PUBLIÉES EN

novembre 2017

154 CVE, des plus récentes aux plus anciennes.

← octobre 2017 décembre 2017 →

CVE-2017-16820Les systèmes utilisant l'outil de surveillance collectd avec le plugin SNMP activé sont concernés. Un attaquant non authentifié peut envoyer un paquet réseau spécialement conçu pou… 9.8 CRITIQUE

CVE-2017-12635Les versions d'Apache CouchDB antérieures à 1.7.0 et 2.1.1 sont affectées par une faille d'analyse JSON qui permet à un attaquant distant non authentifié de s'octroyer des privilèg… 9.8 CRITIQUE

CVE-2017-6274Les appareils Google Pixel sont affectés par une faille de corruption de mémoire dans le pilote de régulation thermique du système. Un attaquant non authentifié pourrait exploiter … 9.8 CRITIQUE

CVE-2017-1710Les systèmes de stockage IBM Storwize V7000 (version 8.1) sont affectés via l'interface graphique (GUI) du Service Assistant. Un attaquant distant peut exploiter cette faille pour … 9.8 CRITIQUE

CVE-2017-1221Les installations d'IBM BigFix 9.2 et 9.5 sont concernées car elles n'imposent pas d'exigences de mots de passe complexes par défaut. Un attaquant distant peut exploiter cette fail… 9.8 CRITIQUE

CVE-2017-14024Les logiciels Schneider Electric InduSoft Web Studio et InTouch Machine Edition (v8.0 SP2 Patch 1 et versions antérieures) sont affectés par une faille de corruption de mémoire. Un… 9.8 CRITIQUE

CVE-2017-0907Les applications utilisant la bibliothèque Recurly Client .NET (versions antérieures à celles listées) sont vulnérables à une faille de type Server-Side Request Forgery (SSRF). Un … 9.8 CRITIQUE

CVE-2017-0906Les applications utilisant des versions affectées de la bibliothèque Python Recurly Client sont vulnérables aux falsifications de requêtes côté serveur (SSRF). Un attaquant non aut… 9.8 CRITIQUE

CVE-2017-0905Les applications utilisant des versions obsolètes de la bibliothèque Ruby Recurly Client sont vulnérables à une faille de type server-side request forgery (SSRF). Un attaquant dist… 9.8 CRITIQUE

CVE-2017-0889Les applications Ruby utilisant la gem Paperclip (version 3.1.4 et ultérieures) sont vulnérables aux falsifications de requêtes côté serveur (SSRF). Un attaquant distant non authen… 9.8 CRITIQUE

CVE-2017-10871Les routeurs NTT DOCOMO Wi-Fi STATION L-02F utilisant la version L02F-MDM9625-V10h-JUN-23-2017-DCM-JP ou une version antérieure sont vulnérables à un dépassement de tampon (buffer … 9.8 CRITIQUE

CVE-2017-13846Les versions de macOS antérieures à 10.13.1 sont concernées en raison d'une faille dans la bibliothèque d'expressions régulières PCRE intégrée. Un attaquant distant peut faire plan… 9.8 CRITIQUE

CVE-2017-13832Les versions de macOS antérieures à 10.13.1 sont affectées par une faille dans le composant d'authentification réseau 802.1X. Un attaquant distant peut exploiter cette vulnérabilit… 9.8 CRITIQUE

CVE-2017-13815Les versions de macOS antérieures à 10.13.1 sont affectées par une faille présente dans l'utilitaire intégré `file`. Un attaquant distant et non authentifié peut provoquer le plant… 9.8 CRITIQUE

CVE-2017-16783La version 2.1.6 de CMS Made Simple est vulnérable à une faille d'injection de modèle qui permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur… 9.8 CRITIQUE

CVE-2017-16780Les versions du logiciel de forum MyBB antérieures à la 1.8.13 sont concernées si l'installateur est toujours accessible. Un attaquant distant non authentifié peut écraser le fichi… 9.8 CRITIQUE

