# Bulletin de veille CVE web : 12 octobre 2026

- Page canonique : https://kreomnisvigie.com/bulletins/2026-10-13
- Établi le 13 octobre 2026 · fenêtre du 12 octobre 2026 au 12 octobre 2026
- 3 advisory, 3 CVE, 0 au CISA KEV, 0 exploitée(s)

## 1. Rapyd Admin (Laravel) : Rapyd Admin (Laravel) - Hard-coded credentials dans AuthSeeder, accès super-admin sans authentification

Rapyd Admin, version 9.0.0 à 9.20.0, contient des identifiants codés en dur dans AuthSeeder qui permettent à un attaquant non authentifié d’obtenir un compte super-admin via une base d’admin créée par l’installateur. Le compte est recréé à chaque exécution et donne un accès complet au système sans contrôle de périmètre.

- Statut : priorité
- Vecteur : Accès non authentifié via l’interface d’installation et seed d’administration
- CVE-2026-109566 (laravel) · CVSS 9.8 : accès non authentifié / authentification bypass via seed malveillant · https://www.github.com/advisories/GHSA-8x56-m6rj-ff6q

Systèmes impactés :

- Rapyd Admin (Laravel) : versions antérieures à 9.20.0 → corrigé : ≥ 9.20.0

Correctif : Aucun correctif décrit dans cet avis GitHub advisory (vérifier les releases et patchs applicables → patchs GitHub 9.20.0 et ultérieures recommandés par l’éditeur).

Action : Évaluez immédiatement l’accès admin existant et restaurez les seeds sûrs; retirez les comptes super-admin non autorisés et appliquez les correctifs fournis par l’éditeur dès que disponible.

Recommandations :

- Mettre en quarantaine immédiatement les comptes admin générés par AuthSeeder si présents.
- Mettre à jour Rapyd Admin vers la version ≥ 9.20.0 dès publication des correctifs par l’éditeur.
- Changer les mots de passe par défaut et activer une politique MFA si disponible.
- Surveiller et auditer les accès admin et les seeds d’installation dans les pipelines CI/CD.

Sources :

- [GitHub Advisories — Rapyd Admin](https://www.github.com/advisories/GHSA-8x56-m6rj-ff6q)
- [CERT-FR — Avertissements liés à Raven/ Laravel-advisories](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1292/)

## 2. HAProxy : HAProxy Data Plane API 2.2.0 - 3.4.3: authentification globale incorrecte lors de la configuration TLS, exposant le Basic auth

In HAProxy Data Plane API 2.2.0 through 3.4.3 (and corresponding Enterprise Edition releases), Server.ConfigureAPI() has process-global authentication logic that improperly drops security controls across multiple transport types. When a TLS Certificate Authority (tls_ca) is configured and a numeric TLS port (tls_port) is specified, the application globally disables Basic authentication on its shared internal request handler. This handler is shared among HTTP, HTTPS and UNIX domain socket listeners, allowing bypass of authentication across listeners.

- Statut : priorité
- Vecteur : Exploitation potentielle via API de configuration DPA avec mTLS et port TLS; elimination des contrôles Basic Auth globalement
- CVE-2026-109575 (haproxy) · CVSS 9.8 : authentification bypass / défaillance de contrôle d’accès · https://www.github.com/advisories/GHSA-7jqw-rhp8-c8vf

Systèmes impactés :

- HAProxy Data Plane API : versions ≤ 3.4.3 → corrigé : 3.4.4

Correctif : Recommandé via patch v3.4.4 et versions ultérieures (voir release notes HAProxy Data Plane API).

Action : Si vous utilisez Data Plane API, vérifiez les règles d’authentification, appliquez le patch ou mettez à jour vers la version 3.4.4 ou ultérieure et redémarrez les services en mode minimal.

Recommandations :

- Mettre à jour HAProxy Data Plane API vers la version 3.4.4 ou supérieure.
- Réviser et resserrer les mécanismes d’authentification sur toutes les interfaces HTTP/HTTPS/UNIX et activer le MFA si disponible.
- Tester les scénarios d’accès et auditer les journaux pour détecter des accès non autorisés.

Sources :

- [GitHub Advisories — HAProxy Data Plane API](https://www.github.com/advisories/GHSA-7jqw-rhp8-c8vf)
- [NVD — CVE-2026-109575](https://nvd.nist.gov/vuln/detail/CVE-2026-109575)

## 3. GitLab : GitLab Community Edition (CE) et Enterprise Edition (EE) avant 19.4.2 - vulnérabilités multiples (CVE-2026-14552, etc.)

Multiples vulnérabilités dans GitLab ont été publiées, incluant exécution de code arbitraire distante, atteinte à la confidentialité et intégrité des données. Certaines failles exigent l’accès authentifié ou des permissions d’administrateur; l’impact peut aller de l’exécution de code à la compromission de données.

- Statut : priorité
- Vecteur : Voir CVEs listés; certains nécessitent authentification et privilèges d’administrateur, d’autres via des mises à jour ou des endpoint REST exposés.
- CVE-2026-14552 (gitlab) · CVSS 8.0 : exécution de code arbitraire à distance / RCE · https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1294/

Systèmes impactés :

- GitLab CE/EE : versions antérieures à 19.4.2 ; versions 19.2.x et 19.3.x antérieures à 19.3.4 → corrigé : ≥ 19.4.2

Correctif : Correctifs disponibles dans les releases 19.4.2 et patchs subséquents; appliquer les versions filtrées par l’éditeur.

Action : Appliquez les patchs GitLab fournis et vérifiez les contrôles d’accès, les dépendances et les endpoints exposés; monitorer les journaux pour activités anormales.

Recommandations :

- Mettre à jour GitLab vers la version ≥ 19.4.2 et appliquer les correctifs de patch recommandés.
- Renforcer les contrôles d’accès et limiter les privilèges des comptes CI/CD et développeurs.
- Effectuer une revue de sécurité des CI/CD et des pipelines d’authentification.

Sources :

- [CERT-FR — Avertissement GitLab (AVI-1294)](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1294/)
- [GitLab Advisories — GitLab security releases](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/)

## Sources du bulletin

- [CERT-FR — avis et alertes](https://www.cert.ssi.gouv.fr/avis/)
- [NIST — National Vulnerability Database](https://nvd.nist.gov/vuln/search)
- [GitHub — Security Advisories](https://github.com/advisories)
- [CISA — Known Exploited Vulnerabilities](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)

Source : Kreomnis Vigie, https://kreomnisvigie.com/bulletins/2026-10-13. Bulletin établi depuis CERT-FR, NVD, GitHub Security Advisories et CISA KEV.