Veille sécuritéBackend & données
P4Moyenne
Une vérification d’autorisation manquante dans meta.sr.ht permet à un attaquant non authentifié de créer un compte même lorsque l’inscription publique est désactivée. Le parcours de création appelle la mutation GraphQL RegisterAccount sans appliquer ce contrôle.
GraphQL
IdentifiantCVE-2026-121728
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.89.0
Source : NVD — CVE-2026-121728
Analyse technique
Le contournement concerne l’inscription via /register/step2 et la mutation GraphQL RegisterAccount. Score CVSS v4.0 : 6.9.
Impact, versions et correctif
Événement datéRetenu : publication du CVE à 2026-11-03T22:55:00Z, soit 2026-11-04T00:55:00+02:00, dans la période demandée. La fiche NVD fournie affiche également une publication à 2026-11-03T23:17:36.217Z, soit 2026-11-04T01:17:36.217+02:00; les deux horodatages sont dans la fenêtre.
ImpactCréation non autorisée de comptes malgré la désactivation de l’inscription publique.
Versions affectéesmeta.sr.ht 0.56.11 à toute version antérieure à 0.89.0
Version corrigée0.89.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
EPSS0,26% · percentile 17,9%
Publication2026-11-03T22:55:00Z
Action recommandée
Mettre à niveau meta.sr.ht vers la version 0.89.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).