Les sujets à surveiller, en un regard.
149 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 17 sujet(s) en rouge, 5 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée a retrouvé CVE-2026-106120 / GHSA-fwxr-j5w2-587m, concernant LiquidJS, un moteur de modèles compatible Shopify. Les sources retrouvées datent la publication de l’avis au 20 août 2026 et indiquent un correctif en 10.27.2; la mise à jour NVD du candidat est datée du 9 octobre 2026, mais les éléments consultés ne permettent pas d’établir qu’elle correspond à un changement substantiel de sécurité dans la période demandée. Aucun item n’est donc retenu pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Niveau relevé : Critique
Aucune information vérifiée dans les sources consultées ne répond aux critères de la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. L’avis GHSA-p2cp-cfm9-2v3m trouvé pour wix-ssr-thunderbolt-grid-polyfill indique une publication et une mise à jour le 2026-10-08, donc hors période. Deux avis publiés dans la période signalent des paquets npm malveillants se faisant passer pour des composants associés à Wix et susceptibles de collecter puis d’exfiltrer des informations depuis des environnements de build.
Paquet npm malveillant susceptible de voler des jetons de comptes de service Kubernetes
L’avis GHSA-hjq9-gv63-8hh8 signale que les versions 1.0.1, 1.0.2 et 1.0.3 du paquet npm css-overscroll-contain contiennent du code malveillant exécuté au chargement, qui collecte notamment des secrets et le jeton de compte de service Kubernetes. Les utilisateurs concernés doivent traiter les secrets accessibles à l’environnement comme compromis et retirer ces versions ; aucune version corrective n’est indiquée.
Action recommandée : Retirer les versions concernées et vérifier les environnements où elles ont été installées. Révoquer et renouveler les jetons de comptes de service ainsi que les autres secrets potentiellement accessibles à ces environnements.
Paquet npm malveillant wix-reg-poc-bypass visant les environnements Wix
Le paquet npm wix-reg-poc-bypass imite des noms de modules de registre internes Wix et un manifeste de registre afin de faire charger son code dans des environnements de build. À son chargement, il recueille des identifiants de l’hôte et des informations sur le processus, puis les transmet à un collecteur externe.
Action recommandée : Bloquer la version 1.0.0, retirer le paquet des dépendances et examiner les systèmes de build concernés pour détecter d’éventuelles communications vers le collecteur mentionné dans l’avis.
Solocal
Recherche du sujet effectuée
Aucun avis de sécurité, vulnérabilité, correctif, événement d’exploitation ou changement substantiel concernant Solocal n’a été vérifié comme daté dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les résultats consultés ne fournissent pas d’élément de sécurité pertinent pour cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée sur Craft CMS n’a pas vérifié de nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-09 dans la période demandée. Les avis visibles sur le dépôt officiel consulté sont datés du 2026-10-05 ou d’une date antérieure et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub du projet Ghost et son changelog. Les avis Ghost visibles dans les résultats étaient datés du 17 ou du 24 septembre 2026, et un avis CVE-2026-105677 renvoyait au 7 octobre 2026 : ces éléments sont antérieurs à la période demandée. Aucun élément consulté ne vérifie une vulnérabilité, un correctif ou un changement substantiel Ghost daté du 9 octobre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Recherche web effectuée sur Strapi, notamment dans les avis de sécurité du projet sur GitHub, les fiches NVD et le dépôt GitHub. Aucun nouvel avis, correctif, cas d’exploitation ou changement substantiel daté de la période demandée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif de sécurité, exploitation confirmée ni changement substantiel Directus daté du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les avis Directus apparus dans les résultats consultés sont datés antérieurement à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
Niveau relevé : Critique
Recherche web effectuée pour OpenCart : une nouvelle vulnérabilité concernant le module Sipay OpenCart Virtual POS est publiée dans la période. Les deux candidats portent sur le même CVE ; la mise à jour NVD n’est pas retenue comme événement distinct.
Contournement de validation des paiements dans le module Sipay OpenCart Virtual POS
Une vérification incorrecte de signature cryptographique dans le module Sipay OpenCart Virtual POS permet l’usurpation de signature et un contournement de la validation des paiements. Le module est affecté à partir de la version 26.8.2 et avant la 26.9.1 ; mettez-le à niveau vers la version 26.9.1 ou ultérieure.
Action recommandée : Mettre à jour le module Sipay OpenCart Virtual POS vers la version 26.9.1 ou ultérieure.
cPanel
Recherche du sujet effectuée
Recherche web dédiée effectuée sur cPanel. Les pages consultées indiquent des changements cPanel/EasyApache datés des 7 et 8 octobre 2026, antérieurs à la période demandée; aucun élément vérifié ne répond donc aux critères de date du 9 octobre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis de sécurité Mechanize publié dans la période a été retenu : CVE-2026-107715, corrigée dans Mechanize 2.14.1. Les deux autres candidats ont été écartés, car leurs dates de publication ou les éléments disponibles ne démontrent pas un événement de sécurité substantiel dans la période.
Mechanize : fuite d’en-têtes d’identification lors d’une redirection HTTP
Mechanize pouvait transmettre des en-têtes d’authentification fournis par l’appelant à un autre hôte après une redirection HTTP. La version 2.14.1 corrige cette fuite pour les en-têtes concernés ; mettez à niveau Mechanize ou désactivez le suivi automatique des redirections lorsque des identifiants sont utilisés.
Action recommandée : Mettre à niveau Mechanize vers 2.14.1 ou ultérieur.
Bun
Recherche du sujet effectuée
La recherche dédiée sur Bun a consulté les avis de sécurité GitHub du projet et ses publications de versions. Aucun avis ou changement de sécurité daté dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00 n’a été vérifié ; la version Bun v1.4.3 et ses notes de sécurité sont postérieures à cette période et sont donc exclues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Vérification incomplète
L’annonce publiée le 9 octobre 2026 indique que Deno recevra encore des mises à jour mensuelles de sécurité pendant un an avant la fin du développement officiel du runtime. Aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Go
Vérification incomplète
Niveau relevé : Critique
La recherche a identifié cinq avis Coraza publiés par le NVD le 9 octobre 2026 et deux fiches Go dont l’horodatage de publication, converti en +02:00, tombe dans la période demandée. Une version Go corrigée précise n’a pas été confirmée pour les deux CVE Go. Les trois candidats NVD uniquement modifiés ont été exclus, faute d’élément vérifiant un changement de sécurité substantiel dans la période. Cinq vulnérabilités Coraza WAF liées à du code Go ont été publiées pendant la période, avec des correctifs indiqués dans les descriptions fournies. Les deux fiches NVD publiées le 8 octobre ont été exclues faute de preuve d’un changement substantiel dans la période; les avis Argo CD et Nginx UI ne sont pas retenus comme items Go sur la base de ce lot. Six avis GitHub publiés le 2026-10-09 concernant nginx-ui ont été retenus, chacun associé à son CVE et aux versions affectées et corrigées indiquées dans l’avis. Dix avis GitHub relatifs à des logiciels de l’écosystème Go ont été publiés pendant la période demandée. Ils concernent Vikunja, yopass, ageLANServer et nginx-ui ; les versions affectées, correctifs et impacts sont ceux rapportés dans chaque avis. Dix avis GitHub concernant le composant Go de Vikunja ont été publiés le 2026-10-09 dans la période demandée. Les avis décrivent des problèmes de contrôle d’accès, de divulgation d’informations, de limitation de débit et d’épuisement de ressources; ils indiquent tous Vikunja 2.6.0 comme version corrigée.
nginx-ui : exécution de commandes via la restauration d’une sauvegarde
Dans nginx-ui, un utilisateur authentifié peut restaurer une sauvegarde forgée qui remplace la configuration de l’application, puis déclencher l’exécution de commandes via les paramètres de commande nginx. Les versions indiquées comme affectées sont comprises entre les bornes publiées dans l’avis ; appliquer la version corrigée indiquée.
Action recommandée : Mettre à niveau vers la version 1.9.10-0.20260728074146-a467ed652591 ou ultérieure.
Vikunja : divulgation de données de vues kanban via un jeton de partage
Dans Vikunja API, un détenteur d’un jeton de partage peut interroger des vues kanban d’autres projets et obtenir les titres des colonnes ainsi que des identifiants et noms d’utilisateurs associés. L’avis indique que les tâches elles-mêmes restent limitées au projet partagé ; les versions concernées vont de 0.24.0 à 2.3.0, avec correction en 2.4.0.
Action recommandée : Mettre à niveau code.vikunja.io/api vers la version 2.4.0 ou ultérieure.
Vikunja : confusion de principal permettant des actions sur équipes et comptes bots
Dans Vikunja API jusqu’à la version 2.4.0, une confusion entre le type de principal d’un partage et un utilisateur peut contourner des contrôles d’accès liés aux équipes et aux comptes bots. L’avis ne précise aucune version corrigée ; vérifier les mises à jour de l’éditeur et limiter l’exposition des jetons de partage.
Action recommandée : Surveiller les avis de Vikunja pour une version corrigée et réduire l’accès aux liens de partage jusqu’à sa disponibilité.
nginx-ui : exposition du secret maître de nœud dans les URL
nginx-ui accepte le secret maître d’un nœud dans le paramètre d’URL `node_secret`, où il peut être exposé dans les journaux, l’historique du navigateur ou les en-têtes Referer. Un secret divulgué permet de contourner l’authentification et d’accéder aux API avec des privilèges administratifs ; mettez à niveau vers la version corrigée et remplacez les secrets potentiellement exposés.
Action recommandée : Mettre à niveau vers la version corrigée et renouveler les secrets de nœud qui ont pu figurer dans des URL, journaux ou configurations exposés.
nginx-ui : contournement de l’authentification à deux facteurs par passkey seule
La connexion par mot de passe de nginx-ui n’impose pas de passkey lorsqu’un compte a configuré une passkey sans secret TOTP. Un compte ainsi protégé peut donc être connecté avec le seul mot de passe ; mettez à niveau vers la version corrigée et vérifiez les comptes configurés uniquement avec une passkey.
Action recommandée : Mettre à niveau vers la version corrigée et contrôler les comptes dont la protection repose uniquement sur une passkey.
nginx-ui : risque de CSRF lié au cookie d’authentification
Le middleware nginx-ui accepte le JWT stocké dans un cookie `token` pour authentifier les requêtes de gestion, sans protection CSRF universelle ni vérification systématique de l’origine. Un site tiers peut ainsi inciter un navigateur déjà connecté à envoyer des requêtes authentifiées modifiant l’état ; mettez à niveau vers la version corrigée.
Action recommandée : Mettre à niveau vers la version corrigée; en attendant, limiter l’exposition des interfaces de gestion et éviter de naviguer vers des sites non fiables avec une session administrateur ouverte.
nginx-ui : divulgation des jetons de nœuds et usurpation inter-nœuds
Les API de liste et de détail des nœuds nginx-ui exposent leurs jetons à des utilisateurs authentifiés ordinaires. Un utilisateur peut réutiliser un jeton divulgué pour se faire passer pour un nœud de confiance et obtenir une authentification administrative sur un autre nœud ; mettez à niveau vers la version corrigée et examinez les jetons de cluster susceptibles d’avoir été consultés.
Action recommandée : Mettre à niveau vers la version corrigée et évaluer la rotation des jetons de nœuds accessibles via les API vulnérables.
nginx-ui : validation insuffisante du binaire d’auto-mise à niveau
Le mécanisme d’auto-mise à niveau de nginx-ui vérifie le binaire téléchargé uniquement par comparaison avec un condensat obtenu auprès de la même origine, sans signature cryptographique indépendante. Un miroir compromis ou une interception du téléchargement peut ainsi fournir un binaire malveillant exécuté lors de la mise à niveau ; installez la version corrigée et évitez les proxys de téléchargement en HTTP.
Action recommandée : Mettre à niveau vers la version corrigée et ne pas utiliser de proxy HTTP non fiable pour les téléchargements de mises à jour.
nginx-ui : étape OTP manquante pour les opérations de gestion du cluster
Les opérations sensibles de gestion du cluster nginx-ui ne requièrent pas la validation de session sécurisée (étape OTP) prévue pour les autres opérations comparables. Un utilisateur muni d’un JWT valide mais sans session sécurisée récente peut modifier les nœuds et espaces de noms ou déclencher un rechargement/redémarrage du cluster ; appliquez le correctif disponible.
Action recommandée : Mettre à niveau vers la version corrigée et exiger une session sécurisée récente pour les opérations sensibles du cluster.
Coraza : débordement de pile fatal lors de la validation de JSON profondément imbriqué
Dans Coraza 3.0.0 à 3.8.0, un corps JSON contenant une structure profondément imbriquée peut provoquer un débordement de pile fatal et arrêter le processus. Mettre à jour vers la version 3.8.1 ou ultérieure.
Action recommandée : Mettre à jour Coraza vers 3.8.1 ou ultérieure.
Vikunja : contournement des permissions d’un jeton API via OAuth
Dans Vikunja API 2.3.0, un jeton API limité à `oauth.authorize` peut être échangé contre des identifiants de session normaux, qui ne conservent pas les restrictions du jeton initial. Mettre à niveau vers 2.4.0 pour corriger le problème.
Action recommandée : Mettre à niveau code.vikunja.io/api vers la version 2.4.0 ou ultérieure.
Vikunja : collision d’identifiants de partage permettant de gérer les jetons API d’un autre compte
Dans Vikunja API, un jeton de partage dont l’identifiant numérique correspond à celui d’un utilisateur peut être confondu avec cet utilisateur dans les opérations de gestion des jetons API. Le défaut est indiqué comme affectant les versions 0.22.0 à 2.3.0 ; mettre à niveau vers 2.4.0.
Action recommandée : Mettre à niveau code.vikunja.io/api vers la version 2.4.0 ou ultérieure.
yopass : épuisement mémoire par cardinalité non bornée des métriques
Le middleware Prometheus de yopass utilise la méthode HTTP fournie par le client comme étiquette de métrique sans la limiter. Des requêtes non authentifiées avec des méthodes arbitraires peuvent multiplier les séries temporelles et épuiser la mémoire ; la correction est disponible dans la révision indiquée comme version corrigée.
Action recommandée : Mettre à niveau vers la révision 0.0.0-20260727191436-61e31ead04a4 ou ultérieure.
ageLANServer : déni de service par allocations JSON non bornées
Le serveur ageLANServer alloue des structures en fonction du nombre d’éléments d’un tableau JSON `names` fourni à l’endpoint AoE3 `POST /game/cloud/getFileURL`, sans limite de taille ni de longueur. Une requête excessive peut épuiser la mémoire et arrêter le processus ; mettre à niveau vers la version corrigée indiquée.
Action recommandée : Mettre à niveau vers la version 1.8.2-0.20260809203301-1dd40166a593 ou ultérieure.
Vikunja : prise de compte local via le repli OIDC par e-mail
Lorsque l’option OIDC `emailfallback` est activée, Vikunja peut associer une connexion à un compte local existant sur la seule base de l’adresse e-mail, sans vérifier `email_verified` ni le mot de passe. L’avis indique que les comptes concernés peuvent être pris en charge sans interaction de la victime ; mettre à niveau vers 2.4.0.
Action recommandée : Mettre à niveau vers Vikunja API 2.4.0 ou ultérieure ; si ce n’est pas possible, désactiver `emailfallback` sauf si l’émetteur vérifie fiablement les adresses.
Vikunja : jetons sensibles stockés en clair dans la base de données
Vikunja conserve en clair dans la base les jetons de réinitialisation de mot de passe, de confirmation d’e-mail et de suppression de compte. Une personne disposant d’un accès en lecture à la base peut utiliser des jetons encore valides ; l’avis indique une correction en 2.4.0.
Action recommandée : Mettre à niveau code.vikunja.io/api vers la version 2.4.0 ou ultérieure.
Vikunja : absence de limitation de débit sur les routes publiques de l’API v2
Sur une installation Vikunja par défaut, les routes publiques pré-authentification de l’API v2 n’appliquent pas la limite de débit inconditionnelle présente sur leurs équivalents v1. Cela peut permettre des tentatives répétées de connexion et des abus des fonctions publiques ; mettre à niveau vers 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja API 2.6.0 ou ultérieure.
Vikunja divulgue le secret des partages par lien aux membres en lecture seule
Un membre disposant uniquement d’un accès en lecture à un projet peut récupérer le hash d’un partage par lien via les routes de lecture individuelle v1 et v2. Ce secret permet d’obtenir un jeton au niveau de permission du partage; les versions jusqu’à 2.5.0 sont concernées et le correctif annoncé est la version 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0.
Des images téléversées peuvent provoquer une forte consommation de ressources dans Vikunja
Les téléversements d’avatars et d’arrière-plans de projet décodent des images sans limite de pixels et peuvent produire une amplification importante en CPU et mémoire lors du redimensionnement. Les versions jusqu’à 2.5.0 sont concernées; le correctif indiqué est la version 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0; limiter les dimensions des images décodées et de sortie.
Un import d’archive Vikunja peut épuiser mémoire et espace disque
L’import de données ne limite pas suffisamment la taille décompressée ni le nombre de fichiers d’une archive, ce qui permet à un utilisateur autorisé à importer de provoquer une consommation excessive de mémoire et de disque. Les versions jusqu’à 2.5.0 sont concernées; le correctif indiqué est la version 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0; limiter la taille décompressée et le nombre de fichiers, et traiter les fichiers en flux.
Un filtre de tâches profondément imbriqué peut arrêter l’API Vikunja
Un utilisateur authentifié peut soumettre un filtre de tâches profondément imbriqué qui entraîne une consommation excessive de mémoire et l’arrêt du processus API. L’avis établit l’affectation de la version 2.5.0, précise que l’étendue historique plus large n’est pas établie, et indique 2.6.0 comme version corrigée.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0.
Coraza : omission de paramètres de requête pour certains URI malformés
Dans les versions 3.0.0 à 3.8.0 de Coraza, un URI malformé transmis directement à certaines intégrations peut conduire le WAF à omettre des paramètres de requête de son inspection, ce qui peut contourner des règles. Mettre à jour vers Coraza 3.8.0 ou une version ultérieure; l’intégration HTTP fournie avec Coraza n’est pas concernée par ce scénario.
Action recommandée : Mettre à jour Coraza vers 3.8.0 ou ultérieure; vérifier les intégrations qui transmettent directement les URI au WAF.
Coraza : consommation CPU excessive sur les réponses JSON imbriquées
Dans Coraza 3.0.0 à 3.8.0, l’inspection des réponses JSON profondément imbriquées peut effectuer un travail quadratique et monopoliser un cœur CPU pendant plusieurs secondes par réponse. Mettre à jour vers la version 3.8.0 ou ultérieure; le problème décrit concerne l’inspection des corps de réponse, lorsqu’elle est activée.
Action recommandée : Mettre à jour Coraza vers 3.8.0 ou ultérieure; si la mise à jour n’est pas immédiate, évaluer la désactivation de l’inspection des corps de réponse.
Coraza : épuisement de descripteurs de fichiers dans le traitement multipart
Dans Coraza 3.0.0 à 3.8.0, les descripteurs de fichiers temporaires créés pour les parties fichier multipart restent ouverts jusqu’à la fin de la requête. Une requête contenant de nombreuses parties fichier peut épuiser les descripteurs du processus; mettre à jour vers la version 3.8.0 ou ultérieure.
Action recommandée : Mettre à jour Coraza vers 3.8.0 ou ultérieure.
Coraza : divergence de parsing de cookies pouvant contourner des règles
Avant Coraza 3.8.1, certains caractères de contrôle ASCII et noms de cookies vides ou constitués de caractères de contrôle pouvaient être interprétés différemment par Coraza et par un serveur applicatif. Selon le parseur en aval et les règles utilisées, des données visibles par l’application peuvent échapper aux règles sur les cookies; mettre à jour vers la version 3.8.1 ou ultérieure.
Action recommandée : Mettre à jour Coraza vers 3.8.1 ou ultérieure.
Vikunja expose le secret TOTP aux détenteurs d’un jeton d’accès
Une fois le TOTP activé, un jeton d’accès utilisateur suffit à lire le secret partagé et l’URL de provisionnement, sans nouvelle authentification. Une personne disposant d’un jeton compromis peut ainsi cloner le second facteur; les versions jusqu’à 2.5.0 sont concernées et la mise à niveau vers 2.6.0 est indiquée comme correctif.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0.
Vikunja accepte des positions de tâche dans des vues d’un autre tenant
L’API permet d’enregistrer une position de tâche dans une vue de projet appartenant à un autre tenant, car elle vérifie les droits sur la tâche mais pas l’appartenance de la vue ni les droits associés. Les versions jusqu’à 2.5.0 sont concernées; l’avis indique une correction en 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0.
Le paramètre expand contourne les portées des jetons API Vikunja
Des jetons API limités à la lecture des tâches peuvent contourner leurs portées en utilisant le paramètre expand pour obtenir des commentaires, réactions et nombres d’entrées de temps. Les versions 1.0.0 à 2.5.0 sont concernées; le correctif indiqué est Vikunja 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0 et limiter les jetons aux permissions strictement nécessaires.
Les routes CalDAV et de flux Vikunja contournent la limitation des tentatives de connexion
Les routes CalDAV et de flux BasicAuth ne sont pas soumises à la limitation de débit appliquée à la connexion API, permettant des tentatives illimitées de deviner les mots de passe de comptes concernés. Les versions jusqu’à 2.5.0 sont affectées; l’avis préconise l’application de la limite de pré-authentification et indique 2.6.0 comme version corrigée.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0; appliquer une limitation de débit aux routes concernées.
Vikunja permet d’énumérer les équipes et leurs membres
Un utilisateur connecté peut attacher à son projet une équipe quelconque de l’instance puis consulter la liste de ses membres, ce qui permet d’énumérer les équipes et leurs membres. Les versions jusqu’à 2.5.0 sont affectées; l’avis indique une correction en 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0.
