24°C
couvert
Fascinating video about searching for life undersea. The video basically makes the point that our bright white searchlights are scaring everything away, and that red light is more neutral. That, plus bait to attract sea creatures, is teaching us...
In this video interview, Standard Chartered's group CISO shares insights on transitioning from technical roles to strategic leadership, the importance of business-savvy security executives, and how AI is reshaping both defensive capabilities and...
Driven by AI-augmented research and scanning, vulnerability volumes continue to surge, driving the National Institute of Standards and Technology to ask whether AI could be the answer.
This is a current list of where and when I am scheduled to speak: I’m speaking, signing books, and participating in panel discussions at LAcon V in Anaheim, California, USA. My full schedule is here. I’m speaking online (via Zoom) at a League of...
One Caledonian government agency reported a breach, thanks to a third party that may have serviced other agencies as well.
Why do so many boards underestimate technology risk until it becomes a crisis?
The $1 billion deal aims to converge data security and identity into a single control plane for agents, with privileged access redefined around business context rather than static roles.
It can be daunting to determine who’s responsible for showing ads on the websites we visit, or who’s harvesting data from the mobile apps we use every day. That information is already semi-public, but it is not easily parsed and traditionally...
This essay was written with Nathan E. Sanders, and originally appeared in The Guardian. OpenAI, and then Anthropic, were each formed by AI developers who feared unrestrained corporate AI development—specifically, that companies like Google and...
(c) SANS Internet Storm Center. https://isc.sans.edu Creative Commons Attribution-Noncommercial 3.0 United States License.
Exploitation against CVE-2026–59310 began earlier this month, and patching the vulnerability may not be enough to fully mitigate the threat.
This essay was written with Nathan E. Sanders, and originally appeared in Tech Policy Press. AI represents the first time we humans can do cognitive work outside of our bodies at scale. The only comparable moment is the early years of the...
Researchers discovered hackers-for-hire performing cyber espionage and financially motivated heists from the same Web panel.
The trust framework underlying Belgium's electronic ID system was fully compromised by severe vulnerabilities in a key browser extension, showcasing bigger problems with extensions in general.
(c) SANS Internet Storm Center. https://isc.sans.edu Creative Commons Attribution-Noncommercial 3.0 United States License.
In the past few weeks, I have been using Gemma4 as a Large Language Model (LLM) to see how useful it can be to analyze some of the malware hashes uploaded to the DShield sensor over the past 30 days and figure out how its recommendation can be...
Context We introduce here the Python library pcode_graph, a tool developed at Quarkslab to abstract the semantics of binary code. It provides an API to build and visualize Control & Data flow Graphs (CDG) from a function, a basic-block or any...
The "City-Forum" campaign has been active since at least March 2025 and has targeted organizations across multiple sectors with custom tooling.
Walmart co-locates red and blue teams to build trust and improve security through collaborative purple teaming exercises
A couple of days ago, Xavier posted about Atuin to gain more insight into the command history. Atuin does a great job of better organizing what is usually handled by "bash_history" and collecting meaningful additional data. Our reader David...
Aucun article de sécurité disponible
Injection SQL dans la recherche de backlinks, exploitable par un utilisateur anonyme ou avec le rôle Reader. Un attaquant peut exécuter des requêtes SQL arbitraires, permettant la lecture et l'écriture de données dans tous les notebooks. Cela...
Injection de commandes OS critique dans la fonctionnalité Net Check via l'événement cmdPing. Un attaquant peut injecter des commandes arbitraires avec les privilèges root, compromettant totalement le système. La gravité maximale est due à...
Exécution de code à distance non authentifiée via l'endpoint POST /api/v1/responses/. Un attaquant peut soumettre des invites malveillantes pour exécuter du code Python arbitraire via l'outil scratchpad, compromettant totalement le système. La...
Cette vulnérabilité d'exécution de code à distance dans la génération de rapports de Tenable Security Center permet à un utilisateur authentifié non administrateur d'exécuter du code arbitraire avec les privilèges du compte de service....
Vulnérabilité d'injection de commandes authentifiée liée au traitement des téléchargements de fichiers. Un attaquant peut télécharger un fichier spécialement conçu pour exécuter des commandes arbitraires sur le système d'exploitation sous-jacent....
Vulnérabilité d'injection de commandes non authentifiée permettant à un attaquant distant d'exécuter des commandes arbitraires sur le système d'exploitation sous-jacent avec les privilèges du compte de service. Cela peut entraîner une...
Une neutralisation inadéquate des éléments spéciaux dans une commande permet à un attaquant distant d'exécuter des commandes CL arbitraires. Cela offre un contrôle total sur le système, compromettant gravement la sécurité. Le score maximal...
Prise de contrôle de compte via une vérification insuffisante de l'authenticité des données. Un attaquant non authentifié peut prendre le contrôle de n'importe quel compte, y compris administrateur, en manipulant les paramètres POST. Cela permet...
Vulnérabilité critique dans le plugin Grav API, où le endpoint disable2fa n'applique pas les limites de portée des clés API. Un détenteur de clé API à portée étroite sur un compte super, ou un compte non-super avec ACL incluant api.users.write,...
Vulnérabilité critique de contournement de portée de clé API dans PagesController::guardTwigContent(). Une clé API à privilèges minimaux avec api.pages.write peut activer process.twig lors d'une sauvegarde de page, permettant l'exécution de...
Vulnérabilité critique dans createApiKey du plugin Grav API, où les portées d'une nouvelle clé API ne sont pas validées comme sous-ensemble des portées de l'appelant. Un attaquant avec une clé API à portée minimale peut soumettre un tableau de...
Vulnérabilité critique dans UsersController du plugin Grav API, où les méthodes create() et update() ne consultent pas les portées de la clé API pour les privilèges super. Une clé api.users.write peut définir access.api.super ou assigner un...
Vulnérabilité critique dans ConfigController du plugin Grav API, où les portées de clé API ne sont pas appliquées aux portes super. Les attaquants avec une clé api.config.write peuvent injecter des commandes arbitraires dans scheduler.custom_jobs...
Injection SQL non authentifiée dans les endpoints REST /cn/v1/object et /cn/v2/object. Un attaquant peut injecter des commandes SQL via le paramètre nodeId, permettant l'extraction, la modification ou la suppression de données dans la base...
