Veille sécuritéBackend & données
P3Moyenne
Dinky jusqu’à la version 1.2.5 est vulnérable à une falsification de requête côté serveur (SSRF) dans l’endpoint sql-gateway. La description NVD signale une exploitation publique possible, mais ne précise ni version corrigée ni contournement.
Java
IdentifiantCVE-2026-124558
GravitéMoyenne
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-124558
Analyse technique
La fonction SqlGateway.onOpen accepte un connectAddress manipulable à distance.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-11-09; cet événement est retenu comme divulgation de la vulnérabilité pendant la période demandée.
ImpactUn attaquant distant peut amener le serveur à effectuer des requêtes vers des destinations non prévues.
Versions affectéesDinky jusqu’à 1.2.5
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.5
EPSS0,29% · percentile 22,2%
Publication2026-11-09T03:16:37.853Z
Mise à jour2026-11-09T03:16:38.063Z
Action recommandée
Éviter les versions affectées et appliquer une mise à jour corrective dès sa disponibilité.
Sources
Priorisation DFS : P3 · 1 source(s).