Les sujets à surveiller, en un regard.
151 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 14 sujet(s) en rouge, 9 en orange.
Shopify
Recherche du sujet effectuée
La recherche web dédiée à Shopify n’a fait apparaître aucun avis ou événement de sécurité vérifiable comme publié dans la période du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu. Un avis Shopify trouvé dans la recherche est antérieur à cette période et n’a donc pas été retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Pour Wix, aucune vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle de sécurité datés dans la période demandée n’a été vérifié dans les sources consultées. Le changelog Wix comporte des changements de fonctionnalités datés du 2026-10-13, mais ils ne sont pas présentés comme des événements de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Vérification incomplète
La recherche web initiale dédiée à Solocal n’a pas établi d’événement de sécurité correspondant à la période demandée. Les vérifications requises auprès des sources spécialisées (notamment CVE/NVD, CERT-FR/CISA et GitHub) n’ont pas pu être complétées ; cela ne permet donc pas de conclure à l’absence de nouveauté.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Craft CMS
Vérification incomplète
La recherche dédiée a retrouvé des références Craft CMS et des informations sur la mise à jour de CVE-2026-109304. Les éléments consultés ne suffisent pas à établir qu’une divulgation, un correctif ou un autre changement substantiel concernant les trois CVE est daté de la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ghost
Recherche du sujet effectuée
La recherche web dédiée à Ghost a été réalisée pour la période demandée. Les résultats consultés montrent notamment des avis GitHub Ghost publiés le 17 et le 24 septembre 2026, hors de la période; aucun élément daté de façon vérifiable entre le 13 octobre 2026 à 00:00 et le 14 octobre 2026 à 00:00 (+02:00) n’a été retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Strapi, aux dépôts GitHub et aux publications disponibles n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation signalé ou changement substantiel attribuable à Strapi pendant la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les avis Strapi visibles dans les résultats consultés étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
Recherche dédiée effectuée sur Directus, notamment dans les avis de sécurité GitHub du projet et les résultats relatifs aux CVE/NVD et aux publications du projet. Les avis de sécurité Directus trouvés sont antérieurs à la période demandée; aucune nouveauté de sécurité datée du 2026-10-13 n’a été vérifiée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
Aucun nouvel avis, correctif ou événement de sécurité OpenCart daté de la période n’a été vérifié. Les deux candidats concernent des CVE publiées avant cette période; leurs mises à jour NVD ne fournissent pas de preuve d’un changement substantiel admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Vérification incomplète
Les notes de version officielles consultées mentionnent, pour la mise à jour cPanel du 2026-10-13, des correctifs pour trois CVE dans des paquets EasyApache : deux dans Rack et une dans les règles OWASP CRS. Les candidats fournis étant vides, aucun candidat n’était à examiner.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ruby
Vérification incomplète
Niveau relevé : Moyenne
Une vulnérabilité nouvellement publiée dans la gem Ruby IFSC de Razorpay a été vérifiée pour la période. Le candidat Square Squash correspond à une fiche CVE publiée avant la période; la mise à jour NVD datée du 13 octobre n’est pas établie comme un changement substantiel.
SSRF dans la gem Ruby IFSC de Razorpay
La gem Ruby IFSC de Razorpay présente une SSRF : une valeur IFSC spécialement construite peut rediriger la requête de recherche vers un hôte interne ou choisi par l’attaquant. Les versions jusqu’à 2.0.62 inclus sont indiquées comme affectées; aucun correctif n’a pu être confirmé dans les sources consultées.
Action recommandée : Évaluer l’usage de la gem et éviter de transmettre des valeurs IFSC non fiables aux méthodes de recherche jusqu’à confirmation d’une version corrigée.
Bun
Recherche du sujet effectuée
La recherche web dédiée à Bun n’a pas identifié de vulnérabilité, d’avis de sécurité ni de correctif de sécurité daté du 2026-10-13 dans les sources consultées. La page GitHub des avis de sécurité du projet indique qu’aucun avis n’y est publié; la version Bun v1.4.3 affichée sur la page des versions a été publiée le 2026-10-10, hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis de sécurité, exploitation confirmée ou mise à jour substantielle concernant Deno n’a été vérifiée pour la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les résultats consultés renvoient notamment à des avis antérieurs et à une annonce du 2026-10-09, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Vérification incomplète
La recherche dédiée a identifié trois avis de sécurité Coraza relevant de l’écosystème Go dont les publications sont datées du 12 octobre 2026, dans la période fixée. Les éléments concernant Coraza publiés avant la période n’ont pas été retenus sur la seule base d’une mise à jour administrative NVD le 13 octobre; aucune exploitation active n’est établie par les sources consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kotlin
Recherche du sujet effectuée
Niveau relevé : Moyenne
Deux vulnérabilités de la bibliothèque Kotlin ConnectBot SSH Client Library ont été publiées dans NVD le 13 octobre 2026 : CVE-2026-54697, portant sur l’analyse DER de clés privées, et CVE-2026-54700, portant sur les longueurs internes de paquets SSH. Les avis GitHub correspondants sont datés du 11 juin 2026; la nouveauté retenue pour cette période est leur publication NVD, et la version corrective indiquée est 0.3.1.
Analyse DER de clés privées : dépassement d’entier et allocation excessive dans ConnectBot SSH Client Library
Dans `sshlib` jusqu’à la version 0.3.0, l’analyse des longueurs DER d’une clé privée fournie à l’application peut provoquer un dépassement d’entier ou une allocation mémoire excessive. Cela peut faire échouer le processus, notamment par `OutOfMemoryError`; aucun impact sur la confidentialité ou l’intégrité n’est établi dans les éléments consultés.
Action recommandée : Mettre à jour `sshlib` vers la version 0.3.1 ou ultérieure; éviter de traiter des clés privées non fiables avec les versions affectées.
ConnectBot SSH Client Library : déni de service par paquet SSH malformé
Avant la version 0.3.1, le parseur de protocole SSH de ConnectBot SSH Client Library ne vérifie pas que les longueurs et nombres d’éléments déclarés dans un paquet tiennent dans celui-ci. Un serveur SSH malveillant peut provoquer une allocation ou un traitement excessif et une erreur OutOfMemoryError non interceptée, entraînant l’arrêt du processus ; mettre à jour vers 0.3.1.
Action recommandée : Mettre à jour la bibliothèque vers la version 0.3.1 ou ultérieure.
Electron
Recherche du sujet effectuée
Aucun avis de sécurité ou changement substantiel concernant Electron n’a été vérifié comme étant daté de la période demandée. Le candidat CVE-2026-102672 renvoie à un avis GitHub publié le 2026-08-29, antérieur à la période; la fiche NVD et sa modification ne suffisent donc pas à établir un nouvel événement de sécurité dans la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une publication NVD liée à une XSS stockée dans Frappe, où jQuery rend les valeurs de filtres comme contenu riche, est datée dans la période. L’avis du projet Frappe associé est antérieur; aucune autre nouveauté de sécurité jQuery datée de la période n’a été vérifiée dans les sources consultées.
Frappe — XSS stockée dans les filtres de graphiques
Frappe présente une XSS stockée dans les filtres des graphiques de tableau de bord : des valeurs saisies sont rendues comme du contenu riche via jQuery et peuvent exécuter du script lorsqu’un utilisateur consulte le graphique. La fiche NVD a été publiée pendant la période, mais l’avis de sécurité du projet Frappe avait été publié antérieurement.
Action recommandée : Mettre à niveau vers Frappe 15.118.0 ou ultérieur, ou vers Frappe 16.31.0 ou ultérieur.
Laravel
Recherche du sujet effectuée
La recherche dédiée a consulté les avis GitHub de Laravel, la page des versions du framework et des résultats NVD/CVE. Aucun nouvel avis de sécurité ni correctif de sécurité daté du 2026-10-13 n’a pu être vérifié dans les sources consultées; une mention d’une version publiée ce jour-là ne suffisait pas à établir qu’il s’agissait d’un correctif de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
Recherche web effectuée pour Svelte. Les deux candidats portent sur Open WebUI, qui utilise des fichiers portant l’extension .svelte, mais ne sont pas des vulnérabilités du projet Svelte. Les résultats consultés indiquent des avis Open WebUI publiés le 27 septembre 2026; aucune nouveauté de sécurité concernant Svelte datée de la période demandée n’a été identifiée dans les sources obtenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
Aucun avis de sécurité, correctif de vulnérabilité, événement d’exploitation ou changement substantiel concernant Symfony n’a été vérifié dans les sources consultées pour la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Le candidat fourni concerne Contao ; sa mise à jour NVD dans la période ne suffit pas à en faire un événement de sécurité Symfony.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouveauté répondant au périmètre Flask lui-même pendant la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les deux candidats concernent des produits tiers utilisant Flask, et non le framework Flask.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée sur Django n’a vérifié aucun avis, correctif ou événement de sécurité Django daté dans la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. La fiche candidate concerne Plane : le fait qu’elle décrive une utilisation de l’ORM Django ne la rend pas attribuable au framework Django. Les avis Django trouvés dans l’archive officielle sont datés du 2026-10-06, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Vérification incomplète
Recherche web dédiée effectuée pour FastAPI. Aucun avis ou changement de sécurité correspondant à la période n’a pu être confirmé sur la base des éléments consultés; les deux candidats restent à vérifier quant à la nature de leur mise à jour NVD.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Express
Recherche du sujet effectuée
La recherche dédiée sur Express n’a pas fait apparaître, dans les sources consultées, d’avis ou de correctif Express applicable à la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les candidats fournis concernent Perforce Helix Authentication Service et oauthlib, et non une vulnérabilité du projet Express.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée aux avis NestJS, aux advisories GitHub et à NVD n’a pas identifié de nouvel avis, correctif ou changement substantiel NestJS daté du 2026-10-13 dans la période demandée. Les avis NestJS visibles dans les résultats consultés sont antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis pertinent a été vérifié dans la période : CVE-2026-104252 concerne Vitess, logiciel de clustering pour MySQL. Aucun avis de sécurité MySQL lui-même daté de la période n’a été identifié dans les sources MySQL consultées; les entrées concernant phpMyFAQ, Froxlor et MariaDB ne sont pas des vulnérabilités du produit MySQL. Une faille de sécurité de Vitess, système de clustering pour MySQL, a été publiée pendant la période : une XSS dans le point de débogage /twopcz, corrigée dans les versions 23.0.5 et 24.0.2.
Vitess — XSS via le point de débogage /twopcz
Une faille XSS dans Vitess permet à un attaquant distant non authentifié d’injecter du contenu dans la réponse HTML du point de terminaison de débogage `/twopcz`. Si un opérateur ouvre la requête piégée, le script s’exécute sur l’origine de débogage et peut accéder aux données de diagnostic disponibles dans le déploiement.
Action recommandée : Mettre à niveau Vitess vers 23.0.5 ou 24.0.2, selon la branche utilisée.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Une nouvelle vulnérabilité de Parse Server publiée le 2026-10-13 peut affecter les écritures et transactions PostgreSQL; les versions corrigées indiquées sont 8.6.96 et 9.10.2-alpha.5 selon la branche.
