// vulnerability spotlight
Chaque vérification que FixVibe exécute,
expliquée.
164+ classes de vulnérabilités livrées avec FixVibe. Chaque entrée exécute jusqu'à 35 sous-vérifications par scan et détaille comment le bug fonctionne, ce qu'un attaquant en tire, comment on teste et ce qu'il faut pour se défendre.
01 / 07
HTTP & surface
Attributs de cookie de session
HttpOnly, Secure, SameSite — trois flags qui transforment un cookie de session en quelque chose de difficile à voler.
Lire le spotlight →
En-têtes de sécurité HTTP
Les en-têtes sont une défense gratuite — la plupart des apps sont quand même livrées sans.
Lire le spotlight →
Configuration TLS
De vieilles suites de chiffrement plus HSTS absent égalent un wifi hostile de distance avant le détournement de session.
Lire le spotlight →
Vercel Deployment Protection
Generated deployment URLs should not become public staging doors.
Lire le spotlight →
02 / 07
Secrets
Motifs de secrets en dur
Clés Stripe, identifiants AWS, tokens OpenAI — le pattern matching attrape les erreurs faciles.
Lire le spotlight →
Secrets dans les bundles JavaScript
Si c'est livré dans ton bundle client, ce n'est pas un secret — c'est une publication.
Lire le spotlight →
Intégrité JWT (confusion alg, secrets faibles)
Si ton vérificateur JWT fait confiance à l'en-tête du token lui-même, il croira ce que l'attaquant tape.
Lire le spotlight →
Tokens dans le stockage navigateur
localStorage est lisible par JavaScript. Les tokens d'auth qui y sont stockés sont volables par XSS par conception.
Lire le spotlight →
Source maps exposées
Si tes fichiers .map sont publics, l'attaquant lit ton TypeScript.
Lire le spotlight →
Fuite d'information dans JavaScript
Hôtes API internes, bannières de version, commentaires TODO — les petites fuites s'additionnent en carte de ton stack.
Lire le spotlight →
03 / 07
Backend-as-a-Service
Règles de sécurité Firebase
`allow read, write: if true` est en ce moment même la base de prod de quelqu'un.
Lire le spotlight →
Row-Level Security Supabase
Sans RLS sur chaque table publique, ta clé anon est un permis pour tout lire.
Lire le spotlight →
Configuration Clerk et Auth0
Les fournisseurs d'identité fuitent plus qu'ils ne devraient quand les valeurs par défaut ne sont pas durcies.
Lire le spotlight →
Supabase Storage and API Posture
Public buckets and anon-listable objects are where BaaS data leaks start.
Lire le spotlight →
04 / 07
DNS
Netmaker DNS Key Authorization Bypass
A VPN control-plane DNS API should not trust a legacy default key.
Lire le spotlight →
Prise de contrôle de sous-domaine
Un CNAME pointant vers une ressource cloud non revendiquée est une invitation à héberger du phishing sur ton domaine.
Lire le spotlight →
SPF / DKIM / DMARC
Sans ces trois enregistrements, n'importe qui peut envoyer des mails en se faisant passer pour toi.
Lire le spotlight →
05 / 07
Découverte
Arcserve UDP Heap Overflow Advisory
Backup management consoles should not expose affected UDP versions.
Lire le spotlight →
Schneider Modicon M221 Firmware Advisory
PLC firmware evidence should drive patch and segmentation review, not reboot or authentication replay tests.
Lire le spotlight →
Recoupement CVE
Version détectée + base CVE publique = une liste d'attaques déjà documentées.
Lire le spotlight →
Endpoints debug et admin
/debug, /admin, /server-status — chemins qui ne devraient jamais être joignables depuis internet.
Lire le spotlight →
Fichiers et répertoires de sauvegarde exposés
.env, .git, .DS_Store, backup.sql — des fichiers qui ne devraient jamais être publics, le sont par accident.
Lire le spotlight →
Rockwell MicroLogix 1100 DoS Advisory
An exposed PLC fingerprint is an operations risk, not something to crash-test.
Lire le spotlight →
SPIP Template RCE Version Exposure
Public SPIP version banners can reveal an RCE-class patch gap.
