CVE-2026-120209 — RCE non authentifiée dans AJ-Report via un secret JWT codé en dur

50/100

Les versions d'AJ-Report allant jusqu'à la 1.7.1 utilisent un secret JWT codé en dur, permettant aux attaquants de forger des jetons et de réaliser une exécution de code à distance non authentifiée via le GroovyClassLoader.

• CVSS 9.3
• CWE-321

Synthèse du 2026-11-01

Sources

• NVD — critical CVEs (CVSS ≥ 9) — CVE-2026-120209 (CVSS 9.3)