Veille sécuritéBackend & données
P3Élevée
Le point de terminaison /decryptTest peut créer une session authentifiée avant le middleware d’authentification, à l’aide d’une clé et d’un vecteur d’initialisation codés en dur et partagés. Désactiver le service Web Node.js après le provisionnement initial, comme le recommande Versa.
Node.js
IdentifiantCVE-2026-107244
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107244
Analyse technique
Un jeton correctement déchiffré par /decryptTest établit une session authentifiée; la clé et l’IV sont identiques sur les appliances VOS, selon la description candidate.
Impact, versions et correctif
Événement datéPublication NVD horodatée 2026-11-10T01:17:12.610Z, soit le 2026-11-10 à 03:17:12.610 +02:00, dans la période retenue.
ImpactUn attaquant réseau non authentifié peut obtenir une session authentifiée sur une appliance où le service est actif.
ContournementDésactiver le service Web Node.js après le provisionnement initial.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.6
EPSS0,30% · percentile 23,1%
Publication2026-11-10T03:17:12.610+02:00
Mise à jour2026-11-10T03:17:12.610+02:00
Détection / vérification
Vérifier si le service Node.js de provisionnement VOS est actif et si le point de terminaison /decryptTest est exposé.
Action recommandée
Désactiver le service Web Node.js après le provisionnement initial.
Sources
Priorisation DFS : P3 · 1 source(s).