Veille sécuritéBackend & données
P3Moyenne
Dinky jusqu’à la version 1.2.5 présente une traversée de chemin dans l’API de téléversement du catalogue. La source indique une attaque distante et rapporte que le chercheur affirme avoir soumis un avis GHSA; aucun correctif n’est précisé.
Java
IdentifiantCVE-2026-124572
GravitéMoyenne
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-124572
Analyse technique
CatalogueController.upload est affectée par une traversée de chemin déclenchable à distance.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-11-09; cet événement est retenu comme divulgation de la vulnérabilité pendant la période demandée.
ImpactUne attaque distante peut exploiter la traversée de chemin dans le téléversement de catalogue.
Versions affectéesDinky jusqu’à 1.2.5
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.3
EPSS0,32% · percentile 24,7%
Publication2026-11-09T07:17:30.350Z
Mise à jour2026-11-09T07:17:31.857Z
Action recommandée
Éviter les versions affectées et installer une version corrigée dès sa disponibilité.
Sources
Priorisation DFS : P3 · 1 source(s).