Base de données CVE
Archive des vulnérabilités connues (CVE) avec score CVSS, gravité, produits et éditeurs concernés. Filtrez par année et par sévérité.
- CVE-2026-21514Élevée7.8
Reliance on untrusted inputs in a security decision in Microsoft Office Word allows an unauthorized attacker to bypass a security feature locally.
- CVE-2026-21513Élevée8.8
Protection mechanism failure in MSHTML Framework allows an unauthorized attacker to bypass a security feature over a network.
- CVE-2026-21510Élevée8.8
Protection mechanism failure in Windows Shell allows an unauthorized attacker to bypass a security feature over a network.
- CVE-2026-1603Élevée8.6
An authentication bypass in Ivanti Endpoint Manager before version 2024 SU5 allows a remote unauthenticated attacker to leak specific stored credential data.
- CVE-2025-68686Moyenne5.9
Une vulnérabilité d'exposition d'informations sensibles à un acteur non autorisé [CWE-200] dans Fortinet FortiOS 7.6.0 à 7.6.1, FortiOS 7.4.0 à 7.4.6, FortiOS 7.2 toutes les versions, FortiOS 7.0 toutes les versions, FortiOS 6.4 toutes les versions peut permettre à un attaquant distant non authentifié de contourner le correctif développé pour le mécanisme de persistance par lien symbolique observé dans certains cas post-exploitation, via des requêtes HTTP spécialement conçues. Un attaquant devrait d'abord avoir compromis le produit via une autre vulnérabilité, au niveau du système de fichiers.
- CVE-2026-25939Critique9.1
FUXA est un logiciel de visualisation de processus basé sur le Web (SCADA/HMI/Dashboard). De la version 1.2.8 à la version 1.2.10, une vulnérabilité de contournement d'autorisation dans FUXA permet à un attaquant distant non authentifié de créer et de modifier des planificateurs arbitraires, exposant les environnements ICS/SCADA connectés à des actions ultérieures. Ceci a été corrigé dans FUXA version 1.2.11.
- CVE-2026-25895Critique9.8
FUXA est un logiciel de visualisation de processus basé sur le web (SCADA/HMI/Dashboard). Une vulnérabilité de type path traversal dans FUXA permet à un attaquant distant non authentifié d'écrire des fichiers arbitraires vers des emplacements arbitraires sur le système de fichiers du serveur. Cela affecte FUXA jusqu'à la version 1.2.9. Ce problème a été corrigé dans FUXA version 1.2.10.
- CVE-2026-1868Critique9.9
GitLab a corrigé une vulnérabilité dans le composant Duo Workflow Service de GitLab AI Gateway affectant toutes les versions d’AI Gateway de 18.1.6, 18.2.6, 18.3.1 à 18.6.1, 18.7.0 et 18.8.0, dans lesquelles AI Gateway était vulnérable à l’expansion non sécurisée de modèles à partir de données fournies par l’utilisateur via des définitions Duo Agent Platform Flow spécialement conçues. Cette vulnérabilité pouvait être exploitée pour provoquer un déni de service ou exécuter du code sur la passerelle. Ce problème a été corrigé dans les versions 18.6.2, 18.7.1 et 18.8.1 de GitLab AI Gateway.
- CVE-2026-1731Critique9.8
BeyondTrust Remote Support (RS) et certaines anciennes versions de Privileged Remote Access (PRA) contiennent une vulnérabilité critique d'exécution de code à distance pré-authentification. En envoyant des requêtes spécialement conçues, un attaquant distant non authentifié peut être en mesure d'exécuter des commandes du système d'exploitation dans le contexte de l'utilisateur du site.