Vulnérabilité critique dans install.php permettant une réinstallation non authentifiée. Un attaquant peut écraser le fichier config.php avec des paramètres de base de données contrôlés et créer un compte administrateur, compromettant totalement...
Les routes HTTP sous /api/documents/* ne sont pas protégées par authentification, même lorsque l'API est configurée avec une clé. Un attaquant non authentifié peut lire, écrire et supprimer des documents, compromettant la confidentialité et...
Une validation inadéquate des segments de chemin URI permet à un attaquant distant de contourner l'authentification et d'obtenir ou modifier des informations sensibles. Cela expose des données critiques et permet des altérations non autorisées....
Le contrôle externe du nom ou du chemin de fichier permet à un attaquant distant d'exécuter du code arbitraire. Cela peut mener à une prise de contrôle complète du système. La gravité critique exige une action urgente pour prévenir toute exploitation.
Une vulnérabilité de traversée de chemin permet à un attaquant distant non authentifié d'écrire des fichiers dans des emplacements arbitraires. Cela peut conduire à une compromission totale du système, y compris l'écriture de fichiers...
Le client QUIC ne vérifie pas la signature CertificateVerify, la chaîne de certificats ou le nom d'hôte lors de la poignée de main TLS 1.3. Un attaquant de type homme du milieu peut présenter un certificat arbitraire et usurper n'importe quel...
Dépassement de tampon basé sur la pile dans la fonction set_device_name via l'argument devName, exploitable à distance. L'exploit public permet une exécution de code arbitraire, compromettant totalement le système. Aucun correctif mentionné,...
Dépassement de tampon basé sur la pile dans la fonction set_wl_guest_iplist via l'argument shareSpeed, exploitable à distance. L'exploit public permet une exécution de code arbitraire, compromettant totalement le système. Aucun correctif...
Dépassement de tampon basé sur la pile dans la fonction formSetPortMirror via l'argument portMirrorMirroredPorts, exploitable à distance. L'exploit public permet une exécution de code arbitraire, compromettant totalement le système. Aucun...
Dépassement de tampon basé sur la pile dans la fonction addStaticRoute via l'argument staticRouteNet, exploitable à distance. L'exploit public permet une exécution de code arbitraire, compromettant totalement le système. Aucun correctif...
Vulnérabilité de débordement de tampon dans la fonction setPortMapping de l'interface de gestion httpd. Un attaquant distant peut exploiter ce défaut pour exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui...
Débordement de tampon basé sur la pile dans la fonction setIpQosRules. Un attaquant distant peut exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui augmente le risque d'attaques.
Débordement de tampon basé sur la pile dans la fonction UploadCustomModule. Un attaquant distant peut exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui augmente le risque d'attaques.
Débordement de tampon basé sur la pile dans la fonction setMacFilterRules. Un attaquant distant peut exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui augmente le risque d'attaques.
Débordement de tampon basé sur la pile dans la fonction setMacQos. Un attaquant distant peut exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui augmente le risque d'attaques.
Débordement de tampon basé sur la pile dans la fonction setParentalRules. Un attaquant distant peut exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui augmente le risque d'attaques.
Débordement de tampon dans la fonction formSetRebootTimer. Un attaquant distant peut exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui augmente le risque d'attaques.
Débordement de tampon basé sur la pile dans la fonction lstAdd. Un attaquant distant peut exécuter du code arbitraire ou provoquer un déni de service. L'exploit est public, ce qui augmente le risque d'attaques.
Vulnérabilité d'exécution de code à distance dans le plugin Flex Objects de Grav CMS, permettant aux utilisateurs authentifiés d'exécuter du code arbitraire en téléversant un fichier ZIP contenant du code PHP. L'attaquant contourne la validation...
Vulnérabilité d'injection de template côté serveur dans les paramètres d'action email de Grav CMS, permettant aux éditeurs de pages à faibles privilèges d'exécuter des commandes système arbitraires. Les attaquants peuvent injecter des payloads...
Vulnérabilité d'autorisation incorrecte dans l'API Flex Objects, où FlexApiController::update() ne vérifie que la permission générale du répertoire Flex sans appliquer les contrôles supplémentaires. Un compte authentifié avec api.access,...
Vulnérabilité d'élévation de privilèges dans le plugin Grav API, où une clé API à portée limitée contourne sa portée déclarée sur quatre endpoints d'écriture. Une clé 'read-only' peut effectuer des opérations d'écriture super-only, y compris...
Cette vulnérabilité permet à un attaquant authentifié de contourner l'isolation createUserDir et d'accéder aux fichiers d'autres utilisateurs. L'exploitation peut entraîner la lecture, la modification, la suppression et le partage non autorisés...
Cette vulnérabilité de débordement de tampon dans la fonction formQOSRuleDel permet une exécution de code à distance. Un attaquant peut manipuler l'argument qosIndex pour corrompre la mémoire. L'exploit est public, ce qui augmente le risque d'attaques.
Cette faille de débordement de tampon dans ipMacBindListStore permet une exécution de code à distance. Un attaquant peut manipuler l'argument IPMacBindRule pour corrompre la mémoire. L'exploit est public, ce qui augmente le risque d'attaques.
Cette vulnérabilité permet à un attaquant non authentifié de téléverser un firmware non signé. L'exploitation peut entraîner une compromission persistante du routeur. L'impact est une prise de contrôle totale de l'appareil.
Cette vulnérabilité de débordement de tampon basé sur la pile dans la fonction setRadvdCfg de TOTOLINK A800R permet à un attaquant distant d'exécuter du code arbitraire via la manipulation de l'argument radvdinterfacename. L'exploitation peut...
Vulnérabilité de débordement de tampon basé sur la pile dans la fonction setStaticDhcpConfig du composant lan.so. Un attaquant distant peut exploiter cette faille via une manipulation de l'argument Comment pour exécuter du code arbitraire ou...
Vulnérabilité de use-after-free dans la libération d'objets dynamiques du noyau. Un timer dynamique armé n'est pas annulé avant la libération de sa mémoire, laissant un nœud pendant dans la file d'attente des timeouts. Lors de l'expiration, le...
Vulnérabilité d'escalade de privilèges locale permettant à un attaquant avec un accès en écriture à un fichier de configuration spécifique d'exécuter du code arbitraire avec des privilèges élevés. Aucune interaction supplémentaire de...
