Veille sécuritéBackend & données
P4Moyenne
Scoold autorise une origine web arbitraire à effectuer des requêtes API avec les identifiants de session d’un utilisateur connecté, en raison de la combinaison d’origines autorisées génériques et des cookies d’identification. Le défaut, corrigé dans la version 1.69.1, peut exposer des données et permettre des opérations au nom de l’utilisateur; mettez à niveau sans délai.
Java
IdentifiantCVE-2026-55842
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.69.1
Source : NVD — CVE-2026-55842
Analyse technique
La configuration CORS de apiCorsConfiguration() associe addAllowedOriginPattern("*") à setAllowCredentials(true), reflétant l’origine de la requête tout en autorisant les cookies ou jetons de session.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-15, hors période, mais sa modification substantielle du 2026-10-16T18:17:58.680Z est dans la période; l’item est retenu pour ce changement.
ImpactUn site malveillant visité par un utilisateur connecté peut lire des données accessibles par l’API et déclencher des opérations avec sa session.
Versions affectéesVersions antérieures à 1.69.1
Version corrigée1.69.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,11% · percentile 1,5%
Publication2026-10-15T19:17:40.993Z
Mise à jour2026-10-16T18:17:58.680Z
Action recommandée
Mettre à niveau vers Scoold 1.69.1 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).