Articles techniques, notes de recherche et analyses de CVE de l’équipe rootzero : sécurité offensive, détection, méthode.https://rootzero.eu/fr-FRhttps://rootzero.eu/research/cve/cve-2026-33625-lmdeploy-eval-rce/https://rootzero.eu/research/cve/cve-2026-33625-lmdeploy-eval-rce/LMDeploy construisait une expression Python à partir du champ quant_dtype du quantization_config d’un modèle et la passait à eval() pendant le chargement de la configuration. Toute personne capable de publier un modèle qu’un opérateur charge ensuite, sur Hugging Face Hub ou un autre dépôt, pouvait exécuter du code arbitraire sur l’hôte d’inférence avec les privilèges du processus LMDeploy. Corrigé en 0.12.3.Wed, 16 Sep 2026 00:00:00 GMTCVECVE-2026-33625Injection de codeExécution de codeIA et machine learningPyPIcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-85575-shopengine-stored-xss/https://rootzero.eu/research/cve/cve-2026-85575-shopengine-stored-xss/Le widget Product Title imprimait shopengine_product_title_header_size sans liste blanche. Notre essai sur ShopEngine 4.8.9 démontre la sauvegarde par un compte Author et l’exécution dans un navigateur visiteur ; Wordfence décrit une portée Contributor+. Corrigé dans ShopEngine 4.9.6.Tue, 15 Sep 2026 00:00:00 GMTCVECVE-2026-85575XSSWordPressPHPcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-68896-windows-search-eop/https://rootzero.eu/research/cve/cve-2026-68896-windows-search-eop/Nous avons suivi un catalogue Search par utilisateur depuis un profil modifiable jusqu’à un nettoyage SYSTEM déclenché à la connexion. Un essai non administrateur a fait supprimer un fichier protégé que le même compte ne pouvait pas effacer ; une réinstallation fraîche a reproduit cette primitive. La conversion ultérieure vers l’exécution dépendait de Windows Installer et de conditions d’orchestration du labo. Microsoft a corrigé CVE-2026-68896 en septembre 2026.Tue, 08 Sep 2026 00:00:00 GMTCVECVE-2026-68896Traversée de cheminÉlévation de privilègesWindowscontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-81963-windows-update-stack-eop/https://rootzero.eu/research/cve/cve-2026-81963-windows-update-stack-eop/Nous avons repris le correctif ciblé de CVE-2020-0728, abandonné une piste CBS prometteuse mais non prouvée, puis trouvé un répertoire de paquet choisi par l’appelant que TrustedInstaller réutilisait sans impersonation. Des contrôles séparés ont établi l’écriture privilégiée puis l’exécution SYSTEM. Microsoft a corrigé CVE-2026-81963 en septembre 2026 ; la voie initiale s’arrête sur le build 26200.9445.Tue, 08 Sep 2026 00:00:00 GMTCVECVE-2026-81963Suivi de lienÉlévation de privilègesWindowscontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/wordpress-elementor-addons-stored-xss-tag-names/https://rootzero.eu/research/cve/wordpress-elementor-addons-stored-xss-tag-names/Six extensions WordPress laissaient un utilisateur au rôle Contributeur choisir la balise HTML d’un titre ou d’un conteneur, puis affichaient cette valeur avec esc_attr() ou sans aucun échappement. Une valeur comme img src=x onerror=alert(1) ne contient aucun chevron, traverse kses intacte et devient un élément actif doté d’un gestionnaire d’événement dès que l’extension l’écrit après un signe inférieur. Il en résulte une XSS stockée dans des pages qu’ouvrent éditeurs, administrateurs et visiteurs. Chaque extension dispose d’une version corrigée.Fri, 07 Aug 2026 00:00:00 GMTCVECVE-2026-6504CVE-2026-8677CVE-2026-8613CVE-2026-8607CVE-2026-11390CVE-2026-18988XSSAnalyse de variantesWordPressPHPcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-84191-librenms-stored-xss-snmp/https://rootzero.eu/research/cve/cve-2026-84191-librenms-stored-xss-snmp/LibreNMS enregistrait le nom, la description et le route distinguisher des VRF renvoyés en SNMP par les équipements supervisés, puis les écrivait dans ses pages de routage sans échappement HTML. Un équipement contrôlé par l’attaquant, ou toute personne capable de modifier le trafic