SQL Injection

📰 Source : BleepingComputer — Date : 4 novembre 2026 SonicWall a publié un avis de sécurité concernant deux vulnérabilités découvertes dans son logiciel Global Management System (GMS), un outil permettant aux administrateurs IT de gérer des milliers d’appliances SonicWall depuis une interface centralisée. Ces failles ont été identifiées et signalées par les chercheurs de Pentest-Tools. 🔍 Vulnérabilités identifiées : CVE-2026-109593 : Lecture de fichiers internes par un attaquant non authentifié disposant d’un accès réseau, permettant le vol d’informations sensibles. Affecte GMS 9.5.2 et versions antérieures. CVE-2026-109594 : Injection SQL de faible complexité exploitable par un acteur disposant de privilèges élevés, permettant l’accès ou la modification des données stockées dans la base de données GMS. ⚠️ Absence de correctif : SonicWall a confirmé qu’aucun patch ne sera publié, le produit ayant atteint sa fin de vie (EOL). L’éditeur recommande une migration vers Network Security Manager (NSM). ...

🔍 Contexte Source : METR (blog officiel), publié le 31 août 2026. METR est une organisation spécialisée dans l’évaluation de modèles d’IA. Cet article est un post-mortem de deux incidents de sécurité distincts survenus en 2026, accompagné d’une description des mesures correctives adoptées. 🗓️ Incident 1 — Mars 2026 : Vol d’une clé API via un dashboard d’orchestration d’agents Un chercheur de METR a déployé une application d’orchestration d’agents sur une instance EC2 personnelle, intentionnellement exposée sur internet derrière une authentification Google. L’application, vibe-codée, contenait une vulnérabilité fail-open qui désactivait silencieusement l’authentification, exposant le système publiquement pendant plusieurs jours. ...

🔍 Contexte Source : BleepingComputer, publié le 2 septembre 2026. Des chercheurs de Horizon3 ont observé l’exploitation active de CVE-2026-9586, une vulnérabilité critique d’injection SQL non authentifiée affectant la plateforme VoIP d’entreprise Sangoma Switchvox. 🛠️ Détails techniques de la vulnérabilité Endpoint vulnérable : /pa (HTTP), exposé publiquement Mécanisme : Le champ PhoneIP extrait d’un message XML est directement concaténé dans une requête SQL non paramétrée Impact : Injection SQL menant à l’exécution de commandes système (RCE) Exploitation : Via une requête XML craftée envoyée avec curl CVE-2026-9586 est la plus sévère parmi 12 vulnérabilités découvertes par Horizon3 et signalées à Sangoma le 10 avril Patch disponible : Switchvox version 8.4.0.2, publiée le 14 juillet 🚨 Activité d’exploitation observée Première exploitation détectée par les honeypots Horizon3 le 30 août Adresse IP source unique : 176.65.148.184 Tentatives en succession rapide sur plusieurs systèmes Séquence d’attaque : Exécution d’un payload initial Collecte des processus en cours d’exécution Transmission des données encodées en base64 vers un serveur distant Tentative d’établissement d’un reverse shell Environ 4 000 instances Switchvox exposées sur Internet (source : Shodan), majoritairement aux États-Unis 🔎 Indicateurs de compromission Entrées suspectes dans /var/log/switchvox/db-quirks.log Connexions réseau vers 176.65.148.184, notamment sur le port 39323 📋 Type d’article Article d’alerte de sécurité et d’analyse technique, visant à informer les administrateurs systèmes de l’exploitation active en cours et à fournir des indicateurs de compromission exploitables. ...

🔍 Contexte Publié le 1er septembre 2026 par István Márton sur le blog Wordfence, cet article détaille une vulnérabilité critique découverte le 14 août 2026 dans le plugin WordPress All-in-One WP Migration and Backup, qui compte plus de 5 millions d’installations actives. 🐛 Vulnérabilité Type : Injection SQL de second ordre non authentifiée (Second-Order SQL Injection) CVE : CVE-2026-19949 Score CVSS : 8.8 (High) Versions affectées : toutes les versions jusqu’à 7.109 incluse Version corrigée : 7.110 Composant vulnérable : fonction replace_table_values() dans la classe Ai1wm_Database, dont l’expression régulière mal construite ('(.*?)(?<!\\)') ne gère pas correctement les séquences de backslashes pairs, provoquant une confusion de délimiteur de chaîne SQL. ⚙️ Mécanisme d’exploitation L’exploitation se déroule en plusieurs étapes : ...

