Uptime Kuma : création concurrente d’un compte administrateur lors de la première configuration

Veille sécuritéOutils & observabilité

P4Moyenne

Le 30 octobre, une fiche a été publiée pour une condition de concurrence dans le gestionnaire Socket.IO de première configuration d’Uptime Kuma. Selon la description fournie, elle pourrait permettre à un attaquant non authentifié de créer un compte administrateur supplémentaire et d’altérer la configuration de l’instance.

IdentifiantCVE-2026-119552

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119552

Analyse technique

La description indique qu’un envoi concurrent de requêtes pendant le hachage bcrypt pourrait contourner la vérification d’une table d’utilisateurs vide. Le correctif n’a pas été établi par les sources consultées.

Impact, versions et correctif

Événement datéPublication NVD datée du 2026-10-30T12:16:42.100Z, soit 2026-10-30T14:16:42.100+02:00, dans la période demandée. La mise à jour NVD du même jour est traitée comme un candidat distinct ci-dessous; aucun changement substantiel n’a été vérifié pour celle-ci.

ImpactCréation possible d’un compte administrateur supplémentaire et modification de la configuration, notamment des moniteurs et clés API, selon la description de la fiche.

Versions affectéesUptime Kuma jusqu’à 2.5.8 inclus, selon la description de la fiche NVD.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-30T12:16:42.100Z

Action recommandée

Évaluer l’exposition des instances concernées et installer une version corrigée dès qu’un correctif est confirmé par le projet; la version corrigée n’a pas été établie dans les sources consultées.

Sources

NVD — CVE-2026-119552

Priorisation DFS : P4 · 1 source(s).