SNMPv1/v2c, pouvait y placer du JavaScript exécuté dans le navigateur de chaque utilisateur ouvrant ces pages. Points principaux corrigés en 26.5.0 ; un point onmouseover a été modifié en 26.8.0.Tue, 04 Aug 2026 00:00:00 GMTCVECVE-2026-84191XSSSupervision et CTIPHPcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-34398-34399-freecad-bim-eval-rce/https://rootzero.eu/research/cve/cve-2026-34398-34399-freecad-bim-eval-rce/L’atelier BIM de FreeCAD transmettait à eval() des valeurs lues dans des fichiers : quatre champs du plan de travail tirés des métadonnées d’un modèle .FCStd dans le Project Manager, et le champ Scale d’un modèle SVG à la création d’une page TechDraw. Un utilisateur qui charge un modèle piégé exécute le code Python de l’attaquant avec ses propres privilèges. Les deux failles sont corrigées dans FreeCAD 1.1.1.Thu, 23 Jul 2026 00:00:00 GMTCVECVE-2026-34398CVE-2026-34399Injection de codeExécution de codeLogiciels desktopC++contact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-77262-mcp-atlassian-arbitrary-file-read/https://rootzero.eu/research/cve/cve-2026-77262-mcp-atlassian-arbitrary-file-read/L’outil confluence_upload_attachment de MCP Atlassian transmettait son argument file_path à open() sans contrôle de chemin, puis envoyait les octets vers Confluence. Un appelant ayant accès à cet outil pouvait envoyer tout fichier lisible par le processus vers une destination Confluence où il pouvait écrire. Le client réseau suppose un déploiement HTTP ; le scénario d’agent suppose en plus qu’il suive un contenu hostile, ce que la preuve de lecture de fichier ne teste pas. Le correctif précédent de GHSA-xjgw-4wvw-rgm4 ne protégeait que le sens du téléchargement. Corrigé en 0.22.0.Fri, 10 Jul 2026 00:00:00 GMTCVECVE-2026-77262Lecture de fichiersCorrectif incompletServeurs MCPIA et machine learningPyPIcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-34049-coolify-backup-command-injection/https://rootzero.eu/research/cve/cve-2026-34049-coolify-backup-command-injection/Le correctif de Coolify pour CVE-2025-66209 validait et échappait les noms de bases d’une configuration de sauvegarde, mais les noms de collections MongoDB écrits dans le même champ arrivaient toujours tels quels dans la commande mongodump. Un membre d’équipe autorisé à configurer des sauvegardes, ce que la politique par défaut accorde à tous, pouvait exécuter des commandes en root sur le serveur géré. L’éditeur note la faille 3,3 ; l’impact technique est proche de la faille d’origine notée 9,9. Corrigé en 4.0.0-beta.471.Thu, 02 Jul 2026 00:00:00 GMTCVECVE-2026-34049Injection de commandesCorrectif incompletDevOps et PaaSPHPcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-35211-opencti-painless-script-injection/https://rootzero.eu/research/cve/cve-2026-35211-opencti-painless-script-injection/L’API GraphQL d’OpenCTI exposait une valeur script dans son enum FilterOperator, et le constructeur de requêtes recopiait la valeur du filtre dans une requête script Elasticsearch sans aucun contrôle. Tout utilisateur authentifié doté de la capacité KNOWLEDGE pouvait faire exécuter du code Painless arbitraire au cluster de recherche sur chaque document candidat, de quoi épuiser son CPU et dégrader la plateforme pour tous. Corrigé en 7.260401.0, où l’opérateur est refusé sauf activation explicite.Wed, 01 Jul 2026 00:00:00 GMTCVECVE-2026-35211Injection de codeInjection de requête (Cypher, KQL, Painless)Supervision et CTInpmcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/ghsa-wg9g-w2j2-8pgr-monai-numpy-pickle-rce/https://rootzero.eu/research/cve/ghsa-wg9g-w2j2-8pgr-monai-numpy-pickle-rce/La classe NumpyReader de MONAI appelait np.load() avec allow_pickle=True codé en dur, et LoadImage choisit ce lecteur pour tout fichier .npy ou .npz. Un fichier forgé placé dans un jeu de données exécutait donc du code arbitraire, via le protocole __reduce__ de pickle, dans le processus de quiconque le chargeait pour un entraînement ou une inférence. L’option ne pouvait