Veille sécuritéBackend & données
P3Élevée
En mode HTTP, netlicensing-mcp laisse passer les requêtes sans clé client et peut alors utiliser la clé NetLicensing configurée côté serveur pour appeler l’API en amont. Un attaquant non authentifié peut ainsi invoquer des opérations sous l’identité du compte opérateur; la version corrigée indiquée est 0.1.6.
Python
IdentifiantCVE-2026-54446
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.1.6
Source : GitHub Advisory GHSA-x9vc-9ffq-p3gj
Analyse technique
L’avis décrit une absence de rejet des requêtes sans clé dans ApiKeyMiddleware; le client en aval récupère alors NETLICENSING_API_KEY depuis l’environnement.
Impact, versions et correctif
Événement datéL’avis a été publié le 2026-07-14, hors période. Sa mise à jour datée du 2026-10-22T08:27:46Z est dans la période, mais le candidat fourni ne décrit pas de changement substantiel de la vulnérabilité; aucun nouvel événement admissible n’est établi.
ImpactUtilisation non autorisée des opérations et du quota du compte NetLicensing configuré.
Versions affectéesnetlicensing-mcp jusqu’à 0.1.5
Version corrigée0.1.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS0,62% · percentile 49,0%
Publication2026-07-14T20:47:19Z
Mise à jour2026-10-22T08:27:46Z
Action recommandée
Mettre à niveau netlicensing-mcp vers la version 0.1.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).