Les jetons de partage Vikunja permettent la recherche d’utilisateurs via l’API v2
Un jeton de partage par lien peut accéder à des endpoints v2 de recherche d’utilisateurs, exposant les membres du projet partagé et permettant de vérifier l’existence de noms d’utilisateur sur l’instance. Les versions jusqu’à 2.5.0 sont affectées; l’avis indique une correction en 2.6.0.
Action recommandée : Mettre à niveau vers Vikunja 2.6.0.
Go : substitution possible du module intégré golang.org/fips140
Un projet Go malveillant et un proxy de modules contrôlé par l’attaquant peuvent substituer un module arbitraire au module intégré golang.org/fips140 dans certaines conditions. La fiche NVD a été publiée dans la période considérée; le correctif décrit sécurise l’entrée correspondante du cache de modules, mais les informations consultées ne permettent pas d’indiquer ici une version Go corrigée précise.
Action recommandée : Consulter l’avis officiel Go et appliquer une version corrigée dès que la version applicable est confirmée.
Go : contournement de la somme de contrôle de golang.org/toolchain
Une entrée golang.org/toolchain forgée dans go.sum, combinée à un GOMODPROXY malveillant auquel l’utilisateur choisit de se connecter, pouvait contourner la vérification de somme de contrôle prévue. Le correctif décrit impose de récupérer sur le réseau la somme de contrôle canonique de golang.org/toolchain; les informations consultées ne permettent pas d’indiquer une version corrigée précise.
Action recommandée : Consulter l’avis officiel Go et appliquer une version corrigée dès que la version applicable est confirmée.
Kotlin
Recherche du sujet effectuée
La recherche dédiée sur Kotlin n’a identifié aucun avis ou événement de sécurité vérifié comme daté du 2026-10-09. Le candidat fourni concerne une vulnérabilité Gradle publiée en 2021; la seule indication fournie pour la période est une modification NVD, sans preuve d’un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité attribuable au projet Electron et daté de la période demandée (du 2026-10-09T00:00:00+02:00 inclus au 2026-10-10T00:00:00+02:00 exclu). Les candidats concernant AstronRPA et Quasar ne constituent pas des vulnérabilités d’Electron.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée sur jQuery n’a fait ressortir aucun avis, correctif, exploitation ou changement substantiel daté du 2026-10-09 dans la période indiquée. Les avis jQuery consultés sur GitHub sont antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche dédiée sur Laravel n’a révélé aucun avis de sécurité, nouvelle vulnérabilité ou changement substantiel vérifiable daté du 2026-10-09 dans la période demandée. Les avis Laravel repérés étaient antérieurs à cette période; la version publiée le 2026-10-06 est également hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvel avis, correctif ou événement de sécurité Svelte daté du 2026-10-09 dans la période demandée. Les avis SvelteKit repérés sont datés du 2026-10-05, donc antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée des avis de sécurité Symfony et de la base GitHub consultés n’a révélé aucun avis ou correctif de sécurité daté de la période demandée (du 2026-10-09T00:00:00+02:00 inclus au 2026-10-10T00:00:00+02:00 exclu). Les candidats fournis concernent Contao, et non Symfony; ils sont donc hors sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
Aucune nouveauté de sécurité concernant le projet Flask lui-même n’a été vérifiée dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les candidats portent sur Wizarr, Indico ou pyLoad — des applications distinctes qui utilisent Flask ou des composants de son écosystème — et non sur Flask en tant que projet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée a trouvé l’avis de sécurité Django du 6 octobre 2026, qui annonce des correctifs pour quatre CVE, mais sa date précède la période demandée. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel attribuable à Django et daté du 9 octobre 2026 n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Aucune vulnérabilité, aucun avis ou correctif de sécurité ni changement substantiel concernant FastAPI n’a été vérifié dans la période demandée. Les résultats consultés montrent notamment une version FastAPI publiée le 8 octobre 2026, en dehors de la période, sans indication d’un avis de sécurité correspondant.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée aux avis officiels du projet Express.js et à ses avis GitHub n’a relevé aucun nouvel avis, correctif ou changement de sécurité Express.js daté du 2026-10-09 dans la période demandée. Les candidats fournis concernent des produits distincts ou des enregistrements CVE antérieurs, et ne constituent pas des événements de sécurité du sujet Express.js dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée sur NestJS n’a identifié, dans les sources consultées, aucun avis de sécurité, correctif de sécurité, cas d’exploitation ou changement substantiel daté du 2026-10-09 dans la période demandée. Les avis NestJS visibles dans les résultats consultés étaient publiés à d’autres dates et n’ont donc pas été retenus. Les candidats fournis rapportent dix avis publiés le 2026-10-09 concernant des paquets npm malveillants dont les noms évoquent NestJS. Ils décrivent la collecte et l’exfiltration de secrets d’environnement et d’informations d’hôte par des modules natifs; les avis ne donnent pas de versions corrigées. Aucun avis de vulnérabilité ou correctif vérifié concernant le projet NestJS n’a été retenu dans ce lot. Le candidat porte sur un paquet npm tiers malveillant dont le nom évoque NestJS, mais qui n’est pas identifié comme faisant partie du projet NestJS.
Code malveillant dans @brick-v2/brand sur npm
L’avis rapporte que les versions indiquées de @brick-v2/brand contiennent un module natif qui collecte des identifiants d’environnement et des informations sur l’hôte, puis les transmet à un serveur externe. Retirer le paquet, empêcher son installation et considérer comme compromis les secrets présents sur les machines où il a été installé.
Action recommandée : Supprimer les versions concernées, auditer les installations et renouveler les identifiants accessibles lors de leur exécution.
Code malveillant dans @galicia-toolkit-nestjs-20/commons sur npm
L’avis décrit un module natif malveillant dans les versions concernées de @galicia-toolkit-nestjs-20/commons, qui collecte des secrets d’environnement et des renseignements sur l’hôte avant de les transmettre à un serveur externe. Retirer le paquet, vérifier les systèmes où il a été chargé et renouveler les secrets susceptibles d’avoir été exposés.
Action recommandée : Supprimer les versions concernées, auditer les installations et renouveler les identifiants accessibles au processus Node.js.
Code malveillant dans @galicia-toolkit-nestjs-20-lite/paas
Le paquet npm déclenche un module natif malveillant lors de l’installation et du chargement, lequel collecte des secrets de CI/cloud et les transmet à un serveur distant. Les versions 1.0.20 à 1.0.24 indiquées dans l’avis sont affectées; aucun correctif n’y est spécifié.
Action recommandée : Bloquer les versions signalées; si elles ont été exécutées, isoler les systèmes concernés et renouveler les secrets accessibles au processus.
Code malveillant dans @galicia-toolkit-nestjs-20/archetype sur npm
L’avis signale que les versions indiquées de @galicia-toolkit-nestjs-20/archetype chargent un binaire natif qui collecte des identifiants et des informations sur la machine, puis les transmet à un hôte externe. Retirer le paquet et renouveler les secrets auxquels les processus concernés pouvaient accéder.
Action recommandée : Retirer les versions concernées, auditer les environnements qui les ont chargées et faire tourner les secrets accessibles.
Code malveillant dans @galicia-toolkit-nestjs-20/paas
Le paquet npm charge à l’import un module natif qui collecte des identifiants cloud, CI et de publication, puis les exfiltre vers un serveur distant. Les versions 3.0.3, 3.0.5 à 3.0.7 et 999.0.1 sont affectées selon l’avis; aucun correctif n’est indiqué.
Action recommandée : Bloquer les versions signalées; si elles ont été exécutées, isoler les systèmes concernés et renouveler les secrets accessibles au processus.
Code malveillant dans @galicia-toolkit-nestjs/swagger sur npm
L’avis rapporte que les versions indiquées de @galicia-toolkit-nestjs/swagger chargent un binaire natif qui collecte des secrets et des données d’identification de l’hôte, puis les envoie à un serveur externe. Retirer le paquet et renouveler les identifiants accessibles dans les environnements où il a été chargé.
Action recommandée : Supprimer les versions concernées, auditer les environnements concernés et renouveler les secrets accessibles au processus.
Code malveillant dans @galicia-toolkit-nestjs-20-lite/archetype sur npm
L’avis décrit un script preinstall qui charge un binaire natif malveillant dans les versions indiquées de @galicia-toolkit-nestjs-20-lite/archetype, lequel collecte des secrets et des informations sur l’hôte pour les transmettre à un serveur externe. Supprimer le paquet, vérifier les machines où l’installation a eu lieu et renouveler les identifiants potentiellement exposés.
Action recommandée : Retirer le paquet, auditer les installations et renouveler les secrets accessibles lors de l’installation.
Code malveillant dans @galicia-toolkit-nestjs-20-lite/commons
Ce paquet npm présenté comme une bibliothèque NestJS utilise un hook d’installation pour charger un addon natif qui collecte des secrets et les envoie à un serveur distant. Les versions 999.0.1 à 999.0.3 sont affectées selon l’avis; aucune version corrigée n’est donnée.
Action recommandée : Bloquer les versions signalées; si elles ont été installées, isoler les systèmes concernés et renouveler les secrets accessibles au processus.
Code malveillant dans @galicia-toolkit-nestjs/paas
Ce paquet NestJS charge un addon natif qui collecte des identifiants cloud, CI et de publication ainsi que des informations sur l’hôte, puis les transmet à un serveur distant. Les versions 999.0.3 à 999.0.6 sont signalées comme affectées; aucun correctif n’est indiqué.
Action recommandée : Bloquer les versions signalées; si elles ont été exécutées, isoler les systèmes concernés et renouveler les secrets accessibles au processus.
Code malveillant dans @galicia-toolkit-nestjs/archetype
Le paquet charge à l’import un addon natif qui collecte des secrets de CI/CD, cloud et publication ainsi que des informations sur l’hôte, puis les transmet à un serveur distant. Les versions 999.0.1, 999.0.5 et 999.0.6 sont signalées; aucun correctif n’est fourni.
Action recommandée : Bloquer les versions signalées; si elles ont été chargées, isoler les systèmes concernés et renouveler les secrets accessibles au processus.
MySQL
Recherche du sujet effectuée
Aucune vulnérabilité ou aucun avis vérifié correspondant au produit MySQL (Oracle) n’a été retenu pour la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les candidats CVE-2026-107814 à CVE-2026-107823 concernent MariaDB, un produit distinct de MySQL, et le candidat CVE-2016-9840 concerne zlib. Aucun candidat fourni ne concerne MySQL ni ne documente un événement de sécurité pertinent pour le sujet et la période demandés. Aucun candidat fourni ne documente un événement concernant le produit MySQL dans la période. Les candidats portant sur MariaDB ou MariaDB Connector/Node.js concernent des produits distincts ; les autres portent sur Apache Tomcat ou Node.js, et leurs modifications NVD ne constituent pas des événements MySQL. Aucun élément retenu pour MySQL : les quatre candidats portent sur MariaDB Connector/C ou le serveur MariaDB, et non sur le produit MySQL demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouveauté de sécurité concernant PostgreSQL dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les deux candidats fournis ont été examinés et exclus : l’un est une mise à jour administrative NVD d’une CVE ancienne, l’autre concerne Vikunja et non PostgreSQL.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouveauté MongoDB répondant aux critères pendant la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les deux candidats ont été examinés et exclus : l’un correspond à une mise à jour NVD sans changement substantiel établi dans la période, l’autre avait déjà fait l’objet d’une publication de correctif avant le début de celle-ci.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié, dans la période demandée, d’avis ou de vulnérabilité attribuable au produit Redis lui-même. Les cinq nouvelles fiches CVE fournies concernent FalkorDB, un produit distinct de Redis ; la fiche CVE-2025-61765 concerne python-socketio, et sa seule mise à jour NVD datée de la période ne constitue pas en soi un nouvel événement de sécurité. Le candidat concerne FalkorDB, et non une vulnérabilité du produit Redis ; aucun item Redis n’est retenu dans ce lot.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche web dédiée aux avis de sécurité et aux publications du projet Caddy n’a relevé aucun avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les publications Caddy repérées dans les résultats consultés sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée a trouvé des avis SvelteKit publiés le 5 octobre 2026, mais aucun élément identifié ne répond aux critères de publication, correction, exploitation ou changement substantiel daté du 9 octobre 2026 dans la période demandée. Les avis repérés sont antérieurs à cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel n’a relevé aucun nouvel avis de sécurité, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les avis Babel visibles dans les résultats consultés sont antérieurs à cette période; les versions publiées le 7 octobre ne sont pas dans la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ni avis de sécurité Elasticsearch vérifié comme nouveau ou substantiellement modifié pendant la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les candidats fournis indiquent une publication antérieure au 9 octobre et une mise à jour NVD le 9 octobre, mais la recherche n’a pas établi que ces modifications NVD correspondaient à un changement substantiel plutôt qu’administratif.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée a consulté les avis RabbitMQ et les informations disponibles sur les CVE candidates. Elle n’a pas confirmé, pour la période du 2026-10-09T00:00:00+02:00 inclus au 2026-10-10T00:00:00+02:00 exclu, un nouvel avis, correctif ou changement substantiel correspondant à ces candidats; les dates de publication visibles sont antérieures, et une simple mise à jour de fiche NVD ne suffit pas à établir un événement admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant Memcached daté dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les résultats pertinents consultés renvoient à des publications antérieures à cette période, qui ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a vérifié quatre vulnérabilités GraphQL publiées dans la période : deux dans Strawberry GraphQL, une dans AWS Amplify et une dans TinaCMS. Les mises à jour NVD de deux CVE antérieures dans la période n’ont pas été retenues faute d’élément vérifié montrant un changement de sécurité substantiel; les autres candidats datés hors fenêtre ou doublons ont été examinés. Deux avis Strawberry GraphQL publiés le 2026-10-09 sont pertinents : un contournement conditionnel de vérification de permission (CVE-2026-107728) et une rétention de places d’abonnement avec le protocole legacy `graphql-ws` (CVE-2026-107727).
TinaCMS : l’aperçu GraphQL peut faire confiance à une iframe contrôlée
Dans TinaCMS, une route d’aperçu administrative peut faire confiance à une iframe contrôlée par un attaquant et lui permettre d’émettre des lectures ou mutations GraphQL avec les privilèges d’un éditeur connecté. Les versions antérieures à tinacms 3.14.0 et @tinacms/app 2.5.14 sont concernées; appliquer ces versions corrigées ou ultérieures.
Action recommandée : Mettre à jour tinacms vers 3.14.0 et @tinacms/app vers 2.5.14 ou ultérieure.
Strawberry GraphQL : une vérification de permission peut laisser passer un accès protégé
Une vérification de permission synchrone pouvait accorder l’accès à un champ protégé lorsqu’une méthode `has_permission` définie avec `def` renvoyait un awaitable : celui-ci était traité comme une valeur vraie sans être attendu. Le correctif fait échouer cette vérification au lieu d’accorder l’accès ; le problème concerne Strawberry GraphQL pour les versions 0.217.0 à 0.326.0 incluses.
Action recommandée : Mettre à niveau strawberry-graphql vers 0.326.1 ou une version ultérieure corrigée ; vérifier les permissions personnalisées dont `has_permission` est une fonction synchrone renvoyant un awaitable.
AWS Amplify : autorisation incorrecte dans des résolveurs GraphQL
Des résolveurs de requête générés par AWS Amplify API Category peuvent autoriser un utilisateur authentifié à lire des enregistrements appartenant à d’autres utilisateurs de la même application. Les versions concernées sont @aws-amplify/graphql-index-transformer >= 2.2.0 et < 3.1.2, @aws-amplify/graphql-api-construct >= 1.4.0 et < 1.21.4, ainsi que @aws-amplify/data-construct < 1.17.4; appliquer les versions corrigées et redéployer le backend.
Action recommandée : Mettre à jour les paquets concernés vers les versions corrigées, vérifier les éventuels forks et redéployer le backend.
Strawberry GraphQL : les abonnements terminés peuvent continuer à consommer des places
Dans le gestionnaire d’abonnements Strawberry utilisant l’ancien protocole `graphql-ws`, les opérations terminées naturellement pouvaient rester comptabilisées dans les tâches de la connexion. Lorsque `max_subscriptions_per_connection` est configuré, cela peut bloquer de nouveaux abonnements légitimes sur cette connexion ; le correctif est disponible dans la version 0.327.2.
Action recommandée : Mettre à niveau strawberry-graphql vers 0.327.2 ou une version ultérieure corrigée ; si la mise à niveau n’est pas possible, tenir compte du risque lorsque le protocole legacy `graphql-ws` et une limite d’abonnements par connexion sont activés.
WooCommerce
Vérification incomplète
Niveau relevé : Élevée
Neuf publications NVD candidates datées du 9 octobre 2026 concernent des extensions ou intégrations WooCommerce ; elles sont retenues comme nouvelles publications dans la période, selon les horodatages fournis. La recherche web dédiée a été tentée, mais l’ouverture des fiches NVD n’a pas abouti ; les détails et correctifs non présents dans les données candidates ne sont donc pas considérés comme vérifiés. La mise à jour de CVE-2025-60171 reste incertaine quant à son caractère substantiel. Une nouvelle vulnérabilité publiée le 9 octobre 2026 concerne SKU Error Fixer for WooCommerce : des actions AJAX sans contrôles adéquats permettent la suppression permanente et la divulgation de variations de produits. Les autres candidats sont des modifications de fiches NVD de vulnérabilités publiées avant la période, sans preuve fournie d’un changement substantiel daté de cette journée. Les candidats fournis signalent des fiches NVD modifiées, mais les éléments du lot ne permettent pas de déterminer si ces changements constituent de nouveaux avis ou des mises à jour substantielles plutôt que des modifications administratives. Aucune recherche Web n’a été effectuée.
Pay with Vipps for WooCommerce : désérialisation de données non fiables
CVE-2026-94568 concerne Pay with Vipps for WooCommerce (woo-vipps), jusqu’à la version 6.2.0 incluse, et décrit une désérialisation de données non fiables pouvant conduire à une injection d’objets. La version corrigée et les mesures de mitigation ne sont pas établies dans les éléments vérifiés ; vérifier auprès de l’éditeur et appliquer une mise à jour confirmée.
Action recommandée : Vérifier les avis de l’éditeur et installer une version corrigée dès qu’elle est confirmée.
ShopBuilder : XSS réfléchie
CVE-2026-95596 est une XSS réfléchie dans ShopBuilder – Elementor WooCommerce Builder Addons jusqu’à la version 3.4.1 incluse. La fiche fournie n’indique pas de version corrigée ; mettre à jour uniquement vers une version déclarée corrigée par l’éditeur et, à défaut, envisager la désactivation du module.
Action recommandée : Vérifier l’avis de l’éditeur et installer une version corrigée ; désactiver le module si aucun correctif n’est disponible.
HUSKY : XSS réfléchie
CVE-2026-95608 est une XSS réfléchie dans HUSKY (woocommerce-products-filter) jusqu’à la version 1.4.3.2 incluse. Les éléments disponibles ne donnent pas de version corrigée ; vérifier les informations de PluginUs.Net et mettre à jour vers une version corrigée, ou désactiver le plugin si nécessaire.
Action recommandée : Consulter l’avis de PluginUs.Net et appliquer une version corrigée ; désactiver le plugin si aucun correctif n’est disponible.
FiboSearch : XSS réfléchie
CVE-2026-96553 est une XSS réfléchie dans FiboSearch (ajax-search-for-woocommerce) jusqu’à la version 1.34.1 incluse. La version corrigée n’est pas précisée dans les éléments fournis ; vérifier les informations du mainteneur et installer une version corrigée dès qu’elle est confirmée.
Action recommandée : Vérifier l’avis du mainteneur et installer une version corrigée dès qu’elle est confirmée.
Product Configurator for WooCommerce : désérialisation de données non fiables
CVE-2026-105872 concerne Product Configurator for WooCommerce jusqu’à la version 1.7.5 incluse et décrit une désérialisation de données non fiables pouvant conduire à une injection d’objets. Aucun correctif n’est identifié dans les éléments fournis ; vérifier l’avis de l’éditeur et installer un correctif confirmé.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif confirmé ; limiter l’exposition du plugin en attendant.
SKU Error Fixer for WooCommerce : suppression non autorisée et divulgation de variations de produits
Le plugin SKU Error Fixer for WooCommerce ne vérifie ni les capacités ni les nonces sur deux actions AJAX accessibles sans authentification. Un attaquant peut supprimer définitivement des variations de produits jugées obsolètes et divulguer leurs détails.
Action recommandée : Désactiver ou retirer le plugin concerné tant qu’un correctif fiable n’est pas confirmé; surveiller les variations de produits supprimées ou exposées.
Super Payments : falsification de webhooks de paiement
CVE-2026-103329 concerne le plugin Super Payments pour WordPress, antérieur à la version 1.43.1 : la clé de signature vide par défaut empêche de vérifier correctement l’authenticité des webhooks de paiement. Un attaquant non authentifié peut falsifier un webhook et faire marquer comme payées des commandes WooCommerce sans paiement ; mettre à jour au moins en version 1.43.1 et vérifier les commandes affectées.
Action recommandée : Mettre à jour vers la version 1.43.1 ou ultérieure et vérifier les commandes marquées payées ainsi que la configuration de la clé de signature.
Deposits and Partial Payments for WooCommerce : autorisation manquante
CVE-2026-95589 concerne Deposits and Partial Payments for WooCommerce jusqu’à la version 4.0.1 incluse et porte sur une autorisation manquante. La description fournie ne précise pas l’action exposée ni la version corrigée ; consulter l’éditeur et appliquer un correctif confirmé.
Action recommandée : Vérifier les détails et le correctif auprès de l’éditeur ; mettre à jour vers une version corrigée dès confirmation.
