TYPE DE FAIBLESSE

CWE-942

145 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-942 (en anglais) →

CVE-2026-10056Le VMS Network Optix Nx Witness (versions antérieures à 6.1.2) fonctionnant en mode de sécurité Standard est susceptible de présenter une mauvaise configuration CORS. Un attaquant … 7.5 ÉLEVÉE

CVE-2026-46685Les systèmes de stockage d'objets distribués RustFS (avant la version v1.0.0-beta.2) sont affectés si le paramètre `RUSTFS_CORS_ALLOWED_ORIGINS` est laissé vide. Un attaquant peut … 6.0 MOYENNE

CVE-2026-45021Les plans de contrôle du service mesh Kuma avec des configurations par défaut sont susceptibles de présenter une fuite d'identifiants. Un attaquant peut voler le jeton d'amorçage (… 5.1 MOYENNE

CVE-2026-9739Les utilisateurs se connectant à Toolbox via Server-Sent Events (SSE) selon la spécification v2024-11-05 sont exposés à un risque. Un attaquant peut utiliser une attaque par DNS re… 9.4 CRITIQUE

CVE-2026-44895Les versions du serveur GitLab MCP antérieures à la 0.6.0 sont vulnérables car le serveur écoute sur toutes les interfaces réseau sans aucune authentification. Un attaquant distant… 9.2 CRITIQUE

CVE-2026-46431Les serveurs web Algernon antérieurs à la version 1.17.7 sont susceptibles de présenter une fuite de données cross-origin via le serveur d'événements SSE. Un attaquant peut lire vo… 4.3 MOYENNE

CVE-2026-8948Les utilisateurs de versions de Firefox ou Thunderbird antérieures à la version 151 sont concernés par une faille dans la manière dont le navigateur gère les requêtes réseau. Un at… 9.1 CRITIQUE

CVE-2026-8576Les utilisateurs de Google Chrome sur Linux et ChromeOS sont concernés par une faille dans la manière dont le navigateur gère le partage de ressources cross-origin (CORS). Un attaq… 4.3 MOYENNE

CVE-2026-8537Les utilisateurs de Google Chrome sont concernés par une faille dans la manière dont le navigateur applique les politiques de sécurité pour les « View Transitions ». Un attaquant d… 4.3 MOYENNE

CVE-2026-44184Les versions de Cleanuparr antérieures à la 2.9.10 sont concernées si vous avez activé l'authentification par adresse locale. Un attaquant peut voler votre clé API permanente et pr… 8.0 ÉLEVÉE

CVE-2026-7643ChatGPTNextWeb NextChat (jusqu'à la version 2.16.1) est affecté par un défaut de configuration de son point de terminaison API. Un attaquant distant peut inciter un utilisateur con… 2.1 FAIBLE

CVE-2026-7581Les installations de MeTube (jusqu'à la version 2026.04.09) présentent une politique CORS mal configurée qui permet à des sites web non approuvés d'interagir avec l'application. Un… 2.1 FAIBLE

CVE-2026-41056Les plateformes vidéo AVideo (version 29.0 et versions antérieures) sont vulnérables à une mauvaise configuration du partage de ressources entre origines (CORS). Un attaquant peut … 8.1 ÉLEVÉE

CVE-2026-34839Les versions de l'outil de surveillance Glances antérieures à la 4.5.4 sont affectées par une politique CORS permissive sur leur API REST. Un attaquant peut utiliser un site web ma… 7.7 ÉLEVÉE

CVE-2026-6662L' `copilot-api` (versions 0.7.0 et antérieures) présente une faille dans sa configuration CORS qui permet à des domaines non approuvés de contourner les restrictions d'origine cro… 5.5 MOYENNE

CVE-2026-6143Le logiciel Farion1231 cc-switch (jusqu'à la version 3.12.3) présente une faille dans son serveur proxy qui permet à des domaines non approuvés de contourner les politiques de sécu… 2.1 FAIBLE

