CVE-2026-111793 : Vulnérabilité de transfert incorrect de ressources entre sphères dans Openwave Messaging Limited Webtop Media Transcoder

Japan Vulnerability Notes indique que pour CVE-2026-111793, « Le développeur déclare que des attaques exploitant la vulnérabilité ont été observées. »[3] L'avis JVN met en garde en disant que « si un attaquant authentifié télécharge un fichier spécialement conçu en suivant des étapes spécifiques, des informations sensibles peuvent être obtenues. »[3]Selon la description CVE publiée sur OpenCVE, Openwave Webtop Media Transcoder n'applique pas les restrictions de type de fichier définies par l'administrateur pour limiter les types de fichiers à convertir.[4] SecurityOnline rapporte que Webtop est la plateforme de webmail d'Openwave, utilisée par les fournisseurs de services[5], et que le transcodeur convertit les pièces jointes pour permettre aux utilisateurs de les prévisualiser dans le navigateur.[5]Le registre CVE de ThreatINT classe la faille comme « MOYEN : 4.3 »[6] sur l'échelle CVSS, classée comme CWE-669 Transfert incorrect de ressources entre sphères[6].SecurityWeek rapporte que le CISA a ajouté les défauts de sécurité d'Openwave et de Cisco à son catalogue des vulnérabilités exploitées connues (KEV) le 10 novembre, exhortant les agences fédérales à corriger les deux avant le 24 novembre.[1]Selon Suped, l'avis de sécurité d'Openwave et le CVE étaient déjà publics en octobre[2], et une version corrigée était déjà disponible.[2]SecurityOnline rapporte que la faille affecte toutes les versions antérieures à 1.1.22.0[5], et qu'Openwave recommande de passer à « la dernière version supportée de Media Server 2.0. »[5] Le média ajoute que les administrateurs doivent contacter Openwave pour les détails du correctif, comme le conseille JPCERT/CC.[5]