Lire le spotlight →
Checking Apache ActiveMQ Artemis for CVE-2023-50780
Checking Apache ActiveMQ Artemis for CVE-2023-50780
Lire le spotlight →
Checking Apache Airflow for CVE-2024-45498
Checking Apache Airflow for CVE-2024-45498
Lire le spotlight →
Checking Apache Tomcat for CVE-2020-11996
Checking Apache Tomcat for CVE-2020-11996
Lire le spotlight →
Checking Claude Code GitHub Action workflow permissions
Checking Claude Code GitHub Action workflow permissions
Lire le spotlight →
Checking codexui-android for token-stealing package versions
Checking codexui-android for token-stealing package versions
Lire le spotlight →
Checking cordova-plugin-inappbrowser for CVE-2019-0219
Checking cordova-plugin-inappbrowser for CVE-2019-0219
Lire le spotlight →
Checking DICOM files for executable preambles
Checking DICOM files for executable preambles
Lire le spotlight →
Checking Django for CVE-2011-0696
Checking Django for CVE-2011-0696
Lire le spotlight →
Checking Drupal Core for CVE-2026-9082
Checking Drupal Core for CVE-2026-9082
Lire le spotlight →
Checking easy-day-js for Mastra npm incident package evidence
Checking easy-day-js for Mastra npm incident package evidence
Lire le spotlight →
Checking Keras for CVE-2025-1550
Checking Keras for CVE-2025-1550
Lire le spotlight →
Checking Langflow CORS exposure for CVE-2025-34291
Checking Langflow CORS exposure for CVE-2025-34291
Lire le spotlight →
Checking Log4j 1.2 JDBCAppender for CVE-2022-23305
Checking Log4j 1.2 JDBCAppender for CVE-2022-23305
Lire le spotlight →
Checking MindsDB version exposure for CVE-2026-27483
Checking MindsDB version exposure for CVE-2026-27483
Lire le spotlight →
Checking MISP STIX import source for CVE-2018-19908
Checking MISP STIX import source for CVE-2018-19908
Lire le spotlight →
Checking Moby/Docker Go modules for CVE-2026-34040
Checking Moby/Docker Go modules for CVE-2026-34040
Lire le spotlight →
Checking NGINX rewrite configurations for CVE-2026-42945
Checking NGINX rewrite configurations for CVE-2026-42945
Lire le spotlight →
Checking NiceGUI upload source for CVE-2026-25732
Checking NiceGUI upload source for CVE-2026-25732
Lire le spotlight →
Checking Nokogiri for CVE-2019-18197
Checking Nokogiri for CVE-2019-18197
Lire le spotlight →
Checking npm lockfiles for known typosquat package versions
Checking npm lockfiles for known typosquat package versions
Lire le spotlight →
Checking ONNX for CVE-2024-5187
Checking ONNX for CVE-2024-5187
Lire le spotlight →
Checking Paramiko for CVE-2018-7750
Checking Paramiko for CVE-2018-7750
Lire le spotlight →
Checking proxy npm package for CVE-2023-2968
Checking proxy npm package for CVE-2023-2968
Lire le spotlight →
Checking Spring Data Commons and XMLBeam for CVE-2018-1259
Checking Spring Data Commons and XMLBeam for CVE-2018-1259
Lire le spotlight →
Checking SQLitePCLRaw native SQLite packages for CVE-2025-6965
Checking SQLitePCLRaw native SQLite packages for CVE-2025-6965
Lire le spotlight →
Checking vLLM for CVE-2024-9053
Checking vLLM for CVE-2024-9053
Lire le spotlight →
Checking WordPress REST API user exposure
Checking WordPress REST API user exposure
Lire le spotlight →
Checking YOURLS for CVE-2019-14537
Checking YOURLS for CVE-2019-14537
Lire le spotlight →
Posture origine et proxy Cloudflare
Si ton IP d'origine est découvrable, le WAF Cloudflare est contournable.
Lire le spotlight →
Introspection GraphQL exposée
L'introspection en production tend à l'attaquant ton système de types complet.
Lire le spotlight →
Recoupement avec threat intel
Spamhaus DBL, URLhaus — la réputation de ton domaine vue de l'extérieur.
