Research · Avis
Ce registre relie nos signalements publics aux avis des éditeurs. Chaque analyse précise le chemin vulnérable, les conditions d’exploitation, le correctif et les limites de la preuve disponible.
Logiciels concernés par nos recherches publiques. Chaque logo renvoie au site officiel ou au dépôt du projet.
★À la une
Des cas où la chaîne d’exploitation, le contrôle négatif ou le correctif change la façon de prioriser.
CVE-2026-81963
À la une 7.8 · ÉlevéeComment notre chasse à une variante de CVE-2020-0728 est passée d’une fausse piste CBS à une écriture TrustedInstaller puis une élévation SYSTEM reproductibles.
CVE-2026-40864
À la une 5.4 · MoyenneJupyterHub 4.1.0 à 5.4.4 sautait le contrôle XSRF pour toute requête no-cors : une page d’une autre origine pouvait soumettre les formulaires du Hub.
pfSense-SA-26_03.webgui
À la une 5.2 · MoyenneUn client DHCP du réseau local pouvait stocker un nom d’hôte porteur de JavaScript qui s’exécutait dans le navigateur d’un administrateur pfSense ouvrant la table ARP.
RRegistre
Une ligne par identifiant. Les filtres se combinent : une sévérité, une classe et un langage, par exemple.
Filtrer le registre
Sévérité
Accès
Classe de vulnérabilité
Domaine
Langage et paquet
28 vulnérabilités affichées
| Identifiant | Produit | Vulnérabilité | CVSS | Publié |
|---|---|---|---|---|
| CVE-2026-33625 | LMDeploy | eval() du quant_dtype issu du quantization_config du modèleSans authentification | 8.8 Élevée | |
| CVE-2026-85575 | ShopEngine (Elementor WooCommerce Builder) | XSS stocké via la balise de titre produit | 6.4 Moyenne | |
| CVE-2026-68896 | Microsoft Windows | Traversée de chemin absolu dans le composant Windows Search | 7.8 Élevée | |
| CVE-2026-81963 | Microsoft Windows | Suivi de lien dans le Windows Update Stack | 7.8 Élevée | |
| CVE-2026-18988 | Easy Accordion | XSS stockée via accordionTitleTag dans Easy Accordion | 6.4 Moyenne | |
| CVE-2026-84191 | LibreNMS | XSS stockée dans les pages VRF via des données SNMPSans authentification | 6.1 Moyenne | |
| CVE-2026-34398 | FreeCAD | eval() sur les métadonnées .FCStd dans le Project Manager BIMSans authentification | 7.8 Élevée | |
| CVE-2026-34399 | FreeCAD | eval() sur le champ Scale d’un modèle SVG dans la page TechDraw BIMSans authentification | 7.8 Élevée | |
| CVE-2026-11390 | News Kit Addons for Elementor | XSS stockée via les balises des widgets Site Logo Title et Single Author Box dans News Kit Addons | 6.4 Moyenne | |
| CVE-2026-77262 | MCP Atlassian | Path traversal dans confluence_upload_attachmentSans authentification | 8.6 Élevée | |
| CVE-2026-34049 | Coolify | Injection de commandes via les noms de collections MongoDB dans les sauvegardes | 3.3 Faible | |
| CVE-2026-35211 | OpenCTI | Injection de scripts Painless via l’opérateur de filtre script | 6.5 Moyenne | |
| CVE-2026-8607 | myCred | XSS stockée via l’attribut de shortcode wrap dans myCred | 6.4 Moyenne | |
| GHSA-wg9g-w2j2-8pgr | MONAI | Désérialisation non sûre dans NumpyReaderSans authentification | 7.8 Élevée | |
| CVE-2026-8613 | aThemes Addons for Elementor | XSS stockée via title_tag dans aThemes Addons | 6.4 Moyenne | |
| CVE-2026-8677 | Prime Elementor Addons | XSS stockée via les réglages de balise HTML des widgets de Prime Elementor Addons | 6.4 Moyenne | |
| CVE-2026-48017 | DbGate | Injection de code dans loadReader via functionName | 8.8 Élevée | |
| CVE-2026-6504 | Royal Addons for Elementor | XSS stockée via title_tag dans Royal Addons | 6.4 Moyenne | |
| CVE-2026-45662 | Dokploy | Injection de commandes via registryUrl dans docker logout | 8.8 Élevée | |
| CVE-2026-40864 | JupyterHub | Contournement XSRF pour les requêtes no-corsSans authentification | 5.4 Moyenne | |
| CVE-2026-41490 | Dagster | Injection SQL via les clés de partition dynamiques des I/O managers | 8.3 Élevée | |
| CVE-2026-34160 | Chamilo LMS | SSRF sans authentification via les URL de paquet et de rappel PENSSans authentification | 8.6 Élevée | |
| CVE-2026-33715 | Chamilo LMS | SSRF et relais de mail sans authentification via test_mailerSans authentification | 7.2 Élevée | |
| pfSense-SA-26_03.webgui | Netgate pfSense | XSS stocké dans diag_arp.php via un nom d’hôte ISC DHCPSans authentification | 5.2 Moyenne | |
| CVE-2026-34940 | KubeAI | Injection de commandes via l’URL du Model dans la sonde de démarrage Ollama | 8.7 Élevée | |
| CVE-2026-34975 | Plunk | Injection CRLF dans les en-têtes MIME bruts | 8.5 Élevée | |
| CVE-2026-33980 | Azure Data Explorer MCP Server | Injection KQL via table_name dans trois outils de métadonnées | 8.3 Élevée | |
| CVE-2026-32247 | Graphiti | Injection Cypher via SearchFilters.node_labels | 8.1 Élevée |
Aucune vulnérabilité ne correspond à ces filtres.