Vulnérabilité de validation d'entrée insuffisante dans la gestion des téléchargements de fichiers. Une désinfection insuffisante des noms de fichiers téléchargés peut contribuer à une injection de commandes en aval. Un attaquant pourrait...
Vulnérabilité de débordement de tampon basé sur la pile dans la fonction setUrlFilterRules du fichier /cgi-bin/cstecgi.cgi. Un attaquant distant peut manipuler l'argument url pour provoquer un débordement, permettant potentiellement l'exécution...
Débordement de tampon basé sur la pile dans la fonction setWiFiWpsConfig du composant wps.so. La manipulation de l'argument pin permet à un attaquant distant de déclencher un débordement, pouvant mener à une exécution de code arbitraire....
Un attaquant authentifié peut contourner les restrictions de sécurité en raison d'une autorisation inappropriée. Cela permet d'accéder à des ressources ou d'effectuer des actions non autorisées, compromettant l'intégrité du système. La gravité...
Une injection de commande dans l'intégration FFmpeg permet à des utilisateurs authentifiés avec la permission assets/upload d'exécuter des commandes arbitraires. L'exploitation via un nom de fichier malveillant peut compromettre le serveur web....
Une injection de commande OS dans la gestion de git_url permet à des utilisateurs authentifiés avec le rôle Manager ou Owner d'exécuter du code à distance sur le serveur. L'exploitation via une URL malveillante peut compromettre entièrement...
Injection SQL non authentifiée dans le callback de paiement avant vérification de la signature HMAC. Un attaquant peut lire des données arbitraires de la base, y compris les identifiants utilisateur. L'impact est critique car l'attaque est...
Bypass de la frontière de publication dans les sessions WebSocket, permettant à des lecteurs anonymes de recevoir des modifications non filtrées. Cela expose des documents protégés par mot de passe ou interdits. L'impact est une fuite...
Une injection de commande permet à un attaquant authentifié à distance de provoquer un déni de service. L'exploitation de cette faille peut entraîner une exécution de commandes arbitraires, compromettant la disponibilité du système. Le score...
Vulnérabilité de vérification manquante dans le vérificateur d'appels système z_vrfy_z_log_msg_static_create(). Un thread utilisateur non privilégié peut fournir des arguments contrôlés, permettant une lecture de mémoire arbitraire dans le noyau...
Débordement de tampon basé sur le tas dans Microsoft Edge, permettant à un attaquant non autorisé d'exécuter du code sur un réseau. Cette vulnérabilité peut être exploitée à distance pour compromettre le système de la victime. La gravité est...
Un attaquant distant peut obtenir des informations sensibles en raison d'un contrôle externe de la configuration système. Cela peut exposer des données confidentielles à des parties non autorisées. La gravité est élevée en raison de la...
Un attaquant distant peut écrire des fichiers arbitraires en raison d'une limitation inappropriée du chemin d'accès. Cela peut permettre l'écriture de fichiers malveillants sur le système, compromettant l'intégrité et la disponibilité. La gravité...
Permet à un attaquant non authentifié de s'inscrire avec un rôle arbitraire, y compris administrateur, si un champ de profil personnalisé est configuré. Cela conduit à une escalade de privilèges totale et à une compromission complète du site WordPress.
Vulnérabilité dans FileBrowser sur les systèmes de fichiers insensibles à la casse, où deux noms d'utilisateur différant uniquement par la casse sont stockés comme comptes distincts mais résolvent au même répertoire home physique. Un second...
Cette vulnérabilité d'injection de code permet à un utilisateur authentifié avec des permissions de gestion des paramètres d'exécuter du code PowerShell arbitraire. L'exploitation peut entraîner une compromission totale du système. L'impact est...
Cette vulnérabilité dans Akaunting permet à un utilisateur authentifié à faibles privilèges de s'auto-attribuer le rôle administrateur via le job UpdateUser, qui synchronise les rôles sans vérification d'autorisation. L'exploitation nécessite...
Vulnérabilité d'escalade de privilèges permettant à un utilisateur avec le rôle Security Manager et la permission manage user sur un seul groupe de modifier des utilisateurs appartenant à d'autres groupes. Cela contourne les contrôles d'accès...
Une faille de validation du nonce dans le fournisseur Facebook permet à des attaquants non authentifiés de rejouer des id_tokens OIDC capturés. Cela peut mener à un contournement de l'authentification et à un accès non autorisé aux comptes. La...
Cette vulnérabilité de permissions par défaut incorrectes dans Dell WMS permet à un attaquant local à faibles privilèges d'élever ses privilèges. L'exploitation locale peut mener à une élévation de privilèges complète, compromettant la sécurité...
Vulnérabilité de Server-Side Template Injection (SSTI) dans la commande trestle author jinja. Un attaquant peut injecter des payloads malveillants dans des champs de données pour exécuter des commandes arbitraires avec les privilèges du...
Une injection de commande dans Microsoft PowerShell permet à un attaquant autorisé d'exécuter du code localement. Cela peut mener à une élévation de privilèges ou à une compromission du système. Le score élevé indique un risque sérieux pour la sécurité.
Une élévation de privilèges dans le moteur de protection contre les malwares de Microsoft Defender, connue sous le nom de ShieldBreak, permet à un attaquant d'obtenir des privilèges élevés. L'exploitation peut compromettre la sécurité du système....
Une régression d'autorisation permet aux utilisateurs BASIC d'obtenir des URL présignées S3 pour téléverser des fichiers. Les attaquants peuvent spécifier des buckets S3 arbitraires, entraînant des téléversements non autorisés. L'impact est une...
Cette injection XXE dans Datavane TIS v5.0.0 permet à un attaquant authentifié de réaliser des requêtes SSRF et d'exfiltrer des fichiers locaux via le endpoint doEditWorkflow. La configuration non durcie de DocumentBuilderFactory avec entités...
Vulnérabilité de contournement de portée de clé API dans le endpoint /reports/twig-content/allowlist. Une clé API à portée limitée avec api.config.write peut ajouter des jetons choisis par l'attaquant à la liste blanche du sandbox Twig,...
Cette vulnérabilité de consommation de ressources dans le plugin JSON permet à un attaquant d'épuiser la mémoire du serveur. L'exploitation peut entraîner une indisponibilité du service. L'impact est un déni de service.