Parse Server : interférence entre lots transactionnels affectant les écritures PostgreSQL
Une vulnérabilité de concurrence dans Parse Server peut faire interférer les transactions d’une requête avec les écritures d’autres clients sur PostgreSQL. Selon les conditions, des écritures acquittées peuvent être annulées et des transactions PostgreSQL rester ouvertes, ce qui peut faire échouer les écritures suivantes.
Action recommandée : Mettre à niveau Parse Server vers une version corrigée : 8.6.96 ou ultérieure, ou 9.10.2-alpha.5 ou ultérieure selon la branche utilisée.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Élevée
Pour MongoDB Server, les notes de version du 2026-10-13 signalent des correctifs de sécurité dans MongoDB 9.0.4 et 8.0.34. Les fiches NVD candidates publiées pendant la période concernent cinq CVE distincts ; les sources consultées confirment les correctifs de 9.0.4 pour les cinq, et ceux de 8.0.34 pour CVE-2026-103965, CVE-2026-104004 et CVE-2026-96297. Les fiches NVD fournies indiquent cinq vulnérabilités MongoDB publiées le 13 octobre 2026 : deux concernent des arrêts de mongos, deux MongoDB Server et une la lecture de mémoire libérée dans les agrégations. Les éléments transmis ne précisent ni versions affectées ni versions correctives.
Arrêt possible de MongoDB Server lors d’une insertion avec un validateur particulier
Une expression particulière enregistrée dans un validateur de collection MongoDB Server peut provoquer l’arrêt du processus lorsque des documents sont insérés. Le scénario décrit requiert un utilisateur authentifié disposant de droits d’écriture.
Action recommandée : Mettre à niveau vers MongoDB 9.0.4 ou 8.0.34, selon la branche utilisée, ou vers une version corrigée ultérieure.
Arrêt de mongos déclenchable par un pipeline d’agrégation
Dans MongoDB mongos, un utilisateur authentifié disposant de privilèges readWrite peut provoquer l’arrêt du routeur au moyen d’un pipeline d’agrégation spécialement construit. L’arrêt interrompt le service pour les clients acheminés par l’instance mongos concernée.
Action recommandée : Mettre à niveau mongos vers MongoDB 9.0.4 ou une version corrigée ultérieure.
Arrêt de mongos déclenchable par un pipeline d’agrégation
Dans MongoDB mongos, un utilisateur authentifié disposant de privilèges readWrite peut provoquer l’arrêt du routeur au moyen d’un pipeline d’agrégation spécialement construit. L’arrêt interrompt le service pour les clients acheminés par l’instance mongos concernée.
Action recommandée : Mettre à niveau mongos vers MongoDB 9.0.4 ou une version corrigée ultérieure.
Divulgation possible de valeurs dans les agrégations MongoDB Server
MongoDB Server peut mal traiter certaines constantes lors de la réécriture interne de requêtes d’agrégation, et renvoyer des valeurs de champs que la requête ne devait pas exposer. Le problème concerne, sous certaines conditions, un utilisateur authentifié disposant d’un accès en lecture.
Action recommandée : Mettre à niveau vers MongoDB 9.0.4 ou une version corrigée ultérieure, après vérification de la branche utilisée.
Lecture de mémoire libérée possible lors d’agrégations MongoDB Server
Un défaut d’utilisation de mémoire libérée dans la fonctionnalité d’agrégation de MongoDB Server peut conduire à lire des données qui ne sont plus à l’emplacement mémoire attendu. Les résultats peuvent contenir des données sans rapport avec la requête et, selon l’état de la mémoire, le processus peut aussi s’arrêter.
Action recommandée : Mettre à niveau vers MongoDB 9.0.4 ou 8.0.34, selon la branche utilisée, ou vers une version corrigée ultérieure.
Redis
Recherche du sujet effectuée
La recherche dédiée sur Redis n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel concernant le produit Redis et daté de la période demandée. Les candidats fournis portent sur d’autres produits où Redis est mentionné comme composant, cache ou système de stockage; le candidat FalkorDB concerne FalkorDB, et non Redis lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
Pour Caddy, les sources consultées ne montrent aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté dans la période du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu. Les avis Caddy visibles dans le dépôt GitHub consulté sont antérieurs à cette période; les changements de développement repérés ne sont pas établis comme événements de sécurité répondant aux critères.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche web dédiée à SvelteKit n’a fait apparaître aucun nouvel avis, correctif ou autre événement de sécurité daté du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. La page des avis GitHub consultée présente des avis datés du 2026-10-05 et d’autres dates antérieures, sans événement vérifié dans la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-13 au 2026-10-14T00:00:00+02:00 dans les résultats et pages consultés. Les avis Babel visibles dans les sources consultées sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche web dédiée à Elasticsearch n’a pas permis de vérifier de nouvel avis, correctif ou événement de sécurité substantiel daté dans la période demandée. Les cinq candidats indiquent une publication au 2026-10-06 et une mise à jour NVD le 2026-10-13 ; cette seule date de modification, sans preuve vérifiée d’un changement substantiel pendant la période, ne suffit pas à les retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée sur RabbitMQ n’a confirmé aucun avis, correctif, exploitation ni changement substantiel publié dans la période du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu. Les avis RabbitMQ visibles dans les sources consultées étaient datés hors de cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée sur Memcached n’a identifié aucun avis de sécurité, correctif, nouvel événement d’exploitation ou changement substantiel daté du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les résultats pertinents consultés sur le projet et GitHub portent sur des événements antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Vérification incomplète
Niveau relevé : Moyenne
Les sources consultées établissent, pour le 13 octobre 2026, des publications NVD concernant GitLab, WPGraphQL et Phase Console, ainsi qu’une alerte CSIRT datée du même jour citant deux avis de sécurité du projet Neo4j GraphQL. Les modifications de fiches NVD relatives à OpenCTI, Strawberry GraphQL, Tina CMS et CloudBeaver n’ont pas été retenues : les éléments consultés ne démontrent pas un changement substantiel daté dans la période.
GitLab : lecture non autorisée de notes via GraphQL
GitLab CE/EE présentait un défaut d’autorisation dans l’API GraphQL pouvant permettre, sous certaines conditions, à un utilisateur non authentifié de lire des notes internes et confidentielles sur des projets publics. Les versions correctives indiquées sont 19.2.8, 19.3.5 et 19.4.2 ; appliquer la mise à jour correspondant à la branche utilisée.
Action recommandée : Mettre à jour GitLab vers une version corrective de la branche concernée.
WPGraphQL : exposition possible de données sensibles
WPGraphQL comporte un défaut d’autorisation susceptible d’exposer des données sensibles intégrées. La fiche consultée indique que les versions jusqu’à 2.23.1 sont concernées ; la source consultée ne précise pas de version corrective.
Action recommandée : Vérifier les avis de l’éditeur et appliquer une version corrigée dès qu’elle est disponible.
Phase Console : accès non autorisé à l’historique des secrets via GraphQL
Phase Console permettait à des membres d’organisation dépourvus du droit de lecture des secrets d’interroger l’historique des secrets via la requête GraphQL secretHistory. La fiche indique que les versions jusqu’à 2.77.3 sont concernées ; elle ne fournit pas de version corrective dans les informations consultées.
Action recommandée : Mettre à jour vers une version corrigée dès sa publication et revoir les droits d’accès aux secrets.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Quatre publications NVD datées du 2026-10-13 concernent des extensions liées à WooCommerce : trois défauts d’autorisation et une exposition d’informations sensibles. Les autres candidats fournis décrivent des CVE publiées avant la période ; leur seule modification NVD signalée le 2026-10-13 ne suffit pas à établir un changement substantiel. Les candidats fournis correspondent à des modifications de fiches NVD datées du 2026-10-13, mais aucun élément du lot ne prouve qu’une modification substantielle — plutôt qu’administrative — a eu lieu pendant la période demandée. Ils ne sont donc pas retenus comme nouveautés ou changements de sécurité vérifiés. Les candidats fournis signalent des mises à jour NVD datées du 13 octobre 2026, mais aucun ne documente dans les éléments fournis un changement substantiel survenu pendant la période. Ils ne sont donc pas retenus comme nouveautés de sécurité. Une vulnérabilité nouvellement publiée dans la période concerne le contrôle d’accès du plugin FOX (woocommerce-currency-switcher). Les autres candidats fournis portent des dates de publication antérieures à la période ; leur seule mise à jour NVD ne suffit pas à établir un événement de sécurité substantiel dans la période. Les fiches NVD fournies indiquent trois vulnérabilités publiées le 2026-10-13 concernant des extensions de WooCommerce : une divulgation de données sensibles et deux défauts d’autorisation.
CVE-2026-108174 — Contrôle d’accès manquant dans FOX
Une vulnérabilité de contrôle d’accès manquant affecte le plugin FOX (woocommerce-currency-switcher) jusqu’à la version 1.5.4. La description fournie n’indique pas quelles opérations peuvent être réalisées sans autorisation ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour le plugin ; aucune mesure de contournement n’est précisée dans les éléments fournis.
CVE-2026-108489 — Divulgation de données sensibles dans Active Products Tables for WooCommerce
Une vulnérabilité de divulgation de données sensibles affecte Active Products Tables for WooCommerce. Les versions concernées vont jusqu’à 2.1.3 inclusivement ; aucun correctif n’est indiqué dans la source fournie.
Action recommandée : Vérifier si l’extension est utilisée et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-108493 — Défaut d’autorisation dans Pay for Payment for WooCommerce
Une vulnérabilité d’autorisation affecte Pay for Payment for WooCommerce. Les versions concernées vont jusqu’à 3.0.1 inclusivement ; aucun correctif n’est indiqué dans la source fournie.
Action recommandée : Vérifier si l’extension est utilisée et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-109896 — Défaut d’autorisation dans Download Monitor integration for WooCommerce
Une vulnérabilité d’autorisation affecte Download Monitor integration for WooCommerce. Les versions concernées vont jusqu’à 1.0.3 inclusivement ; aucun correctif n’est indiqué dans la source fournie.
Action recommandée : Vérifier si l’extension est utilisée et appliquer un correctif éditeur lorsqu’il est disponible.
Simple:Press
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle datée du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00 n’a été trouvée pour Simple:Press dans les sources consultées. Les entrées de vulnérabilités repérées dans les bases consultées sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
Niveau relevé : Critique
Deux vulnérabilités nouvelles concernant Docker Hub et Docker Distribution ont une date de publication dans la période : CVE-2026-105445 et CVE-2026-85747. Les correctifs correspondants étaient déjà disponibles avant cette période selon les sources consultées. Les données fournies décrivent une vulnérabilité Docker Hub liée à la réaffectation de jetons et une vulnérabilité dans les images Docker officielles FrankenPHP. Les autres candidats ont été écartés car ils ne décrivent pas une vulnérabilité affectant Docker dans le périmètre demandé.
Docker Hub : réaffectation non autorisée de jetons d’accès personnels
Une vulnérabilité dans la conversion d’un compte Docker Hub en organisation permettait à un utilisateur authentifié de réattribuer à un autre utilisateur un jeton d’accès personnel qu’il contrôlait, sans changer son secret. Le jeton pouvait alors servir, selon ses autorisations et celles du destinataire, à extraire, publier ou supprimer des images dans les dépôts accessibles à ce dernier.
