Base de données CVE
Archive des vulnérabilités connues (CVE) avec score CVSS, gravité, produits et éditeurs concernés. Filtrez par année et par sévérité.
- CVE-2026-39987Critique9.8
marimo est un notebook Python réactif. Avant la version 0.23.0, Marimo présente une vulnérabilité RCE pré-authentification. L'endpoint WebSocket du terminal /terminal/ws manque de validation de l'authentification, permettant à un attaquant non authentifié d'obtenir un shell PTY complet et d'exécuter des commandes système arbitraires. Contrairement aux autres endpoints WebSocket (e.g., /ws) qui appellent correctement validate_auth() pour l'authentification, l'endpoint /terminal/ws vérifie uniquement le mode d'exécution et le support de la plateforme avant d'accepter les connexions, en ignorant complètement la vérification de l'authentification. Cette vulnérabilité est corrigée dans la version 0.23.0.
- CVE-2026-39364Élevée7.5
Vite est un framework d'outillage frontend pour JavaScript. De 7.1.0 à avant 7.3.2 et 8.0.5, sur le serveur dev Vite, les fichiers qui devraient être bloqués par server.fs.deny (p. ex., .env, *.crt) peuvent être récupérés avec des réponses HTTP 200 lorsque des paramètres de requête tels que ?raw, ?import&raw ou ?import&url&inline sont ajoutés. Cette vulnérabilité est corrigée en 7.3.2 et 8.0.5.
- CVE-2026-34197Élevée8.8
Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ. Apache ActiveMQ Classic exposes the Jolokia JMX-HTTP bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String) and BrokerService.addConnector(String). An authenticated attacker can invoke these operations with a crafted discovery URI that triggers the VM transport's brokerConfig parameter to load a remote Spring XML application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through bean factory methods such as Runtime.exec(). This issue affects Apache ActiveMQ Broker: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ All: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ: before 5.19.4, from 6.0.0 before 6.2.3. Users are recommended to upgrade to version 5.19.4 or 6.2.3, which fixes the issue
- CVE-2026-35029Élevée8.8
LiteLLM est un serveur proxy (AI Gateway) pour appeler les API LLM au format OpenAI (ou natif). Avant la version 1.83.0, l'endpoint /config/update n'impose pas l'autorisation du rôle admin. Un utilisateur déjà authentifié sur la plateforme peut alors utiliser cet endpoint pour modifier la configuration du proxy et les variables d'environnement, enregistrer des gestionnaires d'endpoint pass-through personnalisés pointant vers du code Python contrôlé par un attaquant, obtenant une exécution de code à distance, lire des fichiers arbitraires du serveur en définissant UI_LOGO_PATH et en les récupérant via /get_image, et prendre le contrôle d'autres comptes privilégiés en écrasant les variables d'environnement UI_USERNAME et UI_PASSWORD. Corrigé dans la v1.83.0.
- CVE-2026-35616Critique9.8
Une vulnérabilité de contrôle d'accès inapproprié dans Fortinet FortiClientEMS 7.4.5 à 7.4.6 peut permettre à un attaquant non authentifié d'exécuter du code ou des commandes non autorisés via des requêtes spécialement conçues.
- CVE-2026-5281Élevée8.8
Use after free dans Dawn dans Google Chrome avant 146.0.7680.178 a permis à un attaquant distant ayant compromis le processus de rendu d'exécuter du code arbitraire via une page HTML spécialement conçue. (Gravité de sécurité Chromium : Haute)
- CVE-2026-3502Élevée7.8
TrueConf Client télécharge le code de mise à jour de l'application et l'applique sans effectuer de vérification. Un attaquant capable d'influencer le chemin de distribution de la mise à jour peut substituer un payload de mise à jour falsifié. Si le payload est exécuté ou installé par le programme de mise à jour, cela peut entraîner une exécution de code arbitraire dans le contexte du processus de mise à jour ou de l'utilisateur.
- CVE-2026-5027Élevée8.8
L'endpoint 'POST /api/v2/files' n'assainit pas le paramètre 'filename' issu des données multipart form data, permettant à un attaquant d'écrire des fichiers dans des emplacements arbitraires du système de fichiers en utilisant des séquences de path traversal ('../').
- CVE-2026-4815Élevée8.8
A SQL Injection vulnerability has been found in Support Board v3.7.7. This vulnerability allows an attacker to retrieve, create, update and delete database via 'calls[0][message_ids][]' parameter in '/supportboard/include/ajax.php' endpoint.