pas être désactivée. Corrigé en 1.6.0, où le chargement pickle est désactivé par défaut.Thu, 11 Jun 2026 00:00:00 GMTCVEGHSA-wg9g-w2j2-8pgrDésérialisationExécution de codeIA et machine learningPyPIcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-48017-dbgate-rce/https://rootzero.eu/research/cve/cve-2026-48017-dbgate-rce/L’endpoint POST /runners/load-reader de DbGate recopiait le paramètre functionName dans du code JavaScript que le serveur exécutait ensuite dans un processus enfant. Un utilisateur connecté, sans permission particulière, pouvait refermer l’appel prévu, ajouter son propre code et atteindre le système via process.binding("spawn_sync"), que le bac à sable require = null laisse accessible. Corrigé en 7.1.9.Fri, 22 May 2026 00:00:00 GMTCVECVE-2026-48017Exécution de codeInjection de codePlateformes de donnéesnpmcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-45662-dokploy-command-injection/https://rootzero.eu/research/cve/cve-2026-45662-dokploy-command-injection/À la suppression d’un registre, Dokploy auto-hébergé lançait docker logout en concaténant l’URL enregistrée dans une commande shell, alors que le même fichier échappait cette valeur pour docker login. Un utilisateur autorisé à créer et supprimer des registres pouvait enregistrer une URL contenant des métacaractères shell et exécuter des commandes sur l’hôte Dokploy, qui pilote Docker et détient les secrets de la plateforme. Corrigé en 0.29.3.Mon, 11 May 2026 00:00:00 GMTCVECVE-2026-45662Injection de commandesExécution de codeDevOps et PaaSnpmcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-40864-jupyterhub-xsrf-bypass/https://rootzero.eu/research/cve/cve-2026-40864-jupyterhub-xsrf-bypass/Depuis la 4.1.0, JupyterHub s’appuyait sur l’en-tête Sec-Fetch-Mode pour décider si une requête authentifiée par cookie devait porter un jeton XSRF, et exemptait toute requête no-cors, quels que soient sa méthode et son origine. Une page d’une autre origine pouvait envoyer des POST authentifiés à /hub/spawn ou /hub/accept-share, démarrant le serveur de la victime ou lui faisant accepter le partage du serveur de l’attaquant. Corrigé en 5.4.5.Tue, 05 May 2026 00:00:00 GMTCVECVE-2026-40864CSRFPlateformes de donnéesPyPIcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-41490-dagster-sql-injection/https://rootzero.eu/research/cve/cve-2026-41490-dagster-sql-injection/Cinq I/O managers de bases de données de Dagster construisaient la clause WHERE de leurs SELECT et DELETE en plaçant les clés de partition entre apostrophes, sans échappement. Avec une DynamicPartitionsDefinition, ces clés sont créées à l’exécution via l’API GraphQL : quiconque peut ajouter une partition et lancer un run exécute du SQL sur l’entrepôt avec les identifiants de l’I/O manager. Corrigé dans dagster 1.13.1 et les intégrations 0.29.1.Fri, 17 Apr 2026 00:00:00 GMTCVECVE-2026-41490Injection SQLAnalyse de variantesPlateformes de donnéesPyPIcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-33715-chamilo-ssrf-open-relay/https://rootzero.eu/research/cve/cve-2026-33715-chamilo-ssrf-open-relay/L’endpoint de l’assistant d’installation public/main/inc/ajax/install.ajax.php restait accessible sur les instances Chamilo LMS 2.0 installées, sans session ni contrôle d’installation. Son action test_mailer transmettait à Symfony Mailer un DSN tiré de la requête : un attaquant non authentifié pouvait faire se connecter le serveur à n’importe quel hôte et port SMTP et envoyer un message à n’importe quelle adresse. Corrigé en 2.0-RC.3.Tue, 14 Apr 2026 00:00:00 GMTCVECVE-2026-33715SSRFAuthentification absenteE-mailE-learningPHPcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-34160-chamilo-pens-ssrf/https://rootzero.eu/research/cve/cve-2026-34160-chamilo-pens-ssrf/L’endpoint du plugin PENS public/plugin/Pens/pens.php de Chamilo LMS 2.0 ne demandait aucune session et prenait ses URL package-url, receipt et alerts dans la requête. Les contrôles d’URL ne vérifiaient que le schéma et la présence