Divulgations de vulnérabilités de sécurité — CVE-2026-78829 / 78830 / 78831 / 78832

Divulgations techniques publiques et étapes de reproduction de preuves de concept pour quatre vulnérabilités auxquelles le MITRE CVE Program a attribué des identifiants CVE (demande CVE enregistrée le 2026-06-20).

Vulnérabilités divulguées

CVE ID	Produit	Vulnérabilité	CWE	CVSS 3.1	Authentification requise
CVE-2026-78829	Dromara MaxKey 4.x	XSS réfléchi via `redirect_uri` dans le flux OAuth → vol de session/JWT administrateur	CWE-79	8.2 Élevée	Non (lien forgé)
CVE-2026-78830	mingSoft MCMS 6.1.1	XSS stocké via `/file/upload` non authentifié	CWE-79	6.1 Moyenne	Non
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	Changement arbitraire du mot de passe utilisateur non authentifié via `/api/dynamic/Invoke`	CWE-306	9.1 Critique	Non
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	Divulgation d'informations sensibles non authentifiée via `/api/dynamic/GetList`	CWE-200	8.6 Élevée	Non

Chaque dossier contient :

README.md — avis complet : description officielle de la CVE, analyse de la cause racine, reproduction pas à pas (paires de requêtes/réponses HTTP et commandes curl en une ligne), impact, remédiation, références et chronologie.
CVE-2026-XXXXX.json — l'enregistrement de la vulnérabilité au format CVE JSON 5, correspondant à la structure utilisée par le dépôt officiel cvelistV5, préparé par le rapporteur à titre de référence.

Note sur la chaîne d'attaque (OpenAuth.Net)

CVE-2026-78831 et CVE-2026-78832 partagent la même cause racine — l'API Dynamic (/api/dynamic/*) n'effectue aucune authentification/autorisation — et peuvent être combinées en une chaîne complète de prise de contrôle non authentifiée :

GetList (CVE-2026-78832) extrait SysUser → tous les identifiants en clair ;
Invoke (CVE-2026-78831) modifie le mot de passe de l'administrateur (ou il suffit de se connecter avec le mot de passe extrait) ;
Le point de terminaison /api/Files/Upload non restreint et non authentifié (signalé séparément, aucun identifiant CVE attribué pour l'instant) permet le téléversement arbitraire de fichiers avec un potentiel de WebShell/RCE.

Constats supplémentaires (aucun identifiant CVE attribué)

Au cours de la même recherche, deux autres problèmes non authentifiés ont été identifiés dans OpenAuth.Net mais n'ont pas reçu d'identifiants CVE dans l'attribution actuelle :

Suppression de données non authentifiée via /api/dynamic/Delete (CWE-285, y compris la suppression des journaux d'audit à des fins d'anti-forensique) — Moyenne ;
Téléversement de fichiers non restreint et non authentifié via /api/Files/Upload (CWE-434, potentiel de RCE) — Critique.

Ces éléments sont documentés dans le rapport de recherche local et pourront être soumis séparément au CVE Program.

Divulgation responsable

Toutes les reproductions ont été effectuées dans des environnements de laboratoire contrôlés, sur des instances de test détenues à titre privé ou des cibles autorisées. Les valeurs sensibles figurant dans les réponses capturées (mots de passe, jetons, secrets) sont masquées dans ces comptes rendus. Ces divulgations sont publiées uniquement à des fins défensives — pour aider les utilisateurs des produits concernés à évaluer et atténuer le risque.

Chronologie

Date	Événement
2026-06-20	Demande CVE enregistrée auprès du MITRE CVE Program
2026-06-24	Vérification en laboratoire d'OpenAuth.Net terminée
2026-06	CVE-2026-78829 ~ CVE-2026-78832 attribuées par MITRE
2026-10-30	Divulgation technique publique sur GitHub

Découvert et signalé par CloudFutureSec (@CloudFutureSec).

cve-disclosures

Populaires