- CVE-2026-4368
Condition de concurrence dans NetScaler ADC et NetScaler Gateway lorsque l'appliance est configurée en tant que Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ou serveur virtuel AAA entraînant une confusion des sessions utilisateur
- CVE-2026-3055Critique9.8
Validation insuffisante des entrées dans NetScaler ADC et NetScaler Gateway lorsqu'ils sont configurés comme SAML IDP entraînant une surlecture mémoire
- CVE-2026-33634Élevée8.8
Trivy is a security scanner. On March 19, 2026, a threat actor used compromised credentials to publish a malicious Trivy v0.69.4 release, force-push 76 of 77 version tags in `aquasecurity/trivy-action` to credential-stealing malware, and replace all 7 tags in `aquasecurity/setup-trivy` with malicious commits. This incident is a continuation of the supply chain attack that began in late February 2026. Following the initial disclosure on March 1, credential rotation was performed but was not atomic (not all credentials were revoked simultaneously). The attacker could have use a valid token to exfiltrate newly rotated secrets during the rotation window (which lasted a few days). This could have allowed the attacker to retain access and execute the March 19 attack. Affected components include the `aquasecurity/trivy` Go / Container image version 0.69.4, the `aquasecurity/trivy-action` GitHub Action versions 0.0.1 – 0.34.2 (76/77), and the`aquasecurity/setup-trivy` GitHub Action versions 0.2.0 – 0.2.6, prior to the recreation of 0.2.6 with a safe commit. Known safe versions include versions 0.69.2 and 0.69.3 of the Trivy binary, version 0.35.0 of trivy-action, and version 0.2.6 of setup-trivy. Additionally, take other mitigations to ensure the safety of secrets. If there is any possibility that a compromised version ran in one's environment, all secrets accessible to affected pipelines must be treated as exposed and rotated immediately. Check whether one's organization pulled or executed Trivy v0.69.4 from any source. Remove any affected artifacts immediately. Review all workflows using `aquasecurity/trivy-action` or `aquasecurity/setup-trivy`. Those who referenced a version tag rather than a full commit SHA should check workflow run logs from March 19–20, 2026 for signs of compromise. Look for repositories named `tpcp-docs` in one's GitHub organization. The presence of such a repository may indicate that the fallback exfiltration mechanism was triggered and secrets were successfully stolen. Pin GitHub Actions to full, immutable commit SHA hashes, don't use mutable version tags.
- CVE-2026-33017Critique9.8
Langflow est un outil de création et de déploiement d'agents et de workflows alimentés par l'IA. Dans les versions antérieures à 1.9.0, le endpoint POST /api/v1/build_public_tmp/{flow_id}/flow permet de construire des flux publics sans nécessiter d'authentification. Lorsque le paramètre optionnel data est fourni, le endpoint utilise des données de flux contrôlées par l'attaquant (contenant du code Python arbitraire dans les définitions de nœuds) au lieu des données de flux stockées dans la base de données. Ce code est passé à exec() sans aucun sandboxing, ce qui entraîne une exécution de code à distance non authentifiée. Ceci est distinct de CVE-2025-3248, qui a corrigé /api/v1/validate/code en ajoutant une authentification. Le endpoint build_public_tmp est conçu pour être non authentifié (pour les flux publics) mais accepte à tort des données de flux fournies par l'attaquant contenant du code exécutable arbitraire. Ce problème a été corrigé dans la version 1.9.0.
- CVE-2026-22732Critique9.1
Lorsque les applications spécifient des en-têtes de réponse HTTP pour les applications servlet utilisant Spring Security, il est possible que les HTTP Headers ne soient pas écrits. Ce problème affecte les applications Spring Security Servlet utilisant l'écriture lazy (par défaut) des HTTP Headers : : de 5.7.0 à 5.7.21, de 5.8.0 à 5.8.23, de 6.3.0 à 6.3.14, de 6.4.0 à 6.4.14, de 6.5.0 à 6.5.8, de 7.0.0 à 7.0.3.
- CVE-2026-32194Critique9.8
Neutralisation incorrecte des éléments spéciaux utilisés dans une commande ('command injection') dans Microsoft Bing Images permet à un attaquant non autorisé d'exécuter du code sur un réseau.
- CVE-2026-32191Critique9.8
Neutralisation impropre des éléments spéciaux utilisés dans une commande OS (« OS command injection ») dans Microsoft Bing Images permet à un attaquant non autorisé d'exécuter du code sur un réseau.
- CVE-2026-27540Critique9.0
Vulnérabilité de téléversement de fichiers sans restriction avec un type dangereux dans Woocommerce Wholesale Lead Capture de Rymera Web Co Pty Ltd., woocommerce-wholesale-lead-capture, permettant l’utilisation de fichiers malveillants. Ce problème affecte Woocommerce Wholesale Lead Capture : de n/a jusqu’à <= 2.0.3.1.
- CVE-2026-3910Élevée8.8
Implémentation inappropriée dans V8 dans Google Chrome antérieur à 146.0.7680.75 a permis à un attaquant distant d'exécuter du code arbitraire à l'intérieur d'un bac à sable via une page HTML spécialement conçue. (Gravité de sécurité Chromium : Haute)
- CVE-2026-3909Élevée8.8
Écriture hors limites dans Skia dans Google Chrome avant 146.0.7680.75 a permis à un attaquant distant d'effectuer un accès mémoire hors limites via une page HTML spécialement conçue. (Gravité de sécurité Chromium : Haute)
- CVE-2025-67038Critique9.8
An issue was discovered in Lantronix EDS5000 2.1.0.0R3. The HTTP RPC module executes a shell command to write logs when user's authentication fails. The username is directly concatenated with the command without any sanitization. This allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.
This product uses the NVD API but is not endorsed or certified by the NVD.