Docker Distribution : absence de vérification du digest des manifestes
Le client de Docker Distribution ne vérifiait pas que le contenu d’un manifeste reçu correspondait au digest demandé, ce qui pouvait permettre la substitution de contenu lors d’une requête épinglée par digest. Le correctif est inclus dans Distribution 3.1.2 ; mettre à niveau les installations concernées et leurs caches proxy.
Action recommandée : Mettre à niveau Docker Distribution vers la version 3.1.2 ou une version corrigée, y compris les installations utilisant le proxy de registre intégré.
FrankenPHP : exposition de phpinfo() dans certaines images Docker dérivées
Avant FrankenPHP 1.12.5, les images Docker Debian et Alpine officielles contiennent un fichier /app/public/index.php par défaut qui exécute phpinfo(). Si une image dérivée ne remplace pas ce fichier, la page de diagnostic peut révéler des variables d’environnement, la configuration PHP, les extensions chargées et des chemins système; les images utilisant leur propre point d’entrée ne sont pas concernées.
Action recommandée : Mettre à niveau vers FrankenPHP 1.12.5 ou ultérieur et reconstruire les images dérivées affectées avec un index.php propre à l’application.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Critique
Quatre publications de vulnérabilités pertinentes pour Kubernetes ont été vérifiées dans la période : GitLab (CVE-2026-7767), deux vulnérabilités NVIDIA AIStore (CVE-2026-65162 et CVE-2026-65172) et Argo CD (CVE-2026-77459). Les autres candidats fournis ne sont pas retenus comme nouvelles vulnérabilités ou changements substantiels datés dans la période.
NVIDIA AIStore : paramètres Kubernetes dangereux dans l’API ETL legacy
Une vulnérabilité dans l’ancienne API d’initialisation de PodSpec Kubernetes d’AIStore ETL permettait à un attaquant distant de fournir des paramètres liés aux espaces de noms de l’hôte et à la sécurité des conteneurs. Selon la fiche NVD, l’exploitation pourrait entraîner exécution de code, élévation de privilèges, divulgation ou altération de données, et déni de service.
Argo CD : contournement des restrictions AppProject par les hooks de suppression
Argo CD n’appliquait pas les contrôles d’autorisation AppProject aux hooks de ressources PostDelete, contrairement aux hooks de synchronisation ordinaires. Un utilisateur pouvant écrire dans le dépôt Git de l’application pouvait ainsi faire créer, lors de sa suppression, une ressource interdite par le contrôleur avec les droits du cluster de destination.
Action recommandée : Mettre à niveau Argo CD vers une version corrigée de la branche utilisée.
NVIDIA AIStore : contrôle d’accès manquant dans l’API de gestion ETL
Une absence de contrôle d’autorisation dans l’API de gestion ETL d’AIStore pouvait permettre à un attaquant distant non authentifié d’accéder à des informations ETL ou de contrôler des tâches existantes en adressant des requêtes à un proxy AIStore. Cela peut divulguer des informations et perturber l’intégrité ou la disponibilité des pipelines ETL.
GitLab : fuite possible de jetons via le proxy Kubernetes
Une validation insuffisante des redirections dans le proxy Kubernetes de GitLab pouvait, sous certaines conditions, permettre à un utilisateur authentifié contrôlant un agent Kubernetes de faire transmettre des jetons d’authentification sensibles à un serveur inattendu. Mettez à niveau GitLab CE/EE vers une version corrigée.
Action recommandée : Mettre à niveau GitLab CE/EE vers la version corrigée correspondant à la branche utilisée.
Linux (noyau)
Vérification incomplète
Niveau relevé : Élevée
Un candidat correspond à une publication NVD datée du 2026-10-13 dans la période demandée : CVE-2026-62840, une course TOCTOU dans le noyau Linux permettant potentiellement une élévation locale de privilèges. Les éléments consultés ne précisent ni versions affectées ni version corrigée. Les autres candidats concernent des CVE publiées en 2021 ou 2025 ; leur seule mise à jour NVD le 2026-10-13 ne suffit pas à établir un nouvel événement de sécurité substantiel pendant la période. Les candidats sont des fiches NVD publiées en décembre 2025 et signalées comme modifiées le 13 octobre 2026. Les éléments fournis ne montrent aucun changement substantiel daté de la période ; une mise à jour de fiche NVD seule ne suffit pas à établir une nouveauté de sécurité. Les candidats fournis sont des fiches NVD publiées en décembre 2025 et modifiées le 13 octobre 2026. Les éléments transmis ne montrent pas de nouvelle vulnérabilité ni de changement substantiel daté de la période demandée; la seule mise à jour indiquée est administrative. Les candidats fournis sont des fiches NVD publiées en décembre 2025. Leur date de mise à jour du 13 octobre 2026 est indiquée, mais les éléments fournis ne montrent aucun changement substantiel intervenu pendant la période ; une date de modification NVD seule ne suffit pas à établir un événement admissible. Aucun élément retenu pour la période : les candidats fournis indiquent des publications antérieures et une mise à jour NVD datée du 13 octobre, sans preuve d’un changement substantiel à cette date. Aucune recherche web n’a été effectuée, conformément à la consigne. Les candidats fournis sont des mises à jour NVD datées du 13 octobre 2026, mais leurs dates de publication indiquées sont en décembre 2025 et aucun changement substantiel survenu pendant la…
Linux : élévation locale de privilèges par course TOCTOU
Une course TOCTOU dans le noyau Linux pourrait permettre à un attaquant autorisé d’élever localement ses privilèges. Les versions affectées et le correctif ne sont pas précisés dans les informations vérifiées ; appliquer les mises à jour de sécurité du noyau dès qu’un correctif applicable est disponible.
Action recommandée : Consulter l’avis du mainteneur de la distribution ou du fournisseur du noyau et installer le correctif dès qu’il est disponible ; les versions corrigées ne sont pas établies dans les éléments consultés.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche dédiée a relevé deux avis Debian LTS datés du 2026-10-13 : DLA-4834-1 pour Keystone et DLA-4833-1 pour Chromium. Les modifications NVD de fiches anciennes ne sont pas retenues comme nouveautés, et l’avis FrankenPHP est hors sujet pour le projet Debian. Pour Chromium, les CVE individuelles n’ont pas été vérifiées dans les éléments consultés ; seul l’avis est rapporté. Un avis de sécurité Debian LTS concernant nagios4 a été publié dans la période : DLA-4832-1 signale plusieurs vulnérabilités, sans préciser dans les informations fournies leurs CVE, versions affectées ou version corrigée.
DLA-4832-1 : mise à jour de sécurité pour nagios4
Debian a publié l’avis DLA-4832-1 pour nagios4, signalant plusieurs vulnérabilités pouvant entraîner une falsification de requête intersites, des scripts intersites ou l’exécution de commandes arbitraires. Les CVE concernées, les versions affectées et la version corrigée ne sont pas précisées dans les informations fournies.
Action recommandée : Consulter l’avis Debian pour déterminer les paquets concernés et appliquer la mise à jour de sécurité correspondante.
Debian LTS : correctif de sécurité pour Keystone (CVE-2026-90460)
L’avis LTS Debian DLA-4834-1 du 2026-10-13 corrige une vulnérabilité dans la gestion de l’authentification déléguée de Keystone, susceptible d’entraîner une divulgation d’informations ou une élévation de privilèges. Pour Debian 12 bookworm, la version corrigée est 2:22.0.2-0+deb12u5 ; il est recommandé de mettre à niveau le paquet keystone.
Action recommandée : Mettre à niveau keystone vers 2:22.0.2-0+deb12u5 ou une version corrigée ultérieure.
Debian LTS : avis de sécurité Chromium DLA-4833-1
L’avis Debian LTS DLA-4833-1, publié le 2026-10-13, annonce des correctifs de sécurité pour Chromium susceptibles de prévenir l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. La version Debian 12 indiquée dans l’avis est 155.0.8059.39-1~deb12u1 ; mettre à niveau Chromium vers cette version ou une version corrigée ultérieure.
Action recommandée : Mettre à niveau Chromium vers 155.0.8059.39-1~deb12u1 ou une version corrigée ultérieure.
Alpine Linux
Recherche du sujet effectuée
La recherche web dédiée à Alpine Linux pour la période demandée n’a pas fait ressortir d’avis ou de correctif de sécurité daté du 2026-10-13. Aucun candidat n’ayant été fourni, aucun élément n’est à examiner dans evidence_review.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
Pour Apache HTTP Server (httpd), la recherche dédiée n’a pas identifié d’avis ou de changement de sécurité daté dans la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les avis visibles sur la page de sécurité du projet concernent des correctifs annoncés le 2026-10-01, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis publié pendant la période concerne Nginx UI : CVE-2026-84312, défaut de validation du paramètre OAuth `state` dans l’intégration Casdoor, corrigé en version 2.4.1. Les autres candidats fournis ont une date de publication antérieure à la période; leur seule date de modification NVD dans la période ne suffit pas à établir un changement substantiel. Les quatre candidats concernent Nginx UI. Ils ont été publiés avant la période demandée; les dates de mise à jour NVD du 13 octobre ne sont accompagnées d’aucune indication permettant d’établir un changement substantiel pendant cette période. Aucun item n’est donc retenu sur la seule base de ces mises à jour.
Nginx UI — défaut de validation OAuth `state` dans l’intégration Casdoor
Avant Nginx UI 2.4.1, l’intégration Casdoor utilisait une valeur OAuth `state` constante et ne la liait pas à la session du navigateur ayant lancé l’authentification. Un attaquant non authentifié pouvait ainsi amener une victime à terminer un flux d’autorisation contrôlé par l’attaquant et obtenir une session Nginx UI associée à l’identité renvoyée.
Action recommandée : Mettre à niveau Nginx UI vers la version 2.4.1 ou ultérieure.
PHP
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée a consulté les avis de sécurité du projet PHP sur GitHub et les résultats NVD pertinents. Les avis PHP apparus dans les résultats consultés étaient datés du 24 septembre 2026 ou d’une date antérieure, donc hors période; aucun avis ou correctif PHP vérifié comme daté du 13 octobre 2026 n’est retenu. Les candidats fournis concernent des applications distinctes écrites en PHP, et non le langage PHP ou PHP-FPM. Aucune vulnérabilité retenue pour le sujet PHP au sens du langage ou de son moteur : les candidats concernent des applications distinctes développées en PHP, et non PHP lui-même. Deux vulnérabilités concernant FrankenPHP ont été publiées dans la période : l’une affecte l’état des sessions en mode worker dans une configuration de compilation particulière, l’autre concerne l’exposition de phpinfo() dans certaines images Docker dérivées. Les deux sont corrigées dans FrankenPHP 1.12.5. Aucun candidat fourni ne documente une vulnérabilité du langage PHP ou de PHP-FPM. Les publications portent sur l’application Omnispace Agora, et les autres entrées concernent des produits distincts ou des mises à jour administratives de fiches NVD. Aucun événement admissible n’est établi pour PHP dans ce lot. Les fiches PHP concernées portent une date de publication antérieure à la période et ne fournissent que la date d’une mise à jour NVD, sans preuve d’un changement substantiel; les autres candidats concernent des applications tierces. Aucune vulnérabilité du langage ou de l’environnement d’exécution PHP n’est établie dans les candidats de ce lot pour la période indiquée. Les éléments portent sur d’autres produits, et leurs mises à jour NVD ne démontrent pas un événement pertinent concernant PHP dans cette période. Aucun élément de ce lot ne documente une vulnérabi…
FrankenPHP : fuite possible d’identifiants de session en mode worker
Dans certaines compilations de FrankenPHP antérieures à 1.12.5, le mode worker peut conserver l’état de session PHP entre des requêtes et réutiliser un identifiant de session périmé ou appartenant à un autre client. Cela peut exposer des sessions, permettre une usurpation de session et provoquer des déconnexions intermittentes; les binaires et images Docker officiels avec l’extension liée statiquement ne sont pas concernés.
