Veille sécuritéBackend & données
P4Moyenne
Dans pgEdge Postgres MCP Server, le mécanisme de limitation des tentatives d’authentification utilisait la première valeur fournie par le client dans X-Forwarded-For comme adresse IP. Un attaquant non authentifié pouvait ainsi contourner ou perturber cette limitation en faisant varier ou en usurpant cette valeur.
PostgreSQL
IdentifiantCVE-2026-125321
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.1.0
Source : NVD — CVE-2026-125321
Analyse technique
Concerne le transport HTTP non activé par défaut avec authentification; la configuration nginx publiée transmet l’en-tête de manière à rendre le problème atteignable. Le verrouillage par nom d’utilisateur est un contrôle distinct.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-10 et mise à jour le même jour; la publication de la vulnérabilité est retenue dans la période.
ImpactUn attaquant non authentifié peut échapper à la limitation basée sur l’adresse IP ou perturber le compartiment de limitation d’un autre utilisateur.
Versions affectéesVersions antérieures à 1.1.0
Version corrigée1.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-11-10T18:17:33.380Z
Mise à jour2026-11-10T21:19:21.760Z
Action recommandée
Mettre à niveau vers la version 1.1.0 ou ultérieure; vérifier l’exposition du transport HTTP et la configuration de l’authentification.
Sources
Priorisation DFS : P4 · 1 source(s).