Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée.
Période analysée : 2026-06-14 → 2026-06-21.
Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation.
📌 Légende :
- CVSS : score officiel de sévérité technique.
- EPSS : probabilité d’exploitation observée.
- VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité.
- CISA KEV : vulnérabilité activement exploitée selon la CISA.
- seen / exploited : signaux observés dans les sources publiques.
CVE-2026-20253
In Splunk Enterprise 10.2 versions below 10.2.4 and 10 versions below 10.0.7, an unauthenticated user could create or truncate arbitrary files through a PostgreSQL sidecar service endpoint. The vulnerability exists because the PostgreSQL sidecar service endpoint lacks authentication controls, allowing any network-reachable user to invoke file operations without credentials. Splunk Enterprise versions 9.4 and earlier are not affected. If you cannot immediately upgrade to a fixed version, you can mitigate this vulnerability by disabling the PostgreSQL sidecar service.
Vulnérabilité dans Splunk Enterprise
- Produits concernés : Splunk Enterprise 10.2 (versions inférieures à 10.2.4) et 10.0 (versions inférieures à 10.0.7).
- Type de vulnérabilité : Un utilisateur non authentifié pourrait créer ou tronquer des fichiers arbitraires via un point de terminaison du service PostgreSQL.
Détails de la vulnérabilité :
- La vulnérabilité provient de l'absence de contrôles d'authentification sur le point de terminaison du service PostgreSQL. Cela permet à tout utilisateur pouvant accéder au réseau d'exécuter des opérations sur des fichiers sans avoir besoin de fournir des identifiants.
- Les versions de Splunk Enterprise 9.4 et antérieures ne sont pas concernées par cette vulnérabilité.
Solutions :
- Mise à jour : Si possible, il est recommandé de mettre à jour vers une version corrigée de Splunk Enterprise.
- Mesure temporaire : Si une mise à jour immédiate n'est pas envisageable, vous pouvez désactiver le service PostgreSQL pour mitiger cette vulnérabilité.
Acronymes :
- RCE : Remote Code Execution (Exécution de code à distance, permettant à un attaquant d'exécuter des commandes sur un système affecté).
- SSRF : Server-Side Request Forgery (Une attaque qui permet à un attaquant d'envoyer des requêtes de leur serveur vers d'autres serveurs).
- XSS : Cross-Site Scripting (Une faille qui permet d'injecter des scripts malveillants dans des pages web consultées par d'autres utilisateurs).
Posts / Sources (90)
CVE-2026-20262
A vulnerability in the web UI of Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, could allow an authenticated, remote attacker to create a file or overwrite any file on the filesystem of an affected system. This vulnerability exists because the affected software does not properly validate user-supplied input during a file upload process. An attacker could exploit this vulnerability by sending a crafted HTTP request to an affected API endpoint of the affected system. A successful exploit could allow the attacker to create or overwrite any file on the underlying operating system. This file could later be used to elevate to root. To exploit this vulnerability, the attacker must have valid credentials with at least a lower-privileged, single-task user account.
Analyse de la vulnérabilité
Une vulnérabilité a été identifiée dans l'interface web du Cisco Catalyst SD-WAN Manager (anciennement SD-WAN vManage). Voici les points essentiels :
- Nature de la vulnérabilité : Permet à un attaquant distant, disposant déjà d'une authentification valide, de créer ou d'écraser n'importe quel fichier sur le système affecté.
- Cause : Le logiciel concerné ne valide pas correctement les entrées fournies par l'utilisateur lors du processus de chargement de fichiers.
- Méthode d'exploitation : L'attaquant doit envoyer une requête HTTP spécifiquement conçue à un point d'API affecté. Si l'attaque réussit, cela peut permettre de modifier des fichiers sur le système d'exploitation sous-jacent.
- Conséquences : Les fichiers créés ou modifiés peuvent être utilisés pour obtenir des privilèges élevés (accès root).
Conditions d'exploitation
- Accès requis : L'attaquant doit posséder des identifiants valides avec un compte utilisateur de niveau inférieur, mais authentifié.
Acronymes utiles
- RCE : Remote Code Execution, exécution de code à distance.
- SSRF : Server-Side Request Forgery, manipulation des requêtes côté serveur.
- XSS : Cross-Site Scripting, injection de scripts dans des pages web.
Posts / Sources (65)
CVE-2026-48907
A vulnerability in the JCE editor extension for Joomla allows the creation of new editor profiles for unauthenticated users, ultimately resulting in PHP code upload and execution.
Une vulnérabilité dans l'extension d'éditeur JCE pour Joomla permet aux utilisateurs non authentifiés de créer de nouveaux profils d'éditeur. Cela peut mener à un téléversement (upload) et à une exécution (execution) de code PHP.
