Square Squash : désérialisation YAML non sûre via l’API de symbolication

Veille sécuritéBackend & données

P3Critique

Square Squash permet à un utilisateur non authentifié d’enregistrer des données YAML contrôlées via l’API de symbolication; ces données peuvent ensuite être désérialisées de manière non sûre. Le CVE décrit un risque d’exécution de code, mais les éléments consultés ne donnent ni version corrigée ni version de remplacement.

IdentifiantCVE-2026-109391

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-109391 — fiche NVD

Analyse technique

La vulnérabilité touche l’API `POST /api/1.0/symbolication`; les données stockées sont ensuite traitées avec YAML en mode non sûr lors de la symbolication. Le score CVSS 4.0 de 9.2 est celui associé à cette CVE.

Impact, versions et correctif

Événement datéPublication du CVE datée du 12 octobre 2026 à 15:16:39.257Z, soit 17:16:39.257 +02:00, dans la période demandée. La publication NVD ultérieure le même jour est un enregistrement de la même vulnérabilité, pas un second événement.

ImpactDésérialisation d’objets Ruby arbitraires et exécution de code potentielle.

Versions affectéesVersions jusqu’au commit e73f2805f9eb30780a5c213b001f0f4255660fbf inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.2 · CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Publication2026-10-12T18:17:04.373+02:00

Mise à jour2026-10-12T18:17:04.373+02:00

Action recommandée

Éviter d’exposer l’API de symbolication à des entrées non fiables et rechercher un correctif auprès du projet; aucun numéro de version corrigée n’est établi ici.

Sources

CVE-2026-109391 — fiche NVD

Priorisation DFS : P3 · 1 source(s).