Cette vulnérabilité dans ZeroBrew permet à un attaquant réseau d'exécuter du code arbitraire en substituant du contenu malveillant dans les URLs de ressources ou de patches sans validation de checksum. L'exploitation via 'zb install...
Vulnérabilité de déni de service par épuisement de mémoire dans le décodage VP8L. Un attaquant distant peut envoyer une image VP8L spécialement conçue contenant de nombreux groupes d'arbres de Huffman inutilisés, provoquant une allocation...
Débordement de tampon basé sur la pile dans la fonction copydir() de afpd, causé par un sous-dépassement d'entier. Cela permet à un attaquant de provoquer un débordement de tampon en manipulant les chemins de fichiers, pouvant mener à une...
Un attaquant authentifié peut obtenir des informations sensibles en raison d'une validation d'entrée inappropriée. Cela peut permettre l'accès à des données non autorisées, compromettant la confidentialité. La gravité est élevée en raison de la...
Une faille dans l'application de l'authentification permet à un attaquant authentifié à distance d'accéder à des informations sensibles. Cela peut conduire à une divulgation non autorisée de données critiques. Le score élevé reflète un risque...
Une récursion incontrôlée permet à un attaquant distant non authentifié de provoquer un déni de service. L'exploitation peut saturer les ressources système et rendre le service indisponible. La gravité est élevée en raison de la facilité d'accès...
Une limitation inadéquate du chemin d'accès à un répertoire restreint permet à un attaquant authentifié à distance d'obtenir des informations sensibles. Cela expose des données confidentielles hors des zones autorisées. Le score élevé reflète un...
Vulnérabilité de traversée de chemin dans le contrôleur de téléchargement de fichiers, permettant à un attaquant distant de manipuler les arguments bucket/bizType pour accéder à des fichiers non autorisés. L'exploit est public et le projet n'a...
Traversée de chemin dans le point de terminaison chunk-check, exploitable à distance via l'argument Name. L'exploit public permet un accès non autorisé aux fichiers, compromettant la confidentialité des données. Le projet n'a pas répondu,...
Traversée de chemin dans le point de terminaison chunk-check via l'argument Name, exploitable à distance. L'exploit public permet un accès non autorisé aux fichiers, compromettant la confidentialité. Aucun correctif mentionné, nécessitant une...
Injection SQL dans le fichier getpwd.php via l'argument sip, exploitable à distance. L'exploit public permet un accès non autorisé à la base de données, compromettant l'intégrité des données. Le fournisseur n'a pas répondu, augmentant le risque.
Cette vulnérabilité d'injection SQL dans la fonction save_service permet à un attaquant distant de manipuler la base de données. L'exploitation peut entraîner la divulgation ou la modification de données. L'exploit est public, ce qui augmente le...
Cette vulnérabilité de désérialisation dans Hessian2Input.readObject permet une exécution de code à distance. Un attaquant peut envoyer des données malveillantes pour compromettre le système. L'exploit est public, ce qui augmente le risque d'attaques.
Injection de commandes OS dans l'interface LuCI via les arguments MaxHops/Timeout/Size, exploitable à distance. L'exploit public permet une exécution de commandes arbitraires, compromettant totalement le système. Le fournisseur n'a pas répondu,...
Vulnérabilité de type Cross-Site Scripting stocké via le nom d'auteur de commentaire, exploitable par des attaquants non authentifiés. L'exploitation nécessite la fonctionnalité Lazy Load Images, permettant l'injection de scripts malveillants. Un...
XSS stocké dans le plugin WP-Stats, permettant à un attaquant non authentifié d'injecter des scripts arbitraires. Ces scripts s'exécutent lors de l'accès aux pages affectées, pouvant compromettre les sessions des utilisateurs. L'impact est élevé...
Vulnérabilité de contournement de portée de clé API dans InvitationsController du plugin Grav API. Une clé API à portée limitée (api.users.write) peut créer une invitation avec des drapeaux d'accès super-admin, résultant en une élévation de...
Cette vulnérabilité de téléchargement non restreint de fichiers dangereux dans Dell WMS permet à un attaquant distant à hauts privilèges d'exécuter du code à distance. L'exploitation peut mener à une compromission totale du système, avec un...
Cette vulnérabilité similaire de téléchargement non restreint dans Dell WMS permet à un attaquant distant à hauts privilèges d'exécuter du code à distance. L'exploitation peut mener à une prise de contrôle complète du système, avec des...
Cette vulnérabilité d'injection de commandes dans Tenable Security Center permet à un administrateur authentifié de modifier des valeurs de configuration pour exécuter des commandes arbitraires sur le système d'exploitation. L'exploitation peut...
Exécution de code à distance authentifiée dans le module de balises personnalisées. Un administrateur peut stocker une charge utile PHP malveillante qui est exécutée via eval() lors du rendu des pages. Cela permet l'exécution de code arbitraire...
Vulnérabilité d'injection SQL permettant à un attaquant d'accéder à des données non autorisées depuis la base de données de l'application. Cela peut entraîner une divulgation d'informations sensibles.
XSS stocké via un attribut de shortcode non échappé. Les utilisateurs avec le rôle Contributeur peuvent injecter du JavaScript arbitraire qui s'exécute dans le navigateur des administrateurs. Cela peut conduire à une compromission de session ou à...
Vulnérabilité de contournement de règles de déni dans filebrowser, où les chemins ne sont pas canonicalisés avant l'évaluation des règles d'accès. Les utilisateurs authentifiés peuvent utiliser des variantes de casse ou des séparateurs backslash...
Absence de protection CSRF sur l'action execute_tool de l'IA Assistant, permettant à un attaquant distant de soumettre des requêtes forgées à un administrateur connecté. Cela peut conduire à la lecture et à l'écriture de toutes les tables de la...
Vulnérabilité de Server-Side Request Forgery (SSRF) dans la méthode HTTPSFetcher._do_fetch() qui passe une URL fournie par l'utilisateur directement à requests.get() sans validation. Un attaquant peut cibler des services internes ou des endpoints...
Injection SQL générique dans le paramètre 'data[queryCondition]'. Un administrateur authentifié peut extraire des informations sensibles de la base de données. L'impact est limité par le niveau de privilège requis.
Absence d'autorisation dans l'endpoint /api/ref/refreshBacklink, permettant à des lecteurs anonymes de déclencher des écritures persistantes côté serveur. Cela peut entraîner une amplification de ressources et un déni de service. L'impact est...
