Skip to content
Hacker Posts

Redmine corrige cinq failles, dont une XSS et un ReDoS

Redmine publie 6.0.12, 6.1.6 et 7.0.3 contre cinq vulnérabilités : contournements de portée OAuth, XSS réfléchie et déni de service par ReDoS. Aucun CVE attribué (CERTFR-2026-AVI-1434).

Publié le 3 min de lecture
redminexssdosalerte

Redmine, le gestionnaire de projets auto-hébergé en Ruby on Rails, corrige cinq vulnérabilités dans ses avis de sécurité du 1er novembre 2026, repris par le CERT-FR dans CERTFR-2026-AVI-1434. Les impacts vont du contournement de la politique de sécurité à l'injection de code indirecte (XSS), en passant par un déni de service. Aucun CVE n'est attribué à ces défauts ; Redmine les suit par ses numéros d'issue internes.

Versions concernées et correctifs

  • Branche 7.0.x : antérieures à 7.0.3.
  • Branche 6.1.x : antérieures à 6.1.6.
  • Antérieures à 6.0.12 pour les défauts les plus anciens.

Les correctifs sont publiés en 6.0.12, 6.1.6 et 7.0.3.

Les cinq défauts

D'après les avis de l'éditeur :

  • #44625 (élevé) — la portée d'un jeton OAuth est ignorée dans Project.allowed_to_condition : contournement de la politique de sécurité. Corrigé en 7.0.3 et 6.1.6.
  • #44644 (modéré) — les portées d'un jeton OAuth peuvent être contournées lors de la création de projets. Corrigé en 7.0.3 et 6.1.6.
  • #44682 (modéré) — XSS réfléchie dans attachments#edit_all via un paramètre back_url non validé. Corrigé en 7.0.3, 6.1.6 et 6.0.12.
  • #44683 (faible) — faiblesse de validation d'URL : validate_back_url accepte des URL que le navigateur résout vers un autre hôte. Corrigé en 7.0.3, 6.1.6 et 6.0.12.
  • #44657 (élevé) — déni de service par expression régulière (ReDoS) dans l'analyse des arguments de macro wiki. Corrigé en 7.0.3, 6.1.6 et 6.0.12.

État de l'exploitation

Aucune exploitation en conditions réelles n'est mentionnée dans les avis, et aucun de ces défauts ne figure à un catalogue de vulnérabilités activement exploitées. À traiter comme une mise à jour de sécurité à planifier rapidement, en priorité sur les instances exposées à Internet.

Que faire

  1. Mettez à jour selon votre branche : 7.0.3, 6.1.6 ou 6.0.12.
  2. Priorisez si vous utilisez les jetons OAuth d'API : deux des cinq défauts permettent de contourner la portée accordée à un jeton.
  3. Si une mise à jour immédiate est impossible, restreignez l'accès réseau à l'instance et surveillez les requêtes portant un paramètre back_url inhabituel.

Contexte

Redmine revient régulièrement dans les avis du CERT-FR — voir déjà l'AVI-1245 plus tôt cette année. Le lot du jour est révélateur : deux contournements de portée OAuth et deux variantes autour de back_url, soit des classes de bugs — gestion des jetons, validation d'URL de redirection — qui reviennent précisément parce qu'elles sont faciles à réintroduire. Pour une application de gestion de projet souvent ouverte à des prestataires externes, le contrôle de portée des jetons d'API n'est pas un détail : c'est la frontière entre « lecture seule » et « accès complet ».

Articles liés