Catalogue CISA KEV · mis à jour le 2026-09-25

A05:2025 Injection

Une saisie de l'attaquant est interprétée comme une commande : requête SQL, commande système, script exécuté dans le navigateur d'un autre (XSS). Catégorie officielle : « Injection ».

421failles exploitées
74utilisées par des rançongiciels
294produits concernés
2021-11-03première entrée au catalogue

Exemples concrets

Une injection SQL qui fait lire ou effacer toute la base de données.
Un script injecté dans un commentaire et exécuté chez chaque visiteur (XSS).
Une commande système construite avec un paramètre de l'adresse.

Comment s'en protéger

Requêtes paramétrées ou ORM, jamais de concaténation de texte dans une requête.
Échapper chaque sortie selon son contexte (HTML, attribut, JavaScript, adresse).
Valider les entrées par liste blanche, côté serveur.

Failles A05 activement exploitées

Vulnérabilité	Produit	Ce qu'il faut faire	Ajout	Rançongiciel
Microsoft SharePoint : injection de code CVE-2026-65660 Répandu ici	SharePoint Microsoft	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-25	Non constaté à ce jour
WordPress Core Remote File Inclusion Vulnerability CVE-2026-87902 Répandu ici	Core WordPress	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-25	Non constaté à ce jour
Arista VeloCloud Orchestrator : validation d'entrée insuffisante CVE-2026-93952	VeloCloud Orchestrator Arista	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-22	Non constaté à ce jour
Cisco Secure Email Gateway : injection SQL CVE-2026-76461 Répandu ici	Secure Email Gateway Cisco	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-14	Non constaté à ce jour
MikroTik RouterOS Improper Neutralization of Argument Delimiters in a Command Vulnerability CVE-2026-86060 Répandu ici	RouterOS MikroTik	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-10	Non constaté à ce jour
N-able N-central Static : injection de code CVE-2026-86218	N-central N-able	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-08	Non constaté à ce jour
Kestra OSS : injection de commande système CVE-2026-49869	Kestra OSS	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-02	Non constaté à ce jour
Sangoma Switchvox : injection SQL CVE-2026-9586	Switchvox Sangoma	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-02	Non constaté à ce jour
SonicWall SMA1000 Appliances : injection de commande système CVE-2026-83549	SMA1000 Appliances SonicWall	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-09-02	Non constaté à ce jour
PaperCut NG/MF Unsafe Reflection Vulnerability CVE-2026-82078	NG/MF PaperCut	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-31	Non constaté à ce jour
Gitea : injection de code CVE-2026-60004	Gitea	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-25	Non constaté à ce jour
Zimbra Collaboration Suite (ZCS) : injection de commande système CVE-2026-73570	Zimbra Collaboration Suite (ZCS) Synacor	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-21	Non constaté à ce jour
TrueConf Server : injection de code CVE-2026-72530	Server TrueConf	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-20	Non constaté à ce jour
Ray-Project Ray : injection de code CVE-2025-62593	Ray Ray-Project	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-17	Non constaté à ce jour
Metabase : injection SQL CVE-2026-72898	Metabase	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-11	Non constaté à ce jour
Progress LoadMaster : injection de commande CVE-2026-8037	LoadMaster Progress	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-07	Non constaté à ce jour
IBM Langflow : injection de code CVE-2026-9198	Langflow IBM	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-08-04	Non constaté à ce jour
Arista VeloCloud Orchestrator On-Prem : injection de commande système CVE-2026-16812	VeloCloud Orchestrator Arista	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-07-27	Non constaté à ce jour
WordPress Core : injection SQL CVE-2026-60137 Répandu ici	Core WordPress	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-07-21	Non constaté à ce jour
Fortinet FortiSandbox : injection de commande système CVE-2026-25089 Répandu ici	FortiSandbox Fortinet	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-07-16	Non constaté à ce jour
Fortinet FortiSandbox : injection de commande système CVE-2026-39808 Répandu ici	FortiSandbox Fortinet	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-07-16	Non constaté à ce jour
SonicWall SMA1000 Appliances : injection de code CVE-2026-15410	SMA1000 Appliances SonicWall	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-07-14	Oui, utilisée dans des campagnes de rançongiciel