Lire le spotlight →
Documentation API exposée
/swagger.json, /openapi.json, /docs — cartes API publiques pour toi et pour l'attaquant.
Lire le spotlight →
Exposition spécifique à Netlify
URLs de deploy preview Netlify, en-têtes x-nf-*, erreurs dans _redirects.
Lire le spotlight →
Marqueurs de conformité vie privée et cookies
Pages requises par le RGPD — présentes et liées, sinon tu risques une plainte.
Lire le spotlight →
Fingerprinting technologique
Connaître ton stack c'est la moitié du repérage — des frameworks obsolètes complètent l'autre moitié.
Lire le spotlight →
Exposition spécifique à Vercel
_next/static, en-têtes x-vercel-*, URLs de preview — les Vercel-ismes qui fuitent plus qu'ils ne devraient.
Lire le spotlight →
06 / 07
Sondes actives
AVideo Command Injection Advisory
An outdated AVideo Composer dependency can expose video-link import paths to command execution risk.
Lire le spotlight →
Fuites de données cross-tenant
Le SaaS multi-tenant sans enforcement de l'ID tenant fuit les données client entre les orgs.
Lire le spotlight →
GeniXCMS Author SQL Injection Exposure
A legacy CMS author filter should not turn one parameter into SQL syntax.
Lire le spotlight →
JWT alg=none Acceptance
A decoded token is not an authenticated identity.
Lire le spotlight →
MagicMirror /cors SSRF Exposure
A smart-mirror helper endpoint should not become a network proxy.
Lire le spotlight →
Moxa NPort Firmware Advisory
A public device-server firmware banner should drive an upgrade, not a crash test.
Lire le spotlight →
Injection de commande OS
Quand l'entrée utilisateur fait partie d'une commande shell, le shell exécute ce que l'attaquant écrit.
Lire le spotlight →
rclone RC Authentication Exposure
A public rclone Remote Control API should not answer unauthenticated fsinfo requests.
Lire le spotlight →
Injection de templates côté serveur (SSTI)
Quand le moteur de template traite l'entrée utilisateur comme un template, le serveur la traite comme du code.
Lire le spotlight →
SiteOmat BOS Authentication Advisory
Fuel-station management software needs version and exposure review, not password guessing.
Lire le spotlight →
SiteOmat CGI Buffer Overflow Advisory
Fuel-station controller CGI risk needs patch and exposure review, not exploit probes.
Lire le spotlight →
SiteOmat Login SQL Injection Advisory
Fuel-station login risk needs patch and exposure review, not authentication-bypass probes.
Lire le spotlight →
Injection SQL
Quand l'entrée utilisateur fait partie d'une requête, la base de données cesse d'être à toi.
Lire le spotlight →
Défauts du flow d'auth
Login, signup, reset de mot de passe — c'est là que la plupart des prises de compte se produisent réellement.
Lire le spotlight →
SSRF aveugle (out-of-band)
Si le serveur va chercher des URLs fournies par l'utilisateur, l'utilisateur peut le faire aller chercher des services internes.
Lire le spotlight →
CKAN DataStore SQL Authorization Bypass
Public DataStore SQL access can turn open data APIs into private data exposure.
Lire le spotlight →
Mauvaise configuration CORS
Un Access-Control-Allow-Origin permissif plus des credentials signifie que ton API est l'API de tout le monde.
Lire le spotlight →
XSS basé DOM via fragment URL
Les SPAs modernes lisent location.hash et l'écrivent dans le DOM — les payloads de l'attaquant voyagent avec.
Lire le spotlight →
Validation d'upload de fichiers
Les fichiers uploadés par les utilisateurs sont des octets arbitraires — les accepter comme « images » sans vérifier appelle le RCE.
Lire le spotlight →
FUXA Hardcoded JWT Fallback Secret
Default token-signing secrets can turn an HMI login into a weak boundary.
Lire le spotlight →
GL.iNet GL-MT3000 Firmware Advisory
A router firmware match should drive an upgrade, not a command-execution test.
