CVE-2026-108110
Vulnérabilité élevée dans MOVO (himovo)
CVSS 7.6 · Élevée
EPSS 0.2%
himovo•MOVO•Versions : 0.1.0, <=0.2.3
Description
MOVO through 0.2.3 contains an authorization bypass vulnerability in the chat-api document endpoints that allows authenticated users to access other users' stored objects by supplying arbitrary object paths. Attackers who know a target's object path can send it to /api/documents/fetch or /api/documents/save-blueprint to read private documents and overwrite presentation blueprints.
Gravité et risque d'exploitation
CVE-2026-108110 obtient un score CVSS de 7.6/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.24 %, ce qui la place devant 14.0 % des CVE référencées.
Que faire ?
- Vérifiez si MOVO (versions 0.1.0, <=0.2.3) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://hackmd.io/@haind/cve-2026-108110-movo-document-authz
- https://github.com/himovo/movo/blob/v0.2.3/services/chat-api/app/api/endpoints/documents.py#L237-L274
- https://github.com/himovo/movo/blob/v0.2.3/services/chat-api/app/api/endpoints/documents.py#L91-L109
- https://github.com/himovo/movo
- https://www.vulncheck.com/advisories/movo-through-0.2.3-authorization-bypass-via-document-endpoints