Action recommandée : Mettre à niveau vers FrankenPHP 1.12.5 ou ultérieur; à défaut, éviter la configuration de compilation affectée.
FrankenPHP : exposition de phpinfo() dans certaines images Docker dérivées
Avant FrankenPHP 1.12.5, les images Docker Debian et Alpine officielles contiennent un fichier /app/public/index.php par défaut qui exécute phpinfo(). Si une image dérivée ne remplace pas ce fichier, la page de diagnostic peut révéler des variables d’environnement, la configuration PHP, les extensions chargées et des chemins système; les images utilisant leur propre point d’entrée ne sont pas concernées.
Action recommandée : Mettre à niveau vers FrankenPHP 1.12.5 ou ultérieur et reconstruire les images dérivées affectées avec un index.php propre à l’application.
WordPress
Vérification incomplète
Niveau relevé : Élevée
Six publications de vulnérabilités WordPress datées du 13 octobre 2026 ont été relevées dans les candidats fournis : quatre XSS stockées, une écriture arbitraire de fichiers, une injection SQL et une exposition d’informations. La recherche web a aussi fait remonter une fiche OpenCVE pour CVE-2026-89097. Les trois candidats de mise à jour NVD concernent des CVE publiées antérieurement ; aucun élément consulté ne permet d’établir que leurs modifications du 13 octobre correspondent à un changement substantiel de sécurité. Les 11 candidats sont des fiches NVD modifiées le 13 octobre 2026, mais les éléments fournis n’indiquent pas en quoi ces modifications seraient substantielles. Leurs dates de publication sont antérieures à la période ; aucune nouveauté WordPress datée dans la période n’est retenue sur la seule base de ces données. Aucun événement de sécurité daté de la période n’est établi par les éléments fournis. Les candidats sont des fiches NVD publiées avant la période et signalées comme modifiées le 13 octobre, sans indication d’un changement substantiel : une modification administrative de fiche ne suffit pas à établir une nouvelle faille ou un nouvel événement de sécurité. Les candidats fournis sont des fiches NVD publiées avant la période et signalées comme modifiées le 2026-10-13. Les données fournies ne démontrent pas qu’un changement substantiel de sécurité a eu lieu pendant la période ; aucune nouveauté admissible n’est donc retenue. Les candidats portent des dates de publication antérieures au 2026-10-13. Bien que leurs fiches NVD indiquent une mise à jour pendant la période, les éléments fournis ne documentent aucun changement substantiel; une date de modification seule ne suffit pas à retenir une nouvelle information de sécurité. Les dix candidats concern…
XSS stockée dans Bit Integrations via une configuration webhook spécifique
Bit Integrations jusqu’à la version 2.10.6 incluse présente une XSS stockée exploitable sans authentification dans une configuration particulière d’intégration avec BuddyBoss. L’attaque nécessite un flux préconfiguré reliant le webhook public Bit Assist à l’action « Send Notification », un champ mappé vers notification_content et la connaissance de l’URL de callback UUID.
XSS stockée dans AcyMailing via le formulaire public d’inscription
AcyMailing jusqu’à la version 11.1.0 incluse est vulnérable à une XSS stockée via le paramètre customField[] de son endpoint public d’inscription. Une valeur piégée peut être rendue sans encodage dans l’archive en ligne d’un abonné et déclencher un script lorsque cette page est consultée.
WP Testimonials expose les visiteurs à du JavaScript stocké dans les témoignages
Le plugin WordPress WP Testimonials jusqu’à la version 1.4.13 ne neutralise pas correctement le contenu des témoignages et peut annuler l’assainissement HTML de WordPress lors de l’affichage. Un utilisateur ayant le rôle Auteur ou supérieur peut ainsi faire exécuter du JavaScript dans la session d’une personne consultant les témoignages, y compris un administrateur ; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Éviter l’utilisation des versions concernées et appliquer une version corrigée dès qu’elle est disponible ; vérifier les témoignages publiés.
Écriture arbitraire de fichiers dans WP-BusinessDirectory
WP-BusinessDirectory jusqu’à la version 4.0.2 ne limite pas suffisamment le type ni la destination des fichiers traités par un gestionnaire d’envoi accessible sans authentification. Un attaquant non authentifié peut écrire du contenu arbitraire à des emplacements arbitraires ; l’exécution de code n’est pas attendue sur une configuration serveur par défaut.
Injection SQL de second ordre dans Animated Number Counters
Animated Number Counters jusqu’à la version 3.0 incluse présente une injection SQL de second ordre via le paramètre counterid. Un attaquant authentifié disposant du rôle Editor ou supérieur peut exploiter une valeur stockée puis lue sans requête préparée afin d’extraire des informations sensibles de la base de données.
Divulgation d’informations sensibles dans Ad Inserter
Ad Inserter jusqu’à la version 2.8.18 incluse expose des informations sensibles via ai_wp_footer_hook à des utilisateurs authentifiés ayant le rôle Subscriber ou supérieur. Les données accessibles peuvent inclure des informations de configuration du serveur et de WordPress ainsi que des métadonnées de publications, y compris des valeurs protégées par d’autres extensions.
PrestaShop
Recherche du sujet effectuée
La recherche dédiée sur PrestaShop n’a identifié aucun avis ou événement admissible daté du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu. Le candidat fourni concernant CVE-2026-86405 est antérieur à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
Aucune nouveauté ou mise à jour substantielle de sécurité pour Cockpit n’a été vérifiée dans la période demandée. Le candidat concerne CVE-2026-109379, publiée le 2026-10-12, avant le début de la période; les éléments consultés ne démontrent pas que sa modification NVD du 2026-10-13 correspond à un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, ni exploitation ou changement substantiel de sécurité daté dans la période examinée n’a été vérifié pour CloudPanel. Le dépôt GitHub consulté montre une issue ouverte le 2026-10-13 concernant des sauvegardes Google Drive, mais les éléments visibles ne la présentent pas comme un événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
Dans les sources consultées, l’avis GHSA-wf2j-5mc7-5c4w est daté du 2026-10-09, hors de la période demandée. Aucun événement qualifiant daté du 2026-10-13 n’a été établi à partir de ces sources.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée a relevé les avis GitHub de MariaDB relatifs aux vulnérabilités serveur et Connector/C, mais leurs dates de publication affichées précèdent la période demandée. Les modifications NVD signalées pour le 2026-10-13 ne sont pas, à elles seules, une preuve de changement substantiel; aucune nouveauté admissible dans la fenêtre n’a donc été vérifiée. CVE-2026-109573 concerne phpMyFAQ, et CVE-2026-108963 concerne databasement : leur mention de MariaDB comme base de données ou outil ne les rend pas des vulnérabilités MariaDB.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée sur phpMyAdmin n’a identifié aucun avis ou événement de sécurité vérifiable daté dans la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. La page de sécurité du projet consultée répertorie des annonces jusqu’en 2025; cette vérification ne permet pas d’affirmer qu’aucune nouveauté n’a existé ailleurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée aux avis du projet pgAdmin, à GitHub et aux résultats CVE/NVD n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel pgAdmin daté du 2026-10-13 dans la période indiquée. Les résultats de sécurité trouvés concernaient des événements antérieurs à cette période et n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Recherche dédiée effectuée pour Virtualmin. Les résultats consultés ne montrent aucun nouvel avis ou événement de sécurité Virtualmin daté de la période demandée (du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche ciblée sur Webmin n’a pas établi de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Le candidat concerne CVE-2026-49243, mais l’avis du projet GitHub date du 2026-07-21; la modification NVD du 2026-10-13 ne suffit pas à en faire un événement de sécurité nouveau pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a relevé une nouvelle publication dans la période concernant Quasar, framework d’interfaces Vue.js : CVE-2026-106108 touche la génération SSG de @quasar/app-vite et est corrigée en version 3.3.0. Aucun autre élément Vue.js vérifié comme nouveau ou substantiellement mis à jour pendant la période n’est retenu.
Quasar @quasar/app-vite : écriture de fichiers hors du répertoire de sortie SSG
Une vulnérabilité de traversée de chemin dans la génération SSG de @quasar/app-vite peut permettre de créer des fichiers HTML ou des répertoires hors du dossier de sortie configuré. Le risque concerne les processus de build dont la configuration ou les définitions de pages SSG peuvent être influencées par des données non fiables.
Action recommandée : Mettre à niveau @quasar/app-vite vers la version 3.3.0 ou ultérieure. Éviter que des données non fiables contrôlent la configuration de build ou les définitions de pages SSG.
Vite
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité publiée pendant la période concerne @quasar/app-vite, intégration de Vite au sein de Quasar, et permet une écriture de fichiers hors du répertoire de sortie SSG dans certaines configurations. La page des avis de sécurité du dépôt Vite consultée fait état d’avis publiés le 2026-10-06, en dehors de la période demandée; aucun avis Vite publié le 2026-10-13 n’a été identifié dans les résultats consultés.
Quasar @quasar/app-vite : écriture de fichiers hors du répertoire de sortie SSG
Une vulnérabilité de traversée de chemin dans la génération SSG de @quasar/app-vite peut permettre de créer des fichiers HTML ou des répertoires hors du dossier de sortie configuré. Le risque concerne les processus de build dont la configuration ou les définitions de pages SSG peuvent être influencées par des données non fiables.
Action recommandée : Mettre à niveau @quasar/app-vite vers la version 3.3.0 ou ultérieure. Éviter que des données non fiables contrôlent la configuration de build ou les définitions de pages SSG.