Détails de la vulnérabilité :
- Produit concerné : JCE Editor pour Joomla
- Type de vulnérabilité : Accès non autorisé aux fonctionnalités de l'éditeur
Impact :
- Création de profils : Des utilisateurs n'ayant pas besoin de s'authentifier peuvent créer des profils d'éditeur.
- Exécution de code : Une fois qu'un profil est créé, il est possible de téléverser et d'exécuter du code PHP, ce qui peut compromettre la sécurité du site.
Acronymes :
- PHP : Hypertext Preprocessor, un langage de script utilisé pour le développement web.
- RCE (Remote Code Execution) : Exécution à distance de code, où un attaquant peut exécuter des commandes à distance sur un serveur.
- XSS (Cross-Site Scripting) : Injection de scripts malveillants dans des pages web.
- SSRF (Server-Side Request Forgery) : Appropriation des requêtes HTTP à partir d'un serveur.
Il est crucial de mettre à jour l'extension JCE pour éviter ces problèmes de sécurité.
Posts / Sources (64)
CVE-2026-35273
Vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Updates Environment Management). Supported versions that are affected are 8.61 and 8.62. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise PeopleSoft Enterprise PeopleTools. Successful attacks of this vulnerability can result in takeover of PeopleSoft Enterprise PeopleTools. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Vulnérabilité dans PeopleSoft Enterprise PeopleTools
Une vulnérabilité a été identifiée dans le produit PeopleTools d'Oracle PeopleSoft, spécifiquement dans le composant Updates Environment Management.
Détails :
- Versions affectées : 8.61 et 8.62.
- Type de vulnérabilité : facilitation de l'accès non authentifié.
- Impact potentiel : un attaquant avec un accès réseau via HTTP peut compromettre PeopleSoft Enterprise PeopleTools.
- Conséquence : la prise de contrôle de PeopleSoft Enterprise PeopleTools est possible.
Évaluation de la gravité :
- CVSS 3.1 Score de base : 9.8 (indiquant un risque très élevé).
- Impact sur :
- Confidentialité (C)
- Intégrité (I)
- Disponibilité (A)
CVSS Vector :
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- AV:N : Accès réseau
- AC:L : Charges d'attaque faibles
- PR:N : Pas de privilèges requis
- UI:N : Pas d'interaction utilisateur nécessaire
- S:U : Système unique
- C:H, I:H, A:H : Impact élevé sur la Confidentialité, Intégrité et Disponibilité.
Cette vulnérabilité souligne l'importance de maintenir les systèmes à jour et de surveiller les accès à l'environnement.
Posts / Sources (151)
CVE-2026-50656
Microsoft is aware of an elevation of privilege in the Microsoft Malware Protection Engine in Microsoft Defender publicly referred to as "RoguePlanet ". We are working to provide a high quality security update that addresses this vulnerability. We will provide information in this CVE when the update is available.
Microsoft est conscient d'une élévation de privilège dans le Microsoft Malware Protection Engine au sein de Microsoft Defender, communément désignée sous le nom de "RoguePlanet".
Contexte :
- Élévation de privilège : Cela signifie qu'un attaquant peut obtenir des droits d'accès plus élevés que prévus, ce qui lui permet de réaliser des actions non autorisées.
- Microsoft Defender : Produit de sécurité de Microsoft conçu pour protéger les systèmes contre divers types de menaces, comme les malwares.
Actions de Microsoft :
- Ils travaillent à fournir une mise à jour de sécurité de haute qualité pour corriger cette vulnérabilité.
- Des informations détaillées seront fournies dans ce CVE (Common Vulnerabilities and Exposures) lorsque la mise à jour sera disponible.
Importance :
La vulnérabilité affecte un produit largement utilisé pour la protection des ordinateurs, ce qui souligne la nécessité d'une vigilance continue et de mises à jour régulières pour maintenir la sécurité des systèmes. Restez informé pour appliquer les correctifs dès leur disponibilité.
Posts / Sources (43)
CVE-2026-54420
LiteSpeed cPanel plugin before 2.4.8 (as distributed in LiteSpeed WHM PlugIn before 5.3.2.0) mishandles symlinks provided by a user with FTP or web shell access on a shared hosting server running CloudLinux/CageFS, as exploited in the wild in May 2026.
Vulnérabilité du plugin LiteSpeed pour cPanel
-
Produit concerné : Plugin LiteSpeed pour cPanel, versions antérieures à 2.4.8 (distribué dans LiteSpeed WHM PlugIn avant 5.3.2.0).
-
Type de vulnérabilité : Le plugin gère mal les symlinks (liens symboliques) fournis par un utilisateur disposant d'un accès FTP ou d'une interface de shell web. Sur un serveur d'hébergement mutualisé utilisant CloudLinux et CageFS, cette faille a été exploitée en mai 2026.
