Veille sécuritéBackend & données
P3Moyenne
Une traversée de chemin dans la configuration de destination S3 de Floci est déclenchée par la manipulation de `BucketARN`. La fiche indique que l’exploit est public ; la mise à niveau vers Floci 2.2.0 corrige le problème.
Java
IdentifiantCVE-2026-124509
GravitéMoyenne
Exploitationrapportée, à confirmer
Correctif2.2.0
Source : NVD — CVE-2026-124509
Analyse technique
La faille concerne `S3Destination.bucketName` dans `DeliveryStreamDescription.java`. Correctif indiqué : commit `b986b95074ef524019be7af51e1df172e48faa4b`.
Impact, versions et correctif
Événement datéRetenue car la fiche indique une publication le 2026-11-09, dans la période demandée ; il s’agit d’une vulnérabilité nouvellement publiée.
ImpactUn attaquant distant peut provoquer une traversée de chemin lors du traitement de la destination S3.
Versions affectéesFloci jusqu’à la version 2.1.0 incluse
Version corrigée2.2.0
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.5
EPSS0,52% · percentile 44,4%
Publication2026-11-09T02:16:59.243Z
Mise à jour2026-11-09T15:17:18.057Z
Action recommandée
Mettre à niveau vers Floci 2.2.0.
Sources
Priorisation DFS : P3 · 1 source(s).