// recherche de vulnérabilités
Recherche de vulnérabilités pour les sites et applications créés avec l'IA.
Notes sourcées sur les vulnérabilités qui concernent les applications web générées par IA, les stacks BaaS, les bundles frontend, l'authentification et la sécurité des dépendances.
Injection SQL dans le contenu Ghost API (CVE-2026-26980)
Les versions Ghost 3.24.0 à 6.19.0 contiennent une vulnérabilité critique d'injection SQL dans le contenu API. Cela permet à des attaquants non authentifiés d'exécuter des commandes SQL arbitraires, conduisant potentiellement à une exfiltration de données ou à des modifications non autorisées.
Toute la recherche
34 articles
Exécution de code à distance dans SPIP via des tags modèles (CVE-2016-7998)
SPIP versions 3.1.2 et antérieures contiennent une vulnérabilité dans le template composer. Les attaquants authentifiés peuvent télécharger des fichiers HTML avec des balises INCLUDE ou INCLURE spécialement conçues pour exécuter du code PHP arbitraire sur le serveur.
Divulgation des informations de configuration de ZoneMinder Apache (CVE-2016-10140)
Les versions 1.29 et 1.30 de ZoneMinder sont affectées par une mauvaise configuration du serveur HTTP Apache fourni. Cette faille permet à des attaquants distants non authentifiés de parcourir le répertoire racine du Web, ce qui peut conduire à la divulgation d'informations sensibles et au contournement de l'authentification.
Next.js Mauvaise configuration de l'en-tête de sécurité dans next.config.js
Les applications Next.js utilisant next.config.js pour la gestion des en-têtes sont sensibles aux failles de sécurité si les modèles de correspondance de chemin sont imprécis. Cette recherche explore comment les erreurs de configuration des caractères génériques et des regex conduisent à des en-têtes de sécurité manquants sur les routes sensibles et comment renforcer la configuration.
Configuration d'en-tête de sécurité inadéquate
Les applications Web ne parviennent souvent pas à implémenter les en-têtes de sécurité essentiels, exposant les utilisateurs aux scripts intersites (XSS), au détournement de clics et à l'injection de données. En suivant les directives de sécurité Web établies et en utilisant des outils d'audit tels que l'Observatoire MDN, les développeurs peuvent considérablement renforcer leurs applications contre les attaques courantes basées sur les navigateurs.
Atténuation des 10 principaux risques OWASP liés au développement Web rapide
Les pirates indépendants et les petites équipes sont souvent confrontés à des défis de sécurité uniques lorsqu'ils expédient rapidement, en particulier avec le code généré par AI. Cette recherche met en évidence les risques récurrents des catégories CWE Top 25 et OWASP, notamment les contrôles d'accès défaillants et les configurations non sécurisées, fournissant une base pour les contrôles de sécurité automatisés.
Configurations d'en-tête HTTP non sécurisées dans les applications générées par AI
Les applications générées par les assistants AI manquent souvent d'en-têtes de sécurité HTTP essentiels, ne répondant pas aux normes de sécurité modernes. Cette omission rend les applications Web vulnérables aux attaques courantes côté client. En utilisant des benchmarks tels que Mozilla HTTP Observatory, les développeurs peuvent identifier les protections manquantes telles que CSP et HSTS pour améliorer la sécurité de leur application.
Détection et prévention des vulnérabilités de cross-site scripting (XSS)
Le cross-site scripting (XSS) se produit lorsqu'une application inclut des données non fiables dans une page Web sans validation ou codage approprié. Cela permet aux attaquants d'exécuter des scripts malveillants dans le navigateur de la victime, entraînant un détournement de session, des actions non autorisées et une exposition de données sensibles.
Injection SQL du proxy LiteLLM (CVE-2026-42208)
Une vulnérabilité critique d'injection SQL (CVE-2026-42208) dans le composant proxy de LiteLLM permet aux attaquants de contourner l'authentification ou d'accéder aux informations sensibles de la base de données en exploitant le processus de vérification de clé API.
Risques de sécurité liés au codage Vibe : audit du code généré par AI
L'essor du « codage dynamique », qui consiste à créer des applications principalement via des invites rapides AI, introduit des risques tels que des informations d'identification codées en dur et des modèles de code non sécurisés. Étant donné que les modèles AI peuvent suggérer du code basé sur des données d'entraînement contenant des vulnérabilités, leur sortie doit être traitée comme non fiable et auditée à l'aide d'outils d'analyse automatisés pour éviter l'exposition des données.
