Veille ·
Le bulletin du vendredi 25 septembre 2026
Chaque matin, ce qui vient d’entrer dans les deux registres, et ce qu’il faut en faire. Les failles sont regroupées par mise à jour : une ligne, une action.
À traiter en premier
Exploitée · Logiciel
Adobe Commerce and MagentoAppliquez le correctif de l’éditeur.
Critique · 143 518 comptes
Agence de services et de paiement (ASP)Surveillez vos relevés. En cas de prélèvement inconnu, faites opposition et demandez le remboursement : l’article L133-18 du code monétaire et financier vous y autorise.
Exploitée · Logiciel
WSO2 Multiple ProductsAppliquez le correctif de l’éditeur.
Fuites du jour 10
Secteur public3
Emploi et RH2
Santé1
Services numériques1
Associations1
Commerce2
Failles du jour 17
Adobe Commerce and MagentoLogiciel · Exploitéecorrectif éditeur
- CVE-2026-71362Contournement d’authentificationCritique
WSO2 Multiple ProductsLogiciel · Exploitéecorrectif éditeur
- CVE-2026-5430Défaut cryptographiqueCritique
decepticon-corePyPI · CVSS 10→ 1.1.17
pip install --upgrade "decepticon-core>=1.1.17"- CVE-2026-61732Autre · CVSS 10 · <= 1.1.16Critique
suneditornpm · CVSS 10→ 2.47.11
npm install suneditor@2.47.11- CVE-2026-59167Injection dans la page · CVSS 10 · <= 2.47.10Critique
org.http4s:http4s-scala-xml_2.12Maven · CVSS 9,3→ 0.24.1
- CVE-2026-61741Requête forcée côté serveur · CVSS 9.3 · <= 0.24.0Critique
@bytebase/dbhubnpm · Critique→ 0.22.5
npm install @bytebase/dbhub@0.22.5- CVE-2026-61742Contournement d’authentification · <= 0.22.4Critique
github.com/ixofoundation/ixo-blockchain/v8Go · Critique→ 8.0.0
go get github.com/ixofoundation/ixo-blockchain/v8@v8.0.0- CVE-2026-61604Contournement d’authentification · < 8.0.0Critique
clinenpm · CVSS 8,8→ 3.0.30
npm install cline@3.0.30- CVE-2026-59723Autre · CVSS 8.8 · < 3.0.30Élevée
github.com/zitadel/zitadelGo · CVSS 8,7 · 2 failles→ 1.80.0-v2.20.0.20260717062356-56f4798ed31f
go get github.com/zitadel/zitadel@v1.80.0-v2.20.0.20260717062356-56f4798ed31f- CVE-2026-85057Autre · CVSS 8.7 · < 1.80.0-v2.20.0.20260717062331-baf6ed501b68 · → 1.80.0-v2.20.0.20260717062331-baf6ed501b68Élevée
- CVE-2026-85056Autre · CVSS 8.2 · < 1.80.0-v2.20.0.20260717062356-56f4798ed31fÉlevée
snipe/snipe-itComposer · CVSS 8,7 · 2 failles→ 8.7.0
composer require "snipe/snipe-it:>=8.7.0"- CVE-2026-63498Injection dans la page · CVSS 8.7 · < 8.7.0Élevée
- CVE-2026-62368Injection dans la page · CVSS 8.1 · < 8.7.0Élevée
compliance-trestlePyPI · CVSS 8,4 · 2 failles→ 3.12.4
pip install --upgrade "compliance-trestle>=3.12.4"- CVE-2026-57171Traversée de répertoire · CVSS 8.4 · < 3.12.4Élevée
- CVE-2026-57170Exécution de code à distance · CVSS 7.8 · < 3.12.4Élevée
thorsten/phpmyfaqComposer · CVSS 8,2→ 4.2.0-alpha
composer require "thorsten/phpmyfaq:>=4.2.0-alpha"- CVE-2026-56736Injection dans la page · CVSS 8.2 · < 4.2.0-alphaÉlevée
thorsten/phpmyfaqComposer · CVSS 8,1→ 4.1.6
composer require "thorsten/phpmyfaq:>=4.1.6"- CVE-2026-56737Contournement d’authentification · CVSS 8.1 · >= 3.2.0, < 4.1.6Élevée
@aws/lsp-codewhisperernpm · CVSS 7,8→ 0.0.117
npm install @aws/lsp-codewhisperer@0.0.117- CVE-2026-12958Traversée de répertoire · CVSS 7.8 · < 0.0.117Élevée
Recevoir le bulletin chaque matin
Le même contenu, sans pub ni pistage : les priorités, les fuites par secteur, les failles par mise à jour avec la commande à copier.
Une fiche entre au bulletin le jour où elle arrive sur le site, pas à la date de l’avis ou de l’annonce : une faille publiée la veille au soir par GitHub est dans le bulletin du lendemain matin.