Vulnérabilité de spoofing IP dans le middleware RealIP de go-chi/chi. Le middleware lit les en-têtes contrôlés par le client et remplace r.RemoteAddr sans vérifier les proxies de confiance, permettant de contourner les contrôles d'accès IP, le...
Vulnérabilité de spoofing IP dans le middleware RealIP de go-chi/chi, qui utilise la première IP de l'en-tête X-Forwarded-For sans valider les proxies de confiance. Un client malveillant peut préfixer une IP forgée pour usurper l'adresse source,...
Cette faille permet à un utilisateur authentifié d'écrire des données arbitraires sur le disque en envoyant des requêtes TUS avec des corps surdimensionnés. L'exploitation peut épuiser l'espace disque et provoquer une indisponibilité du service....
Cette vulnérabilité dans le service CTDB de Samba permet à un attaquant distant sur le réseau privé CTDB d'envoyer des paquets malformés, provoquant un déni de service par crash ou consommation excessive de mémoire, et potentiellement une...
Vulnérabilité de collision de cache dans la fonction canonicalizeParams qui sérialise les paramètres de requête avec des délimiteurs non échappés. Un attaquant peut provoquer une collision entre différents ensembles de paramètres logiques et...
Cette vulnérabilité de validation inadéquate des chemins de fichiers permet à un attaquant authentifié à distance d'obtenir des informations sensibles. L'impact est une fuite de données confidentielles, nécessitant des privilèges...
Sans clé pré-partagée définie, un attaquant non authentifié peut inonder la file de notifications et injecter des caractères de traversée de chemin dans les URLs de l'API Clair. Cela épuise les ressources des workers et permet une manipulation...
Vulnérabilité de type Server-Side Request Forgery dans la fonction loadSource, permettant à un attaquant distant de faire des requêtes non autorisées. L'exploit public expose des services internes, compromettant la sécurité du réseau. Le projet...
Injection SQL dans le fichier viewdoctortimings.php via l'argument delid, exploitable à distance. L'exploit public permet un accès non autorisé aux données médicales, compromettant la confidentialité. Aucun correctif mentionné, nécessitant une...
Injection SQL dans le module médical étudiant via l'argument table, exploitable à distance. L'exploit permet un accès non autorisé aux données médicales, compromettant la confidentialité. Un correctif en version 12.8 est disponible, nécessitant...
Cette vulnérabilité de traversée de chemin dans PlayController permet à un attaquant distant de lire des fichiers arbitraires. L'exploitation peut entraîner une divulgation d'informations sensibles. L'exploit est public, ce qui augmente le risque...
Cette vulnérabilité de Cross-Site Scripting (XSS) permet à un attaquant authentifié de stocker une URL malveillante. L'exploitation peut entraîner l'exécution de scripts dans la session d'une victime. L'impact est une divulgation d'informations sensibles.
Cette vulnérabilité de désérialisation non sécurisée dans Dell WMS permet à un attaquant local à faibles privilèges d'élever ses privilèges. L'exploitation de données non fiables peut mener à une exécution de code arbitraire, compromettant...
Cette vulnérabilité d'utilisation de credentials codés en dur dans Dell WMS permet à un attaquant local à faibles privilèges d'obtenir un accès non autorisé. L'exploitation de ces credentials peut mener à une compromission des fonctionnalités...
Un attaquant authentifié peut contourner les restrictions de sécurité en désactivant la validation des entrées côté serveur via un paramètre de requête. Cela permet d'effectuer des actions non autorisées, compromettant l'intégrité du système. La...
Une vulnérabilité de cross-site scripting permet à un attaquant authentifié à distance d'exécuter des scripts arbitraires. Cela peut mener à un vol de session ou à des actions non autorisées. La gravité est modérée, mais l'impact sur la...
L'interface de déploiement autodetect peut échouer à exécuter le nettoyage immédiatement après l'inscription ou le changement vers cette interface. Cela peut laisser des nœuds dans un état non nettoyé, posant des risques de sécurité et de...
Absence de vérification de l'origine des demandes de confirmation de paiement. Un attaquant non authentifié peut marquer des commandes comme confirmées ou payées, entraînant des pertes financières et une compromission de l'intégrité des transactions.
Le gestionnaire de webhook Stripe ne valide pas l'en-tête de signature, permettant à un attaquant de forger des événements de facturation. Cela peut réinitialiser les quotas de build d'un namespace et envoyer des emails de facturation non...
La fonctionnalité de logs exportés permet à un attaquant non authentifié de télécharger des logs d'action avec un simple ID de fichier, interceptable via des emails ou webhooks en clair. Cela expose des données sensibles comme noms d'utilisateur,...
Cette vulnérabilité divulgue des identifiants de blocs citant des annotations PDF sans filtrage d'accès. Les attaquants peuvent extraire des identifiants de documents restreints, révélant des relations de citation. L'impact est une fuite...
Cette faille permet aux lecteurs anonymes de découvrir des documents cachés en utilisant des identifiants de lignes visibles. Les attaquants peuvent obtenir le nom de la base, le titre de la ligne et le chemin des documents cachés. L'impact est...
Cette vulnérabilité permet à un attaquant anonyme de distinguer les niveaux d'accès des documents via des réponses différentes. En soumettant des requêtes avec un mot de passe vide, il peut confirmer l'existence de documents cachés ou interdits....
Vulnérabilité de use-after-free dans la file de travail de deuxième génération du noyau. Une annulation concurrente d'un travail différé ne attend pas la fin du gestionnaire en cours, permettant une libération prématurée et une utilisation...
Récursion incontrôlée dans le parseur de configuration LVM, provoquant un déni de service local. Un attaquant local peut faire planter les commandes LVM en fournissant des métadonnées malveillantes. L'impact est limité à la disponibilité du système.
Vulnérabilité de cross-site scripting stocké dans le plugin Grav Form, dans les libellés d'options de champs radio et toggle rendus avec le filtre Twig |raw. Les attaquants avec des permissions de création de formulaires peuvent injecter du HTML...
Vulnérabilité de contournement de portée de clé API dans DemoController du plugin Grav API. La méthode requireSuper() vérifie isSuperAdmin() et retourne avant d'invoquer requirePermission(), donc les clés API à portée limitée peuvent contourner...
