Veille sécuritéBackend & données
P3Faible
Une injection SQL dans `ReportService.queryBiData` permet à un attaquant distant de manipuler le paramètre de tri. La fiche indique que l’exploit a été rendu public ; passez à la version 2.4.0.
Java
IdentifiantCVE-2026-124504
GravitéFaible
Exploitationrapportée, à confirmer
Correctif2.4.0
Source : NVD — CVE-2026-124504
Analyse technique
La vulnérabilité concerne l’argument `sort` de `ReportService.queryBiData`. Correctif indiqué : commit `8d2eaffc79b977c9d11222b9d435a002dceaa062`.
Impact, versions et correctif
Événement datéRetenue car la fiche indique une publication le 2026-11-09, dans la période demandée ; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactUn attaquant distant peut exploiter une injection SQL via le paramètre de tri.
Versions affectéesErupt jusqu’à la version 2.3.0 incluse
Version corrigée2.4.0
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS2.1
EPSS0,21% · percentile 10,5%
Publication2026-11-09T01:17:02.317Z
Mise à jour2026-11-09T01:17:02.540Z
Action recommandée
Mettre à niveau vers Erupt 2.4.0.
Sources
Priorisation DFS : P3 · 1 source(s).