Nuxt
Recherche du sujet effectuée
Recherche web dédiée effectuée sur les avis de sécurité Nuxt et les résultats CVE/NVD pertinents. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-13 dans la période demandée n’a été vérifié dans les sources consultées; les avis Nuxt apparus dans les résultats étaient datés antérieurement à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Vérification incomplète
La recherche dédiée a consulté les avis de sécurité du projet Next.js et des résultats NVD/GitHub. Aucun avis ou correctif Next.js daté de la période demandée n’a été vérifié. Le candidat porte sur tRPC et indique une mise à jour NVD dans la période, mais les éléments consultés ne permettent pas d’établir si cette modification était substantielle; il n’est donc pas retenu comme nouveauté vérifiée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
React
Recherche du sujet effectuée
La recherche dédiée sur React n’a pas permis d’identifier, dans la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00, de nouvel avis, correctif, événement d’exploitation ou changement substantiel vérifié concernant React. Les avis React consultés portent sur des événements antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée sur Angular n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les avis Angular repérés dans les résultats consultés étaient antérieurs à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée sur Astro n’a pas établi de vulnérabilité, d’avis de sécurité, de correctif, d’exploitation ni de changement substantiel daté dans la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les avis Astro repérés dans les résultats consultés étaient datés d’autres périodes et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun événement de sécurité relatif à TypeScript répondant à la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00. Les deux candidats concernent des vulnérabilités publiées avant cette période; leur mise à jour NVD le 13 octobre ne suffit pas, d’après les éléments consultés, à établir un changement substantiel survenu pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche a identifié neuf vulnérabilités dont la première publication NVD tombe dans la fenêtre locale du 2026-10-13; elles concernent Frappe/ERPNext, Hugo, IBM Planning Analytics, IBM Aspera, GitLab, WP Testimonials et YouMind. CVE-2026-103418 est écartée : l’avis Mozilla date du 2026-10-05, avant la période, malgré la date NVD candidate du 2026-10-13. Les candidats fournis décrivent des vulnérabilités publiées le 2026-10-13 affectant l’exécution ou le traitement de JavaScript, notamment dans des interfaces de traçage industriel, Industrial Edge App Publisher et le moteur JavaScript de Firefox/Thunderbird. Les candidats fournis décrivent neuf vulnérabilités du moteur JavaScript de Firefox et Thunderbird, ainsi qu’une XSS persistante dans Froxlor impliquant l’injection de JavaScript. Les fiches NVD indiquent les versions correctives; les détails d’impact et versions affectées restent limités pour plusieurs vulnérabilités du navigateur. Les candidats fournis décrivent neuf vulnérabilités liées à l’exécution de JavaScript, dont plusieurs XSS, publiées par NVD le 2026-10-13. Les descriptions fournies indiquent des correctifs pour ammonia, Electron, OAuthLib et unstructured; elles ne précisent pas de version corrective pour les autres candidats. Les fiches NVD fournies indiquent, pour la période demandée, de nouvelles publications concernant Rapyd Admin, Qwik, Adobe Commerce et Adobe Experience Manager. Elles décrivent des XSS stockées ou basées sur le DOM, ainsi qu’un déni de service affectant la désérialisation serveur de Qwik ; les versions touchées ou correctifs non établis par les descriptions restent non renseignés. Dix fiches NVD publiées le 13 octobre 2026 concernent Adobe Experience Manager et des failles XSS stockées ou basées sur le DOM, avec exécution de Ja…
Importation de traces pouvant exécuter du JavaScript et permettre des opérations PLC
Des appareils concernés ne restreignent pas correctement le contenu exécutable des fichiers de trace importés. Un attaquant peut inciter un utilisateur autorisé disposant du droit « Read diagnostics » à importer un fichier conçu pour exécuter du JavaScript dans son navigateur et effectuer des opérations PLC selon ses autorisations ; les appareils et versions touchés ne sont pas indiqués dans les données fournies.
Action recommandée : N’importer que des fichiers de trace provenant de sources de confiance et appliquer les mises à jour du fournisseur dès leur disponibilité.
Commentaires de traces importées pouvant exécuter du JavaScript dans le navigateur
Des appareils concernés n’assainissent pas correctement les champs de commentaire des fichiers de trace importés avant leur rendu sur la page Trace. Un attaquant peut inciter un utilisateur autorisé à importer un fichier conçu pour exécuter du JavaScript dans son navigateur et effectuer des opérations PLC dans les limites de ses droits ; les versions touchées et le correctif ne sont pas précisés.
Action recommandée : Éviter l’importation de fichiers de trace non fiables et installer la mise à jour du fournisseur dès sa disponibilité.
Marqueurs visuels de traces CSV pouvant provoquer une exécution de JavaScript
Des appareils concernés ne valident ni n’assainissent correctement les données de marqueurs visuels provenant de fichiers CSV de trace avant leur affichage. Une trace spécialement conçue peut déclencher du JavaScript dans la session d’un utilisateur autorisé et permettre des opérations PLC dans les limites de ses droits ; les versions affectées et le correctif ne sont pas fournis.
Action recommandée : N’importer que des fichiers de trace de confiance et appliquer la mise à jour du fournisseur dès qu’elle est disponible.
Adobe Commerce : XSS stockée dans des champs de formulaire
Adobe Commerce est affecté par une XSS stockée permettant l’injection de scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime qui consulte la page concernée, avec un risque d’accès ou de contrôle accru sur son compte ou sa session.
Adobe Experience Manager : XSS stockée dans des champs de formulaire
Adobe Experience Manager est affecté par une XSS stockée permettant d’injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime lorsqu’elle consulte la page correspondante, avec un risque d’accès accru à son compte ou à sa session.
Adobe Experience Manager : XSS stockée dans des champs de formulaire
Adobe Experience Manager est affecté par une XSS stockée permettant d’injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime qui consulte la page contenant le champ vulnérable.
Adobe Commerce : XSS stockée dans des champs de formulaire
Adobe Commerce est décrit comme vulnérable à une XSS stockée dans des champs de formulaire, permettant l’exécution de JavaScript dans le navigateur d’une victime. La fiche fournie ne précise ni les versions concernées ni la version corrective; consulter l’avis Adobe correspondant et appliquer son correctif.
Action recommandée : Consulter l’avis de sécurité Adobe et appliquer le correctif correspondant dès qu’il est identifié.
Frappe ERPNext — XSS réfléchie sur une page
Frappe ERPNext présente une XSS réfléchie liée à l’absence de validation d’entrée sur une page, susceptible d’exécuter du JavaScript dans la session d’un utilisateur authentifié qui ouvre une URL forgée. Les versions concernées sont antérieures à 14.92.1 et, pour la branche 15.x, antérieures à 15.83.0.
Action recommandée : Mettre à jour vers Frappe ERPNext 14.92.1 ou une version 15.x corrigée à partir de 15.83.0.
Adobe Commerce : XSS stockée exploitable par un utilisateur à faibles privilèges
Adobe Commerce est affecté par une XSS stockée permettant à un attaquant disposant de faibles privilèges d’injecter des scripts dans des champs de formulaire vulnérables. Le script peut s’exécuter dans le navigateur d’une victime qui visite la page correspondante et compromettre son compte ou sa session.
Adobe Commerce : XSS stockée exploitable par un attaquant à privilèges élevés
Adobe Commerce est affecté par une XSS stockée permettant à un attaquant disposant de privilèges élevés d’injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript injecté peut s’exécuter dans le navigateur d’une victime qui consulte la page concernée, avec un risque pour son compte ou sa session.
GitLab corrige une faille d’exécution de JavaScript via des dépôts spécialement conçus
GitLab CE/EE présentait une faille permettant à un utilisateur authentifié d’exécuter du JavaScript dans les sessions navigateur d’autres utilisateurs via un dépôt spécialement conçu. GitLab indique avoir corrigé le problème dans les versions 19.2.8, 19.3.5 et 19.4.2 ; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau GitLab CE/EE vers une version corrigée : 19.2.8, 19.3.5 ou 19.4.2 selon la branche utilisée.
CVE-2026-78557 — Exécution de JavaScript et risque d’exécution de code à distance dans Industrial Edge App Publisher
Industrial Edge App Publisher ne neutralise pas correctement certaines données reçues du backend avant de les afficher dans l’interface. Comme le frontend est intégré à Node.js, l’exécution de JavaScript arbitraire peut conduire à une exécution de code à distance sur la machine de la victime; toutes les versions antérieures à V1.27.9 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Industrial Edge App Publisher vers la version V1.27.9 ou une version ultérieure.
Froxlor : XSS stockée via la valeur de thème
Froxlor présente une XSS stockée permettant à un client authentifié d’injecter du HTML et du JavaScript via une valeur de thème. Un administrateur consultant la vue concernée peut être exposé à une exécution de script susceptible d’abuser de son jeton CSRF; mettre à jour vers la version 2.3.14.
Action recommandée : Mettre à jour Froxlor vers la version 2.3.14 ou ultérieure.
Qwik : une requête peut provoquer l’arrêt du serveur lors de la désérialisation
Avant @builder.io/qwik 1.20.0 et @qwik.dev/core 2.0.0-beta.37, la désérialisation serveur peut traiter un objet contrôlé par l’attaquant comme une promesse et provoquer un rejet asynchrone non géré, susceptible d’arrêter le serveur Node.js. Mettez à jour vers l’une des versions corrigées correspondant au paquet utilisé.
Action recommandée : Mettre à jour @builder.io/qwik vers la version 1.20.0 ou @qwik.dev/core vers la version 2.0.0-beta.37, selon le paquet utilisé.
VNote : XSS dans l’ouverture de notes Markdown piégées
VNote permet l’exécution de JavaScript stocké lorsqu’un utilisateur ouvre une note Markdown piégée. La faille concerne les versions antérieures à 4.3.0 et peut exposer des fichiers de notes accessibles localement ; mettre à niveau vers la version 4.3.0 ou ultérieure.
Action recommandée : Mettre à niveau VNote vers la version 4.3.0 ou ultérieure et éviter d’ouvrir des notes Markdown non fiables sur les versions vulnérables.
WP Testimonials expose les visiteurs à du JavaScript stocké dans les témoignages
Le plugin WordPress WP Testimonials jusqu’à la version 1.4.13 ne neutralise pas correctement le contenu des témoignages et peut annuler l’assainissement HTML de WordPress lors de l’affichage. Un utilisateur ayant le rôle Auteur ou supérieur peut ainsi faire exécuter du JavaScript dans la session d’une personne consultant les témoignages, y compris un administrateur ; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Éviter l’utilisation des versions concernées et appliquer une version corrigée dès qu’elle est disponible ; vérifier les témoignages publiés.
Frappe — XSS stockée dans le classement
Frappe présente une XSS stockée dans le classement : un utilisateur authentifié peut faire exécuter du JavaScript injecté dans le navigateur des personnes qui consultent la page. Les versions concernées sont antérieures à 14.99.10 et, pour la branche 15.x, antérieures à 15.91.1.
Action recommandée : Mettre à jour vers Frappe 14.99.10 ou une version 15.x corrigée à partir de 15.91.1.
Hugo — traversée de chemin lors du build
Hugo comporte un traversée de chemin dans le résolveur de repli d’ESBuild, exploitable par des thèmes ou modules malveillants pendant la génération du site. Des imports relatifs ou liens symboliques peuvent amener le processus de build à incorporer dans les sorties JavaScript ou CSS des fichiers lisibles situés hors du projet.
Action recommandée : Mettre à jour Hugo vers la version 0.167.0 ou ultérieure et éviter les thèmes ou modules non fiables.
