https://cyberveille.ch/tags/cve-2026-42018/ Recent content in CVE-2026-42018 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 14 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-14-exploitation-active-de-trois-vulnerabilites-critiques-dans-jfrog-artifactory/ Mon, 14 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-14-exploitation-active-de-trois-vulnerabilites-critiques-dans-jfrog-artifactory/ <p>🔍 <strong>Contexte</strong> : Le 10 septembre 2026, Wiz Research publie une analyse technique détaillant l&rsquo;exploitation active en conditions réelles de trois vulnérabilités critiques et de haute sévérité affectant <strong>JFrog Artifactory</strong>.</p> <p>⚠️ <strong>Vulnérabilités impliquées</strong> :</p> <ul> <li><strong>CVE-2026-42018</strong> (authentification incorrecte) : Artifactory retourne un token interne d&rsquo;utilisateur anonyme à un requérant non authentifié, même lorsque l&rsquo;accès anonyme est désactivé.</li> <li><strong>CVE-2026-42016</strong> (élévation de privilèges) : Validation insuffisante du scope des tokens permettant à un token de faible privilège d&rsquo;obtenir des droits administrateurs.</li> <li><strong>CVE-2026-82329</strong> (contournement d&rsquo;authentification critique) : Un attaquant non authentifié peut obtenir des privilèges administratifs via la configuration par défaut d&rsquo;Artifactory. Cette CVE est référencée dans le <strong>CISA KEV</strong>.</li> </ul> <p>🔗 <strong>Chaînage d&rsquo;exploitation CVE-2026-42018 + CVE-2026-42016</strong> (observé entre le 15 août et le 8 septembre 2026) :</p>