Veille sécuritéBackend & données
P3Élevée
Avant la version 1.0.0, un acteur non authentifié pouvait interroger `Query.allOrgs` sur une instance Coop publiquement accessible et obtenir des données d’organisations et d’utilisateurs. Mettre à niveau Coop vers la version 1.0.0 ou restreindre l’accès à l’API GraphQL à un réseau privé authentifié.
GraphQL
IdentifiantCVE-2026-63396
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.0.0
Source : NVD — CVE-2026-63396
Analyse technique
L’interrogation de `Query.allOrgs` pouvait exposer des identifiants et noms d’organisations, des adresses e-mail et des informations sur les utilisateurs autorisés à examiner les files d’attente.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30T23:17:14.710Z, soit le 2026-10-31T01:17:14.710+02:00, dans la période. La mise à jour NVD du 2026-11-02 est postérieure à la période et n’est pas retenue comme événement.
ImpactDivulgation non autorisée de données d’organisations et d’utilisateurs.
Versions affectéesVersions antérieures à 1.0.0
Version corrigée1.0.0
ContournementExécuter le service sur un réseau privé authentifié pour empêcher les accès extérieurs directs à l’API GraphQL.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
EPSS0,31% · percentile 23,9%
Publication2026-10-31T01:17:14.710+02:00
Action recommandée
Mettre à niveau vers Coop 1.0.0 ou ultérieure et limiter l’accès réseau à l’API GraphQL.
Sources
Priorisation DFS : P3 · 1 source(s).