← Blog

Mise à jour : un CVE critique sur Shinobi, une faille RCE sur Agent DVR, et deux bugs de détournement de session sur Nx Witness

2026-10-01

Ce cycle nous avons rafraîchi Shinobi, Agent DVR, Viseron, Xeoma et Nx Witness — les cinq fiches dont les sources n'avaient pas été retouchées depuis notre tout premier passage en juillet 2026. Voici ce qui a changé :

**Shinobi** : une vulnérabilité critique non authentifiée (CVE-2026-82448, CVSS 9,3) a été révélée le 29 août 2026. Une clé codée en dur sur la poignée de main WebSocket du nœud enfant de Shinobi permettait à un attaquant d'exécuter des requêtes base de données arbitraires, lisant et modifiant les comptes utilisateurs et la configuration des caméras sans aucune authentification. Elle est corrigée dans le commit 5a76c74f — toute instance Shinobi auto-hébergée doit être mise à jour sans attendre. La licence (cœur GPLv3/AGPLv3, EULA Pro propriétaire) reste inchangée.

**Agent DVR** : une faille de sévérité élevée de traversée de répertoire/SSRF/RCE (CVE-2025-63408, CVSS 7,8) touche les versions jusqu'à la 6.6.1.0, permettant à un attaquant local de lire des fichiers sensibles, forger des requêtes côté serveur, ou exécuter des commandes système. Les tarifs d'abonnement (7,95/14,95/19,95 $ par mois) et le palier gratuit local restent inchangés.

**Viseron** : deux vraies versions sont sorties depuis notre fiche de référence — la v3.6.0 (10 août) a ajouté le rechargement de configuration sans redémarrer le conteneur, le support PostgreSQL externe, et l'authentification API par jeton personnel ; la v3.7.0 (17 septembre) a ajouté un composant ONVIF avec contrôle de caméra PTZ et reconnaissance de plaques locale entièrement hors ligne via FastALPR. Le chiffrement au repos des enregistrements reste non documenté.

**Xeoma** : Felenasoft a déployé une nouvelle méthode de reconnaissance faciale phare baptisée « Vision », annoncée jusqu'à 99 % de précision, et lancé en avril 2026 un module Pointage qui enregistre les arrivées et départs du personnel par reconnaissance faciale. Le produit reste à code fermé, et le chiffrement des enregistrements au repos n'est toujours pas documenté.

**Nx Witness** : deux vulnérabilités de sévérité élevée révélées en 2026, menant toutes deux à une prise de contrôle du compte administrateur — CVE-2026-78414 (XSS stocké dans la boîte de dialogue « fusionner avec un autre site », CVSS 8,0, corrigée en 6.1.3) et CVE-2026-10056 (mauvaise configuration CORS de l'API REST en mode de sécurité Standard par défaut, CVSS 7,5, corrigée en 6.1.2). Les déploiements doivent être en 6.1.3 ou ultérieure.

**Vérification croisée Noviscan** : aucun des faits de ce cycle — CVE révélés et nouvelles fonctionnalités chez des produits concurrents — ne touche une affirmation existante de notre propre fiche Noviscan ; aucune correction n'était nécessaire cette fois.