Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
La National Vulnerability Database (NVD) a publié 9 CVE notées Critique selon le CVSS v3 au cours des 26 heures précédant ce rapport. Les descriptions ci-dessous sont citées directement de la NVD. Les scores sont des scores de base de la NVD ou du CNA ; confirmez toujours auprès de l’avis du fournisseur avant de prioriser.
CVE critiques (NVD)
| CVE | CVSS | Description (NVD) |
|---|---|---|
| CVE-2026-120198 | 10 | Une vulnérabilité a été découverte dans WAVLINK WL-WN530BE1-A V251117. La fonction con_check_read_finish du fichier /protocol.csp est affectée. Une telle manipulation de l’argument group_name/IP-FROM entraîne une injection de commande. Il est possible de lancer l’attaque à distance. L’exploit a été divulgué au public et peut être utilisé. Le fournisseur a été contacté au plus tôt concernant cette divulgation. |
| CVE-2026-120195 | 10 | Une vulnérabilité de sécurité a été détectée dans WAVLINK WL-WN579A3-A 2026-03-10-94f93d4. L’élément concerné est la fonction set_wzdgwMesh du fichier /cgi-bin/adm.cgi du composant Initial Setup Wizard. La manipulation de l’argument wlan_ssid entraîne une injection de commande du système d’exploitation. L’attaque peut être menée à distance. L’exploit a été divulgué publiquement et peut être utilisé. Le fournisseur a été contacté au plus tôt… |
| CVE-2026-120189 | 10 | Une vulnérabilité a été identifiée dans D-Link DIR-505 1.10B02. La fonction save_upload_file/mp_upload_file du fichier /usr/bin/tftpd du composant TFTP Upload Filename Handler est affectée. La manipulation entraîne un dépassement de tampon basé sur la pile. L’attaque peut être menée à distance. L’exploit est publiquement disponible et pourrait être utilisé. |
| CVE-2026-120224 | 9.9 | Une faille de sécurité a été découverte dans Oray Pugongying X5 Pro jusqu’à la version 7.6.1. La fonction run_apis_by_json/run_async_task du composant API Authorization est affectée. La manipulation entraîne une autorisation incorrecte. L’attaque peut être lancée à distance. L’exploit a été publié et peut être utilisé pour des attaques. Le fournisseur a été contacté au plus tôt concernant cette divulgation mais n’a fourni aucune réponse. |
| CVE-2026-120197 | 9.9 | Une faille a été trouvée dans WAVLINK WL-WN530HG4B M_V260724. Cela affecte la fonction port_forward du fichier /cgi-bin/wapi.cgi. Cette manipulation de l’argument Name provoque une injection de commande système. Il est possible de déclencher l’attaque à distance. L’exploit a été publié et peut être utilisé. Le fournisseur a été contacté au plus tôt concernant cette divulgation. |
| CVE-2026-120196 | 9.9 | Une vulnérabilité a été détectée dans WAVLINK WN579X3-D V250402. Cela affecte la fonction port_forward du fichier /cgi-bin/wapi.cgi. La manipulation de l’argument Name entraîne une injection de commande système. L’attaque peut être menée à distance. L’exploit est désormais public et peut être utilisé. Le fournisseur a été contacté au plus tôt concernant cette divulgation. |
| CVE-2026-120209 | 9.8 | AJ-Report jusqu’à la version 1.7.1 signe les jetons de partage avec un secret JWT codé en dur, permettant aux attaquants de forger des jetons de partage valides hors ligne. Les attaquants peuvent créer un jeton avec le reportCode 'dataSet' pour accéder au point de terminaison testTransform, qui transmet des scripts à GroovyClassLoader pour une exécution de code à distance non authentifiée. |
| CVE-2026-120201 | 9.8 | Jpom de la version 2.10.0 à 2.11.12 contient une vulnérabilité de contournement d’authentification qui permet à des attaquants non authentifiés d’obtenir un accès super-administrateur en injectant des conditions de requête dans l’en-tête JPOM-USER-TOKEN. Les attaquants peuvent envoyer une valeur telle que 'is not null', que l’analyseur de conditions de Hutool traite comme un opérateur, puis exécuter des commandes via les fonctionnalités de script de Jpom. |
| CVE-2026-120225 | 9.1 | Une faille a été identifiée dans Oray Pugongying X5 Pro jusqu’à la version 7.6.1. La fonction config_restore_ex du fichier /etc/openwrt_release est affectée par cette vulnérabilité. Cette manipulation de l’argument filename provoque un parcours de répertoire relatif. L’attaque peut être initiée à distance. L’exploit a été mis à disposition du public et pourrait être utilisé pour des attaques. Le fournisseur a été contacté au plus tôt concernant cette divulgation mais… |
Nouveaux avis des CERT et des fournisseurs
Microsoft MSRC
- Chromium : CVE-2026-118340 Corruption de mémoire dans Skia
- Chromium : CVE-2026-118336 Validation incorrecte des entrées dans Headless
- Chromium : CVE-2026-118338 Utilisation de mémoire libérée dans Animation
- Chromium : CVE-2026-118354 Validation incorrecte des entrées dans Skia
- Chromium : CVE-2026-118358 Corruption de mémoire dans WebAudio
- Chromium : CVE-2026-118346 Utilisation de mémoire libérée dans Compositing
- Chromium : CVE-2026-118350 Utilisation de mémoire libérée dans Turbolev
- Chromium : CVE-2026-118316 Validation incorrecte des entrées dans V8
- Chromium : CVE-2026-118318 Contrôle d’accès incorrect dans V8
- Chromium : CVE-2026-118315 Validation incorrecte des entrées dans SVG
- Chromium : CVE-2026-118312 Corruption de mémoire dans Paint
- Chromium : CVE-2026-118317 Corruption de mémoire dans HTML
- Chromium : CVE-2026-118311 Corruption de mémoire dans Media
- Chromium : CVE-2026-118313 Utilisation de mémoire libérée dans Video
- Chromium : CVE-2026-118304 Validation incorrecte des entrées dans SVG
- Chromium : CVE-2026-118308 Utilisation de mémoire libérée dans SVG
- Chromium : CVE-2026-118344 Utilisation de mémoire libérée dans Layout
- Chromium : CVE-2026-118310 Validation incorrecte des entrées dans Views
- Chromium : CVE-2026-118348 Validation incorrecte des entrées dans Skia
- Chromium : CVE-2026-118305 Corruption de mémoire dans Turbolev
- Chromium : CVE-2026-118352 Corruption de mémoire dans Cache
- Chromium : CVE-2026-118307 Utilisation de mémoire libérée dans Paint
- Chromium : CVE-2026-118356 Utilisation de mémoire libérée dans WTF
- Chromium : CVE-2026-118306 Corruption de mémoire dans FileSystem
- Chromium CVE-2026-91732 : Autorisation manquante
Plus 25 autres avis de Microsoft MSRC ; voir le lien source ci-dessous.
Debian
- DSA-6599-1 nss – mise à jour de sécurité