AAnalyses
Les analyses détaillent ce qui est démontré, ce qui dépend du déploiement et ce que le correctif change.
CVE-2026-33625
8.8 · ÉlevéeUn quantization_config piégé dans un modèle Hugging Face faisait passer quant_dtype à eval() dans LMDeploy : charger le modèle exécutait le code de l’attaquant.
CVE-2026-85575
6.4 · MoyenneNotre PoC Author a confirmé l’XSS stockée dans ShopEngine 4.8.9, de la sauvegarde Elementor à l’exécution dans un navigateur visiteur.
CVE-2026-68896
7.8 · ÉlevéeNotre enquête Windows Search, du catalogue multisession à une suppression SYSTEM vérifiée et une chaîne d’exécution aux conditions distinctes.
CVE-2026-81963
À la une 7.8 · ÉlevéeComment notre chasse à une variante de CVE-2020-0728 est passée d’une fausse piste CBS à une écriture TrustedInstaller puis une élévation SYSTEM reproductibles.
CVE-2026-6504 +5
6.4 · MoyenneAnalyse de variantes de six extensions WordPress qui affichaient un nom de balise HTML choisi par un Contributeur sans liste blanche, avec à chaque fois une XSS stockée.
CVE-2026-84191
6.1 · MoyenneLibreNMS affichait sans échappement les noms, descriptions et route distinguishers de VRF lus en SNMP : un équipement hostile exécutait du script chez l’opérateur.
CVE-2026-34398, CVE-2026-34399
7.8 · ÉlevéeDeux appels à eval() dans l’atelier BIM de FreeCAD exécutaient du Python lu dans des modèles de projet et de mise en plan : charger un modèle piégé suffisait.
CVE-2026-77262
8.6 · ÉlevéeMCP Atlassian ouvrait tout file_path passé à son outil d’envoi Confluence : un appelant pouvait lire les fichiers de l’hôte et les exfiltrer en pièce jointe.
CVE-2026-34049
3.3 · FaibleLe correctif de CVE-2025-66209 échappait les noms de bases dans les sauvegardes Coolify, pas les noms de collections MongoDB, qui atteignaient un shell root.
CVE-2026-35211
6.5 · MoyenneTout utilisateur OpenCTI doté de la capacité KNOWLEDGE pouvait envoyer des scripts Painless bruts à Elasticsearch via un opérateur de filtre public.
GHSA-wg9g-w2j2-8pgr
7.8 · ÉlevéeLe NumpyReader de MONAI chargeait les fichiers .npy et .npz avec allow_pickle=True : un fichier piégé dans un jeu d’imagerie médicale exécutait du code.
CVE-2026-48017
8.8 · ÉlevéeTout utilisateur authentifié de DbGate pouvait injecter du JavaScript dans un script exécuté par le serveur, puis sortir du bac à sable require = null.
CVE-2026-45662
8.8 · ÉlevéeDokploy échappait l’URL de registre pour docker login mais pas pour docker logout : supprimer un registre piégé exécutait des commandes sur l’hôte.
CVE-2026-40864
À la une 5.4 · MoyenneJupyterHub 4.1.0 à 5.4.4 sautait le contrôle XSRF pour toute requête no-cors : une page d’une autre origine pouvait soumettre les formulaires du Hub.
CVE-2026-41490
8.3 · ÉlevéeLes I/O managers DuckDB, Snowflake, BigQuery et DeltaLake de Dagster recopiaient les clés de partition dynamiques dans le SQL : ajouter une partition suffisait.
CVE-2026-33715
7.2 · ÉlevéeUn endpoint d’installation resté actif dans Chamilo LMS 2.0 permettait à n’importe qui d’ouvrir des connexions SMTP vers tout hôte et d’envoyer des mails.
CVE-2026-34160
8.6 · ÉlevéeL’endpoint PENS de Chamilo LMS 2.0 téléchargeait des paquets et envoyait des rappels vers des adresses choisies par tous, réseau interne et métadonnées cloud compris.
pfSense-SA-26_03.webgui
À la une 5.2 · MoyenneUn client DHCP du réseau local pouvait stocker un nom d’hôte porteur de JavaScript qui s’exécutait dans le navigateur d’un administrateur pfSense ouvrant la table ARP.
CVE-2026-34940
8.7 · ÉlevéeUn utilisateur autorisé à créer des ressources Model dans KubeAI pouvait exécuter des commandes shell dans les pods de modèle via l’URL du modèle.
CVE-2026-34975
8.5 · ÉlevéePlunk recopiait nom d’expéditeur, sujet, en-têtes personnalisés et noms de pièces jointes dans le MIME brut sans filtrer les retours à la ligne.
CVE-2026-33980
8.3 · ÉlevéeTrois outils de métadonnées d’adx-mcp-server inséraient table_name dans du KQL : un agent pouvait lancer n’importe quelle requête sans passer par execute_query.
CVE-2026-32247
8.1 · ÉlevéeGraphiti insérait les labels des filtres de recherche dans du Cypher brut, permettant de contourner le filtre de groupe.
TIndex
MMéthode
Le rapport part par le canal de l’éditeur, le plus souvent un avis de sécurité GitHub privé, avec une preuve de concept minimale.
Nous vérifions la version corrigée et les éventuelles limites du patch avant de conseiller une action.
L’éditeur ou le coordinateur publie un avis ; selon le cas, il porte un identifiant CVE, GHSA ou propre à l’éditeur.
Nous publions une analyse bornée par les preuves disponibles, en retenant les détails privés lorsque nécessaire.
Éditeur, vous voulez nous joindre au sujet d’un avis ? Écrivez à security@rootzero.eu