CVE-2026-5302Les versions de CoolerControl antérieures à la 4.0.0 sont affectées par une erreur de configuration de sécurité dans la manière dont le service gère les requêtes cross-origin. Un a… 6.3 MOYENNE

CVE-2026-33533Les outils de surveillance Glances fonctionnant en mode serveur (via `-s` ou `--server`) sont affectés par une mauvaise configuration du partage de ressources d'origine croisée (CO… 7.1 ÉLEVÉE

CVE-2026-5321Les utilisateurs de vanna-ai (jusqu'à la version 2.0.2) utilisant le serveur FastAPI ou Flask sont concernés par une mauvaise configuration des politiques de domaines croisés (cros… 2.1 FAIBLE

CVE-2026-34449Les installations de bureau du système de gestion des connaissances SiYuan antérieures à la version 3.6.2 sont vulnérables à l'exécution de code à distance. Un attaquant peut prend… 9.6 CRITIQUE

CVE-2026-34237Les applications utilisant le SDK Java MCP (versions antérieures à 0.83.0, 1.0.1 et 1.1.1) sont sensibles à une mauvaise configuration du CORS. Un attaquant non authentifié peut ut… 6.1 MOYENNE

CVE-2026-34227Les opérateurs utilisant le framework Sliver C2 avant la version 1.7.4 risquent de perdre le contrôle de l'ensemble de leur infrastructure. Un attaquant non authentifié peut obteni… 5.9 MOYENNE

CVE-2026-34200Les serveurs MCP de Nhost CLI sont concernés s'ils ont été explicitement configurés pour écouter sur un port réseau. Un attaquant peut utiliser un site web malveillant pour inciter… 7.7 ÉLEVÉE

CVE-2026-0397Les systèmes dont le serveur web interne est activé sont susceptibles de présenter une fuite d'informations cross-origin. Un attaquant peut dérober des détails sur votre configurat… 3.1 FAIBLE

CVE-2025-55274HCL Aftermarket DPC est affecté par une mauvaise configuration CORS qui pourrait permettre à un attaquant de voler des données utilisateur sensibles ou d'effectuer des actions au n… 2.6 FAIBLE

CVE-2026-33010Les utilisateurs du backend de mémoire `mcp-memory-service` sont concernés s'ils ont activé le serveur HTTP et l'accès anonyme. Un attaquant peut héberger un site web malveillant q… 8.1 ÉLEVÉE

CVE-2026-33043Les versions 25.0 et antérieures des plateformes vidéo AVideo sont affectées par une faille qui laisse fuiter les identifiants de session via un fichier PHP spécifique. Un attaquan… 8.1 ÉLEVÉE

CVE-2026-30924Les interfaces web de qBittorrent (versions 1.14.1 et antérieures) sont vulnérables à une attaque par falsification de requête intersite (CSRF). Un attaquant peut voler des clés AP… 9.0 CRITIQUE

CVE-2026-32610Les outils de surveillance Glances utilisant des versions antérieures à la 4.5.2 sont sensibles à une mauvaise configuration du partage de ressources cross-origin (CORS). Un attaqu… 8.1 ÉLEVÉE

CVE-2026-32617Les installations d'AnythingLLM (version 1.11.1 et antérieures) pour lesquelles aucun mot de passe ou aucune clé API n'a été configuré sont susceptibles d'être victimes d'accès non… 7.1 ÉLEVÉE

CVE-2026-28792Les développeurs utilisant le serveur de développement CLI de TinaCMS (avant la version 2.1.8) sont exposés à un risque d'attaque « drive-by ». Un attaquant distant peut lire, écri… 9.6 CRITIQUE

CVE-2026-27579Les installations de CollabPlatform sont sensibles à une erreur de configuration dans leur projet Appwrite sous-jacent, laquelle gère incorrectement les requêtes cross-origin. Un a… 7.4 ÉLEVÉE