-
Impact :
-
Accès non autorisé : Les attaquants pourraient utiliser cette vulnérabilité pour accéder aux fichiers d'autres utilisateurs sur le serveur.
-
Acronymes :
- FTP : File Transfer Protocol, utilisé pour transférer des fichiers sur un réseau.
-
CageFS : Système de fichiers virtuel qui isole les utilisateurs sur un serveur d'hébergement partagé pour améliorer la sécurité.
-
Recommandations : Mettre à jour le plugin LiteSpeed vers la version 2.4.8 ou supérieure pour corriger cette vulnérabilité.
Posts / Sources (37)
CVE-2026-0257
Authentication bypass vulnerabilities in the GlobalProtect portal and gateway of Palo Alto Networks PAN-OS® software allows the attacker to bypass security restrictions and establish an unauthorized VPN connection. Panorama and Cloud NGFW are not impacted by these issues.
Vulnérabilités de contournement d'authentification dans le portail et la passerelle GlobalProtect de Palo Alto Networks
Les vulnérabilités de contournement d'authentification dans le logiciel PAN-OS® de Palo Alto Networks permettent à un attaquant de :
- Contourner les restrictions de sécurité
- Établir une connexion VPN non autorisée
Détails techniques
- GlobalProtect : C'est une solution de VPN (réseau privé virtuel) qui sécurise les connexions des utilisateurs distants.
- PAN-OS® : Système d'exploitation qui gère les pare-feu et d'autres fonctionnalités des équipements Palo Alto Networks.
- Risque : Cela signifie qu'un attaquant peut accéder à des ressources internes sans autorisation.
Produits non affectés
- Panorama : Outil de gestion centralisée des équipements Palo Alto Networks.
- Cloud NGFW : Pare-feu de nouvelle génération basé sur le cloud, qui n'est pas concerné par ces vulnérabilités.
Il est crucial de mettre à jour les systèmes affectés pour éviter toute exploitation de ces failles.
Posts / Sources (212)
CVE-2026-50751
A logic flow weakness in Remote Access and Mobile Access certificate validation in deprecated IKEv1 key exchange allows an unauthenticated remote attacker to bypass user authentication and establish a remote access VPN connection without a valid user password.
Une vulnérabilité de flux logique dans la validation des certificats pour l'accès à distance et l'accès mobile, liée à l'échange de clés IKEv1 (Internet Key Exchange version 1), permet à un attaquant distant non authentifié de contourner l'authentification des utilisateurs. Cela lui permet d'établir une connexion VPN d'accès à distance sans avoir besoin d'un mot de passe utilisateur valide.
Points clés :
- Vulnérabilité : Faiblesse dans la gestion des certificats pour l'accès à distance.
- Protocoles concernés : IKEv1, qui est un protocole d'échange de clés utilisé pour établir des connexions VPN.
- Attaquant : Un individu malveillant sans authentification préalable.
- Impact : Permet d'accéder à un VPN sans nécessité de mot de passe, ce qui compromet la sécurité.
Acronymes :
- RCE : Remote Code Execution (Exécution de code à distance), permettant un contrôle à distance sur un système.
- SSRF : Server-Side Request Forgery (Usurpation de requêtes côté serveur), où un attaquant induit un serveur à effectuer des requêtes non autorisées.
- XSS : Cross-Site Scripting (Script intersite), exploitant des vulnérabilités pour injecter des scripts malveillants.
Cette faiblesse souligne l'importance d'utiliser des protocoles modernes et à jour pour garantir la sécurité des connexions.
Posts / Sources (130)
CVE-2026-4020
The Gravity SMTP plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.1.4. This is due to a REST API endpoint registered at /wp-json/gravitysmtp/v1/tests/mock-data with a permission_callback that unconditionally returns true, allowing any unauthenticated visitor to access it. When the ?page=gravitysmtp-settings query parameter is appended, the plugin's register_connector_data() method populates internal connector data, causing the endpoint to return approximately 365 KB of JSON containing the full System Report. This makes it possible for unauthenticated attackers to retrieve detailed system configuration data including PHP version, loaded extensions, web server version, document root path, database server type and version, WordPress version, all active plugins with versions, active theme, WordPress configuration details, database table names, and any API keys/tokens configured in the plugin.
Le plugin Gravity SMTP pour WordPress est vulnérable à une Exposition d'Informations Sensibles dans toutes les versions jusqu'à, et y compris, la version 2.1.4. Cette vulnérabilité est causée par un point de terminaison de l'API REST enregistré à l'adresse /wp-json/gravitysmtp/v1/tests/mock-data, avec un permission_callback qui retourne systématiquement vrai, permettant à tout visiteur non authentifié d'y accéder.
