Veille sécuritéBackend & données
P3Critique
Une vulnérabilité de désérialisation lors de la migration automatique d’anciens fichiers Nitrite peut permettre l’exécution de code si une classe gadget adaptée est présente dans le classpath de l’application. Les versions antérieures à 4.4.1 sont concernées ; mettre à niveau vers 4.4.1 ou une version ultérieure.
Java
IdentifiantCVE-2026-64678
GravitéCritique
Exploitationnon connue / non déterminée
Correctif4.4.1
Source : NVD — CVE-2026-64678
Analyse technique
La migration du format v1 transmet des données sérialisées à ObjectInputStream sans filtre de classes.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-11 à 05:19:51.937Z, soit 07:19:51.937+02:00, dans la période demandée.
ImpactExécution de code possible dans le processus de l’application, sous réserve de la présence d’une classe gadget exploitable dans son classpath.
Versions affectéesVersions antérieures à 4.4.1
Version corrigée4.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,66% · percentile 52,1%
Publication2026-11-11T07:19:51.937+02:00
Action recommandée
Mettre à niveau Nitrite vers la version 4.4.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).