Veille sécuritéBackend & données
P3Élevée
Une route middleware non authentifiée de `@eeacms/volto-chatbot` relaie des requêtes vers l’API Danswer avec les identifiants de service configurés, permettant d’appeler des opérations privilégiées. Les versions jusqu’à 2.0.3 sont concernées; mettre à niveau vers 2.0.4.
Express
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.0.4
Analyse technique
Vulnérabilité de type « confused deputy » dans le middleware du paquet, qui transmet des requêtes non authentifiées à Danswer en joignant les identifiants serveur configurés.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-10-29; cette publication, dans la période demandée, est l’événement retenu. Le défaut concerne un paquet middleware de l’écosystème Express, et non Express lui-même.
ImpactUn attaquant non authentifié peut faire exécuter des opérations Danswer avec les droits et identifiants du service configuré.
Versions affectées<= 2.0.3
Version corrigée2.0.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
Publication2026-10-29T16:35:48Z
Mise à jour2026-10-29T16:35:49Z
Action recommandée
Mettre à niveau `@eeacms/volto-chatbot` vers 2.0.4.
Sources
Priorisation DFS : P3 · 1 source(s).