Vulnérabilité de cross-site scripting stocké dans la fonction Security::detectXss() de Grav, où le scan des gestionnaires d'événements est ancré à '' littéral. Un éditeur de page sans admin.super peut sauvegarder du contenu avec un '>' dans une...
Une neutralisation inadéquate des éléments spéciaux dans une commande SQL permet à un attaquant authentifié à distance de contourner les restrictions de sécurité. Cela peut conduire à des accès non autorisés ou à des manipulations de données. La...
Une traversée de chemin permet à un attaquant authentifié à distance de supprimer des fichiers arbitraires. Cela peut entraîner une perte de données ou une indisponibilité du service. La gravité est moyenne, mais l'impact sur l'intégrité des...
Des problèmes de validation JWT pour les comptes robots fédérés et l'authentification SSO permettent à un attaquant de contourner les restrictions de sécurité. Cela peut conduire à un accès non autorisé en contournant les limites prévues. La...
Vulnérabilité de type Server-Side Request Forgery dans la fonction downloadReport, exploitable localement via l'argument downloadUrl. L'exploit public permet des requêtes non autorisées, mais l'impact est limité à l'environnement local. Le projet...
Cette vulnérabilité de traversée de chemin dans JobLogController permet à un attaquant distant de lire des fichiers arbitraires. L'exploitation peut entraîner une divulgation d'informations sensibles. L'exploit est public, ce qui augmente le...
Cette vulnérabilité d'allocation de ressources dans bftpd permet à un attaquant distant d'épuiser les ressources du système. L'exploitation peut entraîner une indisponibilité du service. Le produit n'est plus supporté, ce qui augmente le risque.
Cette vulnérabilité de contournement d'authentification permet à un attaquant d'exploiter des identifiants fiables. L'exploitation peut entraîner un accès non autorisé au système. L'impact est une compromission de la confidentialité et de l'intégrité.
Cette vulnérabilité de conversion de caractères dans les en-têtes HTTP peut entraîner une troncature en caractères de contrôle. L'exploitation peut entraîner une divulgation d'informations ou une compromission de l'intégrité. L'impact est limité...
Cette vulnérabilité de manque d'authentification pour une fonction critique dans Dell WMS permet à un attaquant non authentifié d'accéder à distance à des informations sensibles. L'exploitation peut mener à une divulgation d'informations,...
Vulnérabilité de validation insuffisante dans les outils ckan_get_mqa_quality et ckan_get_mqa_quality_details. La validation du paramètre server_url utilise une expression régulière basée uniquement sur le préfixe, permettant à un attaquant de...
Vulnérabilité de génération prévisible de jetons CSRF, réduisant leur efficacité comme contrôle de sécurité. Un attaquant pourrait potentiellement prédire les jetons et contourner la protection CSRF. Le problème a été corrigé en améliorant l'aléa...
Le parseur TOML ne détecte pas correctement les clés dupliquées lorsque la valeur précédente est une primitive falsy. Cela permet à un attaquant de provoquer une confusion de type, où une valeur booléenne false ou numérique 0 devient un objet...
Un attaquant authentifié peut obtenir des informations sensibles en raison d'une authentification inappropriée. Cela peut exposer des données confidentielles à des utilisateurs non autorisés. La gravité est modérée, mais la fuite d'informations...
Un administrateur de dépôt peut lire la configuration de notifications d'un autre dépôt en devinant l'UUID, exposant des secrets comme des webhooks et tokens Slack. Cela permet aussi de déclencher des notifications de test non autorisées, menant...
Lecture hors limites dans les backends M68K et RISCV de l'API cs_insn_name(). Un ID d'instruction invalide fourni par l'appelant peut provoquer un crash du processus, entraînant une perte de disponibilité. Aucune exécution de code ou divulgation...
Injection SQL temporelle dans le paramètre 'orderby' du plugin WordPress. Un administrateur authentifié peut extraire des informations sensibles de la base de données. L'impact est limité par le niveau de privilège requis.
Vulnérabilité de validation insuffisante des chemins racine des profils de sauvegarde dans Grav, permettant aux attaquants d'archiver des répertoires hors de GRAV_ROOT. Les attaquants avec accès à l'éditeur de profils peuvent configurer des...
Vulnérabilité d'injection SQL permettant à un administrateur authentifié d'exécuter des requêtes SQL arbitraires. Cela peut entraîner un accès non autorisé à des données sensibles, y compris des identifiants. L'impact est limité aux...
Une gestion inadéquate des références LDAP permet à un attaquant d'injecter des métacaractères de filtre LDAP. Cela peut créer un oracle d'existence d'utilisateurs ou influencer la liaison de mot de passe. La gravité est faible, mais l'impact sur...
Traversée de chemin dans le contrôleur de téléchargement via l'argument File, permettant un accès non autorisé aux fichiers. L'attaque est à distance, mais un correctif est disponible en version 1.5.0, réduisant l'impact si mis à jour rapidement.
Injection SQL dans le fichier Master.php via l'argument ID, exploitable à distance. L'exploit public permet un accès non autorisé aux données, compromettant l'intégrité. Aucun correctif mentionné, nécessitant une action immédiate.
Cette vulnérabilité dans la fonctionnalité d'usurpation de client admin de Bagisto permet un contournement d'autorisation via la manipulation de l'argument ID dans le fichier /admin/customers/login-as-customer/. Un attaquant distant peut...
Cette vulnérabilité de téléchargement non restreint dans le fichier /save_file.php de SourceCodester Simple Doctors Appointment System permet à un attaquant distant de télécharger des fichiers arbitraires. L'exploitation peut mener à une...
Cette vulnérabilité dans la bibliothèque dnssec.c de dnsmasq provoque une boucle infinie, permettant à un attaquant contrôlant une zone signée DNSSEC de faire planter le processus avec une seule réponse malveillante. Cela entraîne un déni de...
Contournement d'autorisation dans la fonction DBUpdate, exploitable à distance. L'exploit public permet un accès non autorisé, mais un correctif en version 12.9 est disponible, réduisant l'impact si appliqué rapidement.
Vulnérabilité de type Cross-Site Request Forgery dans le fichier Modules.php, exploitable à distance. L'exploit permet des actions non autorisées, mais un correctif en version 12.9 est disponible, réduisant le risque si appliqué.
