Vulnérabilité

L’article publié le développeur indépendent Simon Willison met en lumière une vulnérabilité critique dans le serveur MCP de GitHub qui permet l’exfiltration de données privées des utilisateurs. Deux chercheurs, Marco Milanta et Luca Beurer-Kellner, ont découvert une exploitation qui utilise une injection de prompt pour tromper un agent LLM (Large Language Model) afin d’exfiltrer des informations privées concernant l’utilisateur du MCP. L’attaque est initiée par le dépôt d’une issue malveillante dans un dépôt public accessible au LLM. ...

Cette information provient de Cybersecuritynews, qui rapporte une vulnérabilité critique dans le module Apache de ModSecurity, un pare-feu d’application web open-source largement utilisé. La faille, identifiée sous le code CVE-2025-47947 et avec un score CVSS de 7.5, concerne la gestion des charges utiles JSON dans des conditions spécifiques, exposant potentiellement des millions de serveurs web à des attaques par déni de service (DoS). Les chercheurs en sécurité ont confirmé que cette vulnérabilité peut être exploitée avec un minimum d’effort, nécessitant seulement une requête spécialement conçue pour consommer une quantité excessive de mémoire serveur et potentiellement faire planter les systèmes ciblés. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd, un magnifique agrégateur de vulnérabilités discutées sur le Fediverse. CVE-2022-38392 Produit : Score CVSS : 5.3 (MEDIUM) Poids social : 854.0 (posts: 1, utilisateurs: 1) Description : “Certain disques durs à 5400 RPM, pour ordinateurs portables et autres PC vers 2005 et après, permettent à des attaquants physiquement proches de provoquer un déni de service (dysfonctionnement de l’appareil et crash du système) via une attaque de fréquence résonante avec le signal audio de la vidéo musicale Rhythm Nation. Un produit signalé est le Seagate STDT4000100 763649053447.” Date de publication : 2022-08-17T00:00:00Z Posts Fediverse (1 trouvés) 🗨️ Marco Ivaldi (infosec.exchange) – 2025-05-25T09:14:39.586000Z @Marco Ivaldi sur infosec.exchange 🕒 2025-05-25T09:14:39.586000Z “Certain 5400 RPM hard drives, for laptops and other PCs in approximately 2005 and later, allow physically proximate attackers to cause a denial of service (device malfunction and system crash) via a resonant-frequency attack with the audio signal from the Rhythm Nation music vid… ...

