Le point de terminaison /authenticate transmet des valeurs utilisateur à une commande exécutée par child_process.exec(), et la neutralisation ne supprime pas les retours à la ligne. Un attaquant non authentifié peut exploiter cette faiblesse si le service Node.js de provisionnement est activé; désactiver ce service après le provisionnement conformément aux recommandations Versa.
Source : NVD — CVE-2026-107240
Analyse technique
L’injection d’un caractère de nouvelle ligne dans le champ username peut permettre l’exécution de commandes; le jeton CSRF peut être obtenu depuis une page accessible sans authentification, selon la fiche candidate.
Impact, versions et correctif
Détection / vérification
Vérifier si l’interface Node.js de provisionnement VOS est encore active après le provisionnement.
Action recommandée
Désactiver le service Web Node.js de VOS après le provisionnement initial.
Sources
Priorisation DFS : P3 · 1 source(s).