Veille sécuritéBackend & données
P4Faible
DataLinkDC Dinky jusqu’à la version 1.2.5 présente un traversée de chemin dans le traitement du nom de fichier lors de l’envoi au Catalogue Upload. La fiche NVD signale une divulgation publique, mais les éléments consultés ne permettent pas d’établir une version corrigée ; vérifier les avis du projet avant déploiement.
Java
IdentifiantCVE-2026-124326
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : Fiche NVD CVE-2026-124326
Analyse technique
La fonction file.getOriginalFilename de CatalogueController.java est concernée. La fiche indique une exploitation à distance possible et un exploit rendu public.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-11-08 à 10:16:51.850Z, dans la période demandée.
ImpactUne manipulation du nom de fichier peut conduire à une traversée de chemin.
Versions affectéesDinky jusqu’à 1.2.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
EPSS0,45% · percentile 39,0%
Publication2026-11-08T10:16:51.850Z
Mise à jour2026-11-08T10:16:52.180Z
Action recommandée
Vérifier auprès du projet ou de l’éditeur la disponibilité d’un correctif et limiter l’exposition de la fonction d’envoi concernée.
Sources
Priorisation DFS : P4 · 1 source(s).