Simple Pay for WooCommerce : autorisation manquante
CVE-2026-95597 concerne le plugin coréen de paiement WordPress Simple Pay (pgall-for-woocommerce) jusqu’à la version 5.5.17 incluse et décrit une autorisation manquante. Les éléments fournis ne précisent ni la fonction touchée ni le correctif ; vérifier l’avis de l’éditeur avant de mettre à jour ou de désactiver le plugin.
Action recommandée : Consulter l’avis de l’éditeur et appliquer une version corrigée dès qu’elle est confirmée.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-10-09 dans la période demandée. Les sources consultées recensent des vulnérabilités et correctifs antérieurs; elles ne documentent pas d’événement admissible dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis publié dans la période concerne Docker Desktop pour Windows : CVE-2026-106581, corrigée dans la version 4.92.0. Les autres candidats ont été exclus car ils concernent un autre produit, une vulnérabilité déjà publiée ou une mise à jour administrative sans nouveauté substantielle vérifiée dans la période. Aucun candidat fourni ne décrit une vulnérabilité, un correctif ou un avis de sécurité concernant Docker. Les mentions de Docker dans les candidats désignent uniquement un environnement de test ou de déploiement pour d’autres produits.
Docker Desktop pour Windows : vérification de signature insuffisante de l’installateur
Docker Desktop for Windows antérieur à 4.92.0 ne vérifiait pas la signature du paquet fourni à `Docker Desktop Installer.exe install -package`, ce qui pouvait permettre l’exécution d’actions d’installation contrôlées par un attaquant avec les privilèges LocalSystem si l’utilisateur approuvait l’invite UAC signée par Docker. Mettre à niveau vers la version 4.92.0 ou ultérieure.
Action recommandée : Mettre à niveau Docker Desktop pour Windows vers la version 4.92.0 ou ultérieure.
Kubernetes
Vérification incomplète
Niveau relevé : Critique
Deux avis publiés dans la période concernent des composants liés à Kubernetes : Apache Camel Karavan et Argo CD. Les candidats Contrast et Backstage signalent des mises à jour NVD datées du 9 octobre, mais les éléments consultés ne permettent pas de confirmer si ces changements sont substantiels ; le candidat nginx-ui ne concerne pas Kubernetes comme produit. Un avis publié pendant la période signale un paquet npm malveillant capable de collecter des secrets, notamment des jetons de comptes de service Kubernetes. Les versions concernées indiquées sont 1.0.1, 1.0.2 et 1.0.3 ; aucune version corrigée n’est précisée.
Paquet npm malveillant susceptible de voler des jetons de comptes de service Kubernetes
L’avis GHSA-hjq9-gv63-8hh8 signale que les versions 1.0.1, 1.0.2 et 1.0.3 du paquet npm css-overscroll-contain contiennent du code malveillant exécuté au chargement, qui collecte notamment des secrets et le jeton de compte de service Kubernetes. Les utilisateurs concernés doivent traiter les secrets accessibles à l’environnement comme compromis et retirer ces versions ; aucune version corrective n’est indiquée.
Action recommandée : Retirer les versions concernées et vérifier les environnements où elles ont été installées. Révoquer et renouveler les jetons de comptes de service ainsi que les autres secrets potentiellement accessibles à ces environnements.
Apache Camel Karavan : application de ressources Kubernetes non restreintes
Apache Camel Karavan appliquait des ressources Kubernetes définies dans `kubernetes.yaml` sans restreindre les types de ressources ni certaines options sensibles des pods. Un utilisateur authentifié pouvait ainsi faire créer des ressources avec les privilèges du compte de service de Karavan ; mettre à niveau vers la version 4.22.1.
Action recommandée : Mettre à niveau Apache Camel Karavan vers 4.22.1 ou une version ultérieure corrigée.
Argo CD : injection de commandes via l’URL de proxy d’un dépôt SSH
Argo CD était vulnérable à une injection de commandes dans `repo-server` lors d’opérations sur un dépôt Git SSH configuré avec une URL de proxy. Un utilisateur autorisé à créer ou modifier un dépôt ou un modèle d’identifiants pouvait exécuter des commandes dans `repo-server` et accéder aux identifiants Git, Helm et OCI ; appliquer la version corrigée correspondant à la branche utilisée.
Action recommandée : Mettre à niveau Argo CD vers la version corrigée correspondant à sa branche et limiter les droits de modification des dépôts et modèles d’identifiants.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Dix candidats Linux noyau portent des publications NVD datées du 2026-10-09, dans la période demandée, et ont été retenus individuellement. Une recherche dédiée a aussi retrouvé l’avis Xen XSA-522 pour CVE-2026-98375; les versions corrigées et les scores CVSS ne sont pas établis ici pour la plupart des candidats. Aucun élément fourni ne documente une nouvelle vulnérabilité, un correctif ou un changement substantiel du noyau Linux pendant la période. La seule modification NVD datée du 9 octobre concerne une fiche publiée en 2002 et n’est pas accompagnée de preuve d’un changement substantiel; les autres modifications sont datées du 8 octobre, avant la période. Cinq vulnérabilités du noyau Linux ont été publiées pendant la période : elles concernent Xen netfront, les cartes BPF per-CPU, l’insertion VLAN, l’itérateur de liens BPF et le filtrage IPv6 rpfilter. Les sources fournies ne précisent ni scores CVSS ni versions corrigées. Les cinq fiches NVD fournies, datées du 2026-10-09, décrivent des vulnérabilités du noyau Linux et des changements de correction dans les composants réseau et BPF. Les sources fournies ne précisent ni versions affectées ou corrigées, ni score de gravité, ni exploitation confirmée.
Linux : paquet Ethernet trop court dans Xen netfront
Une anomalie dans le pilote Xen netfront peut faire planter le noyau ou entraîner une lecture hors limites lorsqu’un paquet reçu possède un en-tête Ethernet trop court. Le correctif impose une longueur minimale avant le traitement et abandonne les paquets insuffisants.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : vérification manquante lors du remplacement d’une carte BPF per-CPU
Le remplacement d’une carte interne de tableau BPF per-CPU de taille différente pouvait contourner une vérification et conduire à un accès hors limites lors d’une recherche JIT. Le correctif compare les tailles maximales et ajoute un test qui vérifie le rejet d’un remplacement incompatible.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : fuite de mémoire lors de l’insertion d’étiquettes VLAN
L’insertion d’une étiquette VLAN pouvait réécrire des octets au-delà des données réellement présentes dans une trame courte, puis transmettre des données non initialisées du noyau. Le correctif exige que l’en-tête MAC manipulé soit présent ; sinon, la trame est abandonnée.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : use-after-free dans l’itérateur de liens BPF
Un itérateur de liens BPF pouvait conserver une référence à un lien encore en cours de création, puis accéder à une mémoire libérée si la création échouait. Le correctif ignore les entrées dont l’identifiant est encore nul, comme le fait déjà la recherche de lien par identifiant.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : déréférencement nul dans le filtre IPv6 rpfilter
Le filtrage IPv6 par chemin inverse pouvait déréférencer un pointeur nul lorsqu’une route ne disposait plus de structure inet6_dev associée. Le correctif rejette ces routes dès leur récupération, avant tout accès au pointeur.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : déréférencement d’un pointeur d’erreur lors de la suppression d’actions réseau
Une course dans la suppression d’actions de `net/sched` peut faire traiter un pointeur d’erreur IDR comme une action valide, entraînant un déréférencement nul et potentiellement un plantage du noyau. Le correctif rejette les pointeurs d’erreur et renvoie `-ENOENT` ; aucune version affectée ou corrigée n’est précisée dans la source fournie.
Action recommandée : Appliquer un correctif Linux intégrant le rejet des pointeurs d’erreur IDR ; la version corrigée n’est pas indiquée.
Linux veth : utilisation possible d’un pointeur XDP périmé après redimensionnement des canaux
Lors de la réduction du nombre de canaux veth, des files RX supprimées pouvaient conserver un pointeur vers un programme XDP après libération de celui-ci. Une réactivation ultérieure pouvait exécuter ce pointeur périmé et provoquer un plantage du noyau ; la source ne précise pas les versions affectées ni le correctif versionné.
Action recommandée : Appliquer un correctif Linux intégrant la gestion correcte des pointeurs XDP lors du redimensionnement ; la version corrigée n’est pas indiquée.
Linux BPF : correspondance incorrecte de programmes liés à un périphérique
Un contrôle de correspondance incorrect pouvait permettre à un programme BPF lié à un périphérique d’être utilisé sur un autre périphérique, y compris avec une représentation `xdp_buff` incompatible. La source décrit un scénario nécessitant `CAP_BPF` et `CAP_NET_ADMIN`, susceptible de provoquer un accès mémoire invalide et un plantage ; elle ne précise pas les versions affectées ou corrigées.
Action recommandée : Appliquer un correctif Linux qui réserve la correspondance partagée `offdev` aux programmes réellement déchargés ; la version corrigée n’est pas indiquée.
Linux BPF : combinaison dangereuse de helpers dans LWT_SEG6LOCAL
Un programme BPF de type `LWT_SEG6LOCAL` pouvait combiner l’ajustement d’un en-tête SRH et `bpf_skb_pull_data()`, ce qui pouvait invalider le pointeur SRH mis en cache avant sa réutilisation. Le correctif interdit cet helper pour ce type de programme afin que le vérificateur rejette cette combinaison ; aucune version affectée ou corrigée n’est précisée.
Action recommandée : Appliquer un correctif Linux empêchant l’usage de `bpf_skb_pull_data()` dans les programmes `LWT_SEG6LOCAL` ; la version corrigée n’est pas indiquée.
Linux BPF : lecture hors limites de `sk_protocol` dans `bpf_sock_destroy()`
`bpf_sock_destroy()` pouvait lire `sk_protocol` hors limites lorsqu’il recevait un socket TIME_WAIT ou NEW_SYN_RECV via l’itérateur TCP, car ce champ n’appartient pas à `sock_common`. Le correctif limite cette lecture aux sockets complets ; les versions affectées et corrigées ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer un correctif Linux qui ne vérifie `sk_protocol` que pour les sockets complets ; la version corrigée n’est pas indiquée.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Aucun avis de sécurité Debian correspondant à la période figée n’a été vérifié. Le candidat CVE-2026-107814 indique que les paquets Debian ne sont pas affectés; les autres candidats sont des fiches anciennes dont les mises à jour NVD ne constituent pas, d’après les éléments fournis, un nouvel événement de sécurité dans la période. L’avis Debian repéré daté du 10 octobre est postérieur à la borne de fin, fixée au 10 octobre 2026 à 00:00:00 +02:00. Les candidats fournis sont des modifications de fiches NVD portant sur des vulnérabilités historiques. Aucun élément du lot ne documente un nouvel avis Debian, un correctif Debian ou un changement substantiel de sécurité daté de la période demandée. Aucun candidat ne répond aux critères pour la période : les fiches NVD fournies concernent des vulnérabilités publiées entre 2019 et 2020 et indiquent des mises à jour le 2026-10-08, avant le début de la période. Aucun candidat fourni n’établit une nouveauté, un correctif ou un changement substantiel concernant Debian dans la période demandée. Les éléments sont des modifications de fiches NVD relatives à des vulnérabilités publiées antérieurement, sans indication du changement effectué ni preuve d’un événement Debian daté dans la période. Aucun candidat fourni ne documente une nouveauté ou un changement substantiel de sécurité Debian dans la période. Les entrées sont des modifications de fiches NVD portant sur des vulnérabilités anciennes, sans preuve d’un avis ou correctif Debian daté de la période. Aucune vulnérabilité nouvelle, aucun correctif ni changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats sont des fiches NVD publiées entre 2021 et 2022 ; leurs seules dates de mise à jour indiquées ne prouvent pas un changement substantiel. Un a…
Avis de vulnérabilités multiples dans le noyau Linux de Debian LTS
Debian LTS a publié un avis signalant plusieurs vulnérabilités du noyau Linux, pouvant notamment permettre une élévation de privilèges, une atteinte à la confidentialité ou un déni de service. L’avis fourni ne précise pas les CVE concernées ni les versions Debian affectées ou corrigées ; consultez l’avis et appliquez les mises à jour de sécurité Debian pertinentes.
Action recommandée : Consulter l’avis CERT-FR et installer les mises à jour de sécurité Debian LTS applicables.
Alpine Linux
Recherche du sujet effectuée
Pour la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00, la recherche dédiée n’a identifié aucun avis de sécurité, correctif, exploitation ou changement substantiel concernant Alpine Linux. Les entrées Alpine visibles datées du 9 octobre dans le flux consulté concernent des changements de développement, sans indication de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis ou de correctif, exploitation signalée, ni mise à jour substantielle concernant Apache HTTP Server n’a été vérifiée pour la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. La page de sécurité du projet consultée indique une mise à jour antérieure, datée du 2026-10-05; la version 2.4.69 avait été annoncée le 2026-10-01, hors de la période visée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée a relevé dix vulnérabilités nouvellement publiées le 9 octobre 2026 pour Nginx UI, une interface de gestion du serveur Nginx. Les avis fournis les situent dans des versions antérieures à 2.5.0 ou 2.6.0 selon le cas; aucune exploitation active n’est établie par les éléments consultés. Les sources NVD fournies indiquent dix vulnérabilités de Nginx UI publiées le 9 octobre 2026, portant sur des versions antérieures à 2.5.0 ou 2.6.0. Les correctifs indiqués sont les versions 2.5.0 et 2.6.0 selon la vulnérabilité ; aucune exploitation active n’est établie par les éléments fournis. Huit avis GitHub publiés le 9 octobre 2026 concernent Nginx UI : restauration de sauvegardes, secrets de nœuds, contrôle renforcé des opérations de cluster, CSRF, authentification passkey et mise à niveau autonome. Le candidat concernant pyLoad et celui concernant Contao ne portent pas sur Nginx comme produit.
nginx-ui : exécution de commandes via la restauration d’une sauvegarde
Dans nginx-ui, un utilisateur authentifié peut restaurer une sauvegarde forgée qui remplace la configuration de l’application, puis déclencher l’exécution de commandes via les paramètres de commande nginx. Les versions indiquées comme affectées sont comprises entre les bornes publiées dans l’avis ; appliquer la version corrigée indiquée.
Action recommandée : Mettre à niveau vers la version 1.9.10-0.20260728074146-a467ed652591 ou ultérieure.
Nginx UI : consommation de ressources lors de l’authentification par signature
Dans Nginx UI, le chemin d’authentification par signature écrit et synchronise temporairement le corps de requête avant de vérifier son condensat et sa signature. Un client distant non authentifié peut ainsi consommer de l’espace disque et des ressources de traitement ; la version 2.6.0 corrige le problème.
Action recommandée : Mettre à niveau Nginx UI vers la version 2.6.0 ou ultérieure.
nginx-ui : exposition du secret maître de nœud dans les URL
nginx-ui accepte le secret maître d’un nœud dans le paramètre d’URL `node_secret`, où il peut être exposé dans les journaux, l’historique du navigateur ou les en-têtes Referer. Un secret divulgué permet de contourner l’authentification et d’accéder aux API avec des privilèges administratifs ; mettez à niveau vers la version corrigée et remplacez les secrets potentiellement exposés.
Action recommandée : Mettre à niveau vers la version corrigée et renouveler les secrets de nœud qui ont pu figurer dans des URL, journaux ou configurations exposés.
nginx-ui : contournement de l’authentification à deux facteurs par passkey seule
La connexion par mot de passe de nginx-ui n’impose pas de passkey lorsqu’un compte a configuré une passkey sans secret TOTP. Un compte ainsi protégé peut donc être connecté avec le seul mot de passe ; mettez à niveau vers la version corrigée et vérifiez les comptes configurés uniquement avec une passkey.
Action recommandée : Mettre à niveau vers la version corrigée et contrôler les comptes dont la protection repose uniquement sur une passkey.
nginx-ui : risque de CSRF lié au cookie d’authentification
Le middleware nginx-ui accepte le JWT stocké dans un cookie `token` pour authentifier les requêtes de gestion, sans protection CSRF universelle ni vérification systématique de l’origine. Un site tiers peut ainsi inciter un navigateur déjà connecté à envoyer des requêtes authentifiées modifiant l’état ; mettez à niveau vers la version corrigée.
Action recommandée : Mettre à niveau vers la version corrigée; en attendant, limiter l’exposition des interfaces de gestion et éviter de naviguer vers des sites non fiables avec une session administrateur ouverte.
Nginx UI : la restauration d’une sauvegarde peut écrire dans la configuration Nginx
Un utilisateur authentifié pouvant créer et restaurer une sauvegarde peut faire écrire des fichiers contrôlés dans le répertoire de configuration Nginx, même si les options de restauration de Nginx et de Nginx UI sont désactivées. Le défaut concerne Nginx UI et peut permettre une modification de configuration ou perturber un rechargement ultérieur.
Action recommandée : Mettre à jour Nginx UI vers la version corrigée indiquée dans l’avis; limiter l’accès aux opérations de création et de restauration des sauvegardes.
nginx-ui : divulgation des jetons de nœuds et usurpation inter-nœuds
Les API de liste et de détail des nœuds nginx-ui exposent leurs jetons à des utilisateurs authentifiés ordinaires. Un utilisateur peut réutiliser un jeton divulgué pour se faire passer pour un nœud de confiance et obtenir une authentification administrative sur un autre nœud ; mettez à niveau vers la version corrigée et examinez les jetons de cluster susceptibles d’avoir été consultés.
Action recommandée : Mettre à niveau vers la version corrigée et évaluer la rotation des jetons de nœuds accessibles via les API vulnérables.
nginx-ui : validation insuffisante du binaire d’auto-mise à niveau
Le mécanisme d’auto-mise à niveau de nginx-ui vérifie le binaire téléchargé uniquement par comparaison avec un condensat obtenu auprès de la même origine, sans signature cryptographique indépendante. Un miroir compromis ou une interception du téléchargement peut ainsi fournir un binaire malveillant exécuté lors de la mise à niveau ; installez la version corrigée et évitez les proxys de téléchargement en HTTP.
Action recommandée : Mettre à niveau vers la version corrigée et ne pas utiliser de proxy HTTP non fiable pour les téléchargements de mises à jour.
nginx-ui : étape OTP manquante pour les opérations de gestion du cluster
Les opérations sensibles de gestion du cluster nginx-ui ne requièrent pas la validation de session sécurisée (étape OTP) prévue pour les autres opérations comparables. Un utilisateur muni d’un JWT valide mais sans session sécurisée récente peut modifier les nœuds et espaces de noms ou déclencher un rechargement/redémarrage du cluster ; appliquez le correctif disponible.
Action recommandée : Mettre à niveau vers la version corrigée et exiger une session sécurisée récente pour les opérations sensibles du cluster.
Nginx UI : attribution incorrecte de l’adresse IP client
Dans Nginx UI, le proxy intégré attribue à loopback l’identité des clients externes, ce qui peut contourner une restriction d’adresse IP sous réserve de disposer d’identifiants valides et permettre de déclencher un bannissement temporaire partagé. La version 2.6.0 corrige le problème ; mettre à niveau Nginx UI.
Action recommandée : Mettre à niveau Nginx UI vers la version 2.6.0 ou ultérieure.
PHP
Recherche du sujet effectuée
Niveau relevé : Moyenne
Aucune nouveauté vérifiée concernant le langage PHP ou PHP-FPM dans la période demandée. Les avis PHP consultés portent sur des publications antérieures au 9 octobre 2026; les candidats du lot concernent des produits distincts qui utilisent ou hébergent du code PHP, et non PHP lui-même. Aucun élément du lot ne concerne PHP (PHP-FPM inclus) ni ne documente une nouveauté pertinente dans la période. Les candidats portent sur d’autres produits et indiquent seulement une mise à jour NVD du 2026-10-09 pour des CVE publiées en 2025; aucune faille nouvelle ou évolution substantielle de PHP n’est établie par les données fournies. Aucun élément du lot ne concerne une vulnérabilité ou un correctif de PHP ou PHP-FPM : les candidats décrivent des failles propres à des applications distinctes développées en PHP. Aucune vulnérabilité PHP ni mise à jour de sécurité répondant aux critères n’est établie par les candidats fournis pour la période. Les entrées concernent des applications tierces et indiquent seulement une mise à jour administrative de fiches NVD; elles ne documentent pas un changement substantiel daté dans la période. Aucun élément retenu pour PHP pendant la période demandée. Les candidats concernent des vulnérabilités dans des applications tierces, et leurs fiches NVD indiquent une mise à jour administrative le 2026-10-09 sans preuve d’un changement substantiel daté de cette période. Aucun événement de sécurité substantiel concernant PHP ou PHP-FPM n’est établi dans les candidats de ce lot pour la période demandée. Les fiches fournies concernent des applications tierces et leur mise à jour NVD ne suffit pas à établir un nouvel événement. Aucun candidat de ce lot ne concerne une vulnérabilité ou un avis de sécurité du langage ou du moteur PHP daté de la période demandée. L…
savg-sanitizer : contournement de validation de lien SVG (CVE-2026-107380)
Avant la version 1.0.0, une entité XML dans un SVG spécialement construit peut contourner la validation de `href` et exposer une URL `javascript:` lorsque le SVG assaini est intégré en ligne. Un utilisateur qui active le lien peut alors déclencher l’exécution de script dans l’origine de la page hôte.
Action recommandée : Mettre à niveau savg-sanitizer vers la version 1.0.0 ou ultérieure. En attendant, éviter d’intégrer en ligne des SVG assainis provenant de contenus non fiables.
savg-sanitizer : interruption possible de workers PHP lors de l’assainissement SVG (CVE-2026-107379)
Avant la version 1.0.0, un SVG construit avec une déclaration DTD particulière peut provoquer un double appel de suppression d’attribut dans le processus d’assainissement. Cette anomalie peut interrompre un worker PHP et dégrader, voire épuiser, la disponibilité d’une application qui accepte ces SVG.
Action recommandée : Mettre à niveau savg-sanitizer vers la version 1.0.0 ou ultérieure. Limiter entre-temps l’envoi de SVG non fiables aux points de terminaison concernés.
