Veille sécuritéBackend & données
P3Faible
Dans Sanluan PublicCMS 5, la fonction `TradePaymentService.pendingRefund` présente un contournement d’autorisation lié au paramètre `userId`, permettant une attaque à distance. La fiche indique qu’un exploit est publiquement disponible et que le contrôleur de paiement concerné a été retiré à partir de la série 202608.
Java
IdentifiantCVE-2026-121583
GravitéFaible
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-121583
Analyse technique
Contournement d’autorisation dans `TradePaymentService.pendingRefund` par manipulation de `userId`. La fiche indique le retrait du contrôleur Web de paiement à partir de la série 202608 (commit 7329437).
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04T00:17:26.760Z, dans la période demandée. L’avis signale aussi le retrait du contrôleur à partir de la série 202608.
ImpactUn attaquant distant peut contourner l’autorisation associée au traitement d’un remboursement.
Versions affectéesSanluan PublicCMS 5
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS2.1
EPSS0,29% · percentile 21,1%
Publication2026-11-04T00:17:26.760Z
Mise à jour2026-11-04T19:17:30.890Z
Action recommandée
Vérifier que le contrôleur Web de paiement concerné n’est pas exposé; privilégier une version où il a été retiré.
Sources
Priorisation DFS : P3 · 1 source(s).