PUBLIÉES EN

décembre 2020

275 CVE, des plus récentes aux plus anciennes.

← novembre 2020 janvier 2021 →

CVE-2020-28440Les systèmes utilisant le package `corenlp-js-interface` sont vulnérables à l'injection de commandes à distance via la fonction principale. Un attaquant non authentifié disposant d… 9.8 CRITIQUE

CVE-2020-28439Les applications utilisant le package `corenlp-js-prefab` sont susceptibles de subir une exécution de code à distance en raison d'une faille de dépendance dans `corenlp-js-interfac… 9.8 CRITIQUE

CVE-2020-27134Cisco Jabber pour Windows, macOS et les plateformes mobiles est affecté par des failles qui permettent à un attaquant distant d'exécuter du code arbitraire avec des privilèges élev… 9.9 CRITIQUE

CVE-2020-27133Les clients Cisco Jabber sur Windows, macOS et les plateformes mobiles sont vulnérables à l'exécution de code à distance. Un attaquant authentifié disposant d'un accès réseau peut … 9.9 CRITIQUE

CVE-2020-27132Les clients Cisco Jabber pour Windows, macOS et les appareils mobiles sont concernés. Un attaquant disposant d'un compte à faibles privilèges peut exécuter à distance des programme… 9.9 CRITIQUE

CVE-2020-27127Cisco Jabber pour Windows, MacOS et les plateformes mobiles est affecté par des vulnérabilités permettant à un attaquant d'exécuter des programmes arbitraires avec des privilèges é… 9.9 CRITIQUE

CVE-2020-15357Les routeurs Askey AP5100W (version 1.01.097 et antérieures) présentent une faille dans les outils d'analyse réseau qui permet à un attaquant d'exécuter des commandes système arbit… 9.8 CRITIQUE

CVE-2020-29591Les images du registre Docker officiel en version 2.7.0 et antérieures sont livrées avec un mot de passe vide pour l'utilisateur root. Un attaquant distant peut utiliser cet identi… 9.8 CRITIQUE

CVE-2020-13556Les appareils utilisant la pile Ethernet/IP OpENer 2.3 sont sensibles à une erreur de corruption de mémoire. Un attaquant non authentifié disposant d'un accès réseau peut envoyer u… 9.8 CRITIQUE

CVE-2020-24634Certaines passerelles Aruba 9000 et certains contrôleurs de mobilité de la série 7000 sont vulnérables à l'injection de commandes à distance via le protocole de gestion PAPI. Un at… 9.8 CRITIQUE

CVE-2020-24633Les passerelles Aruba 9000 et les contrôleurs de mobilité de la série 7000 sont affectés par des failles de dépassement de tampon dans le protocole de gestion PAPI. Un attaquant pe… 9.8 CRITIQUE

CVE-2020-17530Apache Struts (versions 2.0.0 à 2.5.25) est affecté par une faille qui permet à un attaquant d'exécuter du code arbitraire sur le serveur. En envoyant des données spécifiquement co… KEV 9.8 CRITIQUE

CVE-2020-7540Certains contrôleurs industriels Modicon M340, Quantum et Premium, ainsi que leurs modules de communication, présentent une faille dans leur serveur web qui permet à des attaquants… 9.8 CRITIQUE

CVE-2020-28215Les appareils Schneider Electric Easergy T300 utilisant le firmware 2.7 ou une version antérieure sont affectés par un défaut de vérification des autorisations. Un attaquant non au… 9.8 CRITIQUE

CVE-2020-29311Ubilling v1.0.9 est affecté par une faille qui permet à un attaquant d'exécuter des commandes système arbitraires avec des privilèges root. En injectant du code malveillant dans le… 9.8 CRITIQUE

CVE-2020-26201Les routeurs Askey AP5100W utilisant la version 1.01.097 ou une version antérieure utilisent un mot de passe codé en dur et faible au niveau du système d'exploitation. Un attaquant… 9.8 CRITIQUE

