OS Command Injection

🔍 Contexte Publié le 10 juin 2026 par WatchTowr Labs, cet article présente l’analyse technique de deux vulnérabilités découvertes dans Ivanti Sentry (anciennement MobileIron Sentry), une passerelle inline gérant le trafic entre appareils mobiles et systèmes d’entreprise. 🚨 Vulnérabilités identifiées CVE-2026-10520 (CVSS 10/10) : Injection de commandes OS pré-authentifiée dans Ivanti Sentry avant les versions R10.5.2, R10.6.2 et R10.7.1. Permet à un attaquant distant non authentifié d’obtenir une exécution de code à distance avec privilèges root. CVE-2026-10523 : Contournement d’authentification (CWE-288) dans les mêmes versions, permettant la création de comptes administrateurs arbitraires et l’obtention d’un accès administratif complet. Découvert par Bryan Lam. 🛠️ Analyse technique L’analyse porte sur la comparaison entre les versions Ivanti/MobileIron Sentry 10.5.1 (vulnérable) et 10.5.2 (corrigée). ...

📰 Source : The Cyber Express | Date de publication : 29 mai 2026 | Date de divulgation des CVE : 26 mai 2026 Les développeurs de Notepad++ ont publié la version 8.9.6.1 pour corriger trois vulnérabilités de sécurité affectant toutes les versions jusqu’à 8.9.6. Les failles ont été divulguées le 26 mai 2026. 🔴 CVE-2026-48778 — RCE critique (CWE-78 : OS Command Injection) La vulnérabilité la plus sévère réside dans le traitement du fichier config.xml, spécifiquement le paramètre <GUIConfig name="commandLineInterpreter">. Ce paramètre est lu sans validation, sans vérification d’intégrité et sans restriction par liste blanche. Lorsqu’un utilisateur active la fonctionnalité “Open Containing Folder in cmd”, l’application utilise ce paramètre non sanitisé, permettant à un attaquant de substituer l’exécutable attendu par un programme arbitraire. Un proof-of-concept a démontré l’exécution de calc.exe à la place de l’invite de commandes. La faille présente une faible complexité d’attaque et ne nécessite pas de privilèges élevés. ...