PUBLIÉES EN

décembre 2020

275 CVE, des plus récentes aux plus anciennes.

← novembre 2020 janvier 2021 →

CVE-2020-35800De nombreux routeurs et répéteurs Wi-Fi Netgear sont affectés par des configurations de sécurité incorrectes. Un attaquant peut exploiter cette faille à distance pour obtenir un ac… 9.4 CRITIQUE

CVE-2020-35798Plusieurs modèles de routeurs NETGEAR sont vulnérables à une faille d'injection de commandes qui permet à un attaquant d'exécuter des commandes système arbitraires. Un attaquant ay… 9.3 CRITIQUE

CVE-2020-35797Les appareils NETGEAR NMS300 utilisant un firmware antérieur à la version 1.6.0.27 sont vulnérables à l'injection de commandes à distance. Un attaquant peut prendre le contrôle tot… 9.8 CRITIQUE

CVE-2020-35795Plusieurs modèles de routeurs et de systèmes mesh Netgear sont vulnérables à une faille de dépassement de tampon (buffer overflow). Un attaquant peut envoyer une requête réseau spé… 9.8 CRITIQUE

CVE-2020-10208Les appareils Amino Communications des séries AK45x, AK5xx, AK65x, Aria6xx, Aria7/AK7Xx et Kami7B sont concernés via le composant EntoneWebEngine. Un attaquant disposant d'identifi… 9.9 CRITIQUE

CVE-2020-10210Plusieurs passerelles et téléphones VoIP d'Amino Communications (séries AK et Aria) contiennent des clés SSH codées en dur pour le compte root. Un attaquant ayant un accès au résea… 9.8 CRITIQUE

CVE-2020-10207Les appareils Amino Communications des séries AK45x, AK5xx, AK65x, Aria6xx, Aria7/AK7Xx et Kami7B sont affectés par des identifiants d'administration codés en dur. Un attaquant aya… 9.8 CRITIQUE

CVE-2020-10148Les installations de la plateforme SolarWinds Orion sont vulnérables à un contournement de l'authentification au sein de l'API. Un attaquant distant non authentifié peut envoyer de… KEV 9.8 CRITIQUE

CVE-2020-28283Les applications utilisant la bibliothèque `libnested` (versions 0.0.0 à 1.5.0) sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant distant peut exploi… 9.8 CRITIQUE

CVE-2020-28282La bibliothèque Node.js `getobject` (version 0.1.0) est affectée par une faille de pollution de prototype. Un attaquant distant non authentifié peut l'exploiter en envoyant une req… 9.8 CRITIQUE

CVE-2020-28281Les applications utilisant la bibliothèque `set-object-value` (versions 0.0.0 à 0.0.5) sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant non authenti… 9.8 CRITIQUE

CVE-2020-28280Les applications utilisant la bibliothèque Node.js `predefine` (versions 0.0.0 à 0.1.2) sont vulnérables à la pollution de prototype. Un attaquant distant peut exploiter cette fail… 9.8 CRITIQUE

CVE-2020-28279Les applications utilisant la bibliothèque `flattenizer` (versions 0.0.5 à 1.0.5) sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant non authentifié p… 9.8 CRITIQUE

CVE-2020-28278La bibliothèque `shvl` (versions 1.0.0 à 2.0.1) est vulnérable à la pollution de prototype, ce qui peut permettre à un attaquant distant de provoquer le plantage de votre service o… 9.8 CRITIQUE

CVE-2020-28277Les applications Node.js utilisant la bibliothèque `dset` (versions 1.0.0 à 2.0.1) sont vulnérables à la pollution de prototype. Un attaquant non authentifié peut envoyer une requê… 9.8 CRITIQUE

CVE-2020-28276Les applications utilisant la bibliothèque JavaScript `deep-set` (versions 1.0.0 à 1.0.1) sont vulnérables à la pollution de prototype. Un attaquant non authentifié peut envoyer de… 9.8 CRITIQUE

