Veille sécuritéBackend & données
P4Moyenne
Dans ezBookkeeping, les listes d’autorisation d’adresses IP pour MCP et les jetons API s’appuyaient sur l’adresse fournie par Gin, alors que les proxys n’étaient pas restreints aux proxys de confiance. Un attaquant pouvait présenter un `X-Forwarded-For` correspondant à une adresse autorisée pour franchir ces contrôles ; mettre à niveau vers 1.6.0.
Go
IdentifiantCVE-2026-86041
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.6.0
Analyse technique
Le routeur Gin n’avait pas de configuration restrictive des proxys de confiance ; l’adresse IP dérivée de `X-Forwarded-For` était aussi utilisée pour l’audit et les journaux.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-09 à 21:51:28Z et mis à jour à 21:52:25Z, avant la borne de fin du 2026-11-09 à 22:00Z.
ImpactLes contrôles d’accès par adresse IP pour MCP et les jetons API peuvent être contournés ; les journaux et données d’audit peuvent aussi enregistrer une adresse usurpée.
Versions affectées>= 0.10.0, < 1.6.0
Version corrigée1.6.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,22% · percentile 12,7%
Publication2026-11-09T21:51:28Z
Mise à jour2026-11-09T21:52:25Z
Action recommandée
Mettre à niveau vers 1.6.0 ou ultérieure et vérifier les configurations de proxys de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).