Lorsque le paramètre de requête ?page=gravitysmtp-settings est ajouté, la méthode register_connector_data() du plugin remplit des données internes de connecteur, entraînant le retour d'environ 365 Ko de JSON contenant le rapport système complet.
Cela permet aux attaquants non authentifiés de récupérer des données de configuration système détaillées, incluant : - Version PHP - Extensions chargées - Version du serveur web - Chemin du répertoire racine - Type et version du serveur de base de données - Version de WordPress - Liste des plugins actifs avec leurs versions - Thème actif - Détails de configuration de WordPress - Noms des tables de la base de données - Clés/tokens API configurés dans le plugin
Cette exposition d'informations pourrait faciliter des attaques ultérieures.
Posts / Sources (35)
CVE-2026-42530
NGINX Open Source has a vulnerability in the ngx_http_v3_module module. When NGINX Open Source is configured to use the HTTP/3 QUIC module, a remote unauthenticated attacker along with conditions beyond their control can use a specially crafted HTTP/3 session to reopen a QPACK encoder stream. This may cause a Use-after-Free in the NGINX worker process leading to a restart. Additionally, attackers can execute code on systems with Address Space Layout Randomization (ASLR) disabled or when the attacker can bypass ASLR. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
Vulnérabilité dans NGINX Open Source
- NGINX Open Source présente une vulnérabilité dans le module ngx_http_v3_module.
- Cette vulnérabilité se manifeste lorsque NGINX est configuré pour utiliser le module HTTP/3 QUIC.
- Un attaquant distant et non authentifié, sous certaines conditions échappant à son contrôle, peut utiliser une session HTTP/3 spécialement conçue pour rouvrir un flux d'encodeur QPACK.
Conséquences : - Cela peut entraîner un Use-after-Free dans le processus de travail de NGINX, provoquant un redémarrage du service. - De plus, les attaquants peuvent exécuter du code sur des systèmes où la Randomisation de l'Espace d'Adresse (ASLR) est désactivée ou quand ils parviennent à contourner l'ASLR.
Remarque : - Les versions de logiciels ayant atteint la Fin de Support Technique (EoTS) ne sont pas évaluées pour cette vulnérabilité.
Posts / Sources (25)
CVE-2026-39813
A path traversal: '../filedir' vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8 may allow attacker to escalation of privilege via specially crafted HTTP requests.
Vulnérabilité de Traversée de Chemin dans Fortinet FortiSandbox
- Une vulnérabilité de traversée de chemin (path traversal) a été identifiée dans Fortinet FortiSandbox, affectant les versions 5.0.0 à 5.0.5 et 4.4.0 à 4.4.8.
- Cette vulnérabilité permettrait à un attaquant d'escalader ses privilèges en envoyant des requêtes HTTP spécialement conçues.
- La traversée de chemin permet à un attaquant de contourner les restrictions d'accès aux fichiers en accédant à des fichiers en dehors du répertoire prévu, souvent en utilisant des séquences comme
'../'. - Par ailleurs, il est important de se rappeler d'autres types de vulnérabilités liées :
- RCE (Remote Code Execution) : exécution de code malveillant à distance.
- SSRF (Server-Side Request Forgery) : demande forgée côté serveur qui peut être exploitée pour accéder à des ressources internes.
- XSS (Cross-Site Scripting) : injection de scripts malveillants dans les pages web consultées par d'autres utilisateurs.
Conclusion
Les utilisateurs des versions mentionnées de FortiSandbox doivent appliquer les mises à jour nécessaires pour se protéger contre cette vulnérabilité de traversée de chemin.
Posts / Sources (43)
CVE-2026-42824
Missing authentication for critical function in M365 Copilot allows an unauthorized attacker to disclose information over a network.
Traduction et explication
Une authentification manquante pour une fonction critique dans M365 Copilot permet à un attaquant non autorisé de divulguer des informations à travers un réseau. Voici les points clés :
-
M365 Copilot : Un produit de Microsoft qui aide les utilisateurs à naviguer et à utiliser divers outils de la suite Microsoft 365.
-
Authentification manquante : Cela signifie qu'une protection nécessaire pour accéder à certaines fonctions n'est pas en place, rendant le système vulnérable.
-
Attaquant non autorisé : Une personne qui n’a pas les droits ou l'autorisation nécessaires pour accéder aux informations ou fonctions du système.
-
Divulgation d'informations : Cela fait référence à la possibilité pour l'attaquant d'accéder à des données sensibles qui ne devraient pas être accessibles.
Impact potentiel
Cette vulnérabilité pourrait avoir des conséquences graves, car elle pourrait permettre à un attaquant d'extraire des données personnelles ou sensibles. Il est essentiel de mettre en place des mesures de sécurité adéquates pour protéger ces informations et garantir que seules les personnes autorisées peuvent accéder à certaines fonctions critiques.