PTC Windchill et FlexPLM : validation d'entrée insuffisante CVE-2026-12569	Windchill et FlexPLM PTC	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-06-25	Oui, utilisée dans des campagnes de rançongiciel
Lantronix EDS5000 : injection de code CVE-2025-67038	EDS5000 Lantronix	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-06-23	Non constaté à ce jour
Ubiquiti UniFi OS : validation d'entrée insuffisante CVE-2026-34910	UniFi OS Ubiquiti	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-06-23	Non constaté à ce jour
Ivanti Sentry : injection de commande système CVE-2026-10520	Sentry Ivanti	Appliquer les correctifs et les mesures de contournement publiés par l'éditeur, en suivant ses instructions. Traiter en priorité les machines accessibles depuis Internet. Pour un service hébergé en nuage, suivre les consignes de l'hébergeur. Ne cesser d'utiliser le produit que si l'éditeur ne publie aucune mesure.	2026-06-11	Non constaté à ce jour
Cisco Catalyst SD-WAN Manager Improper Encoding or Escaping of Output Vulnerability CVE-2026-20245 Répandu ici	Catalyst SD-WAN Manager Cisco	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-06-09	Non constaté à ce jour
BerriAI LiteLLM : injection de commande CVE-2026-42271 Répandu ici	LiteLLM BerriAI	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-06-08	Non constaté à ce jour
Drupal Core : injection SQL CVE-2026-9082 Répandu ici	Core Drupal	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-05-22	Non constaté à ce jour
Microsoft Windows : débordement de tampon CVE-2008-4250 Répandu ici	Windows Microsoft	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-05-20	Non constaté à ce jour
Microsoft Exchange Server : injection de script dans les pages CVE-2026-42897 Répandu ici	Microsoft	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-05-15	Non constaté à ce jour
BerriAI LiteLLM : injection SQL CVE-2026-42208 Répandu ici	LiteLLM BerriAI	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-05-08	Non constaté à ce jour
Ivanti Endpoint Manager Mobile (EPMM) : validation d'entrée insuffisante CVE-2026-6973	Endpoint Manager Mobile (EPMM) Ivanti	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-05-07	Non constaté à ce jour
D-Link DIR-823X : injection de commande CVE-2025-29635	DIR-823X D-Link	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-04-24	Non constaté à ce jour
Synacor Zimbra Collaboration Suite (ZCS) : injection de script dans les pages CVE-2025-48700	Zimbra Collaboration Suite (ZCS) Synacor	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-04-20	Non constaté à ce jour
Apache ActiveMQ : validation d'entrée insuffisante CVE-2026-34197 Répandu ici	ActiveMQ Apache	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-04-16	Non constaté à ce jour
Microsoft Office : exécution de code à distance CVE-2009-0238 Répandu ici	Office Microsoft	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-04-14	Non constaté à ce jour
Microsoft SharePoint Server : validation d'entrée insuffisante CVE-2026-32201 Répandu ici	SharePoint Server Microsoft	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-04-14	Non constaté à ce jour
Fortinet FortiClient EMS : injection SQL CVE-2026-21643 Répandu ici	FortiClient EMS Fortinet	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-04-13	Non constaté à ce jour
Ivanti Endpoint Manager Mobile (EPMM) : injection de code CVE-2026-1340	Endpoint Manager Mobile (EPMM) Ivanti	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2026-04-08	Non constaté à ce jour

Questions fréquentes

Qu'est-ce que A05:2025 Injection ?

Une saisie de l'attaquant est interprétée comme une commande : requête SQL, commande système, script exécuté dans le navigateur d'un autre (XSS).

Combien de failles exploitées relèvent de A05 ?

Le catalogue CISA KEV en compte 421, la dernière ajoutée le 25 septembre 2026.

Quelles faiblesses (CWE) de A05 sont les plus exploitées ?

CWE-20 (119), CWE-78 (110), CWE-94 (71), CWE-79 (33), CWE-89 (32).

Comment s'en protéger ?

Requêtes paramétrées ou ORM, jamais de concaténation de texte dans une requête. Échapper chaque sortie selon son contexte (HTML, attribut, JavaScript, adresse). Valider les entrées par liste blanche, côté serveur.

Faiblesses (CWE) de cette catégorie au catalogue

Sources

Les autres catégories du Top 10

Catégories et correspondance avec les CWE : OWASP Top 10:2025, A05 Injection, licence CC BY 3.0.

Source : catalogue CISA KEV. Les intitulés et les actions sont traduits quand la formule est reconnue ; sinon le texte officiel est affiché tel quel. Explorer par éditeur, par mois ou par type de faiblesse.