Vulnérabilité

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2025-9242 [CVSS 9.3 🟥] [VLAI Critical 🟥] Produit : WatchGuard Fireware OS Score CVSS : 9.3 🟥 EPSS : 0.73453 🟧 VLAI : Critical 🟥 Poids social (Fediverse) : 312.0 Description : Une vulnérabilité d’écriture hors limites dans WatchGuard Fireware OS peut permettre à un attaquant distant non authentifié d’exécuter du code arbitraire. Cette vulnérabilité affecte à la fois le VPN Mobile User avec IKEv2 et le VPN Branch Office utilisant IKEv2 lorsqu’ils sont configurés avec un pair de passerelle dynamique. Cette vulnérabilité affecte Fireware OS de la version 11.10.2 jusqu’à et y compris la 11.12.4_Update1, ainsi que les versions 12.0 jusqu’à et y compris la 12.11.3 et la 2025.1. Date de publication officielle : 17 September 2025 à 07h29 Posts Fediverse (3 trouvés) 🗨️ geeknik – n/d 1996 called—it wants its stack overflow back.2025 firewall, pre-auth RCE via IKEv2, no canaries, no PIE, leaks its version in base64 like a name tag.“First line of defense” popping RIP to DEADBEEF. 🔥 yIKEs.https://labs.watchtowr.com/yikes-watchguard-fireware-os-ikev2-out-of-bounds-write-cve-2025-9242/ ...

Selon Malwarebytes, la CISA a ajouté la vulnérabilité ASUS Live Update Embedded Malicious Code (CVE-2025-59374, CVSS 9.3) à son catalogue KEV, signalant une exploitation réelle et urgente. La faille concerne l’utilitaire ASUS Live Update, utilisé pour distribuer des mises à jour de firmware et logiciels sur les appareils ASUS. 🚨 Détails clés: la CISA indique que des appareils affectés peuvent être abusés pour exécuter des actions non prévues si certaines conditions sont réunies. Bien que le support d’ASUS Live Update soit désormais interrompu, la version finale prévue (3.6.15) continue de fournir des mises à jour, ce qui explique l’attribution d’un CVE et son ajout au KEV. ...

Source : oss-sec (mailing list). Dans un post signé par “turistu” le 16 décembre 2025, un rapport technique décrit CVE-2025-14282 affectant le serveur SSH Dropbear en mode multi-utilisateur. • Problème principal : Dropbear exécute les redirections de sockets (TCP/UNIX) en tant que root durant l’authentification et avant le spawn du shell, ne basculant de manière permanente vers l’utilisateur connecté qu’ensuite. Avec l’ajout récent du forwarding vers des sockets de domaine UNIX (commit 1d5f63c), un utilisateur SSH authentifié peut se connecter à n’importe quel socket UNIX avec les identifiants root, contournant les permissions du système de fichiers et les contrôles SO_PEERCRED / SO_PASSCRED. ...

Selon Security Affairs, des chercheurs de Riot Games ont révélé une vulnérabilité UEFI affectant certains modèles de cartes mères ASRock, ASUS, GIGABYTE et MSI, confirmée par un avis du CERT/CC, qui permet des attaques DMA en phase très précoce du démarrage malgré des protections censées actives. Le problème réside dans une mauvaise initialisation de l’IOMMU au démarrage: le firmware déclare à tort que la protection DMA est active alors que l’IOMMU n’est pas correctement activée. Cette fenêtre permet à un périphérique PCIe malveillant ayant un accès physique de lire/modifier la mémoire avant le chargement des défenses de l’OS, ouvrant la voie à une injection de code pré-boot et à l’exposition de données sensibles. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2025-8110 [CVSS 8.7 🟧] [VLAI High 🟧] Produit : Gogs Gogs Score CVSS : 8.7 🟧 EPSS : 0.00082 🟩 VLAI : High 🟧 Poids social (Fediverse) : 1837.0 Description : Mauvaise gestion des liens symboliques dans l’API PutContents de Gogs permettant l’exécution locale de code. Date de publication officielle : 10 December 2025 à 13h23 Posts Fediverse (16 trouvés) 🗨️ cR0w h0 h0 – n/d EITW ../ 0day in Gogs.http://wiz.io/blog/wiz-research-gogs-cve-2025-8110-rce-exploit ...

