La chercheuse en sécurité Doyeon Park a révélé une faille zero-day CVSS 7.1 dans CometBFT de Cosmos, pouvant entraîner des gels potentiels des nœuds pendant la synchronisation ; la résistance du fournisseur, les rétrogradations et la divulgation ont conduit à une révélation le 21 avril ; les validateurs doivent éviter les redémarrages avant le correctif. Résumé : La chercheuse en sécurité Doyeon Park a révélé une vulnérabilité critique zero-day CVSS 7.1 dans la couche de consensus CometBFT de Cosmos, susceptible de provoquer le gel des nœuds pendant la synchronisation des blocs, ce qui pourrait affecter des réseaux qui sécurisent plus de $8 milliard de dollars d’actifs. La vulnérabilité ne peut pas voler directement des fonds. Park a entamé une divulgation coordonnée à partir du 22 février, mais s’est heurtée à la résistance du fournisseur à la divulgation publique et à des problèmes avec HackerOne. Le fournisseur a rétrogradé une vulnérabilité liée (CVE-2025-24371) du statut critique à celui d’information le 6 mars, poussant Park à publier une preuve de concept au niveau réseau avant la divulgation publique du défaut le 21 avril. L’avis recommande aux validateurs Cosmos d’éviter de redémarrer les nœuds jusqu’à la publication des correctifs ; les nœuds déjà en consensus peuvent continuer, mais un redémarrage et une resynchronisation pourraient les exposer à des attaques menées par des pairs malveillants, avec un risque d’interblocage.

Les chercheurs de l'équipe Manmou ont découvert une vulnérabilité d'élévation de privilèges et d'exécution de commandes dans Claude Code d'Anthropic, CVE-2025-64755. Les attaquants peuvent exécuter des commandes sans autorisation. Le PoC associé a été publié, et des hackers ont déjà exploité cette vulnérabilité pour attaquer des utilisateurs cryptographiques.

Récemment, une vulnérabilité de sécurité critique révélée dans les composants serveur React a suscité une vigilance accrue dans l'industrie. Cette vulnérabilité, référencée sous le numéro CVE-2025-55182, également connue sous le nom de React2Shell, a été exploitée dans la pratique par plusieurs groupes de menaces, affectant des milliers de sites web, y compris des plateformes de cryptomonnaie, mettant en danger la sécurité des actifs des utilisateurs. Cette vulnérabilité permet à un attaquant d'exécuter du code à distance sur un serveur affecté sans nécessiter d'authentification. L'équipe officielle de React a publié une divulgation publique de ce problème le 3 décembre, en lui attribuant le niveau de gravité le plus élevé. Par la suite, le groupe d'intelligence des menaces de Google (GTIG) a confirmé que cette vulnérabilité a été rapidement exploitée dans des environnements réels, impliquant à la fois des hackers cherchant à en tirer profit et des attaques suspectées d'être soutenues par un État, ciblant principalement des déploiements cloud, ainsi que des applications React et Next.js qui n'ont pas encore été corrigées.

Récemment, une catégorie d'attaques frontales ciblant les utilisateurs de cryptomonnaies se répand rapidement. Selon l'organisation à but non lucratif de cybersécurité SEAL, les hackers exploitent une nouvelle vulnérabilité découverte dans la bibliothèque JavaScript open source React pour implanter des logiciels de vol de cryptomonnaies sur des sites légitimes. Les cas d'attaque liés ont considérablement augmenté. React est l'un des frameworks front-end Web les plus courants, largement utilisé pour construire divers sites et applications Web. Le 3 décembre, l'équipe officielle de React a révélé qu'une vulnérabilité de sécurité grave, référencée sous le nom CVE-2025-55182, avait été découverte par le hacker éthique Lachlan Davidson. Cette vulnérabilité permet une exécution de code à distance non authentifiée, permettant aux attaquants d'injecter et d'exécuter du code malveillant sur le front-end du site.