CVE-2026-108555
Vulnérabilité moyenne dans PairDrop (schlagmichdoch)
CVSS 4.2 · Moyenne
EPSS 0.1%
schlagmichdoch•PairDrop•Versions : 0, <=1.11.2
Description
PairDrop through 1.11.2 contains an IP spoofing vulnerability in Peer._setIP that allows remote attackers to join other networks' discovery rooms by supplying a forged cf-connecting-ip header. Attackers who know a victim's public IP can appear as a local device on self-hosted instances not behind Cloudflare to send or receive files.
Gravité et risque d'exploitation
CVE-2026-108555 obtient un score CVSS de 4.2/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.14 %, ce qui la place devant 2.7 % des CVE référencées.
Que faire ?
- Vérifiez si PairDrop (versions 0, <=1.11.2) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/schlagmichdoch/PairDrop/issues/510
- https://github.com/schlagmichdoch/PairDrop
- https://github.com/schlagmichdoch/PairDrop/blob/4862ba3067be1a0f2e0d1e94861dc9200b5bfeea/server/peer.js#L44-L54
- https://github.com/schlagmichdoch/PairDrop/blob/4862ba3067be1a0f2e0d1e94861dc9200b5bfeea/server/ws-server.js#L312-L314
- https://www.vulncheck.com/advisories/pairdrop-through-1.11.2-ip-spoofing-via-cf-connecting-ip-header