CVE-2020-19527La version 7.0.14 d'iCMS est affectée par une faille dans son script d'installation qui permet à un attaquant d'exécuter des commandes arbitraires du système d'exploitation. Comme … 9.8 CRITIQUE

CVE-2020-19142Les installations d'iCMS 7 sont vulnérables à l'exécution de code à distance via le script d'installation. Un attaquant non authentifié disposant d'un accès réseau peut exécuter de… 9.8 CRITIQUE

CVE-2020-16608Notable 1.8.4 est affecté par une faille permettant à un texte Markdown spécialement conçu de déclencher une attaque par cross-site scripting (XSS). Comme l'application active l'in… 9.6 CRITIQUE

CVE-2020-29667Le système Lan ATM Monitoring System 6.1.0 est affecté par une faille où les cookies de session n'expirent pas correctement. Un attaquant non authentifié disposant d'un accès résea… 9.8 CRITIQUE

CVE-2020-24445Les versions 6.5.6.0 et antérieures d'Adobe Experience Manager (AEM), ainsi que son offre Cloud Service, sont vulnérables au cross-site scripting (XSS) stocké. Un attaquant disposa… 9.0 CRITIQUE

CVE-2019-7198Les serveurs NAS QNAP utilisant des versions affectées de QTS ou QuTS hero sont vulnérables à une faille d'injection de commandes. Un attaquant non authentifié disposant d'un accès… 9.8 CRITIQUE

CVE-2020-17142Microsoft Exchange Server est affecté par une faille qui permet à un attaquant d'exécuter du code arbitraire sur le serveur. Pour exploiter cette vulnérabilité, l'attaquant doit di… 9.1 CRITIQUE

CVE-2020-17132Microsoft Exchange Server est affecté par une faille qui permet à un attaquant d'exécuter du code arbitraire sur le serveur. Pour y parvenir, l'attaquant doit disposer d'identifian… 9.1 CRITIQUE

CVE-2020-29659Flexense DupScout Enterprise 10.0.18 est affecté par une faille dans son serveur web qui permet à un attaquant distant d'exécuter du code arbitraire avec les privilèges complets SY… 9.8 CRITIQUE

CVE-2020-26838SAP Business Warehouse et SAP BW4HANA sont affectés par une faille qui permet à un attaquant d'exécuter des commandes arbitraires du système d'exploitation sur le serveur. Pour y p… 9.1 CRITIQUE

CVE-2020-26837SAP Solution Manager 7.2 (User Experience Monitoring) est affecté par une faille qui permet à un utilisateur disposant d'identifiants de bas niveau de télécharger des scripts malve… 9.1 CRITIQUE

CVE-2020-26831Les versions 4.1, 4.2 et 4.3 de la plateforme SAP BusinessObjects BI sont affectées par une faille dans la manière dont Crystal Reports gère les téléchargements XML. Un attaquant d… 9.6 CRITIQUE

CVE-2020-26829SAP NetWeaver AS JAVA (versions 7.11 à 7.50) est affecté par l'absence d'une vérification d'authentification dans sa communication de cluster P2P. Un attaquant non authentifié disp… 10.0 CRITIQUE

CVE-2020-17529Les versions 9.1.0, 10.0.0 et antérieures de l'RTOS Apache NuttX sont concernées si elles ont été compilées avec les options « experimental » et « TCP reassembly » activées. Un att… 9.8 CRITIQUE

CVE-2020-17528Les systèmes d'exploitation en temps réel Apache NuttX (versions 9.1.0 et 10.0.0) sont affectés par une faille de corruption de mémoire dans la pile TCP. Un attaquant distant peut … 9.1 CRITIQUE

CVE-2020-29657JerryScript 2.3.0 est affecté par une erreur de gestion de la mémoire qui permet à un attaquant distant de lire des informations sensibles du système ou de provoquer le plantage co… 9.1 CRITIQUE

CVE-2020-28274Les applications utilisant la bibliothèque `deepref` (versions 1.1.1 à 1.2.1) sont vulnérables à la pollution de prototype. Un attaquant distant non authentifié peut envoyer des do… 9.8 CRITIQUE

