Exploitation Active

Selon un article publié le 18 juillet 2025, une vulnérabilité zero-day critique identifiée comme CVE-2025-54309 a été découverte dans le logiciel CrushFTP. Cette faille, avec un score CVSS de 9.0, est actuellement exploitée par des acteurs malveillants et permet à des attaquants distants et non authentifiés d’obtenir un accès administratif via une vulnérabilité de canal alternatif non protégé affectant la validation du protocole AS2. CrushFTP a rapidement réagi en publiant des correctifs pour les versions affectées. Les utilisateurs doivent mettre à jour vers les versions 10.8.5 ou 11.3.4_23 pour atténuer cette menace. Les versions affectées incluent CrushFTP 10.8.4 et antérieures, ainsi que 11.3.4_22 et antérieures. ...

Deux failles critiques ont été découvertes dans vBulletin, un des logiciels de forum les plus utilisés au monde. L’une de ces failles est activement exploitée. Les vulnérabilités concernées : CVE-2025-48827 (score CVSS 10.0) : exécution de méthodes protégées via l’API. CVE-2025-48828 (score CVSS 9.0) : exécution de code à distance (RCE) via le moteur de templates. Ces failles touchent vBulletin versions 5.0.0 à 5.7.5 et 6.0.0 à 6.0.3, si le serveur utilise PHP 8.1 ou plus récent. ...

Une information publiée le 28 avril 2025 révèle qu’une vulnérabilité de téléchargement de fichiers non authentifiée de gravité maximale affecte plus de 1200 instances de SAP NetWeaver exposées sur Internet. Cette vulnérabilité est activement exploitée par des attaquants pour prendre le contrôle des serveurs. SAP NetWeaver est une plateforme de technologie intégrée pour toutes les applications SAP. Elle fournit la base technique pour une grande variété de produits SAP. La vulnérabilité permet aux attaquants de télécharger des fichiers sans avoir besoin de s’authentifier, ce qui peut potentiellement conduire à un détournement de serveur. Les utilisateurs de SAP NetWeaver sont donc fortement encouragés à mettre à jour leurs systèmes pour corriger cette vulnérabilité. ...