- CVE-2026-25725Critique10.0
Claude Code est un outil de codage agentique. Avant la version 2.1.2, le mécanisme de sandboxing bubblewrap de Claude Code n'a pas correctement protégé le fichier de configuration .claude/settings.json lorsqu'il n'existait pas au démarrage. Alors que le répertoire parent était monté en écriture et que .claude/settings.local.json était explicitement protégé par des contraintes en lecture seule, settings.json n'était pas protégé s'il était manquant. Cela a permis à du code malveillant s'exécutant à l'intérieur du sandbox de créer ce fichier et d'injecter des hooks persistants (tels que des commandes SessionStart) qui s'exécuteraient avec les privilèges de l'hôte au redémarrage de Claude Code. Ce problème a été corrigé dans la version 2.1.2.
- CVE-2026-21643Critique9.8
An improper neutralization of special elements used in an sql command ('sql injection') vulnerability in Fortinet FortiClientEMS 7.4.4 may allow an unauthenticated attacker to execute unauthorized code or commands via specifically crafted HTTP requests.
- CVE-2025-69981Critique9.8
FUXA v1.2.7 contient une vulnérabilité Unrestricted File Upload dans l'endpoint API `/api/upload`. L'endpoint ne dispose d'aucun mécanisme d'authentification, permettant à des attaquants distants non authentifiés de téléverser des fichiers arbitraires. Cela peut être exploité pour écraser des fichiers système critiques (tels que la base de données utilisateurs SQLite) afin d'obtenir un accès administratif, ou pour téléverser des scripts malveillants afin d'exécuter du code arbitraire.
- CVE-2025-15556Élevée7.5
Notepad++ versions prior to 8.8.9, when using the WinGUp updater, contain an update integrity verification vulnerability where downloaded update metadata and installers are not cryptographically verified. An attacker able to intercept or redirect update traffic can cause the updater to download and execute an attacker-controlled installer, resulting in arbitrary code execution with the privileges of the user.
- CVE-2026-1340Critique9.8
A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.
- CVE-2026-1281Critique9.8
A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.
- CVE-2025-40551Critique9.8
SolarWinds Web Help Desk was found to be susceptible to an untrusted data deserialization vulnerability that could lead to remote code execution, which would allow an attacker to run commands on the host machine. This could be exploited without authentication.
- CVE-2025-40536Élevée8.1
SolarWinds Web Help Desk was found to be susceptible to a security control bypass vulnerability that if exploited, could allow an unauthenticated attacker to gain access to certain restricted functionality.
- CVE-2026-24858Critique9.8
An Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.5, FortiAnalyzer 7.4.0 through 7.4.9, FortiAnalyzer 7.2.0 through 7.2.11, FortiAnalyzer 7.0.0 through 7.0.15, FortiManager 7.6.0 through 7.6.5, FortiManager 7.4.0 through 7.4.9, FortiManager 7.2.0 through 7.2.11, FortiManager 7.0.0 through 7.0.15, FortiNAC-F 7.6.3 through 7.6.5, FortiOS 7.6.0 through 7.6.5, FortiOS 7.4.0 through 7.4.10, FortiOS 7.2.0 through 7.2.12, FortiOS 7.0.0 through 7.0.18, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4.0 through 7.4.12, FortiProxy 7.2.0 through 7.2.15, FortiProxy 7.0.0 through 7.0.22, FortiWeb 8.0.0 through 8.0.3, FortiWeb 7.6.0 through 7.6.6, FortiWeb 7.4.0 through 7.4.11 may allow an attacker with a FortiCloud account and a registered device to log into other devices registered to other accounts, if FortiCloud SSO authentication is enabled on those devices.
- CVE-2026-21509Élevée7.8
Reliance on untrusted inputs in a security decision in Microsoft Office allows an unauthorized attacker to bypass a security feature locally.
- CVE-2026-24423Critique9.8
SmarterTools SmarterMail versions prior to build 9511 contain an unauthenticated remote code execution vulnerability in the ConnectToHub API method. The attacker could point the SmarterMail to the malicious HTTP server, which serves the malicious OS command. This command will be executed by the vulnerable application.
This product uses the NVD API but is not endorsed or certified by the NVD.