CVE-2017-16764La version 0.1.3 de `django_make_app` est affectée par une faille dans sa manière d'analyser les fichiers YAML. Un attaquant peut exécuter des commandes Python arbitraires sur votr… 9.8 CRITIQUE

CVE-2017-16763Confire 0.2.0 est vulnérable à l'exécution de code à distance en raison d'une méthode d'analyse YAML non sécurisée. Un attaquant peut prendre le contrôle total du système en fourni… 9.8 CRITIQUE

CVE-2017-16521Les versions d'Inedo BuildMaster antérieures à la 5.8.2 sont vulnérables à un problème où une méthode de transformation XML non sécurisée permet l'exécution de code à distance. Un … 9.8 CRITIQUE

CVE-2017-16634Les versions de Joomla! CMS antérieures à la 3.8.2 contiennent une faille qui permet à un attaquant de contourner l'authentification à deux facteurs. En envoyant une requête spécia… 9.8 CRITIQUE

CVE-2017-16562Les sites WordPress utilisant l'extension UserPro (versions antérieures à 4.9.17.1) et possédant un compte utilisateur nommé « admin » sont vulnérables. Un attaquant distant peut o… 9.8 CRITIQUE

CVE-2017-11309Les clients Avaya IP Office SoftConsole (versions antérieures à 10.1.1) sont sensibles à un dépassement de tampon déclenché par une réponse trop longue d'un serveur. Un attaquant c… 9.6 CRITIQUE

CVE-2015-7501Plusieurs produits Red Hat JBoss et OpenShift sont concernés par une faille présente dans la bibliothèque Apache Commons Collections. Un attaquant distant non authentifié peut envo… 9.8 CRITIQUE

CVE-2015-3933Les versions de MetalGenix GeniXCMS antérieures à 0.0.3-patch sont affectées par des failles d'injection SQL dans le processus d'inscription. Un attaquant distant peut envoyer des … 9.8 CRITIQUE

CVE-2017-16618Les versions d'OwlMixin antérieures à la 2.0.0a12 sont vulnérables à l'exécution de code à distance en raison du chargement non sécurisé de fichiers YAML. Un attaquant peut envoyer… 9.8 CRITIQUE

CVE-2017-16616Les versions de PyAnyAPI antérieures à 0.6.1 sont concernées en raison de l'utilisation d'une méthode de chargement YAML non sécurisée. Un attaquant peut envoyer un fichier YAML sp… 9.8 CRITIQUE

CVE-2017-16615Les versions de MLAlchemy antérieures à 0.2.2 sont affectées en raison de l'utilisation d'un analyseur YAML non sécurisé. Un attaquant peut envoyer une requête YAML spécialement co… 9.8 CRITIQUE

CVE-2017-16561Le logiciel Ingenious School Management System 2.3.0 est affecté par une faille dans sa page de consultation des profils. Un attaquant non authentifié peut envoyer des requêtes web… 9.8 CRITIQUE

CVE-2016-0872Les versions de Kabona AB WebDatorCentral antérieures à la 3.4.0 stockent les mots de passe des utilisateurs en texte clair au lieu de les hacher. Un attaquant ayant un accès résea… 9.8 CRITIQUE

CVE-2008-7319Les applications Perl utilisant l'extension `Net::Ping::External` (version 0.15 et versions antérieures) sont vulnérables à l'injection de commandes à distance. Si un programme tra… 9.8 CRITIQUE

CVE-2017-2922La version 6.8 de Cesanta Mongoose est affectée par une faille de corruption de mémoire dans l'implémentation de son protocole WebSocket. Un attaquant non authentifié peut envoyer … 9.8 CRITIQUE

CVE-2017-2921Cesanta Mongoose (version 6.8) est affecté par une faille de corruption de mémoire dans l'implémentation de son protocole WebSocket. Un attaquant distant peut envoyer un paquet rés… 9.8 CRITIQUE

CVE-2017-2894Les systèmes Cesanta Mongoose 6.8 agissant comme courtiers (brokers) MQTT sont affectés par une faille de corruption de mémoire dans la manière dont ils analysent les paquets entra… 9.8 CRITIQUE