Selon BleepingComputer, Ivanti alerte sur une vulnérabilité critique dans son produit Endpoint Manager (EPM), identifiée comme CVE-2025-10573, permettant à un attaquant non authentifié d’exécuter du JavaScript via une attaque XSS avec interaction minimale de l’utilisateur. 🚨 Détails de la faille: la vulnérabilité peut être exploitée par des acteurs distants et non authentifiés pour empoisonner le tableau de bord administrateur. D’après le chercheur de Rapid7 Ryan Emmons (découvreur de la faille en août), un attaquant pouvant accéder au service web principal d’EPM peut enregistrer de faux endpoints gérés afin d’injecter du JavaScript malveillant. Lorsque l’administrateur EPM affiche un tableau de bord contaminé, l’exécution de JavaScript côté client est déclenchée, permettant à l’attaquant de prendre le contrôle de la session administrateur. ...

Source et contexte — BleepingComputer (Lawrence Abrams, 6 déc. 2025) signale une exploitation à grande échelle de React2Shell (CVE-2025-55182), une faille de désérialisation non sécurisée dans React Server Components (touchant aussi Next.js), permettant une exécution de code à distance (RCE) non authentifiée via une seule requête HTTP. Les projets doivent mettre à jour React, recompiler et redéployer leurs applications. 🚨 Portée et exploitation — La fondation Shadowserver a recensé 77 664 adresses IP vulnérables (dont ~23 700 aux États‑Unis). GreyNoise a observé 181 IP distinctes tentant d’exploiter la faille en 24 h, avec un trafic majoritairement automatisé venant notamment des Pays‑Bas, de Chine, des États‑Unis et de Hong Kong. Palo Alto Networks indique que 30+ organisations ont déjà été compromises, avec exécution de commandes, reconnaissance et tentatives de vol de fichiers de configuration/identifiants AWS. Des intrusions sont liées à des acteurs étatiques chinois. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2021-26829 [CVSS None ⚪] [VLAI Medium 🟨] Produit : None None Score CVSS : None ⚪ EPSS : 0.32792 🟨 VLAI : Medium 🟨 Poids social (Fediverse) : 1002.0 Description : OpenPLC ScadaBR jusqu’à la version 0.9.1 sur Linux et jusqu’à la version 1.12.4 sur Windows permet une vulnérabilité de type XSS stockée via le fichier system_settings.shtm. Date de publication officielle : 11 June 2021 à 11h05 Posts Fediverse (11 trouvés) 🗨️ キタきつね – n/d CISA、OpenPLC ScadaBRで現在悪用されているXSSバグCVE-2021-26829をKEVに追加 ...

Selon react.dev, une vulnérabilité critique permettant une exécution de code à distance non authentifiée a été découverte dans React Server Components et divulgée sous CVE-2025-55182 (score CVSS 10.0). Le défaut provient d’un problème dans la façon dont React décode les charges utiles envoyées aux endpoints de React Server Functions, permettant à un attaquant de provoquer une RCE via une requête HTTP malveillante. ⚠️ Portée et impact La faille touche les versions 19.0, 19.1.0, 19.1.1 et 19.2.0 de: react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack. Même si une application n’implémente pas d’endpoints Server Function, elle peut être vulnérable si elle supporte React Server Components. Les applications React sans serveur, ou sans framework/outil supportant RSC, ne sont pas affectées. Correctifs disponibles ...

Source et contexte — Check Point Research publie une analyse détaillant CVE-2025-61260, une vulnérabilité d’injection de commandes dans OpenAI Codex CLI liée au chargement implicite de configurations locales de projet via MCP (Model Context Protocol). Le problème provient du fait que Codex CLI charge automatiquement, au démarrage, des entrées mcp_servers issues d’une configuration projet lorsque le dépôt contient un .env définissant CODEX_HOME=./.codex et un ./.codex/config.toml. Les commandes déclarées y sont alors exécutées immédiatement sans validation, approbation interactive ni recontrôle lors de modifications. La confiance est liée à l’emplacement (le répertoire résolu) plutôt qu’au contenu, permettant de remplacer ultérieurement une config initialement bénigne par une payload malveillante. ...