CVE-2020-35769Les versions 1.962 de Webmin s'exécutant sur Windows sont sensibles à une faille dans la manière dont le serveur traite les caractères spéciaux dans les requêtes web. Un attaquant … 9.8 CRITIQUE

CVE-2020-27172Les versions du logiciel antivirus G-Data antérieures à la version 25.5.9.25 sont affectées par une faille dans la manière dont le programme restaure les fichiers infectés. Un atta… 9.8 CRITIQUE

CVE-2020-35613Les sites Joomla utilisant les versions 3.0.0 à 3.9.22 sont vulnérables à une faille d'injection SQL dans la liste des utilisateurs de l'interface d'administration. Un attaquant di… 9.8 CRITIQUE

CVE-2020-26290Les installations de Dex utilisant le connecteur SAML sont vulnérables à un contournement de signature causé par un encodage XML incorrect. Un attaquant distant non authentifié pou… 9.3 CRITIQUE

CVE-2020-26030Les installations de Zammad antérieures à la version 3.4.1 sont concernées si l'authentification unique (SSO) n'est pas configurée. Un attaquant distant peut contourner l'authentif… 9.8 CRITIQUE

CVE-2020-35729KLog Server 2.4.1 est sujet à une faille qui permet à un attaquant d'exécuter des commandes arbitraires du système d'exploitation sur le serveur hôte. En envoyant des données spéci… 9.8 CRITIQUE

CVE-2020-35245Les serveurs FlamingoIM sont vulnérables à une faille d'injection SQL lors du processus d'ajout d'utilisateurs. Un attaquant distant non authentifié peut exploiter cette vulnérabil… 9.8 CRITIQUE

CVE-2020-35244Les serveurs FlamingoIM sont vulnérables à une faille d'injection SQL dans la fonction de gestion des groupes. Un attaquant non authentifié disposant d'un accès réseau peut exécute… 9.8 CRITIQUE

CVE-2020-35243FlamingoIM (versions jusqu'au 2020-09-29) est affecté par une faille d'injection SQL dans son processus de mise à jour des informations utilisateur. Un attaquant distant non authen… 9.8 CRITIQUE

CVE-2020-35242Les serveurs FlamingoIM sont affectés par une faille d'injection SQL dans la fonction de mise à jour des équipes d'utilisateurs. Un attaquant distant non authentifié peut exploiter… 9.8 CRITIQUE

CVE-2020-29203Les applications utilisant la bibliothèque `struct2json` avant le 18 novembre 2020 sont vulnérables à un dépassement de tampon. Un attaquant non authentifié peut envoyer une requêt… 9.8 CRITIQUE

CVE-2020-35364Beijing Huorong Internet Security version 5.0.55.2 est susceptible d'être affectée par une faille d'élévation de privilèges. Un attaquant peut injecter du code malveillant dans un … 9.8 CRITIQUE

CVE-2020-35575Plusieurs modèles de routeurs et de points d'accès TP-Link sont affectés par une faille dans leur interface de gestion web. Un attaquant distant peut exploiter cette vulnérabilité … 9.8 CRITIQUE

CVE-2020-35713Les amplificateurs Wi-Fi Linksys RE6500 utilisant une version du micrologiciel antérieure à la 1.0.012.001 sont vulnérables à l'injection de commandes. Un attaquant ayant accès au … 9.8 CRITIQUE

CVE-2020-35712Les versions d'Esri ArcGIS Server antérieures à la 10.8 sont vulnérables à une faille de type SSRF (server-side request forgery). Un attaquant non authentifié disposant d'un accès … 9.8 CRITIQUE

CVE-2020-26282BrowserUp Proxy est vulnérable à une injection de modèle côté serveur (SSTI) qui permet à un attaquant d'exécuter du code arbitraire sur votre système. Comme cette faille ne nécess… 10.0 CRITIQUE

CVE-2020-29474EGavilan Media EGM Address Book 1.0 est vulnérable à une faille d'injection SQL qui permet à un attaquant de contourner l'authentification et d'obtenir un accès administrateur. Une… 9.8 CRITIQUE

