Veille sécuritéBackend & données
P4Moyenne
L’endpoint de connexion de Picsou peut révéler si un nom d’utilisateur existe par différence de temps de réponse, même si les réponses HTTP sont identiques. Le problème est corrigé dans la version 1.0.8; l’exposition pratique est atténuée par la limitation de débit et peut être réduite si l’application n’est pas accessible depuis l’extérieur.
Java
IdentifiantCVE-2026-62860
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.0.8
Source : NVD — CVE-2026-62860
Analyse technique
La comparaison bcrypt n’est pas effectuée pour un nom inconnu, créant une différence de latence mesurable.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-10-30T21:17:14.400Z, soit 2026-10-30T23:17:14.400+02:00, dans la période. La mise à jour NVD du 2026-11-02 est postérieure à la borne et n’est pas retenue comme événement de cette période.
ImpactÉnumération de comptes pouvant faciliter des attaques ultérieures par bourrage d’identifiants.
Version corrigée1.0.8
ContournementLimiter le débit des tentatives de connexion et restreindre l’accès réseau au service.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-30T23:17:14.400+02:00
Action recommandée
Mettre à niveau vers 1.0.8 et conserver une limitation de débit sur l’authentification.
Sources
Priorisation DFS : P4 · 1 source(s).