Veille sécuritéBackend & données
P4Moyenne
Openwhyd avant la version 1.65.1 présente une injection NoSQL dans la recherche d’utilisateurs : une requête non authentifiée vers `/api/user` peut fournir un objet JSON dans le paramètre `id` et manipuler la recherche MongoDB. L’impact rapporté est l’énumération de profils publics; mettre à jour Openwhyd vers la version 1.65.1 ou ultérieure.
MongoDB
IdentifiantCVE-2026-123617
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.65.1
Source : NVD — CVE-2026-123617
Analyse technique
L’injection permet de modifier la logique de recherche et d’énumérer des profils publics; l’avis fourni ne décrit pas d’accès à des données privées.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06 à 15:17:19.017Z, soit dans la période demandée. L’événement retenu est la publication de la vulnérabilité, et non la mise à jour ultérieure de sa fiche.
ImpactUn attaquant non authentifié peut manipuler les recherches MongoDB et énumérer des profils publics.
Versions affectéesOpenwhyd avant 1.65.1
Version corrigée1.65.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-11-06T15:17:19.017Z
Mise à jour2026-11-06T18:18:04.030Z
Action recommandée
Mettre à jour Openwhyd vers la version 1.65.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).