Vulnerabilite critique dans youlaitech youlai-mall : Injection SQL

Une faille de securite a ete decouverte dans le composant youlaitech youlai-mall version 2.0.0, specifiquement dans la fonction `listPagedSpuForApp` du fichier `mall-pms/pms-boot/src/main/java/com/youlai/mall/pms/controller/app/SpuController.java`. Cette vulnerabilite expose les utilisateurs a une injection SQL, permettant a un attaquant d'executer des requetes malveillantes sur la base de donnees de l'application.

Contexte

La faille a ete rendue publique le 27 fevrier 2026, et le score CVSS attribue est de 6.3, indiquant un risque significatif. L'absence de reponse de la part du fournisseur lors de la divulgation de la vulnerabilite soulève des inquiets quant à la prise en charge des problemes de securite. Les municipalites utilisant ce produit doivent donc prendre des mesures immediates pour proteger leurs infrastructures.

Impact sur les municipalites

Les municipalites qui utilisent youlaitech youlai-mall peuvent faire face a plusieurs impacts graves si cette faille n'est pas corrigee rapidement.

**Impact operationnel** : Une exploitation reussie de cette vulnerabilite pourrait permettre un acces non autorise aux donnees sensibles, compromettant ainsi l'integrite des services municipaux en ligne et la confiance des citoyens.

**Impact legal** : Des violations de la Loi 25 sur la protection des renseignements personnels peuvent survenir, ce qui pourrait entrainer des sanctions et des audits de la part des organismes de regulation.

**Impact financier** : Les frais de remediations, les pertes de productivite et les dommages a la reputation peuvent avoir des repercussions financieres significatives pour les municipalites.

Recommandations

Il est crucial que les equipes TI des municipalites prennent les mesures suivantes :

**Mise a jour immediate** : Si possible, mettre a jour vers une version de youlaitech youlai-mall qui corrige cette vulnerabilite. Si aucune mise a jour n'est disponible, envisager de desactiver les fonctionnalites affectees jusqu'à ce qu'une solution soit mise en place.

**Audits de securite** : Realiser un audit complet de la securite des applications utilisees au sein de la municipalite pour identifier d'autres potentielles vulnerabilites.

**Sensibilisation des utilisateurs** : Informer les utilisateurs des risques d'injection SQL et des pratiques de securite a adopter lors de l'utilisation de l'application.

Indicateurs de Compromission (IoC)

Aucun IoC specifique n'a été fourni pour cette vulnerabilite. Toutefois, les municipalites doivent surveiller toute activite suspecte sur leurs bases de donnees et mettre en place des mesures de detection des intrusions.

References

[NVD - CVE-2026-3287](https://nvd.nist.gov/vuln/detail/CVE-2026-3287)