Veille sécuritéBackend & données
P4Moyenne
Avant la version 1.0.0, la mutation GraphQL `createOrg` permettait à un acteur non authentifié de créer des organisations sur une instance Coop publiquement accessible. Mettre à niveau vers la version 1.0.0 ou restreindre l’accès à l’API GraphQL à un réseau privé authentifié.
GraphQL
IdentifiantCVE-2026-63399
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.0.0
Source : NVD — CVE-2026-63399
Analyse technique
La création non limitée d’organisations pouvait générer du bruit dans les journaux et, en l’absence de limitation de débit, risquait d’épuiser la base de données.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30T23:17:14.987Z, soit le 2026-10-31T01:17:14.987+02:00, dans la période. La mise à jour NVD du 2026-11-02 est postérieure à la période et n’est pas retenue comme événement.
ImpactCréation non autorisée d’organisations, avec risque de saturation de la base de données.
Versions affectéesVersions antérieures à 1.0.0
Version corrigée1.0.0
ContournementExécuter le service sur un réseau privé authentifié pour empêcher les accès extérieurs directs à l’API GraphQL.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
EPSS0,29% · percentile 21,1%
Publication2026-10-31T01:17:14.987+02:00
Action recommandée
Mettre à niveau vers Coop 1.0.0 ou ultérieure et limiter l’accès réseau à l’API GraphQL.
Sources
Priorisation DFS : P4 · 1 source(s).