🗓️ Contexte Publié le 14 août 2026 par Ionut Arghire sur SecurityWeek, cet article rapporte l’exploitation active d’une vulnérabilité zero-day non corrigée dans GeoServer, une plateforme open source populaire de partage et de traitement de données géospatiales. 🔍 Détails de la vulnérabilité La faille a été divulguée publiquement par un chercheur en sécurité nommé q1uf3ng via un post sur X. Elle affecte la fonction jsonArrayContains de GeoServer, utilisée pour filtrer des expressions sur des champs JSON array. Elle est compatible avec les datastores PostGIS et Oracle JDBC. ...

🗓️ Contexte Source : BleepingComputer, publié le 7 août 2026. Metabase, éditeur d’une plateforme d’analytique disponible en SaaS (Metabase Cloud) et en auto-hébergement, a divulgué l’exploitation active d’une vulnérabilité zero-day affectant ses versions 1.58 et supérieures. 🔥 Vulnérabilité exploitée Type : Injection SQL non authentifiée (SQLi) Sévérité : Critique, CVSS 10.0 Versions affectées : 1.58 et supérieures (branches 0.58 à 0.63) Aucun CVE attribué à la date de publication L’exploitation permet à un attaquant distant non authentifié d’injecter du SQL arbitraire, d’obtenir un accès administrateur, de modifier la configuration, de voler des identifiants des bases connectées, de lire et d’exporter des données Endpoint exploité : POST /api/session/reset_password (retour 400) suivi d’un GET /api/user/current réussi 🏢 Victimes confirmées Framework (fabricant de laptops) : ...

🔍 Contexte Source : BleepingComputer, publié le 5 août 2026. L’incident a été découvert par Huntress le 27 juillet 2026 après détection de vol de credentials sur un serveur hébergeant une base Oracle. 🎯 Vecteur d’accès initial Les attaquants ont exploité une vulnérabilité d’injection SQL dans un endpoint de moteur de recherche d’une application Java publique tournant sous Apache Tomcat. La fonctionnalité d’autocomplétion ne validait pas correctement les entrées utilisateur, permettant l’émission de commandes SQL directement vers la base Oracle. ...

🔍 Contexte Publié le 23 juin 2026 par SicuraNext (blog.sicuranext.com), cet article présente une recherche read-only menée le 11 juin 2026 sur une campagne active exploitant CVE-2026-26980, une injection SQL dans l’API publique Content de Ghost CMS (versions 3.24.0 à 6.19.0, corrigée en 6.19.1 en février 2026). ⚙️ Mécanisme d’attaque L’exploitation se déroule en deux étapes : Lecture via Content API (sans authentification) pour extraire la clé Admin API stockée en base de données Écriture via Admin API avec la clé volée pour injecter un loader JavaScript malveillant dans les corps de posts Le loader injecté (ghost_once_footer_<id>) utilise une porte localStorage (exécution unique par navigateur), encode l’origine victime via btoa(location.origin), et charge un second stage depuis un C2 via une URL base64 encodée. La chaîne mène à une page FakeCAPTCHA/ClickFix incitant les visiteurs à exécuter des commandes ou installer un malware. ...

🗓️ Contexte Publié le 24 mai 2026 sur BleepingComputer, cet article s’appuie sur les recherches de XLab, équipe de threat intelligence de la société chinoise Qianxin, ainsi que sur des travaux antérieurs de SentinelOne (publiés le 27 février 2026). 🎯 Vulnérabilité exploitée CVE-2026-26980 est une injection SQL critique affectant Ghost CMS versions 3.24.0 à 6.19.0. Elle permet à des attaquants non authentifiés de lire des données arbitraires depuis la base de données, notamment les clés API admin. Un correctif a été publié le 19 février 2026 dans la version Ghost CMS 6.19.1, mais de nombreux sites n’ont pas appliqué la mise à jour. ...

🗓️ Contexte Source : CrowdSec VulnTracking, publié le 25 mai 2026. CrowdSec suit activement les tentatives d’exploitation de CVE-2026-9082, une vulnérabilité de type SQL injection affectant le cœur de Drupal via les paramètres de filtre de l’API JSON:API sur les endpoints /jsonapi/. 📅 Chronologie des événements 20 mai 2026 : Drupal publie l’advisory de sécurité SA-CORE-2026-004 21 mai 2026 : CrowdSec observe les premières tentatives de sondage (probing) 22 mai 2026 : CrowdSec publie une règle de détection ; CISA ajoute CVE-2026-9082 au catalogue KEV (Known Exploited Vulnerabilities) 23 mai 2026 : Première exploitation confirmée sur le réseau CrowdSec 25 mai 2026 : 68 IPs attaquantes distinctes observées 🔍 Détails techniques CVE-2026-9082 est causée par une neutralisation incorrecte d’entrées contrôlées par l’attaquant dans les clés de paramètres de filtre JSON:API. Des métacaractères SQL peuvent être injectés directement dans la clé du filtre (et non uniquement dans la valeur), via des requêtes HTTP vers des endpoints /jsonapi/ exposés publiquement. ...