CSRF

🔐 Contexte Le 17 août 2026, GitLab a publié des versions correctives pour ses éditions Community (CE) et Enterprise (EE) : 19.2.4, 19.1.6, 19.0.8 et 18.11.11. Ces versions constituent un patch critique ad-hoc destiné à corriger des vulnérabilités de haute et critique sévérité. La source est la documentation officielle GitLab. 🚨 Vulnérabilités corrigées CVE-2026-19478 — Injection de code via directive GraphQL (Critique) CVSS : 9.4 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H) Permet à un utilisateur non authentifié de modifier ou supprimer à distance des projets publics et des données utilisateur via une directive GraphQL Versions impactées : toutes versions depuis 18.2 jusqu’à 18.11.11, 19.0 avant 19.0.8, 19.1 avant 19.1.6, 19.2 avant 19.2.4 Signalé par hiimguardian via le programme HackerOne CVE-2026-19650 — CSRF dans le gestionnaire de requêtes multiplex GraphQL (Élevé) CVSS : 7.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L) Permet à un utilisateur non authentifié d’exécuter des mutations via des requêtes GET en raison d’une validation incorrecte dans le gestionnaire de requêtes multiplex GraphQL Mêmes versions impactées que ci-dessus Signalé par kreep via le programme HackerOne 🛠️ Périmètre d’impact Toutes les installations self-managed GitLab CE/EE sont concernées GitLab.com et GitLab Dedicated sont déjà patchés, aucune action requise pour leurs clients Tous les types de déploiement sont affectés (omnibus, source, helm chart, etc.) 📋 Type d’article Il s’agit d’un patch de sécurité officiel publié par GitLab, dont le but principal est d’informer les administrateurs d’instances self-managed de la disponibilité de correctifs critiques et de les inciter à mettre à jour immédiatement. ...

Cette analyse de Kaspersky (securelist) examine en profondeur le rôle des cookies de navigateur comme composants de sécurité et montre comment les cookies de session contenant des Session IDs deviennent des cibles majeures. Le contenu couvre les types de cookies, les exigences de conformité (GDPR, CCPA, LGPD), et comment une mauvaise gestion peut exposer des identifiants d’authentification et des données personnelles. L’étude détaille plusieurs vecteurs d’attaque : session hijacking, XSS, CSRF, et man-in-the-middle. Sur le plan technique, elle décrit la capture de session via HTTP non chiffré, le vol de cookies par injection JavaScript malveillante (XSS), la session fixation avec des Session IDs prédéfinis, ainsi que le cookie tossing exploitant des vulnérabilités de sous-domaine. ...

L’article publié le 1 août 2025 sur Socket.dev met en lumière une vulnérabilité critique dans le package @nestjs/devtools-integration. Cette faille permet aux attaquants de réaliser une exécution de code à distance (RCE) sur les machines des développeurs. La vulnérabilité exploite l’utilisation peu sécurisée du module Node.js vm pour le sandboxing du code, combinée à une attaque par falsification de requête intersite (CSRF). Les attaquants peuvent contourner la sandbox en manipulant les propriétés du constructeur et en exploitant les requêtes de type text/plain qui échappent aux restrictions CORS. ...

L’article publié sur le blog developpeurs de Chrome informe que Google Chrome introduit un nouveau mécanisme de permission pour les sites accédant aux réseaux locaux des utilisateurs. Cette initiative vise à protéger contre les attaques de type Cross-Site Request Forgery (CSRF) ciblant les routeurs et autres appareils sur les réseaux privés. Le changement fait partie de la spécification du Local Network Access, remplaçant un effort précédent appelé Private Network Access. Les utilisateurs peuvent tester cette fonctionnalité dans Chrome 138 en activant un paramètre spécifique. Cette permission restreint l’envoi de requêtes aux serveurs sur le réseau local, nécessitant une autorisation préalable de l’utilisateur. ...