Veille sécuritéSystèmes & serveurs
P4Moyenne
Webmin présentait une vulnérabilité SSRF dans les modules File Manager et Upload and Download : des utilisateurs non fiables disposant d’un accès à ces modules pouvaient faire effectuer par le serveur des requêtes vers des adresses réseau non publiques. La version 2.652 corrige le problème; limiter les destinations de téléchargement autorisées et mettre à jour Webmin.
Webmin
IdentifiantCVE-2026-102337
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.652
Source : NVD — CVE-2026-102337
Analyse technique
La validation des destinations ne bloquait pas les adresses IP non publiques après résolution; cela pouvait exposer des services intranet ou des points de terminaison de métadonnées cloud accessibles depuis le serveur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04T23:17:17.873Z, soit le 2026-11-05T01:17:17.873+02:00, dans la période demandée. L’avis GitHub de Webmin associé à cette faille est daté du 2026-07-30; l’événement retenu ici est la publication NVD dans la période, et non une prétendue découverte nouvelle de la vulnérabilité.
ImpactDes utilisateurs Webmin ayant accès aux modules concernés pouvaient provoquer des requêtes du serveur vers des services internes ou des points de terminaison de métadonnées cloud non accessibles depuis leur propre système.
Versions affectéesWebmin antérieur à 2.652
Version corrigée2.652
ContournementRestreindre les destinations de téléchargement URL dans les permissions des utilisateurs Webmin concernés.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
EPSS0,52% · percentile 44,0%
Publication2026-11-05T01:17:17.873+02:00
Mise à jour2026-11-05T01:17:18.047+02:00
Action recommandée
Mettre à jour Webmin vers 2.652 ou une version ultérieure et restreindre les destinations de téléchargement URL pour les comptes non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).