Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
La National Vulnerability Database (NVD) a publié 10 CVE classées Critiques selon CVSS v3 au cours des 26 heures précédant ce rapport. Les descriptions ci-dessous sont citées directement de la NVD. Les scores sont les scores de base de la NVD ou de la CNA ; confirmez toujours auprès de l’avis du fournisseur avant de prioriser.
CVE critiques (NVD)
| CVE | CVSS | Description (NVD) |
|---|---|---|
| CVE-2026-120534 | 9.8 | Le plugin Advanced Custom Fields: Extended PRO pour WordPress est vulnérable à une injection de code limitée dans toutes les versions jusqu’à 0.9.2.6 incluse via la fonction render_field. Cela est dû à une validation insuffisante des paramètres de configuration du formulaire avant la fusion dans les paramètres des champs et la transmission à call_user_func_array dans la méthode render_field. Cela permet à des attaquants non authentifiés d’appeler arbitrar… |
| CVE-2026-86596 | 9.8 | Le plugin s2Member pour WordPress est vulnérable à l’exécution de code à distance dans toutes les versions jusqu’à <= 260927 incluse via le paramètre ‘item_name’. Cela est dû à un nettoyage insuffisant dans strip_php_tags_deep(), qui supprime uniquement les séquences littérales ‘<?’, combiné à un nettoyage d’espace réservé post-interpolation qui réassemble un ouvreur ‘<?php’ valide après que la valeur contrôlée par l’attaquant a déjà été … |
| CVE-2026-102435 | 9.8 | Le plugin Ultra Addons for Contact Form 7 pour WordPress est vulnérable à la suppression de fichiers arbitraires en raison d’une validation insuffisante du chemin de fichier dans la fonction _getObjAttr dans toutes les versions jusqu’à 3.5.54 incluse. Cela permet à des attaquants non authentifiés de supprimer des fichiers arbitraires sur le serveur, ce qui peut facilement conduire à une exécution de code à distance lorsque le bon fichier est supprimé (tel que wp-config.php). Cela nécess… |
| CVE-2026-77876 | 9.8 | Control Web Panel (CWP) avant webpanel_version 1.16 contient une vulnérabilité d’injection de commande OS dans le module du panneau utilisateur protected_directory qui permet aux attaquants d’exécuter des commandes arbitraires en soumettant des entrées non échappées via le paramètre POST file dans l’action acc=deletedp. Les attaquants peuvent exploiter cette faille, qui transmet l’entrée contrôlée par l’attaquant directement dans un appel shell_exec, pour obtenir l’exécution de code i… |
| CVE-2026-73695 | 9.8 | Control Web Panel (CWP) avant webpanel_version 1.16 contient une vulnérabilité de traversée de chemin dans services/users/index.php, où un nom de module fourni par l’attaquant est concaténé directement dans un chemin d’inclusion sans liste blanche, basename() ou nettoyage de traversée. Un attaquant peut fournir des séquences de traversée de répertoire dans le nom du module pour inclure des fichiers .php locaux arbitraires, ce qui entraîne une inclusion de fichiers PHP locaux. |
| CVE-2026-73696 | 9.8 | Control Web Panel (CWP) avant webpanel_version 1.12 contient une vulnérabilité d’exécution après redirection dans le flux d’authentification du panneau utilisateur, où unauthenticatedFlow() de CWPUserIndex appelle toLoginWithIntendedUri() qui émet un en-tête de redirection sans exit(), permettant à l’exécution PHP de continuer et à l’inclusion du répartiteur de module de s’exécuter sans authentification. Les attaquants disposant simplement d’un nom d’utilisateur d’hébergement valide… |
