Veille sécuritéFrontend
P3Élevée
Des identifiants codés en dur dans Songloft 2.9.0 avant 2.13.6 permettent à un attaquant du réseau local de se connecter comme administrateur. L’accès peut servir à modifier les paramètres et à installer des plugins JavaScript exécutés dans QuickJS.
JavaScript
IdentifiantCVE-2026-119662
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119662
Analyse technique
La paire d’identifiants fixe admin/admin est acceptée par le point de terminaison /api/v1/auth/login. Le résumé fourni ne précise pas si une version corrective est disponible.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-30, dans la période demandée; l’événement retenu est la divulgation de la vulnérabilité.
ImpactPrise de contrôle administrative par un attaquant adjacent au réseau, avec possibilité d’exécuter des plugins JavaScript.
Versions affectéesSongloft 2.9.0 avant 2.13.6.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-30T15:16:50.540Z
Mise à jour2026-10-30T19:23:25.493Z
Action recommandée
Mettre à jour vers une version corrigée si disponible et empêcher l’accès au service depuis des réseaux non fiables; remplacer tout identifiant par défaut.
Sources
Priorisation DFS : P3 · 1 source(s).