Veille sécuritéBackend & données
P3Moyenne
La mise à jour NVD de CVE-2026-7710 précise que le jeton fictif reste une fonctionnalité de développement et que les déploiements de production doivent désactiver mock-enable. Elle indique que la mise à jour apporte des consignes de déploiement, et non un correctif du code d’authentification ; modifier uniquement le secret mock ne désactive pas la fonctionnalité.
Java
IdentifiantCVE-2026-7710
GravitéMoyenne
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-7710
Analyse technique
La fonction doFilterInternal du filtre JwtAuthenticationTokenFilter est concernée par une authentification incorrecte associée à mock-token. La mise à jour ne signale pas de correctif du code d’authentification.
Impact, versions et correctif
Événement datéRetenu pour la précision substantielle de la fiche NVD, mise à jour le 2026-10-27T10:16:54.943+02:00 ; la publication initiale est antérieure à la période.
ImpactLa fonctionnalité de jeton fictif peut permettre une authentification incorrecte si elle reste activée ; la mise à jour ne constitue pas un correctif du code.
Versions affectéesYunaiV yudao-cloud jusqu’à la version 3.8.0
ContournementDésactiver mock-enable dans les déploiements de production ; changer uniquement le secret mock ne suffit pas.
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.5
EPSS0,40% · percentile 34,6%
Publication2026-05-04T00:16:39.633Z
Mise à jour2026-10-27T10:16:54.943+02:00
Action recommandée
Désactiver mock-enable dans les environnements de production.
Sources
Priorisation DFS : P3 · 1 source(s).