// BASE DE CONNAISSANCES
Analyses techniques sanitisées issues de missions clients, travaux de laboratoire et recherche de vulnérabilités de 2025-2026.
Les analyses techniques détaillées sont rédigées en anglais.
A server-side authorization failure allowed an authenticated low-privilege user to enumerate records outside the assigned domain.
2026 · Client A · Healthtech & medical devices
Hardware debug access and unauthenticated control commands combined into a full firmware reprogramming and control-plane risk.
2026 · Client C · Energy, EV charging & monitoring
A physical authenticated workflow escaped its kiosk boundary while a token parser processed data before signature verification.
2026 · Client B · Healthtech & medical devices
How embedded application secrets became a cross-system compromise path from a mobile client to cloud data and account takeover.
2026 · Client A · Healthtech & medical devices
An embedded charging station accepted engineering-grade firmware without a reliable authenticity and integrity chain.
2026 · Client C · Energy, EV charging & monitoring
A simple SAML assertion replay attack that bypasses WordPress authentication, leveraging the WP Simple SAML plugin and an insecure assertion storage.
Object identifiers and an impersonation workflow were not consistently bound to the caller's authorization context.
2025 · Client R · Web, API & enterprise software
An upload filter bypass allowed active content to persist in an enterprise application and execute in a trusted user context.
2025 · Client R · Web, API & enterprise software
An XML upload path processed recursive entity declarations without safe parser limits, creating a resource-exhaustion denial of service.
2025 · Client Q · Web, API & enterprise software
Excessive delegation on the Active Directory AdminSDHolder object created a persistence path affecting protected administrative accounts.
2025 · Client M · Identity, AD & cybersecurity
A file-import workflow trusted client-controlled extension and content metadata, allowing an uploaded SVG to execute when later rendered.
2025 · Client D · Healthtech & medical devices
A privileged helper wrote safety-relevant device parameters without an integrity check, allowing local tampering with configuration values.
2025 · Client B · Healthtech & medical devices
A medical imaging service accepted deeply nested DICOM sequences without an effective parser-depth limit, allowing remote resource exhaustion.
2025 · Client B · Healthtech & medical devices
Finding sur un endpoint d'import XML : payload Billion Laughs encapsulé dans du JSON pour passer les filtres, résolution récursive d'entités sans borne, déni de service déclenchable par un simple compte authentifié.
Chaîne critique sur une application mobile : credentials fixés dans l'APK, mots de passe stockés en clair, aucun contrôle d'accès par UID sur /users. Lecture de tous les comptes, ATO et accès au backend.
Divulgation publique : le endpoint Mailchimp subscribe du plugin WordPress ElementsKit Lite est exposé sans authentification ni nonce, permettant l'injection non authentifiée d'abonnés à grande échelle.
0-day matériel : le verified boot HAB signe le noyau mais pas les bootargs. Injection de init=/bin/bash via la console U-Boot exposée sur l'UART, shell root sans authentification.
2025 · Client E · Industrial IoT & embedded systems
Finding sur un dispositif médical en mode kiosque : détournement d'Utilman via IFEO pour un shell SYSTEM pré-authentification, rendu persistant en écrivant dans la couche de commit du Unified Write Filter.
Finding critique sur une application de gestion documentaire : un paramètre de page non validé permet la lecture de fichiers (web.config et ses credentials), l'inclusion de contenu distant, et un déni de service par SSRF récursif, sans authentification.
Divulgation publique : entrée utilisateur réfléchie sans encodage sur Dorksearch, exécution de JavaScript arbitraire chaînée à un open redirect pour voler la session de chercheurs en sécurité.
Finding sur une plateforme EDI : un champ de profil accepte du HTML arbitraire, stocké et réexécuté chez tout utilisateur qui consulte le profil. Vol de session automatique, propagation possible et ciblage des admins.
Divulgation publique : méthode HTTP TRACE activée (XST) permettant de lire des en-têtes normalement masqués, combinée à un XSS reflété et un open redirect pour le vol de session et le phishing.
Finding sur une application RH : le paramètre de redirection de la page de connexion est réinjecté sans encodage dans un champ caché, permettant l'exécution de JavaScript et le vol de credentials par phishing.