant distant … 10.0 CRITIQUE

CVE-2026-35033Les serveurs multimédias Jellyfin antérieurs à la version 10.11.7 sont vulnérables à une attaque permettant à un utilisateur distant de lire n'importe quel fichier sur le système h… 9.3 CRITIQUE

CVE-2026-2449Les versions 1.5.0 et antérieures d'upKeeper Instant Privilege Access sont vulnérables à l'injection d'arguments. Un utilisateur authentifié disposant de privilèges restreints peut… 9.0 CRITIQUE

CVE-2026-22738Les applications utilisant le `SimpleVectorStore` de Spring AI sont vulnérables si elles transmettent des entrées utilisateur non assainies directement dans les clés d'expression d… 9.8 CRITIQUE

CVE-2026-2298Les installations de Salesforce Marketing Cloud Engagement antérieures au 30 janvier 2026 sont vulnérables à l'injection d'arguments. Un attaquant distant non authentifié peut expl… 9.4 CRITIQUE

CVE-2026-32304Locutus (versions antérieures à 3.0.14) est affecté car son utilitaire `create_function` ne nettoie pas les entrées avant de les transmettre au constructeur Function de JavaScript.… 9.8 CRITIQUE

CVE-2026-27947Les installations de Group-Office antérieures aux versions 26.0.9, 25.0.87 et 6.8.154 sont vulnérables à l'exécution de code à distance via des pièces jointes `winmail.dat` spécial… 9.4 CRITIQUE

CVE-2026-27613Les serveurs TinyWeb utilisant des versions antérieures à la 2.01 et hébergeant des scripts CGI (comme PHP) sont susceptibles de subir un contournement de sécurité. Un attaquant no… 10.0 CRITIQUE

CVE-2026-27208Les utilisateurs de l'outil `api-gateway-deploy` (version 1.0.0) sont exposés à une faille de sécurité critique permettant l'exécution de commandes à distance. Un attaquant ayant u… 9.2 CRITIQUE

CVE-2025-70327Les routeurs TOTOLINK X5000R utilisant la version 9.1.0cu_2415_B20250515 sont vulnérables à l'injection de commandes via l'interface web. Un attaquant distant peut envoyer des requ… 9.8 CRITIQUE

CVE-2026-25134Les installations de Group-Office antérieures aux versions 6.8.150, 25.0.82 et 26.0.5 sont vulnérables à l'exécution de code à distance. Un attaquant disposant d'identifiants d'uti… 9.4 CRITIQUE

CVE-2025-24293Les applications Ruby on Rails utilisant Active Storage avec les gems `image_processing` et `mini_magick` sont concernées si elles permettent aux utilisateurs de définir les paramè… 9.2 CRITIQUE

CVE-2026-22583Les utilisateurs de Salesforce Marketing Cloud Engagement sont affectés par une faille d'injection d'arguments dans le module CloudPagesUrl. Un attaquant distant non authentifié pe… 9.8 CRITIQUE