IBM Planning Analytics — XSS stockée dans l’interface Web
IBM Planning Analytics est affecté par une XSS stockée permettant à un utilisateur authentifié d’insérer du JavaScript arbitraire dans l’interface Web. Le code peut altérer le fonctionnement de l’interface et potentiellement exposer des identifiants dans une session de confiance.
Action recommandée : Appliquer le correctif IBM correspondant dès disponibilité; vérifier les mises à jour applicables aux versions 2.0 et 2.1.
IBM Planning Analytics — encodage de sortie incorrect
IBM Planning Analytics permet à un attaquant distant authentifié de faire exécuter du JavaScript arbitraire en raison d’un encodage de sortie incorrect. Les versions 2.0 et 2.1 sont indiquées comme concernées; les informations disponibles ne précisent pas les versions corrigées.
Action recommandée : Appliquer le correctif IBM correspondant lorsqu’il est disponible et limiter l’accès aux utilisateurs authentifiés de confiance.
IBM Aspera Enterprise WebApps — exposition de source maps
IBM Aspera Enterprise WebApps 1.0.0 à 1.0.6 expose des fichiers source map JavaScript, ce qui peut permettre à un attaquant distant d’obtenir des informations sensibles. La fiche consultée ne précise pas la version corrigée.
Action recommandée : Mettre à jour selon les instructions IBM et empêcher l’exposition publique de fichiers source map sensibles.
Un avatar SVG malveillant peut exécuter du JavaScript sur le domaine CDN de YouMind
Le portail YouMind ne validait ni n’assainissait correctement le contenu SVG utilisé comme avatar, permettant l’exécution de JavaScript lorsque l’image était consultée directement depuis l’URL servie par le CDN. Les versions touchées et le correctif ne sont pas précisés dans les informations fournies.
Action recommandée : Ne pas utiliser de SVG non fiable comme avatar ; appliquer le correctif du fournisseur lorsqu’il est disponible.
Propriétés visuelles de traces CSV pouvant provoquer une exécution de JavaScript
Des appareils concernés ne valident ni n’assainissent correctement les propriétés visuelles de signaux calculés dans des fichiers CSV de trace avant leur affichage. Un fichier spécialement conçu peut conduire à l’exécution de JavaScript dans le navigateur d’un utilisateur autorisé et à des opérations PLC dans les limites de ses droits ; les versions touchées et le correctif ne sont pas fournis.
Action recommandée : Limiter l’importation de fichiers de trace aux sources fiables et installer le correctif du fournisseur dès sa disponibilité.
Données de signaux calculés dans les traces CSV pouvant exécuter du JavaScript
Des appareils concernés n’assainissent pas correctement les données de signaux calculés dans les fichiers CSV de trace avant leur affichage sur la page Trace. Un utilisateur autorisé peut être amené à importer un fichier conçu pour exécuter du JavaScript dans son navigateur et effectuer des opérations PLC selon ses droits ; les versions affectées et le correctif ne sont pas précisés.
Action recommandée : N’importer que des traces CSV de confiance et appliquer le correctif du fournisseur dès qu’il sera disponible.
Noms de signaux de traces CSV pouvant exécuter du JavaScript dans les menus
Des appareils concernés n’assainissent pas correctement les noms de signaux contenus dans les fichiers CSV de trace avant de les afficher dans les menus de sélection de la page Trace. Après l’importation d’un fichier spécialement conçu, l’interaction avec un menu concerné peut exécuter du JavaScript dans le navigateur ; les versions touchées et le correctif ne sont pas indiqués.
Action recommandée : Éviter l’importation de traces CSV non fiables et installer le correctif du fournisseur dès sa disponibilité.
Noms de signaux calculés pouvant exécuter du JavaScript dans les messages d’erreur
Des appareils concernés n’assainissent pas correctement les noms de signaux calculés provenant des fichiers CSV de trace avant de les inclure dans les messages d’erreur de la page Trace. L’affichage du message après l’importation d’un fichier conçu à cette fin peut exécuter du JavaScript dans le navigateur ; les versions touchées et le correctif ne sont pas précisés.
Action recommandée : N’importer que des fichiers de trace de confiance et appliquer le correctif du fournisseur dès qu’il sera disponible.
CVE-2026-63357 — JavaScript via des fichiers de signaux calculés
Les données de signaux calculés issues de fichiers de signal calculé importés ne sont pas correctement assainies avant leur affichage sur la page Trace. L’importation d’un fichier spécialement conçu peut exécuter du JavaScript dans la session du navigateur d’un utilisateur autorisé à lire les diagnostics et permettre des opérations PLC sous ses droits.
Firefox et Thunderbird : utilisation après libération dans le JIT JavaScript
Une utilisation après libération dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Firefox et Thunderbird : utilisation après libération dans JavaScript WebAssembly
Une utilisation après libération dans le composant JavaScript WebAssembly a été publiée comme vulnérabilité le 13 octobre 2026. Le correctif indiqué est Firefox 158 et Thunderbird 158.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers la version 158 indiquée.
Firefox et Thunderbird : use-after-free dans JavaScript WebAssembly
Un use-after-free dans le composant WebAssembly de JavaScript affecte Firefox et Thunderbird. Mettre à jour vers Firefox 158 ou Thunderbird 158.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers la version 158 ou ultérieure.
Firefox et Thunderbird : use-after-free dans JavaScript WebAssembly
Un use-after-free dans le composant WebAssembly de JavaScript affecte Firefox et Thunderbird. Mettre à jour vers Firefox 158 ou Thunderbird 158.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers la version 158 ou ultérieure.
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager est affecté par une XSS basée sur le DOM, exploitable en manipulant l’environnement DOM pour exécuter du JavaScript dans le navigateur de la victime. Une interaction est nécessaire : la victime doit consulter une page spécialement conçue.
Adobe Experience Manager : XSS stockée exploitable à faibles privilèges
Adobe Experience Manager est affecté par une XSS stockée exploitable par un attaquant à faibles privilèges, qui peut injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime qui consulte la page concernée.
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager est affecté par une XSS basée sur le DOM, exploitable par manipulation de l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation exige que celle-ci visite une page spécialement conçue.
Adobe Experience Manager : XSS stockée — CVE-2026-106633
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées, la version corrigée et les mesures de contournement ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS stockée — CVE-2026-107305
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées, la version corrigée et les mesures de contournement ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-107682
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à cet effet; les versions touchées et le correctif ne sont pas indiqués dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS stockée — CVE-2026-109415
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées, la version corrigée et les mesures de contournement ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS stockée — CVE-2026-110037
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées, la version corrigée et les mesures de contournement ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS stockée — CVE-2026-110073
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées, la version corrigée et les mesures de contournement ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110074
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à cet effet; les versions touchées et le correctif ne sont pas indiqués dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110075
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à cet effet; les versions touchées et le correctif ne sont pas indiqués dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110076
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à cet effet; les versions touchées et le correctif ne sont pas indiqués dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110077
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à cet effet; les versions touchées et le correctif ne sont pas indiqués dans les éléments fournis.
Action recommandée : Consulter l’avis du fournisseur pour identifier les versions concernées et appliquer le correctif disponible.
ammonia : contournement de l’assainissement SVG pouvant mener à une XSS
La bibliothèque Rust ammonia peut conserver dans certains SVG une animation ciblant href avec une valeur utilisant le schéma javascript:, ce qui peut créer un lien exécutable après assainissement. Mettre à jour vers la version corrective correspondant à la branche utilisée.
Action recommandée : Mettre à jour ammonia vers 3.3.3, 4.0.3 ou 4.1.4 selon la branche utilisée.
Electron sur macOS : course dans l’assistant ShipIt des mises à jour
Dans certaines applications Electron sur macOS utilisant les mises à jour automatiques Squirrel.Mac, une course dans l’assistant privilégié ShipIt peut détourner une écriture exécutée avec les privilèges root. Mettre à jour vers une des versions correctives indiquées, ou désactiver l’usage du mécanisme concerné si la mise à jour n’est pas possible.
Action recommandée : Mettre à jour Electron vers 39.8.10, 41.10.5 ou 42.0.0-beta.2 selon la branche; vérifier l’utilisation de Squirrel.Mac sur macOS.
OAuthLib : injection JavaScript via le callback JSONP du point de révocation
Dans OAuthLib, un paramètre callback non validé peut être réfléchi dans les réponses JSONP du point de révocation et permettre l’exécution de JavaScript dans l’origine de l’application qui charge cette réponse. Le problème concerne les versions 0.6.1 à celles antérieures à 4.0.0 et nécessite l’activation explicite de JSONP.
Action recommandée : Mettre à niveau OAuthLib vers la version 4.0.0 ou ultérieure; désactiver JSONP si la mise à niveau n’est pas immédiatement possible.
unstructured : génération de HTML non sécurisé pouvant exécuter du JavaScript
La bibliothèque unstructured peut produire du HTML non échappé à partir de contenu non fiable, laissant notamment passer des attributs d’événement et des liens javascript:. Lorsqu’un navigateur affiche le HTML généré, un script peut s’exécuter dans l’origine du lecteur; mettre à jour vers 0.24.1.
Action recommandée : Mettre à jour unstructured vers 0.24.1 ou ultérieure et éviter d’afficher du HTML généré à partir de documents non fiables sans assainissement.
Koillection : XSS stockée via des pièces jointes HTML
Koillection permet à des utilisateurs authentifiés d’envoyer des fichiers HTML en pièce jointe, servis ensuite comme text/html, ce qui peut déclencher une XSS stockée. La fiche indique les versions affectées jusqu’à 1.8.4, mais ne fournit pas de version corrective; appliquer un correctif éditeur lorsqu’il est disponible et limiter l’envoi ou la diffusion de fichiers HTML.
Action recommandée : Limiter l’envoi et l’accès aux pièces jointes HTML; appliquer un correctif éditeur dès sa disponibilité.
QloApps : XSS réfléchie dans le formulaire Additional Facilities
QloApps jusqu’à 1.7.0 contient une XSS réfléchie dans le formulaire d’ajout de facilités du back-office. La valeur `price`, réaffichée sans échappement après un échec de validation, peut exécuter du JavaScript dans la session d’un utilisateur authentifié qui soumet une requête préparée.
Action recommandée : Vérifier la disponibilité d’un correctif QloApps et limiter l’accès au back-office aux utilisateurs de confiance.
QloApps : XSS réfléchie dans les paramètres de prix des fonctionnalités d’hôtel
QloApps jusqu’à 1.7.0 présente une XSS réfléchie dans le formulaire AdminHotelFeaturePricesSettings. Après l’échec de validation, les valeurs `feature_price_name` et `impact_value` sont réaffichées sans échappement et peuvent exécuter du JavaScript dans la session d’un utilisateur authentifié du back-office.
Action recommandée : Vérifier la disponibilité d’un correctif QloApps et limiter l’accès au back-office aux utilisateurs de confiance.
QloApps : XSS réfléchie dans les erreurs de validation de la recherche du back-office
QloApps jusqu’à 1.7.0 comporte une XSS réfléchie dans `AdminSearchConfController::processSave()`. Les valeurs rejetées des champs alias et recherche sont insérées sans échappement dans les erreurs de validation, ce qui peut exécuter du JavaScript dans la session d’un utilisateur authentifié du back-office.
