CVE-2026-87902

🔍 Contexte Source : huntback Research, publiée le 31 octobre 2026. Deux serveurs VPS européens (IONOS Espagne et Hetzner Allemagne) ont exposé leurs répertoires de travail en HTTP plain sur des ports non standard, révélant 1 304 fichiers et 193 Mo de données opérationnelles d’un même opérateur. 🛠️ Outil utilisé : pentestcode pentestcode est un agent de pentest autonome open-source (MIT), fork d’OpenCode, installé via un one-liner curl. Il orchestre un agent principal et jusqu’à 8 sous-agents spécialisés (recon, scanner, exploiter, webapp, exploit-dev, critic, reporter, etc.) selon l’architecture HPTSA. Le modèle utilisé est deepseek/deepseek-flash dans 29 des 31 runs. En deux jours de logs conservés : 63 sessions, 2 866 appels modèle, 16 616 étapes évaluées. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-27 → 2026-10-04. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-88771 CVSS: N/A EPSS: 1.06% VLAI: N/A CISA: KEV ProduitCitrix NetScaler — ADC Publié2026-09-27T16:02:07.001Z Improper input validation vulnerability in Citrix NetScaler ADC and Citrix NetScaler Gateway. This issue affects ADC: before 14.1-73.37, before 13.1-64.23, before 14.1-73.37 FIPS, and before 13.1.37.279 FIPS and NDcPP; Gateway: before 14.1-73.37 and before 13.1-64.23 leading to an unauthenticated attacker to execute arbitrary commands. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-01 → 2026-10-01. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-85706 CVSS: 10.0 EPSS: 91.42% VLAI: N/A CISA: KEV ProduitGitLab — GitLab Publié2026-09-12T02:46:31.624Z GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 18.11.12, 19.0 before 19.0.9, 19.1 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-20 → 2026-09-27. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-87902 CVSS: N/A EPSS: 18.17% VLAI: N/A CISA: KEV ProduitWordPress — WordPress Publié2026-09-22T16:44:15.048Z An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE. ...

🔍 Contexte Source : CrowdSec VulnTracking, publié le 28 septembre 2026. CrowdSec rapporte l’exploitation massive et rapide de CVE-2026-87902, une vulnérabilité critique de type Local File Inclusion (LFI) dans le cœur de WordPress, pouvant mener à une exécution de code à distance (RCE) dans certaines conditions. 🛡️ Détails de la vulnérabilité Produit affecté : WordPress core versions 4.7.0 à 7.1.1 Versions corrigées : 7.1.2, 7.0.6, 6.9.9, 6.8.10, et rétroports jusqu’à 4.7.37 (22 septembre 2026) Classe : Path traversal / PHP file inclusion (CWE-22, CWE-98) CVSS 4.0 : 9.2 Critical (WordPress) ; CVSS 3.1 : 8.1 High (CISA) Authentification requise : Aucune Advisory : GHSA-7hp8-65ch-5whp CISA KEV : Ajouté le 25 septembre 2026, deadline fédérale le 28 septembre 2026 Signalée par : Robert Ressl via HackerOne le 20 juillet 2026 ; route PEAR documentée par Equixly ⚙️ Mécanisme d’exploitation La fonction get_page_template() construit un nom de fichier à partir du paramètre pagename. Des séquences ../ doublement encodées en URL contournent la première sanitisation, puis un urldecode() ultérieur les restaure, permettant une inclusion de fichier arbitraire via include. La vérification validate_file() utilisée ailleurs est absente sur ce chemin de code. ...