Veille sécuritéBackend & données
P4Non déterminée
Le client XML-RPC d’Apache Roller désérialise des données Java reçues dans la réponse d’un ping de mise à jour de weblog, ce qui peut permettre l’exécution de code dans le processus serveur si la réponse est contrôlée par un tiers. Les versions 4.0 à 6.1.6 sont concernées ; mettre à niveau vers 6.1.7.
Java
IdentifiantCVE-2026-123374
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif6.1.7
Source : NVD — CVE-2026-123374
Analyse technique
La réponse de la cible du ping XML-RPC contient des données d’objets Java désérialisées côté serveur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-11 à 13:17:17.340Z, soit 15:17:17.340+02:00, dans la période demandée.
ImpactExécution de code possible dans le processus serveur Roller.
Versions affectéesApache Roller 4.0 à 6.1.6
Version corrigée6.1.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-11T15:17:17.340+02:00
Action recommandée
Mettre à niveau Apache Roller vers la version 6.1.7 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).