Mentions honorables
Temple de la renommée
Mentions honorables
Si vous repérez des vulnérabilités, n’hésitez pas à nous contacter à l’adresse security@axya.co. Votre vigilance est essentielle à notre engagement continu envers le maintien d’un environnement sécurisé.
2026
K.H. Harsh est reconnu pour avoir signalé de manière responsable plusieurs problèmes de divulgation d'informations touchant les actifs d'Axya. K.H. Harsh a identifié un accès non authentifié à des données de configuration internes sur l'instance d'analyse Metabase ainsi qu'aux paramètres d'application sur l'instance de surveillance GlitchTip, deux situations qui exposaient des détails de configuration et des informations de version utiles pour l'empreinte numérique. Il a également signalé une gestion incorrecte des erreurs sur un point de terminaison d'authentification renvoyant une erreur 500. Tous les tests ont respecté les pratiques de divulgation responsable, et aucune donnée sensible n'a été consultée ou modifiée. Nous le remercions chaleureusement d'aider à renforcer la sécurité de notre plateforme.
2025
Nallamilli Vikas Reddy a signalé une vulnérabilité d'absence de limite de débit sur la récupération de mot de passe (gravité élevée) : cette faille permet d'envoyer un nombre illimité de demandes de réinitialisation de mot de passe sans aucune restriction de débit sur la fonctionnalité de récupération. Cela permet à des attaquants d'inonder les boîtes de réception cibles de multiples courriels de mot de passe oublié en quelques secondes, ce qui pourrait entraîner des attaques de bombardement de courriels, des conditions de déni de service et le harcèlement des utilisateurs. Nous sommes ravis de vous informer que ce problème a été rapidement résolu !
Nafeed, qui a identifié des vulnérabilités critiques dans la mise en œuvre de l'authentification à deux facteurs (2FA) (Haute Sévérité) : Deux failles critiques ont été découvertes - des codes 2FA réutilisables qui n'expirent jamais et la possibilité de contourner la 2FA par manipulation de la réponse avec des jetons qui ne périment pas. Ces vulnérabilités pourraient permettre un accès persistant non autorisé aux comptes utilisateurs. De plus, des tests de pénétration complets ont été menés sur nos liens de portail sans connexion avec des recommandations de sécurité précieuses fournies. Ces problèmes ont été résolus.
Yash Kundlik Jare, qui a découvert une vulnérabilité d'absence de limite de débit (gravité élevée) : cette faille permet d'envoyer des demandes de courriel illimitées via la fonctionnalité « Envoyer un nouveau code » de l'authentification à deux facteurs (2FA), ce qui pourrait faciliter des attaques de bombardement de courriels et des conditions de déni de service. Ce problème pourrait entraîner une saturation des boîtes de réception et une surcharge du serveur. Cette vulnérabilité a été corrigée.
Randiansyah, qui a signalé une vulnérabilité d'usurpation d'identité par courriel (gravité élevée) : cette vulnérabilité permettait à des personnes malveillantes d'envoyer des courriels frauduleux sous le domaine axya.co, facilitant ainsi les attaques par hameçonnage et l'usurpation de communications officielles. Cette situation a été corrigée rapidement.
Omri, qui a signalé une vulnérabilité de prise de contrôle de sous-domaine (gravité élevée) : cette faille permettait à un attaquant de détourner un domaine inutilisé, ce qui pouvait mener à des attaques de hameçonnage et à l'hébergement de contenu malveillant. Ce problème a été rapidement résolu.
Harsh Maheta, qui a signalé l'absence d'en-tête X-Frame-Options, l'absence de politique de sécurité du contenu (CSP) ainsi que l'utilisation d'un chiffrement faible sur un sous-domaine : les en-têtes étaient absents sur notre serveur de production principal. La politique CSP était correctement configurée en préproduction, mais n'avait pas été déployée en production. Le chiffrement faible a été détecté sur l'un de nos sous-domaines. Ces anomalies, qui auraient pu exposer la plateforme au détournement de clic, à l'injection de contenu et à un chiffrement affaibli, ont été rapidement corrigées à la suite de ce signalement.
Muhammad Kamran, qui a signalé des vulnérabilités de détournement de clic (clickjacking) et l'absence de politique de mise en quarantaine ou de rejet DMARC : la vulnérabilité de détournement de clic permettait à un attaquant d'inciter les utilisateurs à cliquer sur des éléments masqués ou déguisés, ce qui pouvait compromettre leurs actions sur le site Web. L'absence de politique DMARC appropriée exposait quant à elle le domaine à des attaques d'usurpation d'identité et d'hameçonnage par courriel. Ces problèmes de sécurité ont été rapidement résolus à la suite du signalement.
Gowthambalaji S, qui a signalé une vulnérabilité d'injection d'en-tête d'hôte (sévérité élevée) : cette faille permettait à un attaquant de manipuler l'en-tête X-Forwarded-Host afin de rediriger les utilisateurs vers des domaines malveillants, ce qui pouvait faciliter des attaques d'hameçonnage, le vol de jetons OAuth, l'empoisonnement de réinitialisation de mot de passe ainsi que l'empoisonnement du cache. Ce problème de sécurité a été rapidement résolu par la mise en place d'une validation stricte du nom d'hôte dans notre configuration Keycloak.
2023
Shubham Bothra qui a signalé une vulnérabilité de redirection ouverte (gravité basse) : la vulnérabilité permet une redirection vers des sites Web externes, mais son impact sur la sécurité du système reste limité.
2022
Vipul Sahu qui a signalé une exposition de données Exif et une fixation de session (faible gravité). Ces vulnérabilités, bien qu'identifiées, présentent un risque de sécurité minime et des mesures appropriées ont été prises pour atténuer leur impact.
Une question?
Contactez-nous si vous avez des questions concernant la sécurité de notre plateforme ou si vous soupçonnez avoir découvert une vulnérabilité dans notre application.