Vulnérabilité

La plateforme de gestion de travail Asana a publié un avertissement concernant une vulnérabilité dans sa nouvelle fonctionnalité Model Context Protocol (MCP), qui pourrait avoir entraîné une exposition de données entre les utilisateurs. Cette alerte a été relayée par le média spécialisé Bleeping Computer. La faille identifiée dans l’implémentation de MCP a potentiellement permis à des données de s’échapper des instances d’utilisateurs vers d’autres utilisateurs, et vice versa. Cette situation soulève des préoccupations importantes concernant la confidentialité et la sécurité des données sur la plateforme. ...

Cet article de Trend™ Research met en lumière une campagne active exploitant la vulnérabilité CVE-2025-3248 dans les versions antérieures à 1.3.0 de Langflow, un cadre visuel Python pour la création d’applications d’IA. La vulnérabilité, avec un score CVSS de 9.8, permet une exécution de code à distance non authentifiée via des requêtes POST malveillantes au point de terminaison /api/v1/validate/code. Les attaquants utilisent cette faille pour exécuter des scripts téléchargeurs, installant ainsi le malware Flodrix sur les serveurs compromis. ...

Ce bulletin de vulnérabilité met en lumière plusieurs vulnérabilités critiques découvertes dans les produits Veeam Backup & Replication et Veeam Agent for Microsoft Windows. La première vulnérabilité, identifiée sous le CVE-2025-23121, permet une exécution de code à distance (RCE) sur le serveur de sauvegarde par un utilisateur de domaine authentifié. Cette faille est jugée critique avec un score CVSS de 9.9 et affecte les versions 12.3.1.1139 et antérieures de Veeam Backup & Replication. Elle a été corrigée dans la version 12.3.2 (build 12.3.2.3617). ...

Dans un article publié par Piotr Bazydlo sur la plateforme watchTowr, des vulnérabilités critiques ont été découvertes dans le Sitecore Experience Platform (XP), un système de gestion de contenu largement utilisé par les entreprises. L’article détaille une chaîne de RCE pré-authentification exploitant des identifiants codés en dur et des failles de sécurité dans les mécanismes d’authentification de Sitecore. Ces vulnérabilités permettent à des attaquants de prendre le contrôle de systèmes Sitecore sans authentification préalable. ...

Selon ce bulletin de vulnérabilité de Citrix, des vulnérabilités critiques ont été découvertes dans les produits NetScaler ADC et NetScaler Gateway. Ces vulnérabilités affectent plusieurs versions de ces produits, notamment les versions antérieures à 14.1-43.56 pour NetScaler ADC et Gateway, ainsi que d’autres versions spécifiques. Deux vulnérabilités principales ont été identifiées : CVE-2025-5349, qui concerne un contrôle d’accès inapproprié sur l’interface de gestion de NetScaler, et CVE-2025-5777, qui implique une validation insuffisante des entrées menant à une lecture hors limites de la mémoire. Ces failles présentent des scores CVSS de 8.7 et 9.3 respectivement, indiquant leur sévérité élevée. ...

Selon un article publié par Bleeping Computer, plus de 46 000 instances de Grafana accessibles via Internet restent non corrigées et exposées à une vulnérabilité de redirection ouverte côté client (CVE-2025-4123). 🧟 Le fantôme de Grafana : plus de 46 000 instances exposées à une faille critique Une faille critique affectant Grafana (CVE-2025-4123) expose encore plus de 46 000 instances accessibles sur Internet à des attaques de type détournement de compte. ...

Le média Bleeping Computer rapporte une vulnérabilité critique (CVE-2025-3464) dans le logiciel ASUS Armoury Crate, qui pourrait permettre à des acteurs malveillants d’élever leurs privilèges au niveau SYSTEM sur des machines Windows. Cette faille de sécurité est classée comme étant de haute sévérité, ce qui signifie qu’elle pourrait avoir des conséquences significatives si elle est exploitée. L’élévation de privilèges est une technique couramment utilisée par les attaquants pour obtenir un contrôle total sur un système, leur permettant ainsi d’exécuter des commandes avec les droits les plus élevés. ...

L’article publié sur cyberveille.decio.ch informe sur les derniers avis de sécurité publiés par Siemens, Schneider Electric et Aveva pour Patch Tuesday de juin 2025, concernant des vulnérabilités dans des solutions industrielles. Siemens a publié six nouveaux avis, dont le plus critique concerne une vulnérabilité de CVE-2025-40585 dans les solutions Siemens Energy Services utilisant le Elspec G5 Digital Fault Recorder (G5DFR). Cette faille de crédentiels par défaut permettrait à un attaquant de prendre le contrôle à distance du composant G5DFR. Des mises à jour sont en cours pour les Simatic S7-1500 CPUs affectés par des vulnérabilités dans le sous-système GNU/Linux. Des problèmes de gravité moyenne sont également signalés dans les dispositifs de communication industrielle utilisant le Sinec OS. ...

Cet article publié par MrBruh explore une vulnérabilité potentielle dans le logiciel DriverHub d’ASUS, utilisé pour gérer les pilotes sur les systèmes informatiques. L’utilisateur a découvert que le logiciel DriverHub, intégré à une carte mère ASUS, fonctionne sans interface graphique et communique avec le site driverhub.asus.com pour déterminer quels pilotes installer ou mettre à jour. Cette communication se fait via un processus en arrière-plan, soulevant des préoccupations concernant la sécurité et la confidentialité des données transmises. ...

L’article publié par Citizen Lab rapporte que le 29 avril 2025, Apple a informé un groupe restreint d’utilisateurs iOS qu’ils avaient été ciblés par un logiciel espion avancé. Deux journalistes, dont un européen souhaitant rester anonyme et l’italien Ciro Pellegrino, ont accepté une analyse technique de leurs appareils. Cette analyse a révélé des preuves médico-légales confirmant avec une haute confiance qu’ils ont été ciblés par le spyware Graphite de Paragon. ...