Vulnérabilité de type Cross-Site Request Forgery dans la suppression d'options, exploitable par des attaquants non authentifiés. L'exploit permet de supprimer tous les paramètres du plugin, mais nécessite une interaction de l'administrateur. Un...
Vulnérabilité de contournement de permission dans le endpoint /api/resources de filebrowser, où la branche checksum lit le fichier entier et retourne le digest sans vérifier Perm.Download. Un utilisateur authentifié avec Perm.Download=false peut...
Cette vulnérabilité de traversée de chemin dans LogController permet à un attaquant distant de lire des fichiers de logs arbitraires. L'exploitation peut entraîner une divulgation d'informations sensibles. L'exploit est public, ce qui augmente le...
Cette faille dans la fonctionnalité de détail client backend de Bagisto permet un contournement d'autorisation via la manipulation de l'argument ID dans le fichier /admin/customers/view. Un attaquant distant peut accéder à des informations...
Cette vulnérabilité dans le endpoint de reporting backend de Bagisto permet un contournement d'autorisation via la manipulation de l'argument ID. Un attaquant distant peut accéder à des rapports de ventes sensibles sans autorisation, mais le...
Vulnérabilité de contrôle d'accès inapproprié permettant à un utilisateur authentifié non-administrateur de visualiser des paramètres en dehors de son périmètre assigné. Cela peut entraîner une divulgation d'informations non autorisée.
Une gestion inadéquate de l'autorisation des politiques QoS permet à un utilisateur authentifié d'empêcher la suppression d'une politique d'un autre projet. Cela peut causer des problèmes de disponibilité ou de gestion. La gravité est faible,...
Vulnérabilité de débordement de tampon hors limites dans le service de transport de fragments de données LoRaWAN. Un fragment avec un compteur de fragment de 0 provoque un sous-dépassement d'entier, entraînant une corruption de l'état du décodeur...
Un utilisateur avec accès en écriture au dépôt et le support de build activé peut exploiter une SSRF dans l'API de build. En fournissant une URL malveillante, il force le builder à faire des requêtes vers des adresses internes, divulguant...
Traversée de chemin dans la création de cluster via l'argument clusterName, permettant une manipulation de fichiers à distance. L'impact est limité, mais un correctif en version 1.5.0 est disponible, réduisant le risque si appliqué.
Cette vulnérabilité dans le endpoint de suppression d'articles clients de Bagisto permet un contrôle d'accès inapproprié, permettant à un attaquant distant de supprimer des éléments sans autorisation adéquate. L'exploit est public, mais le...
Vulnérabilité de fuite d'informations où les chemins d'erreur reflètent les réponses brutes du backend et les messages d'exception internes à l'appelant. Un attaquant peut obtenir des informations sensibles comme des noms d'hôtes, des IP...
Cette vulnérabilité de permissions par défaut incorrectes dans le fichier /etc/vsftpd.conf de TRENDNET TEW-813DRU permet un accès non autorisé à distance, mais avec une complexité d'attaque élevée. L'exploitation est difficile et le produit n'est...
NASA Administrator Jared Isaacman announces the Max Power event, an air and space expo that will take place across Space Florida’s Launch and Landing Facility at the Kennedy Space Center and the Kennedy Space Center Visitor Complex on Nov. 7-8,...
NASA will hold a two-day aerospace exposition this November, and it may draw a surprising number of "Simpsons" fans.The event, which NASA announced today (Aug. 14), will be held Nov. 7 and Nov. 8 at Kennedy Space Center (KSC) on Florida's Space...
Empty space is not as empty as it looks.That is the takeaway of a new study examining signals from a dead star, offering what researchers say is the strongest evidence yet that extreme magnetic fields can alter the properties of a vacuum, causing...
3 min readPreparations for Next Moonwalk Simulations Underway (and Underwater) Artist’s rendering depicting lunar surface operations at a future base in the lunar South Pole. NASA NASA is asking U.S.-based collegiate teams to submit bold,...
Cards Against Humanity isn't done with its scorched-Earth campaign against SpaceX and Elon Musk.The Chicago-based company behind the popular fill-in-the-blank adult card game is inviting the public to join its design committee to erect an "Elon...
'For All Mankind' was pretty good, wasn't it? Sadly, the show's run has finished now, and while we've got spin-off 'Star City' picking up the mantle, it's still going to be a while before we get any more space politics drama on our screens....
Credit: NASA In honor of America’s historic 250th anniversary, NASA announced on Friday MAX POWER, a public exposition of American air and space innovation, Nov. 7 and Nov. 8, on and near the agency’s Kennedy Space Center in Florida. The...
An 8,800-pound (4,000 kilograms) Falcon 9 rocket stage hit the moon last Wednesday (Aug. 5), stirring lunar regolith in a massive plume of dust observable all the way from Earth. The rocket joined some 3,000 manmade objects scattered on the...
Explore This Section Science Citizen Science Volunteer Develops… Overview Resources Opportunities Citizen Science Highlights About Science Activation Certain kinds of clouds are misbehaving – appearing more often and lower in the sky than they...
5 min read NASA’s COFFIES Uses AI to Predict Storm-Causing Active Regions on Sun As humanity looks to the Moon and stars for future exploration, predicting space weather — conditions in space primarily driven by the Sun — is more important than...
Amid the major uptick in national defense space contracts since the Trump Administration announced plans to assemble a "Golden Dome" missile-defense system in orbit, Rocket Lab has landed another deal to contribute to the cause. The...
Can Venus cast a shadow? With Aug. 12's total solar eclipse — where the moon's dark silhouette is everything — now behind us, it's a good time to test another kind of celestial shadow. Astronomical folklore has it that the second rock from the...
The heart of the Milky Way may be more hospitable to water than astronomers thought.Using the James Webb Space Telescope (JWST), researchers detected water and cosmic dust around an aging star only 0.55 light-years from Sagittarius A* (Sgr A*),...
NASA/Bill Ingalls This composite image shows the progression of a total solar eclipse over San Millán de los Caballeros, Spain on, Wednesday, Aug. 12, 2026. A total solar eclipse swept across parts of Greenland, Iceland, northern Russia, the...
The silhouette of the ISS transiting across the sun's face during the Aug. 12, 2026 total solar eclipse. (Image credit: NASA/Joel Kowsky)This week's total solar eclipse captured the world's attention, and millions of skywatchers looked up (with...