CVE-2020-29602Les images Docker officielles d'irssi basées sur Alpine (antérieures à la version 1.1-alpine) incluent un compte root sans mot de passe. Un attaquant distant peut exploiter cette f… 9.8 CRITIQUE

CVE-2020-29601Les images Docker pour Notary (versions antérieures à signer-0.6.1-1) contiennent un compte utilisateur root sans mot de passe. Un attaquant distant ayant un accès réseau au conten… 9.8 CRITIQUE

CVE-2020-29581Les images Docker pour les versions de `spiped` antérieures à 1.5-alpine sont livrées avec un utilisateur root sans mot de passe. Un attaquant distant peut utiliser l'absence de mo… 9.8 CRITIQUE

CVE-2020-29580Les images Docker officielles de Storm antérieures à la version 1.2.1 sont livrées avec un mot de passe vide pour l'utilisateur root. Un attaquant distant peut exploiter cette fail… 9.8 CRITIQUE

CVE-2020-29579Les images Docker d'Express Gateway antérieures à la version 1.14.0 sont concernées car elles incluent un compte utilisateur root sans mot de passe. Un attaquant distant peut utili… 9.8 CRITIQUE

CVE-2020-29577Les anciennes images Docker de ZNC (antérieures à la version 1.7.1-slim) sont livrées avec un compte utilisateur root sans mot de passe. Un attaquant distant peut utiliser l'absenc… 9.8 CRITIQUE

CVE-2020-29576Les images Docker d'Eggdrop antérieures à la version 1.8.4rc2 sont concernées car elles sont livrées avec un compte root sans mot de passe. Un attaquant distant peut utiliser ce mo… 9.8 CRITIQUE

CVE-2020-29575Les images Docker Elixir basées sur Alpine affectées, avant la version 1.8.0, étaient livrées avec un compte root sans mot de passe. Un attaquant distant ayant un accès réseau au c… 9.8 CRITIQUE

CVE-2020-29564Les images Docker officielles de Consul (versions 0.7.1 à 1.4.2) contiennent un compte root sans mot de passe. Un attaquant ayant un accès réseau au conteneur peut se connecter en … 9.8 CRITIQUE

CVE-2020-29578Certaines versions des images Docker de Piwik (plus précisément fpm-alpine) sont livrées avec un utilisateur root sans mot de passe. Un attaquant distant peut exploiter cette faill… 9.8 CRITIQUE

CVE-2020-25889Le système de réservation de bus en ligne (version 1.0) est affecté par une faille dans sa page de connexion permettant une injection SQL. Un attaquant non authentifié disposant d'… 9.8 CRITIQUE

CVE-2020-17531Les applications Apache Tapestry 4 sont vulnérables à une faille permettant au système de traiter des données non approuvées avant d'avoir vérifié l'identité de l'utilisateur. Un a… 9.8 CRITIQUE

CVE-2020-29600Les versions d'AWStats jusqu'à la 7.7 sont affectées par une faille qui permet à un attaquant de lire des fichiers arbitraires sur le serveur en transmettant un chemin absolu au pa… 9.8 CRITIQUE

CVE-2020-29597IncomCMS 2.0 est affecté par une faille dans son script de téléchargement de fichiers qui permet à un attaquant de téléverser des fichiers arbitraires sur votre serveur. Étant donn… 9.8 CRITIQUE

CVE-2020-29595ACDSee Photo Studio Professional 2021 est affecté par une faille de corruption de mémoire dans son plug-in de traitement JPEG. Un attaquant distant pourrait exploiter cette vulnéra… 9.8 CRITIQUE

CVE-2020-5800Les utilisateurs de l'application mobile Eat Spray Love sur iOS et Android sont touchés par une faille qui permet à un attaquant de contourner entièrement l'authentification. En en… 9.8 CRITIQUE

CVE-2020-5799L'application mobile Eat Spray Love pour iOS et Android contient un compte « backdoor » codé en dur. Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette f… 9.8 CRITIQUE