WordPress
Recherche du sujet effectuée
Niveau relevé : Élevée
Les candidats fournis correspondent à des publications NVD horodatées dans la période demandée. Ils couvrent 11 CVE liées à des extensions WordPress; les dates et éléments techniques rapportés dans ces fiches ont été utilisés pour établir les items. La recherche web a également fait remonter des entrées WordPress datées du 9 octobre sur une base de vulnérabilités, mais les éléments consultés ne permettaient pas d’établir ici une fiche d’avis stable suffisamment détaillée pour les ajouter. Les fiches NVD fournies signalent dix vulnérabilités WordPress publiées le 9 octobre 2026, touchant des extensions et un thème. Les informations disponibles identifient une mise à jour corrective pour Kirki (6.3.2) et Super Payments (1.43.1); elles ne précisent pas de version corrigée pour les autres éléments. Aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel lié à WordPress n’est établi par les éléments fournis pour la période. Les candidats correspondent à des fiches NVD publiées en septembre 2025 dont la date de mise à jour indiquée est le 9 octobre 2026, sans élément attestant d’un changement substantiel à cette date. Aucune nouveauté, aucun correctif/avis de sécurité ni changement substantiel daté de la période n’est établi par les candidats fournis. Les dates du 9 octobre correspondent à des mises à jour de fiches NVD pour des vulnérabilités publiées antérieurement, sans indication dans les données fournies d’un changement substantiel. Aucune nouveauté, aucun correctif ni changement substantiel lié à WordPress n’est établi dans la période à partir des candidats fournis. Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni aucun changement substantiel daté dans la période n’est établi par les éléments fournis. L…
Plugins Ocean : injection de scripts dans les popups publiées
CVE-2026-81929 affecte Ocean Pro Demos et Ocean eComm Treasure Box : une faille du constructeur de fenêtres popup peut permettre l’injection de scripts dans une popup Gutenberg publiée. La fiche indique les versions jusqu’à 1.5.4 et 1.8.0 respectivement; elle ne précise pas de version corrigée.
Action recommandée : Vérifier si les conditions d’exploitation s’appliquent et appliquer une mise à jour du plugin dès qu’un correctif est disponible.
Injection d’objets dans le thème Neo | Barber Shop
Une désérialisation de données non fiables dans le thème WordPress Neo | Barber Shop peut entraîner une injection d’objets. La fiche fournie indique que les versions jusqu’à 3.5 sont concernées, sans préciser de version corrigée ni de contournement.
Action recommandée : Vérifier l’utilisation du thème et appliquer une mise à jour du fournisseur dès qu’elle est disponible.
AWP Classifieds : risque d’exécution de code via l’import ZIP
CVE-2025-15700 concerne AWP Classifieds : l’import d’annonces depuis un ZIP ne vérifie pas le type des fichiers extraits, ce qui peut permettre l’exécution de code à distance. La fiche NVD indique que les versions antérieures à 4.4.9 sont concernées; mettez le plugin à jour.
Action recommandée : Mettre AWP Classifieds à jour vers la version 4.4.9 ou ultérieure.
FooSales : usurpation possible de comptes utilisateurs
FooSales ne vérifiait pas qu’un utilisateur authentifié était autorisé à agir au nom de l’utilisateur indiqué dans une requête. Cela pouvait permettre à un utilisateur authentifié d’usurper un autre compte, y compris celui d’un administrateur; mettez à jour vers la version 1.43.3 ou ultérieure.
Action recommandée : Mettre à jour FooSales vers la version 1.43.3 ou ultérieure.
Code Snippets : injection SQL dans des points d’import de migration
CVE-2026-106097 concerne des points d’import de migration de Code Snippets où un paramètre fourni par l’utilisateur est utilisé dans une requête SQL sans assainissement ni échappement appropriés. Les versions antérieures à 3.10.0 sont indiquées comme affectées; mettez le plugin à jour.
Action recommandée : Mettre Code Snippets à jour vers la version 3.10.0 ou ultérieure.
SKU Error Fixer for WooCommerce : suppression non autorisée et divulgation de variations de produits
Le plugin SKU Error Fixer for WooCommerce ne vérifie ni les capacités ni les nonces sur deux actions AJAX accessibles sans authentification. Un attaquant peut supprimer définitivement des variations de produits jugées obsolètes et divulguer leurs détails.
Action recommandée : Désactiver ou retirer le plugin concerné tant qu’un correctif fiable n’est pas confirmé; surveiller les variations de produits supprimées ou exposées.
UnitechPay : notifications de paiement non authentifiées
CVE-2026-87841 affecte le plugin WordPress UnitechPay, qui ne vérifie pas l’authenticité des notifications de paiement reçues. Un attaquant non authentifié peut ainsi faire marquer des commandes comme payées sans règlement ou faire échouer d’autres commandes; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les commandes et leur paiement auprès de la passerelle; appliquer un correctif dès disponibilité.
Social Web Suite : modification non authentifiée des options du plugin
CVE-2026-88931 concerne Social Web Suite : un point de terminaison non authentifié permet de modifier des options du plugin, y compris le secret partagé protégeant ses propres points de terminaison privilégiés. Les versions jusqu’à 4.1.12 sont affectées; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Appliquer un correctif dès disponibilité et examiner les options du plugin, en particulier son secret partagé.
SendPress Newsletters : contrôles de capacité insuffisants
SendPress Newsletters ne vérifiait pas les capacités de l’utilisateur sur plusieurs actions de gestion des newsletters. Un abonné authentifié pouvait notamment synchroniser les utilisateurs du site vers une liste de diffusion et agir sur la file d’envoi; la faille concerne les versions jusqu’à 1.26.1.20 inclus.
SendPress Newsletters : accès non authentifié aux journaux d’envoi
SendPress Newsletters protégeait un point d’accès de journalisation par un jeton codé en dur et identique pour tous les sites. Des utilisateurs non authentifiés pouvaient ainsi lire les journaux d’envoi, notamment les adresses électroniques des destinataires; la faille concerne les versions jusqu’à 1.26.1.20 inclus.
Redux Framework : élévation de privilèges via les champs de profil
Le plugin Redux Framework pour WordPress présente une élévation de privilèges liée à l’enregistrement de métadonnées de profil sans contrôle suffisant. Un utilisateur authentifié disposant au moins du rôle Subscriber peut notamment obtenir le rôle Administrateur si un thème ou plugin utilise les champs de profil concernés.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes disposant d’accès Subscriber et examiner les thèmes et plugins utilisant les champs de profil Redux.
Kirki : exécution de shortcodes dans les commentaires
Kirki ne bloque pas l’exécution de shortcodes présents dans des commentaires lors de leur affichage et montre aussi des commentaires indépendamment de leur statut de modération. Un visiteur non authentifié peut ainsi déclencher des shortcodes enregistrés sur le site et lire des champs personnalisés privés de la page consultée.
Action recommandée : Mettre à jour Kirki en version 6.3.2 ou ultérieure.
Kirki : requêtes vers des services internes sans validation de l’hôte
Kirki ne valide pas l’hôte d’une URL avant de la récupérer. Un utilisateur disposant au moins du rôle Editor peut faire émettre au site des requêtes vers des services internes et déduire lesquels sont accessibles à partir des réponses.
Action recommandée : Mettre à jour Kirki en version 6.3.2 ou ultérieure.
Super Payments : falsification de webhooks de paiement
CVE-2026-103329 concerne le plugin Super Payments pour WordPress, antérieur à la version 1.43.1 : la clé de signature vide par défaut empêche de vérifier correctement l’authenticité des webhooks de paiement. Un attaquant non authentifié peut falsifier un webhook et faire marquer comme payées des commandes WooCommerce sans paiement ; mettre à jour au moins en version 1.43.1 et vérifier les commandes affectées.
Action recommandée : Mettre à jour vers la version 1.43.1 ou ultérieure et vérifier les commandes marquées payées ainsi que la configuration de la clé de signature.
GDPR Data Request Form : modification de paramètre par CSRF
Le plugin GDPR Data Request Form ne protège pas contre les requêtes CSRF lors de la modification d’un paramètre. Un attaquant peut amener un administrateur connecté à déclencher une requête forgée, par exemple en cliquant sur un lien, afin de modifier ce paramètre.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible et éviter les liens non fiables lors des sessions d’administration.
Livees Checkout : accès et modification non autorisés des commandes
Livees Checkout ne vérifie ni les capacités, ni le nonce, ni la clé de commande avant de traiter les paramètres de la page de confirmation. Un visiteur non authentifié peut modifier le statut de commandes arbitraires, y enregistrer des données ou notes et récupérer leurs clés de commande.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; contrôler les commandes et clés susceptibles d’avoir été exposées.
Shipping for Nova Poshta : suppression non autorisée de données d’expédition
Shipping for Nova Poshta expose une action AJAX sans vérification d’autorisation, de nonce ou de propriété de la commande. Un utilisateur non authentifié peut supprimer les données d’expédition de commandes arbitraires et déclencher auprès du transporteur une demande de suppression de leur bordereau avec les identifiants API du magasin.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier les expéditions et bordereaux concernés.
Injection SQL dans Testimonials by BestWebSoft
Une injection SQL affecte le plugin WordPress Testimonials by BestWebSoft jusqu’à la version 1.0.8 incluse. Des attaquants non authentifiés peuvent ajouter du SQL à une requête ; aucune version corrigée ni mesure de contournement n’est précisée dans les données fournies.
Action recommandée : Vérifier l’utilisation du plugin et appliquer une mise à jour du fournisseur dès qu’elle est disponible.
XSS stocké dans FV Flowplayer Video Player
Le plugin FV Flowplayer Video Player est affecté par une vulnérabilité de script intersite stocké jusqu’à la version 7.5.54.7212 incluse. La fiche fournie ne précise ni version corrigée, ni scénario détaillé, ni mesure de contournement.
Action recommandée : Vérifier l’utilisation du plugin et appliquer une mise à jour du fournisseur dès qu’elle est disponible.
Code Snippets : contrôle d’accès insuffisant aux extraits réseau
CVE-2026-106095 affecte Code Snippets : un administrateur d’un sous-site multisite peut modifier l’état ou la priorité d’extraits de code destinés à l’ensemble du réseau. La fiche indique que les versions antérieures à 3.10.0 sont concernées; mettez le plugin à jour.
Action recommandée : Mettre Code Snippets à jour vers la version 3.10.0 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
Niveau relevé : Critique
Une nouvelle vulnérabilité publiée pendant la période a été identifiée dans le module Sipay PrestaShop Virtual POS : CVE-2026-86405. La recherche web a également fait apparaître les trois anciennes CVE PrestaShop Checkout fournies comme candidates NVD modifiées ; aucun nouvel avis ou changement substantiel daté de la période n’est établi par les éléments consultés.
Sipay PrestaShop Virtual POS : usurpation de signature
Une validation incorrecte des signatures cryptographiques dans le module PrestaShop Virtual POS de Sipay permet l’usurpation de signature. Les versions concernées sont 26.8.1 à celles antérieures à 26.9.1 ; mettre à jour vers 26.9.1 ou une version ultérieure.
Action recommandée : Mettre à jour le module Sipay PrestaShop Virtual POS vers la version 26.9.1 ou ultérieure.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a identifié aucun avis, correctif ou changement de sécurité vérifiable daté de la période demandée (du 2026-10-09T00:00:00+02:00 inclus au 2026-10-10T00:00:00+02:00 exclu). Les avis repérés dans les résultats consultés sont antérieurs à cette période et n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
Les recherches dédiées à CloudPanel ont fait remonter des avis et versions antérieurs à la période, ainsi que des issues GitHub sans caractère de sécurité apparent; aucun avis, correctif ou changement de sécurité daté du 2026-10-09 dans la période demandée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Vérification incomplète
Un avis de sécurité Uptime Kuma publié le 9 octobre 2026 signale un déni de service non authentifié via le point de terminaison de badge ping. Les notes de version du projet indiquent une correction dans la version 2.5.5.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MariaDB
Recherche du sujet effectuée
Niveau relevé : Élevée
Neuf CVE MariaDB ou de ses composants ont une date de publication NVD indiquée le 9 octobre 2026 dans les candidats fournis. Les fiches décrivent des défauts du serveur, de ses greffons et de Connector/C; les versions corrigées sont précisées par CVE dans les items. Neuf nouvelles fiches CVE MariaDB/Connector ont été publiées par le NVD dans la période. La fiche CVE-2026-107385 a été exclue : sa publication initiale précède la période et les éléments fournis ne démontrent pas qu’une mise à jour substantielle ait eu lieu le 9 octobre.
Fichiers de démarrage exécutables via le répertoire personnel du compte mysql
Les paquets RPM MariaDB plaçaient le répertoire de données comme répertoire personnel du compte système mysql, permettant à un utilisateur de base de données disposant du privilège FILE d’y déposer des fichiers de démarrage exécutés lors d’une ouverture de session administrateur. Mettre à jour vers une version corrigée ; les paquets Debian ne sont pas concernés selon la description disponible.
Action recommandée : Mettre à jour vers une version corrigée ; vérifier en particulier les déploiements utilisant les paquets RPM.
Écriture hors limites dans le moteur CONNECT
Une vérification de limites incorrecte dans le type de table DOS du moteur CONNECT permettait à un utilisateur authentifié autorisé à utiliser ce moteur de provoquer une écriture nulle d’un octet hors d’un tampon de pile. Cela pouvait causer un arrêt du serveur et, potentiellement, une exécution de code à distance ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée ; limiter l’accès au moteur CONNECT aux utilisateurs de confiance.
Injection de variables d’environnement dans mariadb.service
L’unité systemd mariadb.service utilisait /run/mysqld/wsrep-new-cluster au redémarrage suivant du service, ce qui pouvait permettre à un utilisateur de base de données doté du privilège FILE d’injecter des valeurs d’environnement contrôlées dans le service. Le risque dépendait également d’une configuration secure-file-priv autorisant les écritures dans /run/mysqld ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée et vérifier que secure-file-priv n’autorise pas les écritures non fiables dans /run/mysqld.
Validation insuffisante des métadonnées FRM binaires
MariaDB validait insuffisamment les nombres, décalages, longueurs et limites de champs des métadonnées FRM lors de l’ouverture de fichiers FRM binaires. Un attaquant capable de placer un fichier FRM forgé dans le répertoire de données pouvait provoquer des accès mémoire hors limites, un arrêt du serveur ou potentiellement exécuter du code ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée et restreindre l’accès en écriture au répertoire de données.
Élévation potentielle de privilèges via le parseur FRM des vues
Le parseur FRM des vues MariaDB n’échappait pas correctement les caractères de nouvelle ligne intégrés dans un nom d’utilisateur, ce qui pouvait faire interpréter une partie du nom comme des métadonnées de sécurité. Un compte disposant de CREATE USER et de CREATE VIEW WITH GRANT OPTION pouvait potentiellement accroître ses privilèges par cette voie ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée et réserver les privilèges CREATE USER et CREATE VIEW WITH GRANT OPTION aux comptes de confiance.
Lecture hors limites dans le plugin qc_info
Le plugin qc_info pouvait traiter incorrectement une requête contenant des octets nuls intégrés après sa mise en cache, lors de la lecture de information_schema.query_cache_info. Cela pouvait entraîner une lecture hors limites, une divulgation de mémoire adjacente ou un arrêt du serveur ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée.
Lectures hors limites dans le plugin mysql_json
Le plugin mysql_json supposait que les tables MySQL importées contenaient des données JSON binaires valides ; une table spécialement préparée avec des données invalides pouvait provoquer des lectures hors limites. Les conséquences pouvaient inclure une divulgation d’informations ou un arrêt du serveur ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée et éviter d’importer des tables non fiables avec le plugin concerné.
Vérification insuffisante du nom d’hôte TLS dans Connector/C
Dans MariaDB Connector/C, la logique d’authentification SSL Zero-Configuration pouvait ne pas rejeter une discordance de nom d’hôte TLS avant de sélectionner un mécanisme d’authentification sans hachage. Un attaquant actif en position d’interception, muni d’un certificat valide pour un autre nom d’hôte, pouvait obtenir le mot de passe de la base de données dans la connexion TLS contrôlée ; mettre à jour vers la version 3.4.10.
Action recommandée : Mettre à jour MariaDB Connector/C vers la version 3.4.10.
Collision de clés dans le cache des privilèges ACL
Le cache ACL pouvait produire la même clé de cache des privilèges pour un rôle et un utilisateur localhost lorsque leurs noms coïncidaient, car les deux utilisaient un composant IP vide. Un utilisateur disposant de CREATE USER pouvait créer le principal collisionnel et, si les privilèges de l’autre compte étaient en cache, exercer ces privilèges ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée et limiter le privilège CREATE USER aux comptes de confiance.
phpMyAdmin
Recherche du sujet effectuée
La recherche web dédiée à phpMyAdmin n’a pas identifié d’avis de sécurité, de correctif ou d’autre événement de sécurité daté du 9 octobre 2026 dans la période indiquée. La page officielle des annonces de sécurité consultée affiche des avis pour 2025 et les années antérieures, sans annonce de 2026 visible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée sur pgAdmin n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel vérifiable comme étant daté du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les avis pgAdmin repérés dans les résultats sont antérieurs à cette période; la page de sécurité consultée indique une mise à jour le 2026-10-10 à 03:17 UTC, après la borne de fin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis/correctif de sécurité ni événement d’exploitation Virtualmin daté du 2026-10-09 n’a été identifié dans les résultats consultés. Le changelog officiel consulté présente Virtualmin 8.3.0, publié le 2026-09-29, donc hors de la période demandée; cette vérification ne permet pas d’affirmer qu’il n’existe aucune information ailleurs sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Les sources consultées confirment que CVE-2026-49243 concerne une XSS réfléchie dans Webmin, corrigée en version 2.642 selon l’avis du projet publié le 21 juillet 2026. La mise à jour NVD du 9 octobre ne fait pas apparaître de nouvelle vulnérabilité ni d’autre changement de sécurité substantiel dans la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Aucun avis, correctif, événement d’exploitation ou changement substantiel relatif à Vue.js n’a été vérifié comme étant daté de la période demandée. Le candidat concerne CVE-2026-106104 dans Quasar, mais les sources consultées datent l’avis et la publication de la CVE d’avant le 9 octobre 2026; la mise à jour NVD indiquée dans le candidat ne suffit pas à établir un nouvel événement de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
Aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel concernant Vite n’a été vérifié dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Le candidat fourni concerne CVE-2025-62522, publiée en 2025; sa mise à jour NVD horodatée 2026-10-08T22:10:00.563Z correspond au 2026-10-09T00:10:00.563+02:00, mais le candidat ne décrit qu’une modification de fiche et n’établit pas de changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée sur Nuxt n’a identifié aucun avis, correctif ou autre événement de sécurité Nuxt daté dans la période demandée, du 2026-10-09T00:00:00+02:00 inclus au 2026-10-10T00:00:00+02:00 exclu. Les avis Nuxt repérés dans les sources consultées étaient datés antérieurement à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis de sécurité, correctif, événement d’exploitation ou changement substantiel Next.js publié pendant la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. La page officielle du projet affiche un avis daté du 8 octobre annonçant une mise à jour prévue le 14 octobre, hors de la période retenue; les avis GitHub visibles sont également antérieurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis concernant JHipster affecte notamment react-jhipster et les applications générées utilisant les fonctions Blob concernées. La fiche NVD fournie indique une mise à jour pendant la période ; les correctifs sont generator-jhipster 9.4.0 et react-jhipster 1.1.0. Aucune vulnérabilité ni aucun avis de sécurité concernant le projet React n’a été retenu dans ce lot. Le candidat porte sur un paquet tiers malveillant qui usurpe le nom de react-dom, et non sur React ou react-dom eux-mêmes.
CVE-2026-107303 — XSS stockée via des Blob dans des applications générées par JHipster
Dans les applications générées concernées, un utilisateur authentifié ayant le droit d’écrire une entité contenant un Blob peut y enregistrer un contenu et un type MIME contrôlés, susceptibles d’être ouverts comme HTML ou SVG sous l’origine de l’application. Le risque dépend notamment de la politique CSP de l’application et du comportement du navigateur ; appliquer la mise à niveau correspondante est recommandé.
Action recommandée : Mettre à niveau generator-jhipster vers 9.4.0 ou une version ultérieure, et react-jhipster vers 1.1.0 ou une version ultérieure, selon le composant utilisé.
