Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 49
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS (source) | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Android | CVE-2025-48572 | N/A | Élévation de privilèges | 01/12/2025 | Exploitée | CERTFR-2025-AVI-1056 | https://source.android.com/docs/security/bulletin/2025-12-01?hl=fr |
|
| Android | CVE-2025-48633 | N/A | Atteinte à la confidentialité des données | 01/12/2025 | Exploitée | CERTFR-2025-AVI-1056 | https://source.android.com/docs/security/bulletin/2025-12-01?hl=fr |
|
| Android (PowerVR-GPU) | CVE-2025-6573 | 9.8 (NVD) | Atteinte à la confidentialité des données | 01/12/2025 | Pas d'information | CERTFR-2025-AVI-1056 | https://source.android.com/docs/security/bulletin/2025-12-01?hl=fr |
Rappel des alertes CERT-FR
Vulnérabilité dans React Server Components
Le 3 décembre 2025, React a publié un avis de sécurité relatif à la vulnérabilité CVE-2025-55182 affectant React Server Components et qui permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance. L'éditeur de Next.js a également publié un avis de sécurité faisant référence à l'identifiant CVE-2025-66478. Cet identifiant a été rejeté en raison du doublon avec l'identifiant utilisé par React. Cette faille de sécurité est également connue sous le nom de React2Shell.Le CERT-FR a connaissance de preuves de concept publiques pour cette vulnérabilité et anticipe des exploitations en masse.
Liens :
- https://cert.ssi.gouv.fr/actualite/CERTFR-2025-ACT-053/
- Billet de blogue React relatif à la vulnérabilité CVE-2025-55182 du 03 décembre 2025
- Billet de blogue Vercel relatif à la vulnérabilité CVE-2025-55182 du 03 décembre 2025
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Scadabr | Scadabr | CVE-2021-26828 | 8.8 | Non spécifié par l'éditeur | 27/04/2022 | Exploitée | https://github.com/SCADA-LTS/Scada-LTS/pull/2174 |
