Veille sécuritéBackend & données
P4Moyenne
Dans xxyopen/201206030 novel jusqu’à la version 3.5.0, la fonction getBookContentAbout ne contrôle pas correctement l’autorisation associée à chapterId. Un attaquant distant peut contourner cette autorisation ; la source indique qu’un exploit a été rendu public et recommande d’appliquer le correctif identifié.
Java
IdentifiantCVE-2026-123676
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifCorrectif identifié par le commit 966c4bdde3521dc0a165d15a2acff66ee33eaaa7.
Source : NVD — CVE-2026-123676
Analyse technique
Le défaut touche BookServiceImpl.getBookContentAbout dans le service de contenu de livre ; la manipulation de chapterId mène à une autorisation incorrecte.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.
ImpactAccès distant non autorisé au contenu de livres.
Versions affectéesJusqu’à la version 3.5.0 incluse.
Version corrigéeCorrectif identifié par le commit 966c4bdde3521dc0a165d15a2acff66ee33eaaa7.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.5
Publication2026-11-06T16:17:54.987Z
Mise à jour2026-11-06T16:17:55.183Z
Action recommandée
Appliquer le correctif identifié par le commit 966c4bdde3521dc0a165d15a2acff66ee33eaaa7.
Sources
Priorisation DFS : P4 · 1 source(s).