Lire le spotlight →
Bombes de profondeur GraphQL & contournement de batch
La flexibilité de GraphQL est aussi sa vulnérabilité — bombes de profondeur, batching d'alias, fuites de field-suggestion.
Lire le spotlight →
HTTP Request Smuggling
Le proxy frontal et le backend ne sont pas d'accord sur où une requête finit — l'attaquant chevauche la couture.
Lire le spotlight →
IDOR / BOLA
Si ton API fait confiance au client pour envoyer le bon ID, le client peut envoyer n'importe quel ID.
Lire le spotlight →
IIS TRACK Method Information Disclosure
Legacy HTTP method echo behavior should be disabled before it can expose request headers.
Lire le spotlight →
Liferay Portal Template RCE Advisory
Legacy Liferay Portal version evidence should trigger patch verification.
Lire le spotlight →
Injection de prompt LLM
Si ta fonctionnalité IA fait confiance à l'entrée utilisateur comme instruction, l'utilisateur peut réécrire le prompt système.
Lire le spotlight →
Injection d'opérateurs NoSQL
Les opérateurs façon MongoDB dans du JSON contrôlé par l'utilisateur transforment ta requête en wildcard.
Lire le spotlight →
Cross-Site Scripting réfléchi (XSS)
Le détournement silencieux : quand un seul paramètre non assaini exécute le code de l'attaquant dans les navigateurs de tes utilisateurs.
Lire le spotlight →
Rockwell MicroLogix 1100 Authentication Advisory
Firmware evidence should drive an update and exposure review, not password-guessing tests.
Lire le spotlight →
Entité externe XML (XXE)
Si ton parseur XML résout les entités externes, ton serveur lit des fichiers pour l'attaquant.
Lire le spotlight →
ZoneMinder Directory Listing Exposure
A camera management UI should not publish its web root index.
Lire le spotlight →
Énumération de comptes
Si ton login répond différemment quand l'email existe, les attaquants peuvent construire une liste de clients.
Lire le spotlight →
Checking gemini-mcp-tool for CVE-2026-0755
Checking gemini-mcp-tool for CVE-2026-0755
Lire le spotlight →
Checking Label Studio upload-example XSS exposure
Checking Label Studio upload-example XSS exposure
Lire le spotlight →
Checking Langflow version exposure for CVE-2026-33017
Checking Langflow version exposure for CVE-2026-33017
Lire le spotlight →
Checking PowerLogic EGX exposure for CVE-2021-22765/CVE-2021-22767/CVE-2021-22768
Checking PowerLogic EGX exposure for CVE-2021-22765/CVE-2021-22767/CVE-2021-22768
Lire le spotlight →
Checking TLS endpoints for RC4 support
Checking TLS endpoints for RC4 support
Lire le spotlight →
Checking TLS endpoints for Sweet32 DES/3DES support
Checking TLS endpoints for Sweet32 DES/3DES support
Lire le spotlight →
Confirming Glances REST API unauthenticated exposure
Confirming Glances REST API unauthenticated exposure
Lire le spotlight →
Confirming Next.js middleware bypass exposure
Confirming Next.js middleware bypass exposure
Lire le spotlight →
Confirming SillyTavern SearXNG external-fetch SSRF exposure
Confirming SillyTavern SearXNG external-fetch SSRF exposure
Lire le spotlight →
Confirming TMT Lockcell login SQL injection exposure
Confirming TMT Lockcell login SQL injection exposure
Lire le spotlight →
CRLF / Response Splitting
Si l'entrée utilisateur arrive dans un en-tête de réponse, les sauts de ligne lui permettent d'écrire ses propres en-têtes.
Lire le spotlight →
Protection CSRF
Si tes endpoints qui modifient l'état n'exigent pas de token CSRF, des sites tiers peuvent agir comme tes utilisateurs.
Lire le spotlight →
Rate limiting absent
Sans rate limits sur les endpoints d'auth, l'attaquant peut faire du credential stuffing à vitesse de ligne.
Lire le spotlight →
Next.js Header Configuration Drift
Headers set on `/` do not always protect nested routes.
Lire le spotlight →
Open Redirect
Ton /redirect?url=… qui ne valide pas la destination est un kit de phishing.