Angular
Recherche du sujet effectuée
La recherche dédiée sur Angular n’a identifié aucun nouvel avis, correctif ou changement substantiel daté du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les avis Angular repérés dans les résultats consultés sont antérieurs à cette période. La mise à jour NVD du candidat concerne une CVE publiée en 2025; les éléments consultés ne permettent pas d’établir qu’elle correspond à un changement substantiel de sécurité pendant la période. Aucun candidat ne concerne le produit Angular : les avis portent sur des paquets npm malveillants distincts qui imitent une façade de style Angular.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
Dans les avis Astro consultés, les avis de sécurité repérés étaient antérieurs à la période demandée. Aucun avis ou correctif Astro daté du 2026-10-09 n’a été identifié parmi les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche web dédiée n’a pas permis de vérifier de vulnérabilité TypeScript admissible pour la période demandée. Les candidats fournis ne décrivent pas TypeScript : l’un concerne le paquet npm PraisonAI, mais son avis est daté du 8 octobre 2026 à 22:01:29 UTC, soit avant le début de la fenêtre en +02:00; l’autre concerne Nginx-UI, projet Go, et son avis est daté du 9 octobre à 17:08:10 UTC, mais ne relève pas du sujet TypeScript. Les résultats repérés sur MCP TypeScript SDK et openapi-typescript-codegen sont datés respectivement du 6 et du 10 octobre 2026, hors de la période figée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Critique
Les fiches examinées signalent, dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00, des vulnérabilités touchant le rendu ou l’exécution de JavaScript dans Jivejdon, Go html/template, Keycloak, Telerik Report Server, BeeTienda, Cloudron et KodExplorer. Les correctifs ou versions précis ne sont indiqués que lorsque les informations disponibles les établissent; aucune exploitation active n’est confirmée par les éléments consultés. Deux nouvelles vulnérabilités liées à JavaScript ont été publiées par la NVD dans la période : une XSS stockée dans Moderator Toolbox et une injection de code dans le code généré par @tinacms/cli. Les candidats sont des modifications de fiches NVD datées de la période, mais les éléments fournis ne documentent aucun changement substantiel relatif aux vulnérabilités. Ils ne sont donc pas retenus comme nouveautés pour ce bulletin. Aucune nouveauté de sécurité substantielle datée de la période n’est établie par les éléments fournis. Les candidats signalent des mises à jour de fiches NVD, mais ne précisent pas de changement substantiel intervenu pendant la période. Aucun candidat ne fournit de preuve d’un correctif, d’un avis, d’une exploitation ou d’un changement substantiel dans la période. Les dates fournies établissent uniquement une mise à jour de fiche NVD; elles ne précisent pas ce qui a changé. Les candidats fournis sont des fiches NVD publiées avant la période. Le lot indique des modifications de fiche pendant la période, mais ne fournit pas de preuve qu’elles correspondent à un changement substantiel de sécurité plutôt qu’à une mise à jour administrative. L’avis GHSA-5hjw-83fp-phq9, publié pendant la période, documente un contournement des validateurs de claims dans fast-jwt et indique le correctif en version 6.3.0. L…
Code malveillant dans @brick-v2/brand sur npm
L’avis rapporte que les versions indiquées de @brick-v2/brand contiennent un module natif qui collecte des identifiants d’environnement et des informations sur l’hôte, puis les transmet à un serveur externe. Retirer le paquet, empêcher son installation et considérer comme compromis les secrets présents sur les machines où il a été installé.
Action recommandée : Supprimer les versions concernées, auditer les installations et renouveler les identifiants accessibles lors de leur exécution.
Code malveillant dans @galicia-toolkit-nestjs-20/commons sur npm
L’avis décrit un module natif malveillant dans les versions concernées de @galicia-toolkit-nestjs-20/commons, qui collecte des secrets d’environnement et des renseignements sur l’hôte avant de les transmettre à un serveur externe. Retirer le paquet, vérifier les systèmes où il a été chargé et renouveler les secrets susceptibles d’avoir été exposés.
Action recommandée : Supprimer les versions concernées, auditer les installations et renouveler les identifiants accessibles au processus Node.js.
Code malveillant dans @galicia-toolkit-nestjs-20/archetype sur npm
L’avis signale que les versions indiquées de @galicia-toolkit-nestjs-20/archetype chargent un binaire natif qui collecte des identifiants et des informations sur la machine, puis les transmet à un hôte externe. Retirer le paquet et renouveler les secrets auxquels les processus concernés pouvaient accéder.
Action recommandée : Retirer les versions concernées, auditer les environnements qui les ont chargées et faire tourner les secrets accessibles.
Code malveillant dans @galicia-toolkit-nestjs/swagger sur npm
L’avis rapporte que les versions indiquées de @galicia-toolkit-nestjs/swagger chargent un binaire natif qui collecte des secrets et des données d’identification de l’hôte, puis les envoie à un serveur externe. Retirer le paquet et renouveler les identifiants accessibles dans les environnements où il a été chargé.
Action recommandée : Supprimer les versions concernées, auditer les environnements concernés et renouveler les secrets accessibles au processus.
Code malveillant dans @galicia-toolkit-nestjs-20-lite/archetype sur npm
L’avis décrit un script preinstall qui charge un binaire natif malveillant dans les versions indiquées de @galicia-toolkit-nestjs-20-lite/archetype, lequel collecte des secrets et des informations sur l’hôte pour les transmettre à un serveur externe. Supprimer le paquet, vérifier les machines où l’installation a eu lieu et renouveler les identifiants potentiellement exposés.
Action recommandée : Retirer le paquet, auditer les installations et renouveler les secrets accessibles lors de l’installation.
Code malveillant dans @brick-v2/form sur npm
L’avis indique que les versions concernées de @brick-v2/form embarquent un module natif destiné à collecter des secrets d’environnement et des informations système et à les transmettre à un serveur externe. Désinstaller le paquet, examiner les hôtes où il a été chargé et renouveler les identifiants auxquels il a pu accéder.
Action recommandée : Retirer les versions concernées, auditer les systèmes où elles ont été chargées et renouveler les secrets accessibles.
Téléchargement d’un binaire et détournement du registre/proxy par pxnpm
L’avis décrit des versions de pxnpm qui téléchargent et exécutent un binaire depuis un hôte externe, puis remplacent les réglages de registre et de proxy pour acheminer le trafic des paquets via ce même hôte. Retirer ces versions, restaurer les paramètres réseau et de registre, et examiner les dépendances obtenues via cette configuration ; le comportement du binaire téléchargé demeure inconnu selon la source.
Action recommandée : Bloquer les versions visées, restaurer les paramètres de registre/proxy et auditer les paquets installés pendant leur utilisation.
KodExplorer : traversée de répertoires pouvant mener à une XSS
KodExplorer avant 4.55 présente une traversée de répertoires lors de l’extraction d’archives ZIP téléversées, pouvant permettre l’écrasement de fichiers arbitraires. La fiche décrit notamment une chaîne d’impact pouvant altérer des fichiers JavaScript et aboutir à une XSS; mettre à jour vers la version 4.55 ou ultérieure.
Action recommandée : Mettre à jour KodExplorer vers 4.55 ou ultérieur et contrôler les droits de téléversement d’archives.
Injection de code dans le code généré par @tinacms/cli
Dans Tina, une valeur de branche Git contrôlable peut être intégrée sans échappement à une URL puis à des chaînes JavaScript générées par @tinacms/cli. Une branche spécialement construite peut injecter du code exécuté pendant la génération du client lors d’une prévisualisation ; ce code peut agir avec les privilèges du processus de build, notamment accéder aux identifiants d’environnement, et la correction est disponible dans la version 3.0.0.
Action recommandée : Mettre à jour @tinacms/cli vers la version 3.0.0 ou ultérieure.
fast-jwt : contournement des validateurs de claims avec un payload JWT tableau
Dans fast-jwt, un JWT signé dont le payload est un tableau JSON peut contourner silencieusement les validateurs de claims configurés, notamment ceux portant sur l’expiration, l’émetteur et l’audience. Mettre à niveau fast-jwt vers la version 6.3.0 ; les versions jusqu’à 6.2.4 sont indiquées comme affectées.
Action recommandée : Mettre à niveau fast-jwt vers la version 6.3.0 ou ultérieure.
Telerik Report Server : XSS persistante dans le visualiseur de rapports
Telerik Report Server comporte une XSS persistante dans le moteur de rapports partagé, exploitable par un auteur de rapport authentifié via des liens `javascript:` ou `vbscript:`. Les versions antérieures à 12.2.26.1007 sont concernées; Progress indique la version 12.2.26.1007 comme seuil correctif.
Action recommandée : Mettre à niveau Telerik Report Server vers la version 12.2.26.1007 ou ultérieure.
XSS stockée dans Moderator Toolbox
Moderator Toolbox présente une vulnérabilité XSS stockée dans le module removalreasons : des champs de la page wiki du subreddit peuvent être insérés dans du HTML de fenêtre sans encodage. Une personne pouvant modifier cette page peut ainsi exécuter du JavaScript dans la session Reddit d’un modérateur ; mettre à jour vers la version 4.0.14 ou ultérieure.
Action recommandée : Mettre à jour Moderator Toolbox vers la version 4.0.14 ou ultérieure.
Jivejdon : XSS réfléchie dans la liste des fils étiquetés
Jivejdon présente une XSS réfléchie dans `taggedThreadList.jsp`, exploitable sans authentification au moyen des paramètres `tagID` et `count`. Les commits indiqués sont concernés; appliquer une version corrigée si disponible ou neutraliser les entrées avant leur insertion dans la réponse HTML.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; encoder les paramètres avant leur rendu.
Jivejdon : XSS réfléchie dans la publication d’un fil
Jivejdon présente une XSS réfléchie dans `postThread.jsp` via les paramètres `to` et `tag`, pouvant viser des utilisateurs authentifiés. Les versions concernées sont indiquées comme allant jusqu’à 5.0; appliquer une version corrigée si disponible et échapper ces valeurs dans le code JavaScript généré.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; encoder les valeurs avant leur insertion dans le JavaScript.
Jivejdon : XSS persistante via le filtre TextStyle
Le filtre TextStyle de Jivejdon peut enregistrer des URL non validées dans des liens, ce qui crée une XSS persistante. Les commits indiqués sont concernés; corriger la validation des schémas d’URL et mettre à jour vers une version corrigée si disponible.
Action recommandée : Mettre à jour vers une version corrigée; filtrer les schémas d’URL et encoder les attributs HTML.
Jivejdon : XSS persistante via les pièces jointes
Jivejdon permet une XSS persistante par téléversement d’une pièce jointe dont l’attaquant contrôle le type de contenu; le fichier peut être servi en ligne comme HTML. Les versions concernées sont indiquées comme allant jusqu’à 5.0; mettre à jour vers une version corrigée si disponible et empêcher le rendu actif des pièces jointes.
Action recommandée : Mettre à jour vers une version corrigée; servir les pièces jointes en téléchargement et imposer un type de contenu sûr.
Go html/template : suivi de contexte incorrect dans certains gabarits JavaScript
Le moteur `html/template` de la bibliothèque standard Go ne réinitialise pas correctement son suivi de contexte dans certains littéraux de gabarit JavaScript à expressions consécutives. Le défaut peut entraîner un échappement incorrect; consulter l’avis du projet Go et appliquer la version corrigée correspondante.
Action recommandée : Consulter l’avis de sécurité Go et mettre à jour la bibliothèque standard vers une version corrigée.
Keycloak : injection de script dans le rendu du thème de connexion
Keycloak présente un défaut de filtrage dans le rendu du thème de connexion, permettant à un administrateur de realm d’enregistrer des scripts dans certains champs affichés. Mettre à jour vers une version corrigée et limiter les droits d’administration des realms.
Action recommandée : Installer une version corrigée dès qu’elle est disponible et contrôler les droits permettant de modifier les paramètres du realm.
BeeTienda : XSS réfléchie dans la recherche de produits
La version de démonstration de BeeTienda présente une XSS réfléchie dans le paramètre `search` de la liste de produits, faute de neutralisation correcte de la valeur affichée. La fiche ne précise pas de version corrigée; vérifier auprès du projet ou de l’éditeur et corriger l’encodage de la sortie.
Action recommandée : Corriger l’encodage HTML de la valeur de recherche et vérifier la disponibilité d’une version corrigée auprès du projet.
Cloudron : XSS persistante via le pied de page de marque
Cloudron 9.1.7 et 9.2 présentent une XSS persistante dans le pied de page de marque, rendu sans assainissement suffisant sur des pages de connexion/OpenID et dans le journal d’événements. Mettre à jour vers une version corrigée dès qu’elle est disponible et éviter les valeurs HTML non fiables dans ce champ.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; ne pas enregistrer de contenu HTML non fiable dans le pied de page.
HTML5
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié une nouvelle vulnérabilité publiée pendant la période : CVE-2026-62039, une XSS stockée affectant Html5 Audio Player jusqu’à la version 2.8.8 incluse. Les autres candidats ont été écartés : CVE-2011-3389 correspond à une modification de fiche ancienne sans changement substantiel vérifié, et CVE-2026-107380 a été publiée avant le début de la période.
XSS stockée dans l’extension WordPress Html5 Audio Player
Une vulnérabilité de type XSS stockée a été publiée pour l’extension WordPress Html5 Audio Player. Elle peut permettre l’exécution de script dans le contexte du site lorsque du contenu vulnérable est affiché ; la source consultée ne précise pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée et confirmée par l’éditeur ; en attendant, désactiver l’extension si elle n’est pas indispensable.
CSS3
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis/correctif ou autre changement de sécurité concernant CSS3 n’a été vérifié comme daté de la période demandée. La recherche web dédiée n’a fait ressortir aucun résultat correspondant; elle ne permet pas d’affirmer une absence absolue de toute information publiée sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis de sécurité, exploitation confirmée ou mise à jour substantielle concernant Tailwind CSS n’a été vérifiée dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. La discussion Tailwind CSS trouvée au sujet d’une dépendance vulnérable est datée du 2026-10-05, donc antérieure à la période; elle n’est pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de vulnérabilité, d’avis de sécurité, de correctif ou d’exploitation concernant le projet Bootstrap (twbs/bootstrap) daté de la période demandée. Les candidats portant sur des extensions WordPress nommées « Bootstrap Blocks » sont des produits distincts, et les autres entrées sont des vulnérabilités antérieures dont les mises à jour référencées ne suffisent pas à établir un changement substantiel admissible dans cette période. Aucun élément vérifié de ce lot ne concerne le projet Bootstrap.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
Les avis webpack consultés sont datés d’avant la période demandée; aucun avis, correctif de sécurité ou autre changement substantiel daté du 2026-10-09 (+02:00) n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a relevé aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les avis esbuild repérés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée sur Parcel n’a fait apparaître aucun avis ou changement de sécurité vérifiable daté du 2026-10-09 dans les résultats consultés. Le résultat Parcel pertinent retrouvé concerne CVE-2025-56648, publié en 2025 et mis à jour en avril 2026 : il est hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée aux avis Node.js et aux sources de sécurité consultées n’a pas établi de nouvel avis, correctif ou changement substantiel Node.js daté de la période demandée. Les candidats fournis sont des vulnérabilités publiées antérieurement; leurs horodatages de modification NVD sont dans la période, mais ne suffisent pas à établir un nouvel événement de sécurité. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Node.js n’est établi par les candidats de ce lot pendant la période demandée. Les fiches Node.js fournies portent sur des vulnérabilités publiées en 2018 et signalent une mise à jour NVD, sans preuve d’un changement substantiel daté de la période. Aucun nouvel avis, correctif ou changement substantiel concernant Node.js n’est établi par les éléments fournis pour la période. Les candidats pertinents pour Node.js ne documentent que des mises à jour de fiches NVD, sans preuve d’un changement substantiel dans la période. Aucun événement de sécurité Node.js admissible dans la période n’est établi par les candidats fournis. Les fiches CVE-2026-106104 et CVE-2026-107298 décrivent des vulnérabilités pertinentes, mais leur publication est antérieure à la période et les éléments fournis ne montrent pas que leur mise à jour NVD constitue un changement substantiel plutôt qu’une modification administrative. Six fiches CVE liées à Node.js ont reçu une mise à jour substantielle de la NVD le 9 octobre 2026 ; les publications initiales fournies sont antérieures à la période. Les informations disponibles couvrent des risques d’injection SQL, d’exécution de code et de déni de service, avec des correctifs indiqués pour cinq CVE. Le candidat examiné porte sur un paquet npm malveillant, et non sur une vulnérabilité, un correctif ou…
dot-access : exécution de commandes par injection de code
CVE-2026-107700 concerne dot-access de 0.0.3 à 1.0.0 : des chemins fournis à get() sont incorporés dans le corps d’une fonction JavaScript générée dynamiquement. Un attaquant distant peut ainsi exécuter du JavaScript et des commandes système dans le processus Node.js ; le candidat ne précise pas de version corrigée.
Action recommandée : Éviter d’exposer à des entrées non fiables les chemins transmis à get() ; aucune version corrigée n’est indiquée dans la source fournie.
MariaDB Connector/Node.js : injection SQL via les clés de SET
CVE-2026-107384 affecte MariaDB Connector/Node.js lorsque l’option permitSetMultiParamEntries est activée : des clés contrôlées par l’attaquant ne sont pas échappées avant leur insertion dans une clause SQL SET. Une clé contenant une accent grave peut permettre de modifier des colonnes non prévues ou d’injecter du SQL ; les versions corrigées sont 3.2.5, 3.3.4, 3.4.7 et 3.5.4 selon la branche.
Action recommandée : Mettre à jour vers la version corrigée correspondant à la branche utilisée ; sinon, désactiver permitSetMultiParamEntries.
MariaDB Connector/Node.js : injection SQL avec NO_BACKSLASH_ESCAPES
CVE-2026-107385 affecte l’échappement du protocole texte dans MariaDB Connector/Node.js lorsque le mode NO_BACKSLASH_ESCAPES est actif : les guillemets sont toujours préfixés par une barre oblique inversée, interprétée alors comme un caractère ordinaire. Une valeur de paramètre contrôlée par l’attaquant peut fermer la chaîne SQL et injecter du SQL ; les versions corrigées sont 3.2.5, 3.3.4, 3.4.7 et 3.5.4 selon la branche.
Action recommandée : Mettre à jour vers la version corrigée de la branche concernée et éviter NO_BACKSLASH_ESCAPES pour les opérations vulnérables jusqu’à cette mise à jour.
msgpack5 : déni de service par octet MessagePack réservé
CVE-2026-107299 concerne le décodeur de flux de msgpack5, qui traite l’octet réservé 0xc1 comme une entrée incomplète plutôt que comme invalide. Un flux malveillant peut ainsi provoquer une accumulation de données en mémoire et un déni de service ; le correctif est msgpack5 6.1.0.
Action recommandée : Mettre à jour msgpack5 vers la version 6.1.0 ou une version ultérieure.
music-metadata : déni de service par longueur EBML non validée
CVE-2026-107389 affecte le parseur EBML Matroska/WebM de music-metadata avant 11.16.0, qui peut allouer de la mémoire à partir d’une longueur VINT contrôlée avant de vérifier qu’elle tient dans l’élément parent ou les données disponibles. Un fichier spécialement construit peut provoquer une consommation excessive de mémoire ou un arrêt fatal du processus ; la version 11.16.0 corrige le problème.
Action recommandée : Mettre à jour music-metadata vers la version 11.16.0 ou ultérieure.
music-metadata : blocage du parseur MP4 dans une révision de développement
CVE-2026-107391 décrit une régression du parseur MP4 stsd présente sur la branche de développement publique après 11.14.0, mais absente des versions npm publiées jusqu’à 11.14.0. Une entrée de taille nulle combinée à un nombre d’entrées contrôlé peut bloquer la boucle synchrone et épuiser la mémoire ; le correctif figure dans 11.16.0.
Action recommandée : Utiliser music-metadata 11.16.0 ou ultérieure ; éviter les révisions de développement vulnérables.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
Deux nouvelles vulnérabilités de pyLoad, logiciel écrit en Python, ont été publiées dans la période examinée. Les autres candidats fournis ne sont pas retenus : certains ont une date de publication hors période, tandis que les modifications NVD signalées ne démontrent pas ici un changement de sécurité substantiel. Trois nouvelles fiches publiées le 9 octobre concernent pyLoad (deux vulnérabilités) et Shiny for Python (une vulnérabilité). Les autres candidats sont des fiches publiées antérieurement dont la seule information fournie pour la période est une mise à jour NVD, sans preuve d’un changement substantiel. Les avis examinés dans la période concernent PraisonAI, Banks, Strawberry GraphQL et pyLoad, avec les versions affectées et les correctifs précisés dans les fiches. Les deux fiches NVD Astron Agent et Wizarr sont publiées après la borne de fin en heure +02 et ne sont donc pas retenues. Les avis pyLoad publiés le 9 octobre 2026 décrivent cinq problèmes de sécurité : contournement de validation de clés API, extraction tar de membres spéciaux, SSRF via WindowsPhoneNotify, confiance indue dans X-Forwarded-For et vérification du mot de passe administrateur accessible aux comptes ordinaires. Aucun candidat Langflow ou Vikunja ne concerne le sujet Python demandé.
PraisonAI : écriture de fichiers et commandes arbitraires via AICoder
Dans PraisonAI, les outils AICoder exposent à un LLM l’écriture de fichiers et l’exécution de commandes sans validation de chemin ni filtrage suffisant des commandes. Une entrée influençant les appels d’outils peut ainsi entraîner une écriture arbitraire ou l’exécution de commandes ; mettre à jour vers 4.6.78.
Action recommandée : Mettre à jour PraisonAI vers 4.6.78 ou une version ultérieure.
pyLoad — création de périphériques et de FIFO lors de l’extraction tar
Le mécanisme d’extraction tar de pyLoad vérifie les noms et les liens, mais pas les types de membres, ce qui peut permettre la création de périphériques ou de FIFO à partir d’une archive forgée. Le risque est particulièrement élevé lorsque pyLoad s’exécute avec des privilèges élevés; l’avis indique que les versions concernées incluent les environnements Python antérieurs à 3.14.
Action recommandée : Appliquer un correctif pyLoad dès qu’il est disponible; en attendant, limiter les privilèges du service et ne pas extraire d’archives non fiables.
pyLoad — vérification du mot de passe administrateur accessible aux comptes ordinaires
Deux méthodes API de pyLoad exposent une vérification du mot de passe administrateur à tout compte authentifié en raison d’un contrôle de permission permissif. Un utilisateur à faibles privilèges peut s’en servir comme oracle de vérification et, si le mot de passe est deviné, obtenir un accès administrateur.
Action recommandée : Appliquer un correctif dès disponibilité et limiter l’accès aux méthodes API en cause aux seuls administrateurs.
PraisonAI : contournement de la liste d’autorisation shell avec `find`
Le filtrage des commandes de PraisonAI peut être contourné par les actions intégrées `find -exec`, `find -execdir` ou `find -delete`. Les versions jusqu’à 4.6.77 sont indiquées comme affectées ; mettre à jour vers 4.6.78.
Action recommandée : Mettre à jour PraisonAI vers 4.6.78 ou une version ultérieure.
PraisonAI Platform : contrôles d’autorisation insuffisants sur les routes PATCH
Dans PraisonAI Platform, un membre ordinaire d’un espace de travail peut modifier certains projets, tickets et agents appartenant à d’autres utilisateurs, malgré les contrôles appliqués aux suppressions. Pour les projets, la modification du responsable peut aussi permettre de contourner le contrôle de suppression ; la version corrigée indiquée est 0.1.9.