| CVE-2026-73697 | 9.8 | Control Web Panel (CWP) avant webpanel_version 1.16 contient une vulnérabilité d’écriture de fichier arbitraire et d’injection de commande OS dans le module du panneau utilisateur phpini_editor. L’action acc=update écrit un contenu contrôlé par l’attaquant dans un chemin fourni par l’attaquant via file_put_contents sans confinement de chemin, et l’action acc=addlabelphpiniadv transmet une entrée d’attaquant non nettoyée dans shell_exec sans échappement. Un attaquant dispo… |
| CVE-2026-120442 | 9.8 | ape-volo-admin avant 3.6.1 contient une vulnérabilité de contournement d’authentification qui permet à des attaquants non authentifiés de forger des jetons d’administrateur à l’aide d’une clé de signature JWT codée en dur dans appsettings.json. Les attaquants peuvent signer des jetons hors ligne avec la revendication jti définie sur l’identifiant d’administrateur initialisé pour obtenir un contrôle complet de l’API sur les utilisateurs, les rôles, les autorisations et les données. |
| CVE-2026-120446 | 9.4 | madong-admin-saas jusqu’à 5.1.4 inclus contient une vulnérabilité d’authentification manquante dans l’API de gestion des locataires de la plateforme car la clé de middleware ‘platformapi’ ne correspond jamais à l’application ‘platform’. Des attaquants distants non authentifiés peuvent appeler les points de terminaison /platformapi/tenant/account, bind-plan et sync-data pour lister, créer, modifier, désactiver ou supprimer des locataires et lier des plans d’abonnement. |
| CVE-2026-120518 | 9.1 | Le plugin BuddyPress XProfile Image Field pour WordPress est vulnérable à la suppression de fichiers arbitraires dans toutes les versions jusqu’à 3.1.0 incluse. Cela est dû au fait que bpxp_image_field_update_on_user_activation() appelle unlink() sur un chemin construit à partir de métadonnées d’inscription fournies par le visiteur sans résolution realpath(), sans vérification de confinement par rapport au répertoire profile-image et sans liste blanche d’extensions. La soumission d’un fichier de zéro octet… |
Nouveaux avis des CERT et des fournisseurs
Canonical (Ubuntu)
- USN-8961-1 : Vulnérabilités du noyau Linux
- USN-8963-1 : Vulnérabilités du noyau Linux (NVIDIA Tegra)
- USN-8959-1 : Vulnérabilités du noyau Linux
- USN-8968-1 : Vulnérabilités du noyau Linux
- USN-8967-1 : Vulnérabilité du noyau Linux (AWS)
- USN-8960-1 : Vulnérabilités du noyau Linux (OEM)
- USN-8966-1 : Vulnérabilités du noyau Linux
- USN-8965-1 : Vulnérabilités du noyau Linux (BlueField)
- USN-8962-1 : Vulnérabilités du noyau Linux (Azure CVM)
- USN-8964-1 : Vulnérabilités du noyau Linux
Centre canadien pour la cybersécurité
- Avis de sécurité SUSE Linux (AV26-1113)
- Avis de sécurité Barracuda Networks (AV26-1112)
- Avis de sécurité Red Hat (AV26-1111)
- Avis de sécurité Dell (AV26-1110)
- Avis de sécurité Google (AV26-1109)
Debian
- DSA-6602-1 linux – mise à jour de sécurité
- DSA-6605-1 chromium – mise à jour de sécurité
- DSA-6603-1 git-annex – mise à jour de sécurité
- DSA-6604-1 incus – mise à jour de sécurité
CERT-FR
- Multiples vulnérabilités dans Tenable Identity Exposure (02 novembre 2026)
- Multiples vulnérabilités dans Redmine (02 novembre 2026)
- Multiples vulnérabilités dans les produits Synology (02 novembre 2026)
- Multiples vulnérabilités dans Ivanti Connect Secure (02 novembre 2026)
- Multiples vulnérabilités dans Microsoft Edge (02 novembre 2026)
- Multiples vulnérabilités dans Qnap QNE (02 novembre 2026)
- Multiples vulnérabilités dans macmon et NRSW (02 novembre 2026)
- Vulnérabilité dans Microsoft Visual Studio (02 novembre 2026)
- Bulletin d'actualité CERTFR-2026-ACT-046 (02 novembre 2026)
- Vulnérabilité dans Traefik (02 novembre 2026)