CVE-2026-91335 : lecture de données via AWT

Veille sécuritéBackend & données

P4Faible

Une vulnérabilité du composant AWT peut permettre à un attaquant disposant de faibles privilèges de lire une partie des données accessibles dans les produits concernés. L’attaque exige une interaction humaine et concerne notamment des déploiements clients exécutant du code non fiable dans un bac à sable ; les versions affectées figurent ci-dessous.

IdentifiantCVE-2026-91335

GravitéFaible

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-91335

Analyse technique

Composant AWT. Exploitation difficile, avec accès réseau, faibles privilèges et interaction d’une autre personne ; ne concerne pas les serveurs qui n’exécutent que du code fiable, selon la fiche. CVSS 3.1 : 2.6.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-20 à 22:20:35Z, soit le 2026-10-21 à 00:20:35+02:00, dans la période demandée.

ImpactLecture non autorisée d’une partie des données accessibles.

Versions affectéesOracle Java SE : 8u503, 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27 ; Oracle GraalVM for JDK : 17.0.20.1, 21.0.12.1 ; Oracle GraalVM Enterprise Edition : 21.3.19.1.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.6 · CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N

EPSS0,20% · percentile 9,8%

Publication2026-10-21T00:20:35.757+02:00

Mise à jour2026-10-21T20:44:40.020+02:00

Action recommandée

Examiner en priorité les clients exécutant du code non fiable dans un environnement Java sandboxé et appliquer un correctif Oracle dès sa disponibilité.

Sources

NVD — CVE-2026-91335

Priorisation DFS : P4 · 1 source(s).