Action recommandée : Mettre à jour `praisonai-platform` vers 0.1.9 ou une version ultérieure.
Strawberry GraphQL : une vérification de permission peut laisser passer un accès protégé
Une vérification de permission synchrone pouvait accorder l’accès à un champ protégé lorsqu’une méthode `has_permission` définie avec `def` renvoyait un awaitable : celui-ci était traité comme une valeur vraie sans être attendu. Le correctif fait échouer cette vérification au lieu d’accorder l’accès ; le problème concerne Strawberry GraphQL pour les versions 0.217.0 à 0.326.0 incluses.
Action recommandée : Mettre à niveau strawberry-graphql vers 0.326.1 ou une version ultérieure corrigée ; vérifier les permissions personnalisées dont `has_permission` est une fonction synchrone renvoyant un awaitable.
pyLoad — contournement de l’authentification par clé API via le cache
Un défaut dans le cache de validation des clés API pyLoad permet, pendant la durée du cache, d’utiliser une clé falsifiée si la clé légitime associée au même identifiant a été récemment employée. La validation du secret est alors contournée, ce qui peut accorder les permissions du compte concerné.
Action recommandée : Mettre à niveau pyload-ng vers 0.5.0b3.dev101 ou une version ultérieure corrigée.
pyLoad : épuisement mémoire par téléversement RPC sans limite
pyLoad lit en mémoire l’intégralité d’un fichier téléversé à l’API RPC sans limite de taille, ce qui peut épuiser la mémoire et arrêter le processus. La vulnérabilité concerne les versions antérieures à 0.5.0b3.dev101 ; mettre à niveau vers cette version ou une version ultérieure.
Action recommandée : Mettre à niveau pyLoad vers 0.5.0b3.dev101 ou une version ultérieure.
pyLoad : accès non authentifié à des modèles de pages
Dans pyLoad, une route web non authentifiée permet d’accéder directement aux modèles de pages qui sont normalement protégées ; une erreur de gestion d’exception peut aussi divulguer des noms de variables internes dans des réponses HTTP 500. La version 0.5.0b3.dev101 corrige le problème : mettre à niveau vers cette version ou une version ultérieure.
Action recommandée : Mettre à niveau pyLoad vers 0.5.0b3.dev101 ou une version ultérieure.
Shiny for Python — accès à des fichiers par traversée de chemin lors de la restauration de signets
La restauration de signets dans Shiny for Python ne valide pas le chemin fourni par le client, ce qui peut permettre à une requête non authentifiée d’accéder à des fichiers hors du répertoire de signets. Les versions 1.4.0 à celles antérieures à 1.6.4 sont concernées ; mettre à niveau vers 1.6.4 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Shiny for Python 1.6.4 ou une version ultérieure.
Banks : injection de rôle dans les messages de chat rendus
La méthode `Prompt.chat_messages()` de Banks peut interpréter une ligne issue du rendu d’un modèle comme un message structuré, y compris avec un rôle privilégié tel que `system`. Les applications concernées sont celles qui rendent des entrées non fiables puis transmettent directement ces messages à un fournisseur de LLM ; la version corrigée indiquée est 2.5.0.
Action recommandée : Mettre à jour Banks vers 2.5.0 ou une version ultérieure et éviter de transmettre directement des messages issus de rendus non fiables.
Banks : traversée par liens symboliques dans DirectoryPromptRegistry
Dans `DirectoryPromptRegistry` de Banks, des liens symboliques peuvent permettre de lire des fichiers hors du répertoire de prompts ou d’écraser des fichiers externes. Le risque concerne notamment les registres contenant des fichiers contrôlés ou extraits de sources non fiables ; mettre à jour vers 2.5.1.
Action recommandée : Mettre à jour Banks vers 2.5.1 ou une version ultérieure et ne pas exposer le répertoire de prompts à des fichiers non fiables.
pyLoad — requêtes SSRF via l’extension WindowsPhoneNotify
L’extension WindowsPhoneNotify peut envoyer une requête HTTP vers un hôte configuré par un utilisateur disposant de la permission SETTINGS, sans passer par la protection SSRF du client pycurl de pyLoad. Un événement de téléchargement terminé déclenche l’envoi, qui peut viser des services internes accessibles depuis le serveur.
Action recommandée : Désactiver l’extension ou limiter ses réglages aux administrateurs; appliquer un correctif pyLoad lorsqu’il sera disponible.
pyLoad — contournement de la limitation de débit et falsification des journaux via X-Forwarded-For
pyLoad utilise la valeur fournie par le client dans X-Forwarded-For pour déterminer l’adresse employée par la limitation de débit et les journaux de sécurité. Un client peut ainsi contourner les limites en variant cet en-tête et falsifier l’adresse enregistrée lors d’échecs d’authentification.
Action recommandée : Cesser de traiter X-Forwarded-For comme fiable sans proxy de confiance et corriger les chemins concernés.
Strawberry GraphQL : les abonnements terminés peuvent continuer à consommer des places
Dans le gestionnaire d’abonnements Strawberry utilisant l’ancien protocole `graphql-ws`, les opérations terminées naturellement pouvaient rester comptabilisées dans les tâches de la connexion. Lorsque `max_subscriptions_per_connection` est configuré, cela peut bloquer de nouveaux abonnements légitimes sur cette connexion ; le correctif est disponible dans la version 0.327.2.
Action recommandée : Mettre à niveau strawberry-graphql vers 0.327.2 ou une version ultérieure corrigée ; si la mise à niveau n’est pas possible, tenir compte du risque lorsque le protocole legacy `graphql-ws` et une limite d’abonnements par connexion sont activés.
Java
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche web dédiée a repéré des publications NVD dans la période pour Hazelcast, Bouncy Castle for Java LTS, Apache CXF, snappy-java et Google Guava. Les informations fournies établissent des impacts allant de la divulgation ou corruption de données et du contournement d’authentification à l’épuisement de mémoire; aucune exploitation active n’est confirmée par les éléments consultés. Les mises à jour NVD des anciennes fiches CVE-2011-3389 et CVE-2012-4431, CVE-2012-4534 et CVE-2013-2067 ne fournissent pas de preuve d’un changement substantiel dans la période. Aucun avis, correctif, événement d’exploitation ou changement substantiel daté du 9 octobre 2026 n’est établi par les candidats fournis. Ceux dont la fiche NVD a été mise à jour le 9 octobre concernent des vulnérabilités publiées antérieurement, et le lot ne fournit aucun élément attestant un changement substantiel à cette date. Aucun candidat fourni n'établit une vulnérabilité Java nouvelle, un avis/correctif de sécurité, une exploitation ou un changement substantiel daté de la période demandée. Les candidats décrivent des fiches de vulnérabilités antérieures ; leurs seules mises à jour NVD dans la période ne suffisent pas à démontrer un événement substantiel. Un candidat concerne Java et correspond à une vulnérabilité publiée pendant la période : CVE-2026-71884 dans l’implémentation native CTR one-shot de Bouncy Castle Java LTS. Les autres candidats sont des mises à jour NVD de fiches publiées avant la période ; les données fournies n’établissent pas de changement substantiel daté dans cette période pour ces entrées. Quatre candidats datés du 2026-10-09 décrivent des vulnérabilités Java dans Apache CXF, snappy-java et Google Guava. Les éléments fournis indiquent des versions corrigées pour CXF et les deux v…
Hazelcast : accès mémoire arbitraire depuis un client du cluster
Un client malveillant pouvant se connecter au cluster peut lire des données arbitraires en mémoire et provoquer l’arrêt d’un membre; certaines configurations Enterprise peuvent aussi subir une corruption mémoire. Mettez à jour Hazelcast vers une version corrigée.
Action recommandée : Mettre à niveau vers une version corrigée; limiter l’accès réseau aux clusters aux seuls clients autorisés.
Google Guava : épuisement mémoire lors de la désérialisation Java
La désérialisation d’objets Java CompactHashMap, CompactHashSet ou MapMakerInternalMap dans Guava pouvait allouer immédiatement un tableau selon une taille fournie par l’appelant, sans limitation. Un flux sérialisé construit à cet effet peut épuiser la mémoire et provoquer un déni de service; la fiche fournie ne précise pas de version corrigée.
Action recommandée : Éviter de désérialiser des flux non fiables et suivre les avis du projet pour une version corrigée; la version de correction n’est pas établie par les éléments consultés.
snappy-java : allocation mémoire non bornée pendant la décompression
snappy-java pouvait allouer une quantité de mémoire non bornée à partir de la longueur décompressée déclarée dans une entrée compressée. Une entrée spécialement construite peut épuiser la mémoire de la JVM et provoquer un déni de service; mettez à niveau vers 1.1.10.9 ou ultérieur.
Action recommandée : Mettre à niveau snappy-java vers 1.1.10.9 ou une version ultérieure; limiter les entrées compressées non fiables si la mise à jour ne peut pas être immédiate.
Bouncy Castle Java LTS : réutilisation du flot de clé dans le chiffrement CTR natif
Dans Bouncy Castle Java LTS, le chiffrement CTR natif en une seule opération pouvait réutiliser le flot de clé si la longueur demandée dépassait l’espace de compteur disponible avec un IV de 13 à 15 octets. Un attaquant pouvant obtenir le texte chiffré pouvait en déduire des informations sur le texte clair ; la version 2.73.13 corrige la validation avant écriture.
Action recommandée : Mettre à niveau Bouncy Castle Java LTS vers la version 2.73.13 ou ultérieure.
snappy-java : double libération de tampons dans SnappyFramedInputStream
Dans snappy-java, un échec d’allocation de remplacement pouvait entraîner la libération deux fois de tampons mutualisés par SnappyFramedInputStream. Des données cadrées malveillantes peuvent ainsi provoquer une erreur mémoire et exposer ou écraser des données décompressées d’autres flux; mettez à niveau vers 1.1.10.10 ou ultérieur.
Action recommandée : Mettre à niveau snappy-java vers 1.1.10.10 ou une version ultérieure.
Apache CXF : validation de jetons contournable par collision de hachage
Apache CXF mettait en cache des jetons validés en utilisant un hachage non cryptographique de 32 bits et pouvait traiter une collision comme une preuve de validation. Un attaquant peut alors contourner des contrôles d’authentification ou de confiance; appliquez la mise à niveau correspondant à votre branche.
Action recommandée : Mettre à niveau vers la version corrigée de la branche utilisée.
TYPO3
Recherche du sujet effectuée
Les sources consultées recensent une annonce de sortie TYPO3 datée du 9 octobre 2026 pour les versions 14.3.8 LTS et 13.4.36 LTS. Les éléments consultés ne permettent pas d’établir qu’il s’agissait d’un avis de sécurité ou d’un correctif de sécurité publié pendant la période demandée; aucun item de sécurité n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche des avis Drupal consultables n’a pas révélé de nouvel avis daté du 9 octobre 2026 : les pages Drupal.org examinées affichent des avis jusqu’au 7 octobre 2026. Aucun item ne répond donc à la période figée demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
La recherche dédiée sur Joomla n’a identifié aucun avis, correctif ou événement de vulnérabilité vérifié comme daté dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. L’avis Joomla le plus récent visible dans le centre de sécurité consulté est daté du 2026-09-16; CVE-2026-102783, publiée au NVD le 2026-10-08, est antérieure au début de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
La recherche dédiée aux avis Adobe/Magento, aux CVE et aux avis de sécurité n’a identifié aucun avis, correctif ou changement substantiel concernant Magento daté du 2026-10-09. Les avis Adobe repérés les plus récents dans les résultats consultés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche web dédiée sur Adobe Commerce n’a permis d’identifier aucun avis, correctif, événement d’exploitation ou changement substantiel vérifiable, daté du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. Les pages Adobe consultées portant des dates proches sont des pages générales ou des mises à jour hors de cette période, et ne constituent pas un événement admissible pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée sur Fooocus n’a identifié aucun avis de sécurité, correctif, exploitation ou changement substantiel daté dans la période du 2026-10-09T00:00:00+02:00 au 2026-10-10T00:00:00+02:00. La fiche NVD consultée sur CVE-2025-31114 porte sur une vulnérabilité antérieure à cette période; elle n’est donc pas incluse.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
17 alerte(s)Code malveillant dans @brick-v2/form sur npm
L’avis indique que les versions concernées de @brick-v2/form embarquent un module natif destiné à collecter des secrets d’environnement et des informations système et à les transmettre à un serveur externe. Désinstaller le paquet, examiner…
Source : GHSA-cxh8-f5qg-3jmp — Malicious code in @brick-v2/form (npm)
Téléchargement d’un binaire et détournement du registre/proxy par pxnpm
L’avis décrit des versions de pxnpm qui téléchargent et exécutent un binaire depuis un hôte externe, puis remplacent les réglages de registre et de proxy pour acheminer le trafic des paquets via ce même hôte. Retirer ces versions, restaure…
Source : GHSA-h3fw-vmw2-h9xc — Malicious code in pxnpm (npm)
KodExplorer : traversée de répertoires pouvant mener à une XSS
KodExplorer avant 4.55 présente une traversée de répertoires lors de l’extraction d’archives ZIP téléversées, pouvant permettre l’écrasement de fichiers arbitraires. La fiche décrit notamment une chaîne d’impact pouvant altérer des fichier…
Source : NVD — CVE-2026-104081
CVE-2026-107303 — XSS stockée via des Blob dans des applications générées par JHipster
Dans les applications générées concernées, un utilisateur authentifié ayant le droit d’écrire une entité contenant un Blob peut y enregistrer un contenu et un type MIME contrôlés, susceptibles d’être ouverts comme HTML ou SVG sous l’origin…
Source : NVD — CVE-2026-107303
Injection de code dans le code généré par @tinacms/cli
Dans Tina, une valeur de branche Git contrôlable peut être intégrée sans échappement à une URL puis à des chaînes JavaScript générées par @tinacms/cli. Une branche spécialement construite peut injecter du code exécuté pendant la génération…
Source : NVD — CVE-2026-108259
fast-jwt : contournement des validateurs de claims avec un payload JWT tableau
Dans fast-jwt, un JWT signé dont le payload est un tableau JSON peut contourner silencieusement les validateurs de claims configurés, notamment ceux portant sur l’expiration, l’émetteur et l’audience. Mettre à niveau fast-jwt vers la versi…
Source : GHSA-5hjw-83fp-phq9 — fast-jwt
Telerik Report Server : XSS persistante dans le visualiseur de rapports
Telerik Report Server comporte une XSS persistante dans le moteur de rapports partagé, exploitable par un auteur de rapport authentifié via des liens `javascript:` ou `vbscript:`. Les versions antérieures à 12.2.26.1007 sont concernées; Pr…
Source : NVD — CVE-2026-106155
XSS stockée dans Moderator Toolbox
Moderator Toolbox présente une vulnérabilité XSS stockée dans le module removalreasons : des champs de la page wiki du subreddit peuvent être insérés dans du HTML de fenêtre sans encodage. Une personne pouvant modifier cette page peut ains…
Source : NVD — CVE-2016-20098
Jivejdon : XSS réfléchie dans la liste des fils étiquetés
Jivejdon présente une XSS réfléchie dans `taggedThreadList.jsp`, exploitable sans authentification au moyen des paramètres `tagID` et `count`. Les commits indiqués sont concernés; appliquer une version corrigée si disponible ou neutraliser…
Source : NVD — CVE-2026-107796
Jivejdon : XSS réfléchie dans la publication d’un fil
Jivejdon présente une XSS réfléchie dans `postThread.jsp` via les paramètres `to` et `tag`, pouvant viser des utilisateurs authentifiés. Les versions concernées sont indiquées comme allant jusqu’à 5.0; appliquer une version corrigée si dis…
Source : NVD — CVE-2026-107797
Jivejdon : XSS persistante via le filtre TextStyle
Le filtre TextStyle de Jivejdon peut enregistrer des URL non validées dans des liens, ce qui crée une XSS persistante. Les commits indiqués sont concernés; corriger la validation des schémas d’URL et mettre à jour vers une version corrigée…
Source : NVD — CVE-2026-107798
Jivejdon : XSS persistante via les pièces jointes
Jivejdon permet une XSS persistante par téléversement d’une pièce jointe dont l’attaquant contrôle le type de contenu; le fichier peut être servi en ligne comme HTML. Les versions concernées sont indiquées comme allant jusqu’à 5.0; mettre…
Source : NVD — CVE-2026-107801
Go html/template : suivi de contexte incorrect dans certains gabarits JavaScript
Le moteur `html/template` de la bibliothèque standard Go ne réinitialise pas correctement son suivi de contexte dans certains littéraux de gabarit JavaScript à expressions consécutives. Le défaut peut entraîner un échappement incorrect; co…
Source : NVD — CVE-2026-94448
Keycloak : injection de script dans le rendu du thème de connexion
Keycloak présente un défaut de filtrage dans le rendu du thème de connexion, permettant à un administrateur de realm d’enregistrer des scripts dans certains champs affichés. Mettre à jour vers une version corrigée et limiter les droits d’a…
Source : NVD — CVE-2026-107889
BeeTienda : XSS réfléchie dans la recherche de produits
La version de démonstration de BeeTienda présente une XSS réfléchie dans le paramètre `search` de la liste de produits, faute de neutralisation correcte de la valeur affichée. La fiche ne précise pas de version corrigée; vérifier auprès du…
Source : NVD — CVE-2026-4264
Cloudron : XSS persistante via le pied de page de marque
Cloudron 9.1.7 et 9.2 présentent une XSS persistante dans le pied de page de marque, rendu sans assainissement suffisant sur des pages de connexion/OpenID et dans le journal d’événements. Mettre à jour vers une version corrigée dès qu’elle…
Source : NVD — CVE-2026-79363
XSS stockée dans l’extension WordPress Html5 Audio Player
Une vulnérabilité de type XSS stockée a été publiée pour l’extension WordPress Html5 Audio Player. Elle peut permettre l’exécution de script dans le contexte du site lorsque du contenu vulnérable est affiché ; la source consultée ne précis…
Source : NVD — CVE-2026-62039
Backend & données
87 alerte(s)dot-access : exécution de commandes par injection de code
CVE-2026-107700 concerne dot-access de 0.0.3 à 1.0.0 : des chemins fournis à get() sont incorporés dans le corps d’une fonction JavaScript générée dynamiquement. Un attaquant distant peut ainsi exécuter du JavaScript et des commandes systè…
Source : NVD — CVE-2026-107700
Code malveillant dans @brick-v2/brand sur npm
L’avis rapporte que les versions indiquées de @brick-v2/brand contiennent un module natif qui collecte des identifiants d’environnement et des informations sur l’hôte, puis les transmet à un serveur externe. Retirer le paquet, empêcher son…
Source : GHSA-62v9-prv8-q646 — Malicious code in @brick-v2/brand (npm)
Code malveillant dans @galicia-toolkit-nestjs-20/commons sur npm
L’avis décrit un module natif malveillant dans les versions concernées de @galicia-toolkit-nestjs-20/commons, qui collecte des secrets d’environnement et des renseignements sur l’hôte avant de les transmettre à un serveur externe. Retirer…
Source : GHSA-hwv3-5v66-4cvw — Malicious code in @galicia-toolkit-nestjs-20/commons (npm)
Code malveillant dans @galicia-toolkit-nestjs-20-lite/paas
Le paquet npm déclenche un module natif malveillant lors de l’installation et du chargement, lequel collecte des secrets de CI/cloud et les transmet à un serveur distant. Les versions 1.0.20 à 1.0.24 indiquées dans l’avis sont affectées; a…
Source : GHSA-p5pm-8q88-fj6v — Malicious code in @galicia-toolkit-nestjs-20-lite/paas (npm)
Code malveillant dans @galicia-toolkit-nestjs-20/archetype sur npm
L’avis signale que les versions indiquées de @galicia-toolkit-nestjs-20/archetype chargent un binaire natif qui collecte des identifiants et des informations sur la machine, puis les transmet à un hôte externe. Retirer le paquet et renouve…
Source : GHSA-43v2-p79h-pjp9 — Malicious code in @galicia-toolkit-nestjs-20/archetype (npm)
Code malveillant dans @galicia-toolkit-nestjs-20/paas
Le paquet npm charge à l’import un module natif qui collecte des identifiants cloud, CI et de publication, puis les exfiltre vers un serveur distant. Les versions 3.0.3, 3.0.5 à 3.0.7 et 999.0.1 sont affectées selon l’avis; aucun correctif…
Source : GHSA-mgg2-4cpg-5cfj — Malicious code in @galicia-toolkit-nestjs-20/paas (npm)
Code malveillant dans @galicia-toolkit-nestjs/swagger sur npm
L’avis rapporte que les versions indiquées de @galicia-toolkit-nestjs/swagger chargent un binaire natif qui collecte des secrets et des données d’identification de l’hôte, puis les envoie à un serveur externe. Retirer le paquet et renouvel…
Source : GHSA-7hxg-fr5p-9hp5 — Malicious code in @galicia-toolkit-nestjs/swagger (npm)
Code malveillant dans @galicia-toolkit-nestjs-20-lite/archetype sur npm
L’avis décrit un script preinstall qui charge un binaire natif malveillant dans les versions indiquées de @galicia-toolkit-nestjs-20-lite/archetype, lequel collecte des secrets et des informations sur l’hôte pour les transmettre à un serve…
