Une faille critique validée par GitHub

La base de données d’avis de sécurité de GitHub a officiellement répertorié une nouvelle vulnérabilité sous l’identifiant unique GHSA-qv4m-m73m-8hj7. Ce dossier, publié initialement le 10 juillet 2026 à 19h34 UTC et mis à jour le 25 octobre 2026, porte sur le paquet open source notrinos/notrinos-erp. La gravité de cette faille est qualifiée de HIGH par les ingénieurs de sécurité de la plateforme.

Le mécanisme technique exploité repose sur une fonctionnalité d’upload de fichier arbitraire authentifié, localisée dans le module « Documents » dédié à la gestion des employés du département ressources humaines (HRM). Lorsqu’un attaquant dispose d’un compte utilisateur valide, il peut injecter du code malveillant via ce vecteur d’entrée, aboutissant à une exécution de code distant sur les serveurs victimes. Le score CVSS associé à cette vulnérabilité est fixé à 8,8 sur 10, indiquant un risque élevé pour l’intégrité et la disponibilité des systèmes concernés.

L’étendue du risque et les versions concernées

Les informations techniques fournies par GitHub précisent que toute installation utilisant une version du paquet notrinos-erp inférieure ou égale à 1.0.0 est potentiellement exposée. La faille s’inscrit dans le cadre des vulnérabilités de type CWE-22, relatives aux injections de données non sécurisées, et CWE-434, concernant l’exécution de code distant.

Il est important de noter que cette alerte ne concerne pas les logiciels malveillants ou les programmes malveillants au sens strict, mais bien une faille de sécurité introduite accidentellement dans le code source du projet. Les utilisateurs en aval doivent impérativement vérifier leurs dépendances pour s’assurer qu’ils n’utilisent pas ces versions vulnérables.

La documentation de GitHub rappelle que chaque avis figurant dans cette base de données concerne un problème spécifique, dont la correction passe souvent par une mise à jour vers une version plus récente où le problème a été résolu.

Méthodologie et sources de l’alerte

L’avis de sécurité a été intégré au GitHub Advisory Database après examen soigneux par l’équipe de curation de GitHub Security Lab. Les données présentées dans ce dossier s’appuient sur des contributions communautaires et, le cas échéant, sur la Base de données nationale des vulnérabilités américaine (NVD). Bien que les scores de prédiction d’exploitation, tels que ceux du système EPSS, soient fournis par le Forum mondial des équipes de réponse aux incidents (FIRST), ils ne sont pas calculés pour cette vulnérabilité spécifique dans l’extrait fourni.

Le modèle EPSS attribue généralement un score entre 0 et 1 ; une valeur élevée indique une forte probabilité d’exploitation dans la nature au cours des trente prochains jours. Pour les utilisateurs de Dependabot, l’activation des alertes permet de recevoir une notification automatique dès qu’un tel conseil est publié. Il convient de souligner que pour les avis non révisés importés automatiquement depuis le flux NVD, GitHub ne génère pas d’alertes Dependabot spécifiques car leur validité n’a pas été vérifiée manuellement.

Les utilisateurs dont les dépendances proviennent de registres privés ou qui ont configuré des limites strictes sur leurs sources de paquets devraient être moins affectés par ce type d’attaque, à condition que leurs configurations soient correctement délimitées.

Source : GitHub Advisory Database reviewed High/Critical — https://github.com/advisories/GHSA-qv4m-m73m-8hj7