CVE-2025-9292Les contrôleurs cloud TP-Link Omada sont affectés par une erreur de configuration de sécurité qui pourrait permettre à un attaquant de contourner les restrictions du navigateur et … 2.0 FAIBLE

CVE-2026-25478Les applications web basées sur le framework Litestar (avant la version 2.20.0) sont vulnérables à un contournement du partage de ressources cross-origin (CORS) en raison d'express… 7.4 ÉLEVÉE

CVE-2025-13984Les sites Drupal utilisant l'intégration Next.js (versions antérieures à 1.6.4 et 2.0.1) sont sensibles aux failles de type cross-site scripting (XSS). Un attaquant non authentifié… 6.1 MOYENNE

CVE-2026-24435Les routeurs Tenda W30E V2 (firmware V16.01.0.19(5037) et versions antérieures) présentent une politique CORS mal configurée qui permet à des sites web externes d'envoyer des requê… 7.1 ÉLEVÉE

CVE-2026-1181Les points de terminaison des espaces de travail Altium 365 sont affectés par une politique CORS mal configurée qui permet à des scripts provenant d'autres sous-domaines Altium d'e… 9.0 CRITIQUE

CVE-2025-55462Les éditions Community et Enterprise d'Eramba v3.26.0 sont affectées par une erreur de configuration qui permet à des sites web malveillants de voler des données de session sensibl… 6.5 MOYENNE

CVE-2026-22812Les versions d'OpenCode antérieures à la 1.0.216 exécutent un serveur HTTP non authentifié qui permet à un attaquant d'exécuter des commandes shell arbitraires avec vos privilèges … 8.8 ÉLEVÉE

CVE-2025-13019Les utilisateurs de Firefox et de Thunderbird sont concernés par une faille dans la manière dont le navigateur gère les « web workers ». Un attaquant peut contourner les barrières … 8.1 ÉLEVÉE

CVE-2025-13017Les utilisateurs des navigateurs Firefox et Thunderbird sont affectés par une faille dans la manière dont le logiciel gère les notifications web. Un attaquant peut contourner les b… 8.1 ÉLEVÉE

CVE-2025-43480Le navigateur Safari d'Apple et les composants WebKit intégrés sur iOS, macOS et d'autres plateformes Apple sont concernés. Un attaquant peut voler des données sensibles provenant … 8.1 ÉLEVÉE

CVE-2025-43392The issue was addressed with improved handling of caches. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, v… 4.3 MOYENNE

CVE-2025-62523PILOS (Platform for Interactive Live-Online Seminars) is a frontend for BigBlueButton. PILOS before 4.8.0 includes a Cross-Origin Resource Sharing (CORS) misconfiguration in its mi… 6.3 MOYENNE

CVE-2025-53092Strapi is an open source headless content management system. Strapi versions prior to 5.20.0 contain a CORS misconfiguration vulnerability in default installations. By default, Str… 6.5 MOYENNE

CVE-2023-37401IBM Aspera Faspex 5.0.0 through 5.0.13.1 uses a cross-domain policy file that includes domains that should not be trusted. 5.3 MOYENNE

CVE-2025-11304A flaw has been found in CodeCanyon/ui-lib Mentor LMS up to 1.1.1. Affected by this vulnerability is an unknown functionality of the component API. Executing manipulation can lead … 2.1 FAIBLE

CVE-2025-41010Incorrect Cross-Origin Resource Sharing (CORS) configuration in Hiberus Sintra. Cross-Origin Resource Sharing (CORS) allows browsers to make cross-domain requests in a controlled m… 5.1 MOYENNE

CVE-2020-36851Les instances `cors-anywhere` configurées comme proxys ouverts sont vulnérables aux falsifications de requêtes côté serveur (SSRF). Un attaquant distant non authentifié peut envoye… 9.5 CRITIQUE

CVE-2025-10529Same-origin policy bypass in the Layout component. This vulnerability was fixed in Firefox 143, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. 6.5 MOYENNE