Source : GHSA-3gr7-5653-7jxx — Malicious code in @galicia-toolkit-nestjs-20-lite/archetype (npm)
Code malveillant dans @galicia-toolkit-nestjs-20-lite/commons
Ce paquet npm présenté comme une bibliothèque NestJS utilise un hook d’installation pour charger un addon natif qui collecte des secrets et les envoie à un serveur distant. Les versions 999.0.1 à 999.0.3 sont affectées selon l’avis; aucune…
Source : GHSA-pw25-gp8h-4cr2 — Malicious code in @galicia-toolkit-nestjs-20-lite/commons (npm)
Code malveillant dans @galicia-toolkit-nestjs/paas
Ce paquet NestJS charge un addon natif qui collecte des identifiants cloud, CI et de publication ainsi que des informations sur l’hôte, puis les transmet à un serveur distant. Les versions 999.0.3 à 999.0.6 sont signalées comme affectées;…
Source : GHSA-xmvx-x823-fvm2 — Malicious code in @galicia-toolkit-nestjs/paas (npm)
Code malveillant dans @galicia-toolkit-nestjs/archetype
Le paquet charge à l’import un addon natif qui collecte des secrets de CI/CD, cloud et publication ainsi que des informations sur l’hôte, puis les transmet à un serveur distant. Les versions 999.0.1, 999.0.5 et 999.0.6 sont signalées; aucu…
Source : GHSA-76rm-2c8x-h676 — Malicious code in @galicia-toolkit-nestjs/archetype (npm)
nginx-ui : exécution de commandes via la restauration d’une sauvegarde
Dans nginx-ui, un utilisateur authentifié peut restaurer une sauvegarde forgée qui remplace la configuration de l’application, puis déclencher l’exécution de commandes via les paramètres de commande nginx. Les versions indiquées comme affe…
Source : GHSA-p393-cf76-4jmr — nginx-ui
PraisonAI : écriture de fichiers et commandes arbitraires via AICoder
Dans PraisonAI, les outils AICoder exposent à un LLM l’écriture de fichiers et l’exécution de commandes sans validation de chemin ni filtrage suffisant des commandes. Une entrée influençant les appels d’outils peut ainsi entraîner une écri…
Source : GHSA-9mp3-24cc-77mg — PraisonAI
Hazelcast : accès mémoire arbitraire depuis un client du cluster
Un client malveillant pouvant se connecter au cluster peut lire des données arbitraires en mémoire et provoquer l’arrêt d’un membre; certaines configurations Enterprise peuvent aussi subir une corruption mémoire. Mettez à jour Hazelcast ve…
Source : NVD — CVE-2026-107726
Vikunja : divulgation de données de vues kanban via un jeton de partage
Dans Vikunja API, un détenteur d’un jeton de partage peut interroger des vues kanban d’autres projets et obtenir les titres des colonnes ainsi que des identifiants et noms d’utilisateurs associés. L’avis indique que les tâches elles-mêmes…
Source : GHSA-rj9j-8772-4h6c — Vikunja
TinaCMS : l’aperçu GraphQL peut faire confiance à une iframe contrôlée
Dans TinaCMS, une route d’aperçu administrative peut faire confiance à une iframe contrôlée par un attaquant et lui permettre d’émettre des lectures ou mutations GraphQL avec les privilèges d’un éditeur connecté. Les versions antérieures à…
Source : CVE-2026-108261 — NVD
pyLoad — création de périphériques et de FIFO lors de l’extraction tar
Le mécanisme d’extraction tar de pyLoad vérifie les noms et les liens, mais pas les types de membres, ce qui peut permettre la création de périphériques ou de FIFO à partir d’une archive forgée. Le risque est particulièrement élevé lorsque…
Source : GHSA-fr26-jjhm-638c — pyLoad tar extraction creates device nodes and FIFOs
pyLoad — vérification du mot de passe administrateur accessible aux comptes ordinaires
Deux méthodes API de pyLoad exposent une vérification du mot de passe administrateur à tout compte authentifié en raison d’un contrôle de permission permissif. Un utilisateur à faibles privilèges peut s’en servir comme oracle de vérificati…
Source : GHSA-68w4-83fh-f2w8 — pyload-ng getUserData/get_userdata permission issue
Google Guava : épuisement mémoire lors de la désérialisation Java
La désérialisation d’objets Java CompactHashMap, CompactHashSet ou MapMakerInternalMap dans Guava pouvait allouer immédiatement un tableau selon une taille fournie par l’appelant, sans limitation. Un flux sérialisé construit à cet effet pe…
Source : NVD — CVE-2026-102554
Vikunja : confusion de principal permettant des actions sur équipes et comptes bots
Dans Vikunja API jusqu’à la version 2.4.0, une confusion entre le type de principal d’un partage et un utilisateur peut contourner des contrôles d’accès liés aux équipes et aux comptes bots. L’avis ne précise aucune version corrigée ; véri…
Source : GHSA-32r8-5843-4qw2 — Vikunja
Nginx UI : consommation de ressources lors de l’authentification par signature
Dans Nginx UI, le chemin d’authentification par signature écrit et synchronise temporairement le corps de requête avant de vérifier son condensat et sa signature. Un client distant non authentifié peut ainsi consommer de l’espace disque et…
Source : NVD — CVE-2026-107805
nginx-ui : exposition du secret maître de nœud dans les URL
nginx-ui accepte le secret maître d’un nœud dans le paramètre d’URL `node_secret`, où il peut être exposé dans les journaux, l’historique du navigateur ou les en-têtes Referer. Un secret divulgué permet de contourner l’authentification et…
Source : GHSA-pvgv-gcp7-v38g — Nginx UI: Node Secret Credential Exposure via URL Query Parameter
nginx-ui : contournement de l’authentification à deux facteurs par passkey seule
La connexion par mot de passe de nginx-ui n’impose pas de passkey lorsqu’un compte a configuré une passkey sans secret TOTP. Un compte ainsi protégé peut donc être connecté avec le seul mot de passe ; mettez à niveau vers la version corrig…
nginx-ui : risque de CSRF lié au cookie d’authentification
Le middleware nginx-ui accepte le JWT stocké dans un cookie `token` pour authentifier les requêtes de gestion, sans protection CSRF universelle ni vérification systématique de l’origine. Un site tiers peut ainsi inciter un navigateur déjà…
Nginx UI : la restauration d’une sauvegarde peut écrire dans la configuration Nginx
Un utilisateur authentifié pouvant créer et restaurer une sauvegarde peut faire écrire des fichiers contrôlés dans le répertoire de configuration Nginx, même si les options de restauration de Nginx et de Nginx UI sont désactivées. Le défau…
Source : GHSA-p8v3-89rh-jxc7 — Nginx UI
nginx-ui : divulgation des jetons de nœuds et usurpation inter-nœuds
Les API de liste et de détail des nœuds nginx-ui exposent leurs jetons à des utilisateurs authentifiés ordinaires. Un utilisateur peut réutiliser un jeton divulgué pour se faire passer pour un nœud de confiance et obtenir une authentificat…
nginx-ui : validation insuffisante du binaire d’auto-mise à niveau
Le mécanisme d’auto-mise à niveau de nginx-ui vérifie le binaire téléchargé uniquement par comparaison avec un condensat obtenu auprès de la même origine, sans signature cryptographique indépendante. Un miroir compromis ou une interception…
nginx-ui : étape OTP manquante pour les opérations de gestion du cluster
Les opérations sensibles de gestion du cluster nginx-ui ne requièrent pas la validation de session sécurisée (étape OTP) prévue pour les autres opérations comparables. Un utilisateur muni d’un JWT valide mais sans session sécurisée récente…
Source : GHSA-h246-wpgf-vmq5 — Nginx UI: Incomplete fix of CVE-2026-84315
Fichiers de démarrage exécutables via le répertoire personnel du compte mysql
Les paquets RPM MariaDB plaçaient le répertoire de données comme répertoire personnel du compte système mysql, permettant à un utilisateur de base de données disposant du privilège FILE d’y déposer des fichiers de démarrage exécutés lors d…
Source : NVD — CVE-2026-107814
Écriture hors limites dans le moteur CONNECT
Une vérification de limites incorrecte dans le type de table DOS du moteur CONNECT permettait à un utilisateur authentifié autorisé à utiliser ce moteur de provoquer une écriture nulle d’un octet hors d’un tampon de pile. Cela pouvait caus…
Source : NVD — CVE-2026-107815
Injection de variables d’environnement dans mariadb.service
L’unité systemd mariadb.service utilisait /run/mysqld/wsrep-new-cluster au redémarrage suivant du service, ce qui pouvait permettre à un utilisateur de base de données doté du privilège FILE d’injecter des valeurs d’environnement contrôlée…
Source : NVD — CVE-2026-107818
Validation insuffisante des métadonnées FRM binaires
MariaDB validait insuffisamment les nombres, décalages, longueurs et limites de champs des métadonnées FRM lors de l’ouverture de fichiers FRM binaires. Un attaquant capable de placer un fichier FRM forgé dans le répertoire de données pouv…
Source : NVD — CVE-2026-107821
Élévation potentielle de privilèges via le parseur FRM des vues
Le parseur FRM des vues MariaDB n’échappait pas correctement les caractères de nouvelle ligne intégrés dans un nom d’utilisateur, ce qui pouvait faire interpréter une partie du nom comme des métadonnées de sécurité. Un compte disposant de…
Source : NVD — CVE-2026-107823
MariaDB Connector/Node.js : injection SQL via les clés de SET
CVE-2026-107384 affecte MariaDB Connector/Node.js lorsque l’option permitSetMultiParamEntries est activée : des clés contrôlées par l’attaquant ne sont pas échappées avant leur insertion dans une clause SQL SET. Une clé contenant une accen…
Source : NVD — CVE-2026-107384
MariaDB Connector/Node.js : injection SQL avec NO_BACKSLASH_ESCAPES
CVE-2026-107385 affecte l’échappement du protocole texte dans MariaDB Connector/Node.js lorsque le mode NO_BACKSLASH_ESCAPES est actif : les guillemets sont toujours préfixés par une barre oblique inversée, interprétée alors comme un carac…
Source : NVD — CVE-2026-107385
PraisonAI : contournement de la liste d’autorisation shell avec `find`
Le filtrage des commandes de PraisonAI peut être contourné par les actions intégrées `find -exec`, `find -execdir` ou `find -delete`. Les versions jusqu’à 4.6.77 sont indiquées comme affectées ; mettre à jour vers 4.6.78.
Source : GHSA-cv3g-hj65-pcfh — PraisonAI
PraisonAI Platform : contrôles d’autorisation insuffisants sur les routes PATCH
Dans PraisonAI Platform, un membre ordinaire d’un espace de travail peut modifier certains projets, tickets et agents appartenant à d’autres utilisateurs, malgré les contrôles appliqués aux suppressions. Pour les projets, la modification d…
Strawberry GraphQL : une vérification de permission peut laisser passer un accès protégé
Une vérification de permission synchrone pouvait accorder l’accès à un champ protégé lorsqu’une méthode `has_permission` définie avec `def` renvoyait un awaitable : celui-ci était traité comme une valeur vraie sans être attendu. Le correct…
pyLoad — contournement de l’authentification par clé API via le cache
Un défaut dans le cache de validation des clés API pyLoad permet, pendant la durée du cache, d’utiliser une clé falsifiée si la clé légitime associée au même identifiant a été récemment employée. La validation du secret est alors contourné…
Source : GHSA-r44w-v6gf-x3p6 — pyLoad API key validation cache authentication bypass
snappy-java : allocation mémoire non bornée pendant la décompression
snappy-java pouvait allouer une quantité de mémoire non bornée à partir de la longueur décompressée déclarée dans une entrée compressée. Une entrée spécialement construite peut épuiser la mémoire de la JVM et provoquer un déni de service;…
Source : NVD — CVE-2026-108106
Bouncy Castle Java LTS : réutilisation du flot de clé dans le chiffrement CTR natif
Dans Bouncy Castle Java LTS, le chiffrement CTR natif en une seule opération pouvait réutiliser le flot de clé si la longueur demandée dépassait l’espace de compteur disponible avec un IV de 13 à 15 octets. Un attaquant pouvant obtenir le…
Source : NVD — CVE-2026-71884
Coraza : débordement de pile fatal lors de la validation de JSON profondément imbriqué
Dans Coraza 3.0.0 à 3.8.0, un corps JSON contenant une structure profondément imbriquée peut provoquer un débordement de pile fatal et arrêter le processus. Mettre à jour vers la version 3.8.1 ou ultérieure.
Source : NVD — CVE-2026-107826
Vikunja : contournement des permissions d’un jeton API via OAuth
Dans Vikunja API 2.3.0, un jeton API limité à `oauth.authorize` peut être échangé contre des identifiants de session normaux, qui ne conservent pas les restrictions du jeton initial. Mettre à niveau vers 2.4.0 pour corriger le problème.
Source : GHSA-v3p6-34mc-hj7v — Vikunja
Vikunja : collision d’identifiants de partage permettant de gérer les jetons API d’un autre compte
Dans Vikunja API, un jeton de partage dont l’identifiant numérique correspond à celui d’un utilisateur peut être confondu avec cet utilisateur dans les opérations de gestion des jetons API. Le défaut est indiqué comme affectant les version…
Source : GHSA-vvcv-vpph-h844 — Vikunja
yopass : épuisement mémoire par cardinalité non bornée des métriques
Le middleware Prometheus de yopass utilise la méthode HTTP fournie par le client comme étiquette de métrique sans la limiter. Des requêtes non authentifiées avec des méthodes arbitraires peuvent multiplier les séries temporelles et épuiser…
Source : GHSA-6r69-c6wg-7g8m — yopass
ageLANServer : déni de service par allocations JSON non bornées
Le serveur ageLANServer alloue des structures en fonction du nombre d’éléments d’un tableau JSON `names` fourni à l’endpoint AoE3 `POST /game/cloud/getFileURL`, sans limite de taille ni de longueur. Une requête excessive peut épuiser la mé…
Source : GHSA-4jfq-pmq9-257h — ageLANServer
Vikunja : prise de compte local via le repli OIDC par e-mail
Lorsque l’option OIDC `emailfallback` est activée, Vikunja peut associer une connexion à un compte local existant sur la seule base de l’adresse e-mail, sans vérifier `email_verified` ni le mot de passe. L’avis indique que les comptes conc…
Source : GHSA-xv7q-fvmc-jx96 — Vikunja
Vikunja : jetons sensibles stockés en clair dans la base de données
Vikunja conserve en clair dans la base les jetons de réinitialisation de mot de passe, de confirmation d’e-mail et de suppression de compte. Une personne disposant d’un accès en lecture à la base peut utiliser des jetons encore valides ; l…
Source : GHSA-r6w9-259g-gwrv — Vikunja
Vikunja : absence de limitation de débit sur les routes publiques de l’API v2
Sur une installation Vikunja par défaut, les routes publiques pré-authentification de l’API v2 n’appliquent pas la limite de débit inconditionnelle présente sur leurs équivalents v1. Cela peut permettre des tentatives répétées de connexion…
Source : GHSA-6rvj-qwjf-3m4q — Vikunja
Vikunja divulgue le secret des partages par lien aux membres en lecture seule
Un membre disposant uniquement d’un accès en lecture à un projet peut récupérer le hash d’un partage par lien via les routes de lecture individuelle v1 et v2. Ce secret permet d’obtenir un jeton au niveau de permission du partage; les vers…
Des images téléversées peuvent provoquer une forte consommation de ressources dans Vikunja
Les téléversements d’avatars et d’arrière-plans de projet décodent des images sans limite de pixels et peuvent produire une amplification importante en CPU et mémoire lors du redimensionnement. Les versions jusqu’à 2.5.0 sont concernées; l…
Un import d’archive Vikunja peut épuiser mémoire et espace disque
L’import de données ne limite pas suffisamment la taille décompressée ni le nombre de fichiers d’une archive, ce qui permet à un utilisateur autorisé à importer de provoquer une consommation excessive de mémoire et de disque. Les versions…
Source : GHSA-w7jp-mf2v-8342 — Vikunja: Denial of service via decompression bomb in the data import
Un filtre de tâches profondément imbriqué peut arrêter l’API Vikunja
Un utilisateur authentifié peut soumettre un filtre de tâches profondément imbriqué qui entraîne une consommation excessive de mémoire et l’arrêt du processus API. L’avis établit l’affectation de la version 2.5.0, précise que l’étendue his…
AWS Amplify : autorisation incorrecte dans des résolveurs GraphQL
Des résolveurs de requête générés par AWS Amplify API Category peuvent autoriser un utilisateur authentifié à lire des enregistrements appartenant à d’autres utilisateurs de la même application. Les versions concernées sont @aws-amplify/gr…
Source : CVE-2026-108096 — NVD
Nginx UI : attribution incorrecte de l’adresse IP client
Dans Nginx UI, le proxy intégré attribue à loopback l’identité des clients externes, ce qui peut contourner une restriction d’adresse IP sous réserve de disposer d’identifiants valides et permettre de déclencher un bannissement temporaire…
Source : NVD — CVE-2026-107804
savg-sanitizer : contournement de validation de lien SVG (CVE-2026-107380)
Avant la version 1.0.0, une entité XML dans un SVG spécialement construit peut contourner la validation de `href` et exposer une URL `javascript:` lorsque le SVG assaini est intégré en ligne. Un utilisateur qui active le lien peut alors dé…
Source : NVD — CVE-2026-107380
savg-sanitizer : interruption possible de workers PHP lors de l’assainissement SVG (CVE-2026-107379)
Avant la version 1.0.0, un SVG construit avec une déclaration DTD particulière peut provoquer un double appel de suppression d’attribut dans le processus d’assainissement. Cette anomalie peut interrompre un worker PHP et dégrader, voire ép…
Source : NVD — CVE-2026-107379
Lecture hors limites dans le plugin qc_info
Le plugin qc_info pouvait traiter incorrectement une requête contenant des octets nuls intégrés après sa mise en cache, lors de la lecture de information_schema.query_cache_info. Cela pouvait entraîner une lecture hors limites, une divulga…
Source : NVD — CVE-2026-107816
Lectures hors limites dans le plugin mysql_json
Le plugin mysql_json supposait que les tables MySQL importées contenaient des données JSON binaires valides ; une table spécialement préparée avec des données invalides pouvait provoquer des lectures hors limites. Les conséquences pouvaien…
Source : NVD — CVE-2026-107817
Vérification insuffisante du nom d’hôte TLS dans Connector/C
Dans MariaDB Connector/C, la logique d’authentification SSL Zero-Configuration pouvait ne pas rejeter une discordance de nom d’hôte TLS avant de sélectionner un mécanisme d’authentification sans hachage. Un attaquant actif en position d’in…
Source : NVD — CVE-2026-107819
Collision de clés dans le cache des privilèges ACL
Le cache ACL pouvait produire la même clé de cache des privilèges pour un rôle et un utilisateur localhost lorsque leurs noms coïncidaient, car les deux utilisaient un composant IP vide. Un utilisateur disposant de CREATE USER pouvait crée…
Source : NVD — CVE-2026-107822
msgpack5 : déni de service par octet MessagePack réservé
CVE-2026-107299 concerne le décodeur de flux de msgpack5, qui traite l’octet réservé 0xc1 comme une entrée incomplète plutôt que comme invalide. Un flux malveillant peut ainsi provoquer une accumulation de données en mémoire et un déni de…
Source : NVD — CVE-2026-107299
music-metadata : déni de service par longueur EBML non validée
CVE-2026-107389 affecte le parseur EBML Matroska/WebM de music-metadata avant 11.16.0, qui peut allouer de la mémoire à partir d’une longueur VINT contrôlée avant de vérifier qu’elle tient dans l’élément parent ou les données disponibles.…
Source : NVD — CVE-2026-107389
music-metadata : blocage du parseur MP4 dans une révision de développement
CVE-2026-107391 décrit une régression du parseur MP4 stsd présente sur la branche de développement publique après 11.14.0, mais absente des versions npm publiées jusqu’à 11.14.0. Une entrée de taille nulle combinée à un nombre d’entrées co…
Source : NVD — CVE-2026-107391
pyLoad : épuisement mémoire par téléversement RPC sans limite
pyLoad lit en mémoire l’intégralité d’un fichier téléversé à l’API RPC sans limite de taille, ce qui peut épuiser la mémoire et arrêter le processus. La vulnérabilité concerne les versions antérieures à 0.5.0b3.dev101 ; mettre à niveau ver…
Source : NVD — CVE-2026-48484
pyLoad : accès non authentifié à des modèles de pages
Dans pyLoad, une route web non authentifiée permet d’accéder directement aux modèles de pages qui sont normalement protégées ; une erreur de gestion d’exception peut aussi divulguer des noms de variables internes dans des réponses HTTP 500…
Source : GHSA-j92p-c242-7hfx — pyLoad
Shiny for Python — accès à des fichiers par traversée de chemin lors de la restauration de signets
La restauration de signets dans Shiny for Python ne valide pas le chemin fourni par le client, ce qui peut permettre à une requête non authentifiée d’accéder à des fichiers hors du répertoire de signets. Les versions 1.4.0 à celles antérie…
Source : NVD — CVE-2026-108258
Banks : injection de rôle dans les messages de chat rendus
La méthode `Prompt.chat_messages()` de Banks peut interpréter une ligne issue du rendu d’un modèle comme un message structuré, y compris avec un rôle privilégié tel que `system`. Les applications concernées sont celles qui rendent des entr…
Source : GHSA-hmq2-7hp6-7crh — Banks
Banks : traversée par liens symboliques dans DirectoryPromptRegistry
Dans `DirectoryPromptRegistry` de Banks, des liens symboliques peuvent permettre de lire des fichiers hors du répertoire de prompts ou d’écraser des fichiers externes. Le risque concerne notamment les registres contenant des fichiers contr…
Source : GHSA-556j-vv39-8rqv — Banks
pyLoad — requêtes SSRF via l’extension WindowsPhoneNotify
L’extension WindowsPhoneNotify peut envoyer une requête HTTP vers un hôte configuré par un utilisateur disposant de la permission SETTINGS, sans passer par la protection SSRF du client pycurl de pyLoad. Un événement de téléchargement termi…