Lire le spotlight →
SPIP valider_xml XSS Exposure
A legacy SPIP utility page should not reflect URL input into HTML.
Lire le spotlight →
07 / 07
Code source
deephas Prototype-Pollution Advisory
A vulnerable deephas dependency can put deep-path object handling on a prototype-pollution path.
Lire le spotlight →
Ghost Content API SQL Injection Advisory
A vulnerable Ghost dependency can put public content APIs on the database boundary.
Lire le spotlight →
LibreNMS Command Injection Advisory
A vulnerable monitoring stack can become an execution path inside the network.
Lire le spotlight →
LiteLLM SQL Injection Advisory
A vulnerable LiteLLM Proxy version can turn API-key verification into database exposure.
Lire le spotlight →
NLTK Zip Slip Code Execution Advisory
A vulnerable NLTK downloader can turn compromised package archives into filesystem writes and code-execution risk.
Lire le spotlight →
openDCIM Command Injection Source Advisory
A database-controlled Graphviz path should not become a shell command.
Lire le spotlight →
TanStack ArkType Adapter Malware Advisory
Known malicious npm package versions can put CI and developer secrets at install-time risk.
Lire le spotlight →
vm2 Sandbox Breakout Advisory
A vulnerable JavaScript sandbox dependency can put untrusted-code boundaries at risk.
Lire le spotlight →
Apache Tomcat Coyote Resource-Shutdown Advisory
An affected Tomcat HTTP/2 runtime can turn reset behavior into resource exhaustion.
Lire le spotlight →
Apache Tomcat EncryptInterceptor Advisory
Exact affected Tomcat releases need an upgrade before cluster encryption assumptions are trusted.
Lire le spotlight →
Apache Tomcat h2c Request Mix-Up Advisory
Affected Tomcat h2c handling can put request data on the wrong response path.
Lire le spotlight →
Apache Tomcat Session-Persistence Advisory
Affected Tomcat runtimes become riskier when FileStore session persistence is enabled.
Lire le spotlight →
Committed AI-Generated Secrets
AI snippets should not ship provider keys into git.
Lire le spotlight →
Compromised codfish GitHub Action
Release workflows should not keep pointing at compromised Action refs.
Lire le spotlight →
electerm Install-Script Command Injection Advisory
A vulnerable terminal-client dependency can put build or developer hosts at install-time risk.
Lire le spotlight →
electerm Unauthorized Command Execution Advisory
A stale electerm package can matter when the vulnerable service is packaged and running.
Lire le spotlight →
Gogs Directory Traversal Dependency Advisory
An affected Gogs runtime can put file-upload path handling on a traversal boundary.
Lire le spotlight →
Gradio Windows Python Path Traversal Advisory
A vulnerable Gradio dependency becomes a stronger signal when repo config points to Windows with Python 3.13+.
Lire le spotlight →
Mbed TLS Buffer-Overflow Advisory
Affected Mbed TLS 3.x source evidence deserves an upgrade, not exploit reproduction.
Lire le spotlight →
Mbed TLS Double-Free Advisory
Legacy Mbed TLS version evidence deserves branch-aware remediation.
Lire le spotlight →
Microsoft ATL MS09-035 Source Advisory
Legacy ATL build metadata deserves rebuild proof, not exploit reproduction.
Lire le spotlight →
OpenCms XXE Information-Disclosure Advisory
A vulnerable OpenCms dependency can put XML-processing routes on a file-read boundary.
Lire le spotlight →
OpenSSL CMS Message-Parsing Advisory
Affected OpenSSL branch evidence deserves a branch-aware runtime upgrade.
Lire le spotlight →
PDF.js JavaScript Execution Advisory
A vulnerable PDF viewer can turn a malicious document into script execution.
Lire le spotlight →
PickleScan ZIP CRC Bypass Advisory
A vulnerable PickleScan dependency can miss malicious model archives when scans fail open.
Lire le spotlight →
pyLoad /flashgot RCE Advisory
A vulnerable pyLoad dependency is patch-triage evidence, not proof of live RCE.
Lire le spotlight →
Motifs de code source risqués
eval(), dangerouslySetInnerHTML, secrets en dur — les motifs que SAST attrape depuis 25 ans.
