Aller au contenu
Kreomnis.Vigie
Bulletin · mardi 13 octobre 2026

Veille CVE web : 12 octobre 2026

3 advisories3 CVE0 exploitée0 au KEV
  1. #1Rapyd Admin (Laravel)Critique9.8

    Rapyd Admin (Laravel) - Hard-coded credentials dans AuthSeeder, accès super-admin sans authentification

    Rapyd Admin, version 9.0.0 à 9.20.0, contient des identifiants codés en dur dans AuthSeeder qui permettent à un attaquant non authentifié d’obtenir un compte super-admin via une base d’admin créée par l’installateur. Le compte est recréé à chaque exécution et donne un accès complet au système sans contrôle de périmètre.

    CVE-2026-109566 · 9.8
    ActionÉvaluez immédiatement l’accès admin existant et restaurez les seeds sûrs; retirez les comptes super-admin non autorisés et appliquez les correctifs fournis par l’éditeur dès que disponible.
    Aucun correctif décrit dans cet avis GitHub advisory (vérifier les releases et patchs applicables → patchs GitHub 9.20.0 et ultérieures recommandés par l’éditeur).Fiche complète →
  2. #2HAProxyCritique9.8

    HAProxy Data Plane API 2.2.0 - 3.4.3: authentification globale incorrecte lors de la configuration TLS, exposant le Basic auth

    In HAProxy Data Plane API 2.2.0 through 3.4.3 (and corresponding Enterprise Edition releases), Server.ConfigureAPI() has process-global authentication logic that improperly drops security controls across multiple transport types. When a TLS Certificate Authority (tls_ca) is configured and a numeric TLS port (tls_port) is specified, the application globally disables Basic authentication on its shared internal request handler. This handler is shared among HTTP, HTTPS and UNIX domain socket listeners, allowing bypass of authentication across listeners.

    CVE-2026-109575 · 9.8
    ActionSi vous utilisez Data Plane API, vérifiez les règles d’authentification, appliquez le patch ou mettez à jour vers la version 3.4.4 ou ultérieure et redémarrez les services en mode minimal.
    Recommandé via patch v3.4.4 et versions ultérieures (voir release notes HAProxy Data Plane API).Fiche complète →
  3. #3GitLabÉlevée8.0

    GitLab Community Edition (CE) et Enterprise Edition (EE) avant 19.4.2 - vulnérabilités multiples (CVE-2026-14552, etc.)

    Multiples vulnérabilités dans GitLab ont été publiées, incluant exécution de code arbitraire distante, atteinte à la confidentialité et intégrité des données. Certaines failles exigent l’accès authentifié ou des permissions d’administrateur; l’impact peut aller de l’exécution de code à la compromission de données.

    CVE-2026-14552 · 8.0
    ActionAppliquez les patchs GitLab fournis et vérifiez les contrôles d’accès, les dépendances et les endpoints exposés; monitorer les journaux pour activités anormales.
    Correctifs disponibles dans les releases 19.4.2 et patchs subséquents; appliquer les versions filtrées par l’éditeur.Fiche complète →

Sources du bulletin