Injection SQL

🗓️ Contexte Source : Numerama, publié le 1er octobre 2026. L’ANSSI a rendu public le 30 septembre 2026 le premier point de situation de l’opération REACTIV, lancée à la demande du Premier ministre pour coordonner la réponse aux fuites de données touchant les ministères français depuis début août 2026. 🔍 Vulnérabilité exploitée La faille concerne Metabase, un logiciel open source de business intelligence utilisé par plusieurs services de l’État. Elle est notée 10/10 sur l’échelle CVSS (score maximum). Il s’agit d’une injection SQL localisée dans la fonction de réinitialisation du mot de passe, accessible sans authentification préalable. Un attaquant pouvait ainsi obtenir les droits d’administrateur sur l’instance ciblée sans identifiants ni interaction utilisateur. ...

📰 Contexte Source : IT-Connect (it-connect.fr), publié le 2 octobre 2026 par Florian Burnel. L’article couvre la publication par Teclib’ de nouvelles versions correctives de GLPI, logiciel open source de gestion de parc informatique et helpdesk, deux semaines après une précédente salve de correctifs. 🗓️ Chronologie des publications 30 septembre 2026 : Publication de GLPI 11.0.10 et GLPI 10.0.28 sur GitHub 1er octobre 2026 : Publication de GLPI 11.0.11 en remplacement de 11.0.10, qui introduisait une régression bloquant le chargement de certains plugins 🔐 Vulnérabilités corrigées Failles communes à GLPI 10 et GLPI 11 (5 vulnérabilités) Contournement des autorisations dans les actions en masse (importante) : contrôle défaillant permettant d’agir au-delà de ses droits Élévation de privilèges via le clonage d’utilisateurs (importante) : obtention de droits supérieurs par détournement du clonage de compte Contrôle des droits insuffisant lors de la suppression d’utilisateurs (importante) : suppression de comptes sans autorisation adéquate Énumération des noms d’utilisateurs via le planning (modérée) : récupération d’identifiants valides facilitant des attaques par brute force Contrôles d’autorisation manquants dans le planning (modérée) : second problème de droits dans la même fonctionnalité Failles propres à GLPI 11 (3 vulnérabilités) Injection SQL via la question « Acteurs » des formulaires (importante) : critères de filtrage intégrés sans contrôle à la requête SQL dans le moteur de formulaires natif de GLPI 11 Désactivation ou modification du 2FA d’utilisateurs plus privilégiés (importante) : intervention possible sur l’authentification à deux facteurs de comptes à privilèges supérieurs XSS réfléchie dans le widget de résultats de recherche du tableau de bord (importante) : exploitation via une requête piégée soumise à la victime ⚠️ Fin de support de GLPI 10 Teclib’ annonce que GLPI 10.0.28 est la dernière version de la branche 10.0, qui ne recevra plus de correctifs de sécurité à compter de la sortie prochaine de GLPI 12.0.0, prévue pour octobre 2026. Les instances restant sur GLPI 10 ne bénéficieront plus des correctifs pour les vulnérabilités découvertes dans le code commun. ...

🗓️ Contexte Source : The Record (Recorded Future News), publié le 28 septembre 2026, par Daryna Antoniuk. L’article couvre une cyberattaque ayant visé Qbusoft, éditeur de la plateforme cloud de gestion médicale Medyc, utilisée par des prestataires de santé polonais. 🔍 Déroulement de l’incident En fin août 2026, un attaquant a exploité une vulnérabilité d’injection SQL dans l’interface applicative de Medyc. L’intrusion a permis l’exfiltration d’une archive chiffrée de base de données hors des systèmes de Qbusoft. La détection a eu lieu dans la nuit du 9 septembre 2026. ...

🏛️ Contexte Source : The Register, publié le 12 août 2026. L’article rapporte les conclusions de l’ICO (Information Commissioner’s Office) suite à un incident de cybersécurité affectant ACRO (UK’s criminal records office), le bureau britannique des casiers judiciaires. L’incident avait été divulgué publiquement en avril 2023. 🔓 Déroulement de l’incident Les attaquants ont maintenu un accès persistant au site web d’ACRO et à son CMS Kentico pendant plus de sept mois, du 5 août 2022 au 14 mars 2023, sans être détectés. La brèche n’a été découverte qu’en mars 2023, lors de l’investigation d’une attaque par injection SQL distincte ayant compromis 15 jeux d’identifiants. ...

🔍 Contexte Publié le 10 août 2026 par Hunt.io, cet article de recherche présente les résultats d’une investigation déclenchée par la découverte d’un répertoire ouvert sur le serveur 89.208.97[.]165:8888, hébergé par Aeza Group LLC (AS210644), un hébergeur bulletproof russe sanctionné par l’OFAC en juillet 2025. La découverte a été signalée au CERT-UA le 30 juillet 2026. 🎯 Vecteurs d’accès initiaux et infrastructure L’opérateur a compromis un site e-commerce ukrainien sous OpenCart via : ...

