Divulgation De Vulnérabilité

🗞️ Contexte Article publié le 29 mai 2026 par TechCrunch (Lorenzo Franceschi-Bicchierai). Il couvre un conflit public entre Microsoft et un chercheur en sécurité indépendant opérant sous le pseudonyme “Nightmare Eclipse”, autour de la divulgation de plusieurs vulnérabilités non corrigées. 🔍 Faits rapportés Le chercheur Nightmare Eclipse a publié publiquement plusieurs vulnérabilités affectant des produits Microsoft, accompagnées de code d’exploitation (proof-of-concept) : BlueHammer RedSun UnDefend YellowKey Ces failles affectent notamment : Windows Defender (moteur antivirus intégré) BitLocker (outil de chiffrement de disque) Les vulnérabilités ont été publiées sur GitHub et GitLab, les deux comptes du chercheur ayant ensuite été bannis. Selon Microsoft et la CISA, certaines de ces vulnérabilités ont depuis été exploitées dans des attaques réelles. ...

Contexte: Billet de blog d’un chercheur en sécurité détaillant plusieurs failles majeures dans l’écosystème Petlibro (distributeurs, fontaines et caméras connectés), utilisés par des millions de propriétaires d’animaux. 🚨 Principales vulnérabilités: Bypass d’authentification (prise de compte complète) via l’endpoint social login qui ne vérifiait pas les tokens OAuth et acceptait un identifiant Google côté client. Absence de contrôle d’accès sur l’endpoint de détail des animaux permettant de consulter les informations de n’importe quel animal via son identifiant. Exposition d’informations d’appareils (numéro de série, adresse MAC, nom du produit) récupérables à partir d’un ID d’animal lié. Prise de contrôle d’appareils: les API d’appareils acceptaient n’importe quel numéro de série sans vérification de propriété (programmation des repas, déclenchement manuel, accès caméra, réglages, etc.). Accès à des enregistrements audio privés en raison d’identifiants séquentiels et d’une API permettant d’associer n’importe quel audio à n’importe quel appareil, puis de récupérer l’URL. Ajout non autorisé de co-propriétaires: contrôle en place seulement pour la suppression, pas pour l’ajout. 🎯 Impacts mentionnés: ...

Selon BleepingComputer, FuzzingLabs accuse la startup soutenue par Y Combinator, Gecko Security, d’avoir répliqué ses divulgations de vulnérabilités. ⚔️ FuzzingLabs accuse la startup Gecko Security d’avoir copié ses découvertes de failles Un conflit public a éclaté dans la communauté cybersécurité entre FuzzingLabs et Gecko Security, une startup soutenue par Y Combinator, après que FuzzingLabs a accusé sa concurrente d’avoir copié ses divulgations de vulnérabilités et d’avoir rétrodater ses articles de blog pour s’en attribuer le mérite. ...