Veille sécuritéBackend & données
P4Moyenne
Une vérification d’autorisation manquante dans la mutation GraphQL `addReactjiToReactable` permet à un utilisateur authentifié de modifier les réactions associées au contenu d’une autre organisation. Les versions antérieures à 15.21.2 sont concernées ; mettre à jour Parabol vers la version corrigée.
GraphQL
IdentifiantCVE-2026-125748
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif15.21.2
Source : NVD — CVE-2026-125748
Analyse technique
La mutation accepte un `meetingId` propre à l’utilisateur et un `reactableId` rattaché au contenu d’un autre tenant, permettant d’ajouter ou de retirer des réactions.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée le 2026-11-10, dans la période demandée ; la vulnérabilité concerne directement une mutation GraphQL de Parabol.
ImpactModification non autorisée des réactions sur le contenu d’autres organisations.
Versions affectéesParabol versions antérieures à 15.21.2
Version corrigée15.21.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-11-10T16:17:20.730Z
Mise à jour2026-11-10T19:21:13.230Z
Action recommandée
Mettre à jour Parabol vers 15.21.2 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).