CVE-2026-103406 (CVSS 9,8) : Vulnérabilité d'Improper Neutralization of Special Elements used in an OS Command dans AutomatedProvisioner chez Junipe

Le listing CVE de THREATINT montre que CVE-2026-103406 a été publié le 2026-10-28[2], avec Juniper comme assigant et un score CVSS « CRITIQUE : 9,8 ». Strix note que l'analyse NVD[3] était toujours « en attente » au moment de sa publication. VulDB indique que la faille affecte Juniper Session Smart Conductor jusqu'à 7.0.4/7.1.6/7.2.2[4]. Il indique que l'exploitabilité serait facile[4] et que l'exploitation ne nécessite aucune forme d'authentification[4]. Brandefense rapporte que la CVE fait partie du bulletin Juniper JSA112183[5], qui couvre 18 CVE dans Session Smart Router et Session Smart Conductor. Selon Brandefense, deux obtiennent le score CVSS 9,8 : CVE-2026-103409 (Router) et CVE-2026-103406 (Conductor)[5]. Brandefense rapporte également que Juniper a corrigé toutes ces failles dans les versions 7.0.5, 7.1.7 et 7.2.3[5], et que le bulletin ne liste aucune contremesure connue[5]. Brandefense ajoute que Juniper déclare que ses propres tests de sécurité des produits ou sa recherche ont découvert les problèmes[5]. Brandefense indique que Juniper SIRT déclare n'être pas au courant d'exploitation malveillante[5]. L'outlet indique également que aucune des 18 CVE ne figure dans le catalogue de la CISA[5], selon une vérification effectuée le 28 octobre. La Threat Radar d'OffSeq répertorie la faille comme n'étant pas connue pour être exploitée[6]. Elle conseille aux opérateurs de corriger Juniper Networks Session Smart Conductor en priorité[6].