CVE-2017-2892Les systèmes exécutant la version 6.8 de Cesanta Mongoose utilisant l'analyse des paquets MQTT sont concernés. Un attaquant non authentifié disposant d'un accès réseau peut envoyer… 9.8 CRITIQUE

CVE-2017-2891Les serveurs HTTP Cesanta Mongoose 6.8 sont affectés par une erreur de gestion de la mémoire lors du traitement des requêtes CGI. Un attaquant non authentifié peut envoyer une requ… 9.8 CRITIQUE

CVE-2017-2864Les appareils Circle de Disney sont affectés par une faille dans leur manière de générer des jetons d'authentification. Un attaquant non authentifié disposant d'un accès au réseau … 9.8 CRITIQUE

CVE-2017-12085L'infrastructure cloud Circle de Disney est affectée par un défaut de routage qui permet à un attaquant d'envoyer des paquets spécialement conçus vers n'importe quel appareil conne… 9.0 CRITIQUE

CVE-2017-15887Synology CardDAV Server (versions antérieures à 6.0.7-0085) ne limite pas le nombre de tentatives de connexion sur son point de terminaison /principals. Cela permet à un attaquant … 9.8 CRITIQUE

CVE-2017-16638Les utilisateurs du package `vde` de Gentoo (avant la version 2.3.2-r4) peuvent être vulnérables à une élévation de privilèges locale. Un utilisateur membre du groupe « qemu » peut… 9.8 CRITIQUE

CVE-2017-16548Les démons Rsync versions 3.1.2 et 3.1.3-development sont affectés par une erreur de gestion de la mémoire lors du traitement des attributs étendus. Un attaquant distant et non aut… 9.8 CRITIQUE

CVE-2017-16543Zoho ManageEngine Applications Manager (versions antérieures au build 13500) est sensible à une faille d'injection SQL dans le composant GraphicalView. Un attaquant non authentifié… 9.8 CRITIQUE

CVE-2017-1000171Les versions de Mahara Mobile antérieures à 1.2.1 écrivent par erreur les mots de passe des utilisateurs en texte clair dans les journaux d'accès du système. Un attaquant ayant un … 9.8 CRITIQUE

CVE-2017-1000154Certaines versions du système d'e-portfolio Mahara ne vérifient pas le statut du compte lorsque les utilisateurs se connectent via des méthodes d'authentification externes. Cela pe… 9.8 CRITIQUE

CVE-2017-1000153Les installations de Mahara e-portfolio (versions 15.04 à 16.04) sont affectées par une faille pour laquelle les liens de réinitialisation de mot de passe restent actifs même après… 9.8 CRITIQUE

CVE-2017-1000152Les installations de Mahara e-portfolio (versions 15.04 antérieures à 15.04.7 et 15.10 antérieures à 15.10.3) fonctionnant sous PHP 5.3 sont vulnérables au détournement de session.… 9.8 CRITIQUE

CVE-2017-16523Les passerelles MitraStar GPT-2541GNAC et DSL-100HN-T1 contiennent un compte caché et non documenté avec un mot de passe par défaut. Toute personne ayant un accès réseau à l'appare… 9.8 CRITIQUE

CVE-2017-11767Le moteur JavaScript ChakraCore est affecté par une faille de corruption de mémoire qui permet à un attaquant distant d'exécuter du code arbitraire avec les privilèges de l'utilisa… 9.8 CRITIQUE

CVE-2017-16510Les versions de WordPress antérieures à la 4.8.3 présentent une faille dans la manière dont les requêtes de base de données sont nettoyées, ce qui peut permettre à des attaquants d… 9.8 CRITIQUE

CVE-2017-1000121WebKitGTK+ (versions antérieures à 2.16.3) est affecté par une faille dans la manière dont sa couche IPC UNIX gère la taille des messages. Un attaquant ayant déjà compromis un proc… 9.8 CRITIQUE

CVE-2017-1000245Les serveurs Jenkins utilisant le plugin SSH stockent les mots de passe des serveurs distants et les phrases de passe des clés SSH en texte clair dans un fichier de configuration. … 9.8 CRITIQUE