CVE-2020-29472La page « Under Construction » d'EGavilan Media pour cPanel (version 1.0) est vulnérable à une faille d'injection SQL. Un attaquant non authentifié disposant d'un accès réseau peut… 9.8 CRITIQUE

CVE-2020-28188Les versions 4.2.06 et antérieures de TerraMaster TOS sont affectées par une faille dans un fichier PHP spécifique qui gère les événements système. Un attaquant ayant un accès rése… 9.8 CRITIQUE

CVE-2020-28187Les versions 4.2.06 et antérieures de TerraMaster TOS sont affectées par des failles de traversée de répertoire dans plusieurs points de terminaison du système. Un attaquant dispos… 9.8 CRITIQUE

CVE-2020-2503QNAP File Station est affecté par une faille de cross-site scripting (XSS) stockée. Un attaquant authentifié peut injecter du code malveillant qui s'exécute dans le navigateur d'un… 9.0 CRITIQUE

CVE-2020-35665Les versions 4.2.06 et antérieures de TerraMaster TOS sont affectées par une faille dans la manière dont le système gère la création de fichiers CSV. Un attaquant ayant un accès ré… 9.8 CRITIQUE

CVE-2020-28074Le système SourceCodester Online Health Care System 1.0 est vulnérable à une faille d'injection SQL. Un attaquant peut exploiter cette vulnérabilité pour contourner l'écran de conn… 9.8 CRITIQUE

CVE-2020-28073Le système de gestion de bibliothèque SourceCodester Library Management System 1.0 est vulnérable à une faille d'injection SQL. Un attaquant distant peut exploiter cette faille pou… 9.8 CRITIQUE

CVE-2020-28070Le système de gestion des anciens élèves SourceCodester Alumni Management System 1.0 contient une faille dans la page `view_event.php` qui permet à un attaquant d'envoyer des comma… 9.8 CRITIQUE

CVE-2020-13968Les versions 2019.1 et antérieures de CRK Business Platform sont vulnérables à une injection SQL via le paramètre « strSessao ». Un attaquant non authentifié disposant d'un accès r… 9.8 CRITIQUE

CVE-2020-29552Le logiciel URVE (Version 24.03.2020) est vulnérable à l'exécution de code à distance via une faille dans le composant vpro.php. Un attaquant peut exécuter des commandes PowerShell… 9.8 CRITIQUE

CVE-2020-29551URVE (Build 24.03.2020) contient plusieurs scripts internes exposés qui permettent à un attaquant distant non authentifié d'arrêter, de redémarrer ou d'interrompre le système. Comm… 9.1 CRITIQUE

CVE-2020-11720Le logiciel Programi Bilanc (version 007 release 014 et versions antérieures) s'installe avec un compte administrateur par défaut utilisant le nom d'utilisateur « admin » et le mot… 9.8 CRITIQUE

CVE-2020-25196Les appareils MOXA NPort IAW5000A-I/O utilisant la version 2.1 ou une version antérieure du micrologiciel sont susceptibles de subir un contournement de l'authentification via des … 9.8 CRITIQUE

CVE-2020-25153Les appareils MOXA NPort IAW5000A-I/O utilisant la version 2.1 ou une version antérieure du micrologiciel sont affectés par l'absence d'exigences relatives à la complexité des mots… 9.8 CRITIQUE

CVE-2020-29583Les appareils Zyxel USG utilisant la version 4.60 du firmware contiennent un compte administrateur codé en dur dont le mot de passe est stocké en texte clair. Un attaquant ayant un… KEV 9.8 CRITIQUE

CVE-2020-25066Les appareils utilisant le composant Treck HTTP Server (versions antérieures à 6.0.1.68) sont susceptibles d'être affectés par une faille de corruption de mémoire. Un attaquant non… 10.0 CRITIQUE

CVE-2020-24683S+ Operations (version 2.1 SP1 et versions antérieures) est affecté par une faille où l'authentification de l'utilisateur est gérée par le client plutôt que par le serveur. Un atta… 9.8 CRITIQUE