Action recommandée : Vérifier la disponibilité d’un correctif QloApps et limiter l’accès au back-office aux utilisateurs de confiance.
Omnispace Agora Project : XSS réfléchie via visioUrl
Omnispace Agora Project présente une XSS réfléchie via le paramètre visioUrl, exploitable sans authentification en piégeant une victime avec une URL spécialement construite. La faille concerne les versions antérieures à 26.10.0 ; mettre à niveau vers la version 26.10.0 ou ultérieure.
Action recommandée : Mettre à niveau Omnispace Agora Project vers la version 26.10.0 ou ultérieure.
Omnispace Agora Project : XSS stockée dans la messagerie
Omnispace Agora Project présente une XSS stockée dans la messagerie : un utilisateur authentifié peut publier un message contenant un iframe malveillant, ensuite rendu aux autres membres du canal. La faille concerne les versions antérieures à 26.10.0 ; mettre à niveau vers la version 26.10.0 ou ultérieure.
Action recommandée : Mettre à niveau Omnispace Agora Project vers la version 26.10.0 ou ultérieure.
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-110078)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concernées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible ; éviter de visiter des pages non fiables.
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-110079)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concernées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible ; éviter de visiter des pages non fiables.
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-110080)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concernées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible ; éviter de visiter des pages non fiables.
Adobe Experience Manager : XSS stockée (CVE-2026-110081)
Adobe Experience Manager présente une vulnérabilité XSS stockée qu’un attaquant peu privilégié peut exploiter pour injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime consultant la page concernée ; les versions affectées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible.
Adobe Experience Manager : XSS réfléchie (CVE-2026-110082)
Adobe Experience Manager présente une vulnérabilité XSS réfléchie : un attaquant peu privilégié peut amener une victime à ouvrir une URL faisant référence à une page vulnérable. Du contenu JavaScript peut alors s’exécuter dans le navigateur de la victime ; les versions concernées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible ; ne pas ouvrir de liens suspects.
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-48398)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concernées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible ; éviter de visiter des pages non fiables.
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-83958)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concernées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible ; éviter de visiter des pages non fiables.
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM, exploitable si une victime visite une page web préparée. La fiche NVD publiée dans la période décrit cette faille ; les versions affectées, le correctif et les mesures d’atténuation ne sont pas précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer le correctif dès qu’il est disponible ; éviter de visiter des pages non fiables.
Rapyd Admin : XSS stockée dans le composant rich-text
Rapyd Admin comporte une XSS stockée dans le composant Blade `x-rpd::rich-text`, qui restitue sans assainissement des valeurs de modèle liées. Un utilisateur authentifié peut enregistrer du JavaScript via l’API client Livewire, exécuté lorsqu’un administrateur ouvre le formulaire de l’enregistrement.
Action recommandée : Mettre à niveau Rapyd Admin vers la version 9.20.0 ou ultérieure.
CVE-2026-109715 — Condition de limite incorrecte dans le moteur JavaScript
Une condition de limite incorrecte dans le moteur JavaScript est signalée pour Firefox et Thunderbird. La fiche indique que le problème est corrigé dans Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5; elle ne précise pas les versions affectées ni l’impact.
Action recommandée : Installer une version corrigée de Firefox ou Thunderbird correspondant à la branche utilisée.
Firefox et Thunderbird : condition de limites incorrecte dans le moteur JavaScript
Une condition de limites incorrecte dans le moteur JavaScript de Firefox et Thunderbird a été publiée comme vulnérabilité le 13 octobre 2026. Les versions correctives indiquées sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Firefox et Thunderbird : mauvaise compilation JIT dans JavaScript WebAssembly
Une mauvaise compilation JIT dans le composant JavaScript WebAssembly a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158 et ESR 153.5, ainsi que Thunderbird 158 et 153.5.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Firefox et Thunderbird : condition de limites incorrecte dans le JIT JavaScript
Une condition de limites incorrecte dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158 et ESR 153.5, ainsi que Thunderbird 158 et 153.5.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Firefox et Thunderbird : mauvaise compilation JIT dans le moteur JavaScript
Une mauvaise compilation JIT dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Firefox et Thunderbird : mauvaise compilation JIT dans le moteur JavaScript
Une mauvaise compilation JIT dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Shopware 6.7 : XSS stockée via des fichiers HTML téléversés
Shopware 6.7 peut servir des fichiers HTML contrôlés par un attaquant en tant que text/html, permettant une XSS stockée lorsqu’un administrateur les consulte. Le vol du jeton d’administration peut mener à des actions non autorisées et, si le compte dispose des privilèges de gestion d’extensions, à l’exécution de code via un plugin malveillant; aucun correctif n’est précisé dans la fiche fournie.
Action recommandée : Éviter de servir des fichiers HTML téléversés comme contenu actif; appliquer le correctif Shopware lorsqu’il est publié et revoir les privilèges des comptes d’administration.
blob42 gosuki : XSS stockée dans l’interface web
blob42 gosuki présente une XSS stockée dans l’interface web locale, car des champs d’URL de signets sont rendus sans échappement contextuel adapté. Les données fournies indiquent une vulnérabilité jusqu’au commit 6e2bf34, mais ne précisent ni version corrigée ni mesure de contournement.
Action recommandée : Éviter d’afficher des signets non fiables dans l’interface vulnérable ; aucun correctif n’est précisé dans les données fournies.
HTML5
Vérification incomplète
L’avis de sécurité Mozilla du 2026-10-13 signale un use-after-free dans le composant DOM: Core & HTML de Firefox ESR, corrigé dans la version 153.5.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CSS3
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié, dans la période demandée, d’avis ou de vulnérabilité vérifiable portant spécifiquement sur CSS3. Les avis de sécurité de navigateurs repérés pour le 13 octobre 2026 concernent des composants de navigateur, sans lien CSS3 établi par les éléments consultés; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni aucun changement substantiel concernant Tailwind CSS daté de la période du 2026-10-13T00:00:00+02:00 au 2026-10-14T00:00:00+02:00 n’a été identifié dans les sources consultées. Une discussion GitHub sur une dépendance vulnérable a été trouvée, mais elle est datée du 2026-10-05, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée à Bootstrap (le framework front-end twbs/bootstrap) n’a identifié aucun avis de sécurité, correctif, exploitation ni changement substantiel daté du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu. Les candidats fournis portent sur d’autres produits ou emploient « bootstrap » dans un sens différent; ils ne constituent pas des informations de sécurité sur le framework Bootstrap.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu dans les sources consultées. Les avis webpack repérés datent d’autres périodes; le signal trouvé dans webpack-dev-server concernant une dépendance transitive a été ouvert le 2026-10-07 et clôturé le 2026-10-11, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité et publications d’esbuild n’a pas identifié de nouvel avis, correctif ou événement de sécurité daté du 2026-10-13 dans la période demandée. Le CVE-2026-109595 concerne Hugo : la mention de l’esbuild comme résolveur utilisé par Hugo ne fait pas de cette vulnérabilité une faille d’esbuild.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
Recherche web dédiée à Parcel effectuée pour la période du 2026-10-13T00:00:00+02:00 inclus au 2026-10-14T00:00:00+02:00 exclu. Les résultats consultés n’ont pas permis de vérifier de nouvel avis, correctif de sécurité, exploitation ou changement substantiel concernant Parcel daté de cette période; les avis repérés hors période n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a relevé quatre publications NVD datées du 13 octobre 2026 concernant des composants de l’écosystème Node.js : Fastify, Axios, Engine.IO et Qwik. Les candidats Perforce HAS et Siemens Industrial Edge concernent leurs produits respectifs plutôt que Node.js; les quatre candidats Dify sont des mises à jour de fiches publiées antérieurement et ne décrivent pas un événement nouveau vérifié dans le périmètre Node.js. Aucun événement Node.js vérifiable dans la période à partir des éléments fournis. Les mises à jour NVD datées de la période ne démontrent pas, dans ce lot, un changement substantiel; les autres candidats sont hors sujet ou leur mise à jour est antérieure à la période. Quatre avis publiés ou mis à jour dans la période concernent des composants de l’écosystème Node.js : Fastify et Axios, ainsi que Engine.IO et Qwik. Les impacts signalés comprennent un contournement de validation, un routage inattendu via proxy et des arrêts de processus ; les versions corrigées sont indiquées dans chaque fiche.
Qwik : une requête peut provoquer l’arrêt du serveur lors de la désérialisation
Avant @builder.io/qwik 1.20.0 et @qwik.dev/core 2.0.0-beta.37, la désérialisation serveur peut traiter un objet contrôlé par l’attaquant comme une promesse et provoquer un rejet asynchrone non géré, susceptible d’arrêter le serveur Node.js. Mettez à jour vers l’une des versions corrigées correspondant au paquet utilisé.
Action recommandée : Mettre à jour @builder.io/qwik vers la version 1.20.0 ou @qwik.dev/core vers la version 2.0.0-beta.37, selon le paquet utilisé.
Engine.IO : arrêt possible du processus lors d’une mise à niveau de transport
Dans Engine.IO 6.6.0 à 6.6.9, une mise à niveau de transport peut utiliser une révision de protocole différente de celle de la session existante et provoquer une exception non interceptée qui arrête le processus Node.js. Mettez à jour Engine.IO vers la version 6.6.10 ou ultérieure.
Action recommandée : Mettre à jour Engine.IO vers la version 6.6.10 ou ultérieure.
Axios : les règles CIDR de NO_PROXY peuvent ne pas protéger les requêtes
Dans Axios 1.15.0 à 1.19.x, les entrées CIDR de `NO_PROXY` ne sont pas évaluées comme des plages réseau, de sorte que certaines requêtes censées contourner le proxy y sont envoyées. Mettez à jour vers Axios 1.20.0 ou ultérieur et vérifiez la configuration du proxy pour les destinations concernées.
Action recommandée : Mettre à jour Axios vers la version 1.20.0 ou ultérieure.
Fastify : contournement possible de la validation de certains en-têtes
Dans Fastify 5.12.2 à 5.12.5, des noms d’en-tête définis dans certaines règles `propertyNames` ne sont pas convertis en minuscules, ce qui peut permettre de contourner une règle de validation et de transmettre un en-tête interdit au gestionnaire de route. Mettez à jour Fastify vers la version 5.12.6 ou ultérieure ; à défaut, déclarez les noms d’en-tête en minuscules.