L’article de BleepingComputer rapporte la découverte d’une vulnérabilité critique (CVE-2025-47949) dans Samlify, un outil utilisé pour l’authentification SAML. Cette faille permet aux attaquants de contourner les mécanismes d’authentification en injectant des assertions malveillantes non signées dans des réponses SAML légitimement signées. Cela permet à un attaquant de se faire passer pour un utilisateur administrateur, compromettant ainsi la sécurité des systèmes utilisant cette technologie. La vulnérabilité a été classée comme critique en raison de son impact potentiel sur la sécurité des systèmes d’information. Les administrateurs de systèmes utilisant Samlify sont invités à prendre des mesures immédiates pour mitiger cette faille. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd, un magnifique agrégateur de vulnérabilités discutées sur le Fediverse. CVE-2025-4427 Produit : Ivanti Endpoint Manager Mobile Score CVSS : 5.3 (MEDIUM) Poids social : 936.5 (posts: 16, utilisateurs: 14) Description : “Une faille d’authentification dans le composant API de Ivanti Endpoint Manager Mobile 12.5.0.0 et versions antérieures permet aux attaquants d’accéder à des ressources protégées sans les identifiants appropriés via l’API.” Date de publication : 2025-05-13T15:45:35Z Posts Fediverse (16 trouvés) 🗨️ cR0w :cascadia: (infosec.exchange) – 2025-05-13T15:59:30.273000Z @cR0w :cascadia: sur infosec.exchange 🕒 2025-05-13T15:59:30.273000Z Ivanti with one this morning too.https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Neurons-for-ITSM-on-premises-only-CVE-2025-22462?language=en_USsev:CRIT 9.8 - AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/RL:O/MPR:HAn authentication bypass in Ivanti Neurons for ITSM (on-prem o… ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd, un magnifique agrégateur de vulnérabilités discutées sur le Fediverse. CVE-2025-3248 Produit : langflow-ai langflow Score CVSS : 9.8 (CRITICAL) Poids social : 421.0 (posts: 4, utilisateurs: 4) Description : “Les versions de Langflow antérieures à 1.3.0 sont vulnérables à l’injection de code sur le point de terminaison /api/v1/validate/code. Un attaquant distant et non authentifié peut envoyer des requêtes HTTP spécialement conçues pour exécuter du code arbitraire.” Date de publication : 2025-04-07T14:22:39Z Posts Fediverse (4 trouvés) 🗨️ 0x40k (infosec.exchange) – 2025-05-06T08:32:51.431000Z @0x40k sur infosec.exchange 🕒 2025-05-06T08:32:51.431000Z Heads up, everyone! Just read that a critical Langflow vulnerability (CVE-2025-3248) is being actively exploited out there. We're talking a CVSS score of 9.8 – seriously high alert! 🔥For those unfamiliar, Langflow's a pretty cool open-source platform for building AI apps. Here's … ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd, un magnifique agrégateur de vulnérabilités discutées sur le Fediverse. CVE-2024-7399 Produit : Samsung Electronics MagicINFO 9 Server Score CVSS : 8.8 (HIGH) Poids social : 544.0 (posts: 5, utilisateurs: 5) Description : “Une vulnérabilité due à une limitation incorrecte d’un chemin d’accès à un répertoire restreint dans Samsung MagicINFO 9 Server version antérieure à 21.1050 permet aux attaquants d’écrire un fichier arbitraire en tant qu’autorité système.” Date de publication : 2024-08-09T04:43:30Z Posts Fediverse (5 trouvés) 🗨️ Christoffer S. (swecyb.com) – 2025-05-05T19:19:55Z @Christoffer S. sur swecyb.com 🕒 2025-05-05T19:19:55Z Did I hear someone say path traversal? @cR0w https://arcticwolf.com/resources/blog/cve-2024-7399/../#PathTraversal #Vulnerability #Cybersecurity @infosec ...

Selon un article publié par Bleeping Computer, une vulnérabilité critique a été identifiée dans le plugin OttoKit de WordPress. Cette faille permet une escalade de privilèges non authentifiée, ce qui signifie que des attaquants peuvent exploiter cette faille sans avoir besoin de s’authentifier au préalable. Les hackers utilisent cette vulnérabilité pour créer des comptes administrateurs non autorisés sur les sites WordPress ciblés. Cela leur permet de prendre le contrôle total des sites affectés, compromettant ainsi leur sécurité et leur intégrité. ...

L’article publié par Security Info le 7 mai 2025 rapporte une vulnérabilité critique dans Langflow, un outil open-source utilisé pour le développement d’agents d’intelligence artificielle. Cette vulnérabilité est actuellement exploité activement par des attaquants pour compromettre les serveurs exécutant Langflow. Cela soulève des préoccupations majeures pour les utilisateurs de cet outil, car l’exploitation de cette faille pourrait mener à des compromissions de données sensibles ou à des interruptions de service. ...

Selon un article publié par GBHackers Security, une série de vulnérabilités majeures, baptisées “AirBorne”, a été découverte dans le protocole et le SDK AirPlay d’Apple. Ces failles permettent des attaques critiques, notamment une exécution de code à distance (RCE) sans interaction de l’utilisateur, qualifiée de “zero-click” et “wormable”. Le risque est particulièrement élevé car ces vulnérabilités permettent à des attaquants de prendre le contrôle de dispositifs Apple et tiers via le Wi-Fi, sans nécessiter d’interaction de la part de l’utilisateur. Cette situation pourrait affecter des milliards de dispositifs à travers le monde. ...