Lire le spotlight →
SaltStack Salt Directory Traversal Advisory
A vulnerable Salt package can weaken Salt master authentication boundaries.
Lire le spotlight →
SAP Cloud SDK for AI Python Advisory
A vulnerable SAP Python SDK dependency is patch-triage evidence, not proof of live command execution.
Lire le spotlight →
Spring Data Commons Resource-Exhaustion Advisory
Affected Spring Data Commons dependencies can put property-path parsing on a DoS path.
Lire le spotlight →
Supabase RLS in Migrations
A public table without RLS is a future data leak.
Lire le spotlight →
veraPDF XSLT Injection Dependency Advisory
Affected veraPDF policy-file processing can put XSLT execution boundaries at risk.
Lire le spotlight →
Dépendances vulnérables
Ton package-lock.json inclut des milliers de paquets. Certains ont des CVEs connus.
Lire le spotlight →
Vérification de signature webhook
Si ton handler webhook ne vérifie pas la signature, n'importe qui peut forger des événements.
Lire le spotlight →
ws Excessive-Header DoS Advisory
Affected ws server runtimes can crash when upgrade requests carry too many headers.
Lire le spotlight →
AI-Generated Code Guardrails
Fast AI-assisted changes need repo-level security rails.
Lire le spotlight →
Checking @andrei-tatar/nora-firebase-common for CVE-2024-30564
Checking @andrei-tatar/nora-firebase-common for CVE-2024-30564
Lire le spotlight →
Checking Apache ActiveMQ Artemis for CVE-2026-27446
Checking Apache ActiveMQ Artemis for CVE-2026-27446
Lire le spotlight →
Checking Apache Spark for CVE-2022-33891
Checking Apache Spark for CVE-2022-33891
Lire le spotlight →
Checking Cargo files for the malicious onering crate
Checking Cargo files for the malicious onering crate
Lire le spotlight →
Checking http4k-format-xml for CVE-2024-55875
Checking http4k-format-xml for CVE-2024-55875
Lire le spotlight →
Checking kill-port-process for CVE-2019-15609
Checking kill-port-process for CVE-2019-15609
Lire le spotlight →
Checking Log4j 1.2 JMSAppender for CVE-2021-4104
Checking Log4j 1.2 JMSAppender for CVE-2021-4104
Lire le spotlight →
Checking Note Mark backend for CVE-2026-44522
Checking Note Mark backend for CVE-2026-44522
Lire le spotlight →
Checking npm package versions and binding.gyp for the Phantom Gyp worm
Checking npm package versions and binding.gyp for the Phantom Gyp worm
Lire le spotlight →
Checking OpenSSL PowerPC builds for CVE-2023-6129
Checking OpenSSL PowerPC builds for CVE-2023-6129
Lire le spotlight →
Checking Perl GD for CVE-2026-11526
Checking Perl GD for CVE-2026-11526
Lire le spotlight →
Checking Red Hat npm package versions for the worm campaign
Checking Red Hat npm package versions for the worm campaign
Lire le spotlight →
Checking WebdriverIO BrowserStack service for CVE-2026-25244
Checking WebdriverIO BrowserStack service for CVE-2026-25244
Lire le spotlight →
Kubernetes Service ExternalIPs Advisory
ExternalIPs in Service manifests deserve RBAC and admission-policy review.
Lire le spotlight →
Mbed TLS Certificate-Validation Advisory
Affected Mbed TLS 3.x evidence deserves upgrade and client-auth review.
Lire le spotlight →
OpenSSL TLSv1.3 Session Memory-Growth Advisory
A vulnerable OpenSSL runtime plus no-ticket TLSv1.3 session handling can create DoS risk.
Lire le spotlight →
Oracle Java SE / GraalVM Runtime Advisory
Affected Oracle runtime metadata deserves an update, not DoS reproduction.
Lire le spotlight →
Hygiène de sécurité du repo
Protection de branche, pinning d'action, hygiène de secrets — la façon dont ton repo est géré compte plus que le code.
Lire le spotlight →
Reviewing repo code against web app risk patterns
Reviewing repo code against web app risk patterns
Lire le spotlight →