On Aug. 14, 1992, a space rock entered the atmosphere over Mbale, Uganda and exploded into hundreds of pieces! Debris from this meteorite shower was strewn over an area of about 2 by 4 miles (3.2 to 6.4 kilometers), and the biggest piece weighed...
Week in images: 10-14 August 2026 Discover our week through the lens
NASA has formally invited India to participate in its effort to build a permanent base near the moon's south pole, adding a new dimension to the deep-space cooperation between the two countries.The invitation was extended last week at the Indian...
On 12 August 2026, Europe witnessed the first total solar eclipse in over two decades. Millions of people were awed by the Moon completely covering the Sun's bright disc, briefly turning day into night and revealing the Sun's outer atmosphere....
On 12 August 2026, Europe witnessed the first total solar eclipse in over two decades. Millions of people were awed by the Moon completely covering the Sun's bright disc, briefly turning day into night and revealing the Sun's outer atmosphere....
Aucun article spatial disponible
Six chercheurs d'UC San Diego et d'Oberlin College ont présenté le 13 août dernier à l'USENIX Security Symposium de Baltimore un implant assez petit qui se branche sur un port de maintenance de la baie électronique d'un Boeing 737 et s'intercale...
Un pirate qui se fait appeler ZeroBytes a revendiqué mercredi, sur un forum fréquenté par les cybercriminels, le vol de près de 680 000 lignes de données extraites d'un outil interne de la Direction générale des Finances publiques. Bercy a...
SpaceXAI, la maison d'Elon Musk née de la fusion entre SpaceX et xAI, a mis en ligne mardi la bêta de Grok Bot. L'outil installe des agents IA sur une machine distante qui leur appartient, et ces agents continuent d'avancer sur leurs missions une...
Anthropic a annoncé que ses modèles Claude allaient intégrer un filigrane invisible directement dans les textes qu'ils produisent. Vous ne le verrez pas, il ne change ni le sens ni la qualité de la réponse, mais il est là, et il suit le texte au...
Je suis trop content, le numéro d'août du magazine officiel Raspberry Pi est sorti avec un dossier spécial cyberdeck en couverture, et ses 132 pages sont téléchargeables gratuitement en PDF. Un cyberdeck, si ça ne vous dit rien, c'est un...
Hé oui, ENCORE LUI !! Jonathan Blow, le développeur de Braid et de The Witness, a annoncé hier (le 12 août) sur X qu'il laissait tomber VLC... La raison c'est 33 putain de secondes d'attente entre un clic sur un fichier MP3 et le début de la...
ShieldBreak est un nouvel exploit qui vise l'antivirus livré avec Windows. Cela permet à un compte utilisateur limité de passer SYSTEM sur un Windows entièrement à jour, grâce notamment à Windows Defender qui lui sert de marchepied. Le chercheur...
Sachez-le, les amigos, je reprendrai mes lives Twitch début septembre, parce que là j'ai pas vraiment le temps et qu'il fait trop trop chaud. Mais ça ne m'empêche pas de surveiller ce qui s'y passe... Car pendant que la chaîne dort, faut savoir...
-- Article en partenariat avec Surfshark -- Vous croyez que votre identité vous appartient ? Pffff, noob. Qu'elle est en sécurité parce que vous avez un mot de passe compliqué et que vous ne cliquez pas sur les liens suspects ? Re pffff....
Depuis ce printemps, sachez qu'un git clone ordinaire peut maintenant récupérer un dépôt qui n'existe sur aucun serveur spécifique. En fait, le code est stocké dans Freenet, le réseau pair-à-pair qu'Ian Clarke a relancé en mars. Et comme y'a plus...
Vous rentrez de soirée à moitié bourré, vous ouvrez Paramètres, Applications, Applications installées, et vous cherchez OneDrive Photos pour le virer... Mais il n'y est pas ! Rassurez-vous, ce n'est pas à cause des effets de l'alcool car...
Je m'intéresse à la sécurité mobile depuis un paquet d'années, et cette attaque-là, je ne l'avais jamais vue. Le point de départ n'est ni le réseau, ni un SMS piégé, ni une appli vérolée. C'est la carte SIM elle-même ! En effet, des chercheurs de...
Dans la série "les gens qui assurent notre sécurité n'ont pas fait leur job jusqu'au bout", voici une chouette histoire de caméras montées sur les drones navals de la Royal Navy qui, ÉVIDEMMENT, envoyaient des signaux vers une adresse IP située...
Vous jouez sous Linux et votre bibliothèque Steam, GOG ou Epic tourne à peu près entièrement grâce à Proton ? Cela signifie que, malheureusement, vos jeux Xbox PC et ceux du Game Pass, eux, restent à la porte... C'est con d'avoir un catalogue...
Cloudflare Computer est un projet qui donne à votre agent IA un endroit rien qu'à lui. C'est-à-dire un vrai système de fichiers, avec des dossiers, des fichiers qui restent, et de quoi lancer des commandes dedans. Bref, un vrai poste de travail...
Voici une bonne nouvelle du côté de Chrome puisque ce dernier a commencé à enfermer la clé qui signe votre session dans la puce de sécurité de votre machine, c'est-à-dire le TPM sous Windows, ou la Secure Enclave sous macOS. Le serveur envoie un...
Diagram-design , c'est un skill pour Claude Code, Codex et Pi qui vous fabrique un schéma technique sous forme de fichier HTML autonome. Vous double-cliquez, ça s'ouvre dans le navigateur, et le diagramme est là, super clean et sans avoir à faire...
- Article rédigé par l'ami Remouk (DansTonChat) - Merci à lui - Il y a quelques années je vous ai parlé d'un gros coup de cœur dans le style puzzle / énigme : A Monster's Expedition , créé par l'équipe de chez Draknek & Friends . Ils ne se sont...
util qui ramène l'autoscroll au clic molette sous Wayland, et qu'il met à jour depuis ce printemps. C'est un peu dans l'air du temps de ce genre d'outils puisque fin juillet, je vous parlais déjà de midscroll , qui règle le même manque sous...
- Article rédigé par l'ami Remouk (DansTonChat) - Merci à lui - Licence mythique des années 90, Bubble Bobble a eu le droit à différents spin-offs, dont le tout aussi mythique Puzzle Bobble, aussi appelé Bust-a-Move ! Vous y avez sûrement joué à...
Aucun article geek disponible