JWT Sécurité : risques de jetons non garantis et de validation de réclamation manquante
Les jetons Web JSON (JWT) fournissent une norme pour le transfert des revendications, mais la sécurité repose sur une validation rigoureuse. L’incapacité de vérifier les signatures, les délais d’expiration ou les publics visés permet aux attaquants de contourner l’authentification ou de rejouer les jetons.
Sécurisation des déploiements Vercel : bonnes pratiques en matière de protection et d'en-tête
Cette recherche explore les configurations de sécurité pour les applications hébergées par Vercel, en se concentrant sur la protection du déploiement et les en-têtes HTTP personnalisés. Il explique comment ces fonctionnalités protègent les environnements de prévisualisation et appliquent des politiques de sécurité côté navigateur pour empêcher les accès non autorisés et les attaques Web courantes.
Injection de commandes critiques du système d'exploitation dans LibreNMS (CVE-2024-51092)
Les versions de LibreNMS jusqu'à 24.9.1 contiennent une vulnérabilité critique d'injection de commandes du système d'exploitation (CVE-2024-51092). Des attaquants authentifiés peuvent exécuter des commandes arbitraires sur le système hôte, conduisant potentiellement à une compromission totale de l'infrastructure de surveillance.
Injection SQL LiteLLM dans le proxy API Vérification de clé (CVE-2026-42208)
Les versions LiteLLM 1.81.16 à 1.83.6 contiennent une vulnérabilité critique d'injection SQL dans la logique de vérification de clé du proxy API. Cette faille permet à des attaquants non authentifiés de contourner les contrôles d'authentification ou d'accéder à la base de données sous-jacente. Le problème est résolu dans la version 1.83.7.
Firebase Règles de sécurité : empêcher l'exposition non autorisée des données
Les règles de sécurité Firebase constituent la principale défense pour les applications sans serveur utilisant Firestore et Cloud Storage. Lorsque ces règles sont trop permissives, comme autoriser un accès global en lecture ou en écriture en production, les attaquants peuvent contourner la logique applicative prévue pour voler ou supprimer des données sensibles. Cette recherche explore les erreurs de configuration courantes, les risques de défauts du « mode test » et la manière de mettre en œuvre un contrôle d'accès basé sur l'identité.
Protection CSRF : Se défendre contre les changements d'état non autorisés
Cross-Site Request Forgery (CSRF) reste une menace importante pour les applications Web. Cette recherche explore comment les frameworks modernes comme Django mettent en œuvre la protection et comment les attributs au niveau du navigateur comme SameSite assurent une défense en profondeur contre les requêtes non autorisées.
Liste de contrôle de sécurité API : 12 éléments à vérifier avant la mise en ligne
Les API constituent l'épine dorsale des applications Web modernes, mais elles manquent souvent de la rigueur de sécurité des interfaces traditionnelles. Cet article de recherche présente une liste de contrôle essentielle pour sécuriser les API, en se concentrant sur le contrôle d'accès, la limitation du débit et le partage des ressources entre origines (CORS) afin d'éviter les violations de données et les abus de services.
Fuite de clé API : risques et mesures correctives dans les applications Web modernes
Les secrets codés en dur dans le code frontal ou dans l’historique du référentiel permettent aux attaquants d’usurper l’identité de services, d’accéder à des données privées et d’engager des coûts. Cet article couvre les risques de fuite secrète et les étapes nécessaires au nettoyage et à la prévention.
CORS Mauvaise configuration : risques de politiques trop permissives
Le partage de ressources entre origines croisées (CORS) est un mécanisme de navigateur conçu pour assouplir la politique de même origine (SOP). Bien que nécessaire pour les applications Web modernes, une mise en œuvre inappropriée (par exemple, faire écho à l'en-tête Origin du demandeur ou ajouter l'origine « nulle » à la liste blanche) peut permettre à des sites malveillants d'exfiltrer les données privées des utilisateurs.
Sécuriser le MVP : prévenir les fuites de données dans les applications SaaS générées par AI
Les applications SaaS développées rapidement souffrent souvent de failles de sécurité critiques. Cette recherche explore comment les fuites de secrets et les contrôles d'accès brisés, tels que l'absence de sécurité au niveau des lignes (RLS), créent des vulnérabilités à fort impact dans les piles Web modernes.