Source : GHSA-p3pr-8f3m-4qp8 — pyLoad WindowsPhoneNotify SSRF
pyLoad — contournement de la limitation de débit et falsification des journaux via X-Forwarded-For
pyLoad utilise la valeur fournie par le client dans X-Forwarded-For pour déterminer l’adresse employée par la limitation de débit et les journaux de sécurité. Un client peut ainsi contourner les limites en variant cet en-tête et falsifier…
Source : GHSA-9q47-3cm2-2rp8 — pyLoad trusted client-controlled X-Forwarded-For
snappy-java : double libération de tampons dans SnappyFramedInputStream
Dans snappy-java, un échec d’allocation de remplacement pouvait entraîner la libération deux fois de tampons mutualisés par SnappyFramedInputStream. Des données cadrées malveillantes peuvent ainsi provoquer une erreur mémoire et exposer ou…
Source : NVD — CVE-2026-108104
Mechanize : fuite d’en-têtes d’identification lors d’une redirection HTTP
Mechanize pouvait transmettre des en-têtes d’authentification fournis par l’appelant à un autre hôte après une redirection HTTP. La version 2.14.1 corrige cette fuite pour les en-têtes concernés ; mettez à niveau Mechanize ou désactivez le…
Source : GitHub Advisory GHSA-2mwr-xjcg-37j7
Coraza : omission de paramètres de requête pour certains URI malformés
Dans les versions 3.0.0 à 3.8.0 de Coraza, un URI malformé transmis directement à certaines intégrations peut conduire le WAF à omettre des paramètres de requête de son inspection, ce qui peut contourner des règles. Mettre à jour vers Cora…
Source : NVD — CVE-2026-107825
Coraza : consommation CPU excessive sur les réponses JSON imbriquées
Dans Coraza 3.0.0 à 3.8.0, l’inspection des réponses JSON profondément imbriquées peut effectuer un travail quadratique et monopoliser un cœur CPU pendant plusieurs secondes par réponse. Mettre à jour vers la version 3.8.0 ou ultérieure; l…
Source : NVD — CVE-2026-107833
Coraza : épuisement de descripteurs de fichiers dans le traitement multipart
Dans Coraza 3.0.0 à 3.8.0, les descripteurs de fichiers temporaires créés pour les parties fichier multipart restent ouverts jusqu’à la fin de la requête. Une requête contenant de nombreuses parties fichier peut épuiser les descripteurs du…
Source : NVD — CVE-2026-107834
Coraza : divergence de parsing de cookies pouvant contourner des règles
Avant Coraza 3.8.1, certains caractères de contrôle ASCII et noms de cookies vides ou constitués de caractères de contrôle pouvaient être interprétés différemment par Coraza et par un serveur applicatif. Selon le parseur en aval et les règ…
Source : NVD — CVE-2026-107835
Vikunja expose le secret TOTP aux détenteurs d’un jeton d’accès
Une fois le TOTP activé, un jeton d’accès utilisateur suffit à lire le secret partagé et l’URL de provisionnement, sans nouvelle authentification. Une personne disposant d’un jeton compromis peut ainsi cloner le second facteur; les version…
Source : GHSA-88f6-4rjv-x774 — Vikunja: TOTP secret is readable after enrollment, no step-up auth
Vikunja accepte des positions de tâche dans des vues d’un autre tenant
L’API permet d’enregistrer une position de tâche dans une vue de projet appartenant à un autre tenant, car elle vérifie les droits sur la tâche mais pas l’appartenance de la vue ni les droits associés. Les versions jusqu’à 2.5.0 sont conce…
Le paramètre expand contourne les portées des jetons API Vikunja
Des jetons API limités à la lecture des tâches peuvent contourner leurs portées en utilisant le paramètre expand pour obtenir des commentaires, réactions et nombres d’entrées de temps. Les versions 1.0.0 à 2.5.0 sont concernées; le correct…
Les routes CalDAV et de flux Vikunja contournent la limitation des tentatives de connexion
Les routes CalDAV et de flux BasicAuth ne sont pas soumises à la limitation de débit appliquée à la connexion API, permettant des tentatives illimitées de deviner les mots de passe de comptes concernés. Les versions jusqu’à 2.5.0 sont affe…
Vikunja permet d’énumérer les équipes et leurs membres
Un utilisateur connecté peut attacher à son projet une équipe quelconque de l’instance puis consulter la liste de ses membres, ce qui permet d’énumérer les équipes et leurs membres. Les versions jusqu’à 2.5.0 sont affectées; l’avis indique…
Les jetons de partage Vikunja permettent la recherche d’utilisateurs via l’API v2
Un jeton de partage par lien peut accéder à des endpoints v2 de recherche d’utilisateurs, exposant les membres du projet partagé et permettant de vérifier l’existence de noms d’utilisateur sur l’instance. Les versions jusqu’à 2.5.0 sont af…
Source : GHSA-vfxw-3x8p-2vjr — Vikunja: Link-share token can enumerate users through the v2 API
Strawberry GraphQL : les abonnements terminés peuvent continuer à consommer des places
Dans le gestionnaire d’abonnements Strawberry utilisant l’ancien protocole `graphql-ws`, les opérations terminées naturellement pouvaient rester comptabilisées dans les tâches de la connexion. Lorsque `max_subscriptions_per_connection` est…
Apache CXF : validation de jetons contournable par collision de hachage
Apache CXF mettait en cache des jetons validés en utilisant un hachage non cryptographique de 32 bits et pouvait traiter une collision comme une preuve de validation. Un attaquant peut alors contourner des contrôles d’authentification ou d…
Source : NVD — CVE-2026-97468
Go : substitution possible du module intégré golang.org/fips140
Un projet Go malveillant et un proxy de modules contrôlé par l’attaquant peuvent substituer un module arbitraire au module intégré golang.org/fips140 dans certaines conditions. La fiche NVD a été publiée dans la période considérée; le corr…
Source : NVD — CVE-2026-94444
Go : contournement de la somme de contrôle de golang.org/toolchain
Une entrée golang.org/toolchain forgée dans go.sum, combinée à un GOMODPROXY malveillant auquel l’utilisateur choisit de se connecter, pouvait contourner la vérification de somme de contrôle prévue. Le correctif décrit impose de récupérer…
Source : NVD — CVE-2026-94447
CMS & e-commerce
30 alerte(s)Paquet npm malveillant wix-reg-poc-bypass visant les environnements Wix
Le paquet npm wix-reg-poc-bypass imite des noms de modules de registre internes Wix et un manifeste de registre afin de faire charger son code dans des environnements de build. À son chargement, il recueille des identifiants de l’hôte et d…
Source : GHSA-v43v-p74g-hrf9 — Malicious code in wix-reg-poc-bypass (npm)
Contournement de validation des paiements dans le module Sipay OpenCart Virtual POS
Une vérification incorrecte de signature cryptographique dans le module Sipay OpenCart Virtual POS permet l’usurpation de signature et un contournement de la validation des paiements. Le module est affecté à partir de la version 26.8.2 et…
Source : Fiche CVE-2026-85531 — NVD
Sipay PrestaShop Virtual POS : usurpation de signature
Une validation incorrecte des signatures cryptographiques dans le module PrestaShop Virtual POS de Sipay permet l’usurpation de signature. Les versions concernées sont 26.8.1 à celles antérieures à 26.9.1 ; mettre à jour vers 26.9.1 ou une…
Source : NVD — CVE-2026-86405
Plugins Ocean : injection de scripts dans les popups publiées
CVE-2026-81929 affecte Ocean Pro Demos et Ocean eComm Treasure Box : une faille du constructeur de fenêtres popup peut permettre l’injection de scripts dans une popup Gutenberg publiée. La fiche indique les versions jusqu’à 1.5.4 et 1.8.0…
Source : NVD — CVE-2026-81929
Injection d’objets dans le thème Neo | Barber Shop
Une désérialisation de données non fiables dans le thème WordPress Neo | Barber Shop peut entraîner une injection d’objets. La fiche fournie indique que les versions jusqu’à 3.5 sont concernées, sans préciser de version corrigée ni de cont…
Source : NVD — CVE-2026-94064
Pay with Vipps for WooCommerce : désérialisation de données non fiables
CVE-2026-94568 concerne Pay with Vipps for WooCommerce (woo-vipps), jusqu’à la version 6.2.0 incluse, et décrit une désérialisation de données non fiables pouvant conduire à une injection d’objets. La version corrigée et les mesures de mit…
Source : NVD — CVE-2026-94568
ShopBuilder : XSS réfléchie
CVE-2026-95596 est une XSS réfléchie dans ShopBuilder – Elementor WooCommerce Builder Addons jusqu’à la version 3.4.1 incluse. La fiche fournie n’indique pas de version corrigée ; mettre à jour uniquement vers une version déclarée corrigée…
Source : NVD — CVE-2026-95596
HUSKY : XSS réfléchie
CVE-2026-95608 est une XSS réfléchie dans HUSKY (woocommerce-products-filter) jusqu’à la version 1.4.3.2 incluse. Les éléments disponibles ne donnent pas de version corrigée ; vérifier les informations de PluginUs.Net et mettre à jour vers…
Source : NVD — CVE-2026-95608
FiboSearch : XSS réfléchie
CVE-2026-96553 est une XSS réfléchie dans FiboSearch (ajax-search-for-woocommerce) jusqu’à la version 1.34.1 incluse. La version corrigée n’est pas précisée dans les éléments fournis ; vérifier les informations du mainteneur et installer u…
Source : NVD — CVE-2026-96553
Product Configurator for WooCommerce : désérialisation de données non fiables
CVE-2026-105872 concerne Product Configurator for WooCommerce jusqu’à la version 1.7.5 incluse et décrit une désérialisation de données non fiables pouvant conduire à une injection d’objets. Aucun correctif n’est identifié dans les élément…
Source : NVD — CVE-2026-105872
AWP Classifieds : risque d’exécution de code via l’import ZIP
CVE-2025-15700 concerne AWP Classifieds : l’import d’annonces depuis un ZIP ne vérifie pas le type des fichiers extraits, ce qui peut permettre l’exécution de code à distance. La fiche NVD indique que les versions antérieures à 4.4.9 sont…
Source : NVD — CVE-2025-15700
FooSales : usurpation possible de comptes utilisateurs
FooSales ne vérifiait pas qu’un utilisateur authentifié était autorisé à agir au nom de l’utilisateur indiqué dans une requête. Cela pouvait permettre à un utilisateur authentifié d’usurper un autre compte, y compris celui d’un administrat…
Source : NVD — CVE-2026-93548
Code Snippets : injection SQL dans des points d’import de migration
CVE-2026-106097 concerne des points d’import de migration de Code Snippets où un paramètre fourni par l’utilisateur est utilisé dans une requête SQL sans assainissement ni échappement appropriés. Les versions antérieures à 3.10.0 sont indi…
Source : NVD — CVE-2026-106097
SKU Error Fixer for WooCommerce : suppression non autorisée et divulgation de variations de produits
Le plugin SKU Error Fixer for WooCommerce ne vérifie ni les capacités ni les nonces sur deux actions AJAX accessibles sans authentification. Un attaquant peut supprimer définitivement des variations de produits jugées obsolètes et divulgue…
Source : NVD — CVE-2026-86850
UnitechPay : notifications de paiement non authentifiées
CVE-2026-87841 affecte le plugin WordPress UnitechPay, qui ne vérifie pas l’authenticité des notifications de paiement reçues. Un attaquant non authentifié peut ainsi faire marquer des commandes comme payées sans règlement ou faire échouer…
Source : NVD — CVE-2026-87841
Social Web Suite : modification non authentifiée des options du plugin
CVE-2026-88931 concerne Social Web Suite : un point de terminaison non authentifié permet de modifier des options du plugin, y compris le secret partagé protégeant ses propres points de terminaison privilégiés. Les versions jusqu’à 4.1.12…
Source : NVD — CVE-2026-88931
SendPress Newsletters : contrôles de capacité insuffisants
SendPress Newsletters ne vérifiait pas les capacités de l’utilisateur sur plusieurs actions de gestion des newsletters. Un abonné authentifié pouvait notamment synchroniser les utilisateurs du site vers une liste de diffusion et agir sur l…
Source : NVD — CVE-2026-92989
SendPress Newsletters : accès non authentifié aux journaux d’envoi
SendPress Newsletters protégeait un point d’accès de journalisation par un jeton codé en dur et identique pour tous les sites. Des utilisateurs non authentifiés pouvaient ainsi lire les journaux d’envoi, notamment les adresses électronique…
Source : NVD — CVE-2026-92990
Redux Framework : élévation de privilèges via les champs de profil
Le plugin Redux Framework pour WordPress présente une élévation de privilèges liée à l’enregistrement de métadonnées de profil sans contrôle suffisant. Un utilisateur authentifié disposant au moins du rôle Subscriber peut notamment obtenir…
Source : NVD — CVE-2025-14123
Kirki : exécution de shortcodes dans les commentaires
Kirki ne bloque pas l’exécution de shortcodes présents dans des commentaires lors de leur affichage et montre aussi des commentaires indépendamment de leur statut de modération. Un visiteur non authentifié peut ainsi déclencher des shortco…
Source : NVD — CVE-2026-84220
Kirki : requêtes vers des services internes sans validation de l’hôte
Kirki ne valide pas l’hôte d’une URL avant de la récupérer. Un utilisateur disposant au moins du rôle Editor peut faire émettre au site des requêtes vers des services internes et déduire lesquels sont accessibles à partir des réponses.
Source : NVD — CVE-2026-84224
Super Payments : falsification de webhooks de paiement
CVE-2026-103329 concerne le plugin Super Payments pour WordPress, antérieur à la version 1.43.1 : la clé de signature vide par défaut empêche de vérifier correctement l’authenticité des webhooks de paiement. Un attaquant non authentifié pe…
Source : NVD — CVE-2026-103329
GDPR Data Request Form : modification de paramètre par CSRF
Le plugin GDPR Data Request Form ne protège pas contre les requêtes CSRF lors de la modification d’un paramètre. Un attaquant peut amener un administrateur connecté à déclencher une requête forgée, par exemple en cliquant sur un lien, afin…
Source : NVD — CVE-2026-85348
Livees Checkout : accès et modification non autorisés des commandes
Livees Checkout ne vérifie ni les capacités, ni le nonce, ni la clé de commande avant de traiter les paramètres de la page de confirmation. Un visiteur non authentifié peut modifier le statut de commandes arbitraires, y enregistrer des don…
Source : NVD — CVE-2026-86851
Shipping for Nova Poshta : suppression non autorisée de données d’expédition
Shipping for Nova Poshta expose une action AJAX sans vérification d’autorisation, de nonce ou de propriété de la commande. Un utilisateur non authentifié peut supprimer les données d’expédition de commandes arbitraires et déclencher auprès…
Source : NVD — CVE-2026-87846
Injection SQL dans Testimonials by BestWebSoft
Une injection SQL affecte le plugin WordPress Testimonials by BestWebSoft jusqu’à la version 1.0.8 incluse. Des attaquants non authentifiés peuvent ajouter du SQL à une requête ; aucune version corrigée ni mesure de contournement n’est pré…
Source : NVD — CVE-2026-89235
XSS stocké dans FV Flowplayer Video Player
Le plugin FV Flowplayer Video Player est affecté par une vulnérabilité de script intersite stocké jusqu’à la version 7.5.54.7212 incluse. La fiche fournie ne précise ni version corrigée, ni scénario détaillé, ni mesure de contournement.
Source : NVD — CVE-2026-42695
Deposits and Partial Payments for WooCommerce : autorisation manquante
CVE-2026-95589 concerne Deposits and Partial Payments for WooCommerce jusqu’à la version 4.0.1 incluse et porte sur une autorisation manquante. La description fournie ne précise pas l’action exposée ni la version corrigée ; consulter l’édi…
Source : NVD — CVE-2026-95589
Simple Pay for WooCommerce : autorisation manquante
CVE-2026-95597 concerne le plugin coréen de paiement WordPress Simple Pay (pgall-for-woocommerce) jusqu’à la version 5.5.17 incluse et décrit une autorisation manquante. Les éléments fournis ne précisent ni la fonction touchée ni le correc…
Source : NVD — CVE-2026-95597
Code Snippets : contrôle d’accès insuffisant aux extraits réseau
CVE-2026-106095 affecte Code Snippets : un administrateur d’un sous-site multisite peut modifier l’état ou la priorité d’extraits de code destinés à l’ensemble du réseau. La fiche indique que les versions antérieures à 3.10.0 sont concerné…
Source : NVD — CVE-2026-106095
Systèmes & serveurs
11 alerte(s)Linux : paquet Ethernet trop court dans Xen netfront
Une anomalie dans le pilote Xen netfront peut faire planter le noyau ou entraîner une lecture hors limites lorsqu’un paquet reçu possède un en-tête Ethernet trop court. Le correctif impose une longueur minimale avant le traitement et aband…
Source : NVD — CVE-2026-98375
Linux : vérification manquante lors du remplacement d’une carte BPF per-CPU
Le remplacement d’une carte interne de tableau BPF per-CPU de taille différente pouvait contourner une vérification et conduire à un accès hors limites lors d’une recherche JIT. Le correctif compare les tailles maximales et ajoute un test…
Source : NVD — CVE-2026-98376
Linux : fuite de mémoire lors de l’insertion d’étiquettes VLAN
L’insertion d’une étiquette VLAN pouvait réécrire des octets au-delà des données réellement présentes dans une trame courte, puis transmettre des données non initialisées du noyau. Le correctif exige que l’en-tête MAC manipulé soit présent…
Source : NVD — CVE-2026-98377
Linux : use-after-free dans l’itérateur de liens BPF
Un itérateur de liens BPF pouvait conserver une référence à un lien encore en cours de création, puis accéder à une mémoire libérée si la création échouait. Le correctif ignore les entrées dont l’identifiant est encore nul, comme le fait d…
Source : NVD — CVE-2026-98378
Linux : déréférencement nul dans le filtre IPv6 rpfilter
Le filtrage IPv6 par chemin inverse pouvait déréférencer un pointeur nul lorsqu’une route ne disposait plus de structure inet6_dev associée. Le correctif rejette ces routes dès leur récupération, avant tout accès au pointeur.
Source : NVD — CVE-2026-98379
Linux : déréférencement d’un pointeur d’erreur lors de la suppression d’actions réseau
Une course dans la suppression d’actions de `net/sched` peut faire traiter un pointeur d’erreur IDR comme une action valide, entraînant un déréférencement nul et potentiellement un plantage du noyau. Le correctif rejette les pointeurs d’er…
Source : NVD — CVE-2026-98380
Linux veth : utilisation possible d’un pointeur XDP périmé après redimensionnement des canaux
Lors de la réduction du nombre de canaux veth, des files RX supprimées pouvaient conserver un pointeur vers un programme XDP après libération de celui-ci. Une réactivation ultérieure pouvait exécuter ce pointeur périmé et provoquer un plan…
Source : NVD — CVE-2026-98381
Linux BPF : correspondance incorrecte de programmes liés à un périphérique
Un contrôle de correspondance incorrect pouvait permettre à un programme BPF lié à un périphérique d’être utilisé sur un autre périphérique, y compris avec une représentation `xdp_buff` incompatible. La source décrit un scénario nécessitan…
Source : NVD — CVE-2026-98382
Linux BPF : combinaison dangereuse de helpers dans LWT_SEG6LOCAL
Un programme BPF de type `LWT_SEG6LOCAL` pouvait combiner l’ajustement d’un en-tête SRH et `bpf_skb_pull_data()`, ce qui pouvait invalider le pointeur SRH mis en cache avant sa réutilisation. Le correctif interdit cet helper pour ce type d…
Source : NVD — CVE-2026-98383
Linux BPF : lecture hors limites de `sk_protocol` dans `bpf_sock_destroy()`
`bpf_sock_destroy()` pouvait lire `sk_protocol` hors limites lorsqu’il recevait un socket TIME_WAIT ou NEW_SYN_RECV via l’itérateur TCP, car ce champ n’appartient pas à `sock_common`. Le correctif limite cette lecture aux sockets complets…
Source : NVD — CVE-2026-98384
Avis de vulnérabilités multiples dans le noyau Linux de Debian LTS
Debian LTS a publié un avis signalant plusieurs vulnérabilités du noyau Linux, pouvant notamment permettre une élévation de privilèges, une atteinte à la confidentialité ou un déni de service. L’avis fourni ne précise pas les CVE concernée…
Source : CERT-FR — Multiples vulnérabilités dans le noyau Linux de Debian LTS (09 octobre 2026)
Cloud & DevOps
4 alerte(s)Paquet npm malveillant susceptible de voler des jetons de comptes de service Kubernetes
L’avis GHSA-hjq9-gv63-8hh8 signale que les versions 1.0.1, 1.0.2 et 1.0.3 du paquet npm css-overscroll-contain contiennent du code malveillant exécuté au chargement, qui collecte notamment des secrets et le jeton de compte de service Kuber…
Source : GHSA-hjq9-gv63-8hh8 — Malicious code in css-overscroll-contain (npm)
Docker Desktop pour Windows : vérification de signature insuffisante de l’installateur
Docker Desktop for Windows antérieur à 4.92.0 ne vérifiait pas la signature du paquet fourni à `Docker Desktop Installer.exe install -package`, ce qui pouvait permettre l’exécution d’actions d’installation contrôlées par un attaquant avec…
Source : CVE-2026-106581 — NVD
Apache Camel Karavan : application de ressources Kubernetes non restreintes
Apache Camel Karavan appliquait des ressources Kubernetes définies dans `kubernetes.yaml` sans restreindre les types de ressources ni certaines options sensibles des pods. Un utilisateur authentifié pouvait ainsi faire créer des ressources…
Source : NVD — CVE-2026-103413
Argo CD : injection de commandes via l’URL de proxy d’un dépôt SSH
Argo CD était vulnérable à une injection de commandes dans `repo-server` lors d’opérations sur un dépôt Git SSH configuré avec une URL de proxy. Un utilisateur autorisé à créer ou modifier un dépôt ou un modèle d’identifiants pouvait exécu…
Source : NVD — CVE-2026-55797