d’un hôte : un attaquant non authentifié pouvait faire envoyer au serveur des requêtes GET et POST vers des hôtes internes et vers le service de métadonnées cloud. Corrigé en 2.0-RC.3.Tue, 14 Apr 2026 00:00:00 GMTCVECVE-2026-34160SSRFAuthentification absenteAnalyse de variantesE-learningPHPcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/pfsense-sa-26-03-diag-arp-stored-xss/https://rootzero.eu/research/cve/pfsense-sa-26-03-diag-arp-stored-xss/Avec ISC DHCP, pfSense affichait un nom d’hôte fourni par un client DHCP dans diag_arp.php sans encodage HTML. Un client du réseau local pouvait déposer du JavaScript exécuté quand un administrateur ouvrait la table ARP. Netgate indique comme versions corrigées Plus 26.03.1 et 26.07, CE 2.9.0, ainsi qu’un correctif System Patches ; Kea n’était pas affecté.Wed, 01 Apr 2026 00:00:00 GMTCVEpfSense-SA-26_03.webguiXSSSupervision et CTIPHPcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-34940-kubeai-command-injection/https://rootzero.eu/research/cve/cve-2026-34940-kubeai-command-injection/KubeAI construisait la sonde de démarrage des pods Ollama en insérant l’URL du Model dans un script bash -c. Quiconque pouvait créer ou modifier des ressources Model, un droit souvent délégué à des équipes qui ne sont pas administratrices du cluster, pouvait ajouter des commandes shell à l’URL et les faire exécuter par le kubelet dans le pod du modèle, à côté de ses secrets et de son jeton de compte de service. Corrigé en 0.23.2.Tue, 31 Mar 2026 00:00:00 GMTCVECVE-2026-34940Injection de commandesExécution de codeDevOps et PaaSIA et machine learningGocontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-34975-plunk-email-header-injection/https://rootzero.eu/research/cve/cve-2026-34975-plunk-email-header-injection/Plunk construisait le message MIME brut transmis à Amazon SES en interpolant from.name, le sujet, les clés et valeurs des en-têtes personnalisés et les noms de pièces jointes dans un template. Aucun de ces champs ne refusait les retours à la ligne : tout détenteur d’une clé d’API de projet pouvait ajouter les en-têtes de son choix ou remodeler les parties MIME des e-mails envoyés via POST /v1/send. Corrigé en 0.8.0 par une validation de schéma.Tue, 31 Mar 2026 00:00:00 GMTCVECVE-2026-34975Injection CRLFE-mailnpmcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-33980-adx-mcp-server-kql-injection/https://rootzero.eu/research/cve/cve-2026-33980-adx-mcp-server-kql-injection/Les outils get_table_schema, sample_table_data et get_table_details d’adx-mcp-server construisaient leurs requêtes Kusto en insérant l’argument table_name dans des f-strings. Tout client MCP, y compris un agent manipulé par injection de prompt, pouvait transformer un appel à ces outils de métadonnées en requête KQL arbitraire ou en commande de gestion, hors de la politique d’approbation appliquée à execute_query. Corrigé dans le commit 0abe0ee, qu’aucune version publiée sur PyPI ne contient encore.Wed, 25 Mar 2026 00:00:00 GMTCVECVE-2026-33980Injection de requête (Cypher, KQL, Painless)Serveurs MCPIA et machine learningPlateformes de donnéesPyPIcontact@rootzero.eu (rootzero)https://rootzero.eu/research/cve/cve-2026-32247-graphiti-cypher-injection/https://rootzero.eu/research/cve/cve-2026-32247-graphiti-cypher-injection/Avant la 0.28.2, graphiti-core joignait les node_labels d’un objet SearchFilters avec | et concaténait le résultat dans la clause WHERE de ses requêtes Neo4j, FalkorDB et Neptune. Un appelant capable de choisir ces labels pouvait modifier la requête et contourner son filtre group_id. La lecture entre groupes découle de la construction de la requête ; les écritures dépendent aussi du routage et des droits de la base. Une exploitation via injection de prompt contre un agent reste un scénario, non une preuve apportée par ce test. Corrigé en 0.28.2.Wed, 11 Mar 2026 00:00:00 GMTCVECVE-2026-32247Injection de requête (Cypher, KQL, Painless)Serveurs MCPIA et machine learningPyPIcontact@rootzero.eu (rootzero)