🗓️ Contexte Source : BankInfoSecurity / HealthInfoSec, publié le 30 septembre 2026. L’article rapporte une cyberattaque contre Qbusoft, éditeur polonais du logiciel médical Medyc, survenant quelques semaines après une attaque majeure contre MyDr, un autre éditeur de logiciels de dossiers médicaux. 🎯 Incident Qbusoft / Medyc L’attaque a débuté autour du 22-23 août 2026 via l’exploitation d’une vulnérabilité d’injection SQL dans l’interface applicative de Medyc. Une archive de base de données chiffrée a été exfiltrée hors de l’environnement du fournisseur. L’incident a été détecté dans la nuit du 8 au 9 septembre 2026. Les données compromises incluent : nom, prénom, adresse, numéro de téléphone, e-mail, numéro PESEL (identifiant national polonais unique). Bien que les champs sensibles aient été chiffrés, l’analyse forensique conclut que le déchiffrement était aisé compte tenu de la structure du code. Des scripts ciblant les tables de données médicales ont également été exécutés, rendant probable l’exfiltration de documentation médicale et de fiches d’hospitalisation. Le gouvernement polonais estime que jusqu’à 5 millions de personnes pourraient être affectées. 🏥 Incident MyDr (contexte) Attaque révélée en août 2026, impliquant le vol de 2,5 téraoctets de données. Environ 19 millions de Polonais touchés (près de la moitié de la population). Les numéros PESEL ont également été compromis. Plus de 50 plaintes et 2 000 notifications reçues par l’autorité de protection des données depuis le 17 septembre. 🕵️ Attribution Les chercheurs de la firme polonaise Zaufana Trzecia Strona (blog du 24 septembre 2026) attribuent les deux attaques (Medyc et MyDr) à un acteur se désignant lui-même “fingerprint”. Aucune attribution à un État ou acteur étatique n’a été établie pour ces incidents. ⚖️ Réponse institutionnelle Le Bureau central de lutte contre la cybercriminalité polonais mène une enquête englobant les deux incidents. L’Office polonais de protection des données personnelles a ouvert un audit. Le CSiRT CeZ (équipe de réponse aux incidents du secteur e-santé) et le ministère de la Santé ont diffusé des recommandations de sécurité aux fournisseurs de logiciels de santé le 16 septembre 2026. Le vice-Premier ministre Krzysztof Gawkowski a annoncé des conséquences en cas de manquement aux procédures de sécurité. 📌 Type d’article Article de presse spécialisée relatant deux incidents de violation de données dans le secteur de la santé en Pologne, avec des éléments d’analyse forensique et de réponse institutionnelle. ...

Selon BleepingComputer, une vulnérabilité d’injection SQL affecte Ally, un plugin WordPress d’Elementor dédié à l’accessibilité et l’ergonomie web, comptant plus de 400 000 installations. Cette faille pourrait être exploitée sans authentification pour dérober des données sensibles. ⚠️ P## Vulnérabilité SQL injection dans le plugin WordPress Ally (Elementor) Résumé Une vulnérabilité SQL injection critique affecte le plugin Ally, un module WordPress développé par Elementor pour améliorer l’accessibilité des sites web. CVE : CVE-2026-2413 Gravité : élevée Installations : plus de 400 000 sites WordPress Sites encore vulnérables : plus de 250 000 La faille permet à un attaquant non authentifié d’exécuter des requêtes SQL malveillantes et d’extraire des données sensibles de la base de données. ...

Selon Endor Labs, une vulnérabilité critique d’injection SQL, CVE-2025-64459 (CVSS v3.1: 9.1), affecte le framework web Python Django. Sont concernés Django 6.0 (beta), 5.2, 5.1 et 4.2 (et potentiellement des versions plus anciennes). Des correctifs sont disponibles dans Django 5.2.8, 5.1.14 et 4.2.26. 🚨 Le problème survient lorsque des applications passent des entrées utilisateur directement à des méthodes QuerySet (filter(), exclude(), get()) via l’expansion de dictionnaire. Des attaquants peuvent injecter les paramètres internes de Django — _connector (AND/OR/XOR) et _negated (inversion booléenne) — pour manipuler la logique SQL, entraînant accès non autorisé, contournement d’authentification et élévation de privilèges, parfois sans authentification préalable. ...

Selon Truesec, Zero Day Initiative (ZDI) a publié la divulgation de 13 vulnérabilités affectant Ivanti Endpoint Manager, sans CVE assignés et sans correctifs disponibles à ce stade. • Vue d’ensemble: ZDI signale 13 vulnérabilités dont 12 vulnérabilités d’exécution de code à distance (RCE) nécessitant une authentification — majoritairement des injections SQL — et 1 vulnérabilité d’élévation locale de privilèges (ZDI-25-947). L’absence de patch oblige les organisations à recourir à des contrôles compensatoires (restrictions d’accès, liste blanche IP, principe du moindre privilège, surveillance accrue des requêtes SQL et de l’activité des comptes de service). ⚠️ ...