Vulnérabilité

Source: GitHub (dépôt jofpin/brash). Contexte: publication d’un PoC opérationnel décrivant une faille de conception dans le moteur Blink des navigateurs Chromium. La vulnérabilité (« Brash ») abuse l’absence de rate limiting sur l’API document.title, permettant des millions de mutations DOM par seconde, saturant le thread principal, bloquant l’UI et provoquant un DoS. Statut: Operational. Versions affectées annoncées: Chromium ≤ 143.0.7483.0 (testées: 138.0.7204.251, 141.0.7390.108, 143.0.7483.0). Impact: consommation CPU élevée, dégradation système, jusqu’au crash du navigateur; population exposée: « plus de 3 milliards » d’utilisateurs. ...

Selon BleepingComputer, le plugin WordPress « Anti-Malware Security and Brute-Force Firewall », installé sur plus de 100 000 sites, présente une vulnérabilité permettant à des utilisateurs au rôle d’« abonné » de lire n’importe quel fichier sur le serveur, exposant ainsi des informations privées. Le problème touche un plugin de sécurité très répandu et ouvre la voie à une lecture de fichiers arbitraire par des comptes disposant de privilèges faibles (simples abonnés). L’impact direct est une exposition de données sensibles stockées côté serveur. ...

Source: Wordfence (blog). Wordfence décrit une vulnérabilité de lecture arbitraire de fichiers dans le plugin WordPress Anti‑Malware Security and Brute‑Force Firewall (100 000+ installations), exploitable par des comptes authentifiés au niveau abonné et corrigée en version 4.23.83. Type: Arbitrary File Read / LFI via une action AJAX sans contrôle de capacité. Impact: lecture de fichiers sensibles du serveur, dont wp-config.php (identifiants DB, clés/salts). Portée: versions 4.23.81 et antérieures. Correctif publié le 15 oct. 2025. Découverte: Dmitrii Ignatyev, via le Wordfence Bug Bounty Program (bounty: 960 $). 🔍 Détails techniques ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2025-6542 [CVSS 9.3 🟥] [VLAI Critical 🟥] Produit : TP-Link Systems Inc. Omada gateways Score CVSS : 9.3 🟥 EPSS : 0.00171 🟩 VLAI : Critical 🟥 Poids social (Fediverse) : 306.5 Description : Une commande système arbitraire peut être exécutée sur le produit par un attaquant distant non authentifié. Date de publication officielle : 21 October 2025 à 00h23 Posts Fediverse (4 trouvés) 🗨️ Offensive Sequence – n/d ⚠️ CRITICAL: CVE-2025-6542 affects TP-Link Omada gateways—OS command injection enables unauthenticated remote code execution. Patch when available, restrict mgmt access, monitor for exploitation attempts! https://radar.offseq.com/threat/cve-2025-6542-cwe-78-improper-neutralization-of-sp-d3ffc6ee #OffSeq #CVE2025_6542 #TPLink #Vuln ...

Selon Cyber Security News, Oracle a divulgué deux vulnérabilités critiques — CVE-2025-53072 et CVE-2025-62481 — affectant le composant Marketing Administration d’Oracle E‑Business Suite. ⚠️ Ces failles, notées CVSS 9.8, pourraient permettre à des attaquants distants de prendre le contrôle complet du module Marketing, avec des impacts élevés sur la confidentialité, l’intégrité et la disponibilité. Les deux vulnérabilités sont exploitables via des requêtes HTTP sur le réseau, avec une complexité d’attaque faible, aucun privilège requis et aucune interaction utilisateur. Le vecteur CVSS 3.1 communiqué (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) souligne la facilité d’exploitation et la sévérité. Les risques évoqués incluent le vol de données clients, la manipulation de campagnes marketing et la perturbation des opérations. ...

Source: Truesec (référence citée) — Contexte: divulgation et exploitation active de deux vulnérabilités critiques affectant des passerelles TP-Link Omada. • Deux vulnérabilités critiques sont décrites: CVE-2025-7850 (injection de commandes via le portail web après authentification administrateur) et CVE-2025-7851 (accès shell root). Ces failles peuvent être chaînées pour aboutir à une compromission complète du système. • Impact et vecteur: l’exploitation de CVE-2025-7850 via l’interface web permet l’exécution de commandes arbitraires avec des privilèges étendus, tandis que CVE-2025-7851 fournit un accès root. L’accès nécessite des identifiants administrateur, faisant des compromissions d’identifiants ou menaces internes des facteurs de risque clés. ⚠️ Une exploitation active “in the wild” est signalée et du code de preuve de concept est public. ...

Selon un extrait d’actualité publié le 20.10.2025, près de 76 000 appliances WatchGuard Firebox exposées sur Internet restent vulnérables à une faille critique (CVE-2025-9242) permettant à un attaquant distant d’exécuter du code sans authentification. Points clés: Produits concernés: WatchGuard Firebox (appliances de sécurité réseau) Vulnérabilité: CVE-2025-9242 (criticité élevée) Impact: Exécution de code à distance sans authentification (RCE) Exposition: ~76 000 appareils visibles sur le web public Tactiques/Techniques (TTPs): Exécution de code à distance (RCE) sans authentification par un attaquant distant Il s’agit d’une brève de vulnérabilité visant à signaler l’ampleur de l’exposition et la gravité du risque identifié. ...

Selon BleepingComputer, une vulnérabilité de haute gravité (CVE-2025-62518) affecte la bibliothèque Rust désormais abandonnée async-tar ainsi que ses forks, et peut être exploitée pour obtenir une exécution de code à distance (RCE) sur des systèmes exécutant des logiciels non patchés. L’article met en avant le caractère critique de la faille et le fait qu’elle touche non seulement le projet d’origine, mais aussi ses dérivés. ⚠️ La conséquence principale est la possibilité pour un attaquant d’exécuter du code arbitraire à distance. ...

Selon ian.sh (Ian Carroll), dans un billet publié le 22/10/2025, des chercheurs (Ian Carroll, Gal Nagli, Sam Curry) ont identifié une faille critique sur le portail de « Driver Categorisation » de la FIA lié aux événements de Formule 1. — Découverte et vecteur d’attaque — Les chercheurs ont exploité une vulnérabilité de mass assignment / contrôle d’accès insuffisant sur l’API (requête HTTP PUT vers « /api/users/{id} »), où le champ JSON roles était accepté côté serveur. En injectant { "roles": [{ "id": 1, "name": "ADMIN" }] }, ils ont pu s’assigner le rôle ADMIN, puis, après réauthentification, accéder au tableau de bord d’administration. ...

Selon Cyber Security News, un proof‑of‑concept (PoC) a été publié pour deux vulnérabilités de 7‑Zip (CVE‑2025‑11001 et CVE‑2025‑11002) divulguées par le Zero Day Initiative (ZDI) le 7 octobre 2025. Notées CVSS 7.0, elles affectent 7‑Zip de la version 21.02 à 24.09 et reposent sur une gestion incorrecte des liens symboliques lors de l’extraction d’archives ZIP sous Windows, pouvant mener à des écritures de fichiers en dehors du répertoire cible et, potentiellement, à l’exécution de code. ...