Action recommandée : Mettre à jour Fastify vers la version 5.12.6 ou ultérieure ; si la mise à jour n’est pas immédiate, déclarer les noms d’en-tête en minuscules.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a relevé des avis ou publications NVD datés du 13 octobre 2026 concernant SAP Cloud SDK for Python, asteval, OAuthLib, Heym et dataclasses-avroschema. Pour OAuthLib CVE-2026-49264, l’avis GitHub retrouvé date du 29 septembre 2026, donc avant la période demandée ; ce candidat est exclu. Sept vulnérabilités publiées par la NVD dans la période concernent dataclasses-avroschema (six failles de génération de code corrigées en 0.70.6) et Python (une élévation locale de privilèges, sans détails de versions ni de correctif dans la source fournie). Les candidats concernent des défauts décrits dans python-pdfkit, Picklescan, urllib3, Backstage TechDocs et Pydantic AI. Les horodatages de mise à jour NVD se convertissent bien dans la période locale demandée, mais les candidats fournis n’établissent pas le changement précis effectué dans ces fiches; aucune nouveauté substantielle de période ne peut donc être confirmée à partir de ce lot seul. Deux nouvelles vulnérabilités concernant des composants Python ont été publiées pendant la période : une SSRF du SAP Cloud SDK for Python pouvant divulguer des identifiants OAuth2 et une vulnérabilité d’accès mémoire dans asteval, corrigée en version 1.0.9. Les autres candidats fournis ne sont pas retenus : leur date de publication indiquée est antérieure à la période et le lot ne documente pas de changement substantiel daté pendant celle-ci. Le lot contient dix vulnérabilités publiées dans la période : trois concernant OAuthLib et Heym, et sept concernant la génération de code Python par dataclasses-avroschema. Les versions correctives indiquées dans les sources fournies sont OAuthLib 4.0.0, Heym 0.0.40 et dataclasses-avroschema 0.70.6. Quatre nouvelles fiches NVD datées du 2026-10-13 décrivent des vulnérabilités dans data…
SSRF dans le SAP Cloud SDK for Python pouvant exposer des identifiants OAuth2
Une vulnérabilité SSRF affecte le SAP Cloud SDK for Python dans des applications BTP multi-locataires : un attaquant contrôlant le paramètre tenant_subdomain peut détourner des requêtes de jeton OAuth2 vers un serveur qu’il contrôle. Les identifiants du client OAuth2 peuvent ainsi être divulgués ; les versions affectées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis SAP pour identifier les versions concernées et appliquer le correctif dès qu’il est disponible ; limiter l’exposition des identifiants OAuth2.
Élévation locale de privilèges dans Python
CVE-2026-85864 concerne une mauvaise gestion des privilèges dans Python, permettant à un attaquant autorisé d’élever localement ses privilèges. La fiche NVD fournie ne précise ni les versions concernées ni le correctif ; vérifier les informations de l’éditeur avant de déterminer les mesures de mise à niveau.
Action recommandée : Consulter les informations de l’éditeur et appliquer le correctif dès qu’il est disponible ; les détails fournis ne permettent pas d’identifier une version corrigée.
CVE-2025-26240 — python-pdfkit : exécution de JavaScript et accès à des fichiers locaux
Dans python-pdfkit 1.0.0, la méthode `from_string` peut permettre l’exécution de JavaScript dans le contexte serveur et l’exfiltration de fichiers locaux. Les éléments fournis ne précisent ni version corrigée ni action d’atténuation.
Heym : contournement du bac à sable de l’outil Python
Dans Heym, un utilisateur authentifié pouvant créer ou modifier un workflow avec un outil Python personnalisé peut contourner le bac à sable et exécuter des commandes ainsi que des opérations sur les fichiers avec les droits du processus backend. Les versions antérieures à 0.0.40 sont concernées; la version 0.0.40 corrige le problème.
Action recommandée : Mettre à niveau Heym vers la version 0.0.40 ou ultérieure et limiter l’accès à la création et à la modification des workflows.
dataclasses-avroschema : injection de code via des valeurs de défaut Avro
Dans dataclasses-avroschema, des valeurs de champs contrôlées par le schéma sont insérées sans échappement dans des littéraux Python générés. Une valeur élaborée peut injecter du code qui s’exécute à l’import du module généré; la correction est disponible dans la version 0.70.6.
Action recommandée : Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
dataclasses-avroschema : injection d’expression via un nom de record Avro
Dans dataclasses-avroschema, le nom d’un record référencé fourni par le schéma peut être inséré dans la position appelable d’une expression default_factory générée sans validation. Un nom élaboré peut ainsi provoquer l’exécution d’une expression Python lorsque le modèle généré utilise cette valeur par défaut; la version 0.70.6 corrige le problème.
Action recommandée : Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
dataclasses-avroschema : injection de code via le nom d’un record Avro
Dans dataclasses-avroschema, un nom de record Avro contrôlé par le schéma est copié sans échappement dans le champ Meta.schema_name du code Python généré. Un nom élaboré peut injecter des instructions exécutées à l’import du module; la version 0.70.6 corrige cette faille.
Action recommandée : Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
dataclasses-avroschema : injection de code via une docstring générée
Dans dataclasses-avroschema, la documentation d’un record est copiée sans échappement dans une docstring Python générée. Des guillemets ou antislashs élaborés peuvent injecter du code exécuté à l’import du module; la version 0.70.6 corrige le rendu des docstrings.
Action recommandée : Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
dataclasses-avroschema : injection de code via le namespace d’un type fixed
Dans dataclasses-avroschema, le namespace d’un type fixed est inséré sans validation dans une annotation Python générée. Un namespace spécialement conçu peut modifier l’expression évaluée lors de la définition de la classe et exécuter du code; la version 0.70.6 corrige le problème en validant le namespace.
Action recommandée : Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
dataclasses-avroschema : injection de code via la documentation d’un champ Pydantic
Dans dataclasses-avroschema, la documentation d’un champ contrôlée par le schéma est insérée sans échappement dans l’argument description d’un champ Pydantic généré. Une valeur élaborée peut injecter une expression Python exécutée lors de la définition de la classe; la version 0.70.6 corrige le problème.
Action recommandée : Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
dataclasses-avroschema : injection de code via une annotation Pydantic générée
Dans les générateurs Pydantic et AvroDantic de dataclasses-avroschema, une valeur pydantic-class contrôlée par le schéma est incorporée sans restriction dans une annotation Python. Comme les annotations sont évaluées à l’import du module généré, une valeur élaborée peut exécuter du code; la version 0.70.6 limite les formes acceptées.
Action recommandée : Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Injection de code lors de la génération d’énumérations Avro
Dans dataclasses-avroschema, des symboles d’énumération contrôlés par le schéma pouvaient injecter du code Python dans une classe d’énumération générée, exécuté à l’import du module. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le problème en échappant les valeurs rendues.
Action recommandée : Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Injection dans le code généré à partir d’une valeur par défaut d’énumération
Dans dataclasses-avroschema, une valeur par défaut d’énumération contrôlée par le schéma pouvait être insérée dans le code généré sans validation comme identifiant, permettant d’injecter des instructions contraintes ou d’empêcher le chargement du module. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le problème en validant ces valeurs comme noms.
Action recommandée : Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Exécution de code par une valeur aliases malformée dans un schéma Avro
Dans dataclasses-avroschema, une valeur aliases de type chaîne fournie dans un schéma pouvait être interpolée comme expression Python non citée dans le module généré, puis exécutée lors de son import. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le défaut en rejetant les valeurs aliases qui ne sont pas des listes.
Action recommandée : Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Injection dans une classe d’énumération générée
Dans dataclasses-avroschema, les symboles d’énumération issus du schéma pouvaient être utilisés comme noms de membres générés sans validation d’identifiant, permettant d’altérer le corps de classe généré ou d’empêcher le chargement du module. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le défaut en validant chaque symbole comme nom.
Action recommandée : Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
CVE-2025-71339 — Picklescan : gadget pickle non détecté pouvant conduire à une exécution de code
Picklescan, avant la version 0.0.33, ne détecte pas un gadget lié à `numpy.f2py.crackfortran._eval_length` dans certaines méthodes `__reduce__` de pickle. Un pickle malveillant peut alors exécuter du code Python chez une personne qui le charge après s’être fiée à la validation de Picklescan.
Action recommandée : Mettre à niveau Picklescan vers la version 0.0.33 ou ultérieure.
CVE-2026-97687 — urllib3 : paramètres TLS mal séparés pour les proxys HTTPS
Dans urllib3, des paramètres TLS destinés au serveur cible peuvent être appliqués par erreur à la connexion TLS vers un proxy HTTPS, notamment avec certaines configurations de transfert HTTPS. Cela peut affaiblir la vérification du certificat du proxy et exposer ou permettre la modification du trafic relayé; la version 2.8.0 corrige le problème.
Action recommandée : Mettre à niveau urllib3 vers la version 2.8.0 ou ultérieure et vérifier la configuration TLS des connexions via proxy HTTPS.
CVE-2026-97689 — urllib3 : épuisement mémoire via une ligne de fragment HTTP non terminée
Dans urllib3, le parseur des réponses HTTP fragmentées peut conserver en mémoire une ligne de taille de fragment très longue jusqu’à recevoir une nouvelle ligne ou la fin du flux. Un serveur malveillant peut envoyer une ligne non terminée afin d’épuiser la mémoire du client; la version 2.8.0 corrige le problème.
Action recommandée : Mettre à niveau urllib3 vers la version 2.8.0 ou ultérieure.
CVE-2026-106558 — Backstage TechDocs : contournement de sanitisation et exécution de code Python
Dans le générateur TechDocs de Backstage, la validation incorrecte d’une configuration `markdown_extensions` au format mapping peut permettre à un utilisateur authentifié influençant une source de documentation SCM de contourner la sanitisation et de provoquer l’importation et l’instanciation d’objets Python. Les versions correctrices indiquées sont 1.14.8, 1.15.6 et 2.0.1; les versions 1.14.6 et 1.15.4 n’avaient pas entièrement corrigé le cas.
Action recommandée : Mettre à niveau vers Backstage 1.14.8, 1.15.6 ou 2.0.1 selon la branche utilisée.
CVE-2026-107286 — Pydantic AI : places de concurrence retenues après des flux interrompus
Dans Pydantic AI, certains flux de requêtes limités par `ConcurrencyLimitedModel` ou `limit_model_concurrency` peuvent conserver des places de capacité après une interruption, une annulation ou une exception. À terme, d’autres requêtes partageant le limiteur peuvent rester bloquées; le problème est corrigé dans la version 2.53.0.
Action recommandée : Mettre à niveau Pydantic AI vers la version 2.53.0 ou ultérieure.
OAuthLib : injection JavaScript via le callback JSONP du point de révocation
Dans OAuthLib, un paramètre callback non validé peut être réfléchi dans les réponses JSONP du point de révocation et permettre l’exécution de JavaScript dans l’origine de l’application qui charge cette réponse. Le problème concerne les versions 0.6.1 à celles antérieures à 4.0.0 et nécessite l’activation explicite de JSONP.
Action recommandée : Mettre à niveau OAuthLib vers la version 4.0.0 ou ultérieure; désactiver JSONP si la mise à niveau n’est pas immédiatement possible.
Évasion du bac à sable et accès mémoire arbitraire dans asteval
Dans asteval, l’interpréteur par défaut avec NumPy activé expose un type ctypes accessible permettant des accès mémoire via from_address, tandis que les affectations d’attributs ne sont pas filtrées. Une expression contrôlée par un attaquant peut alors lire ou corrompre la mémoire du processus, sortir du bac à sable prévu et potentiellement exécuter du code ; la faille est corrigée en version 1.0.9.
Action recommandée : Mettre asteval à jour vers la version 1.0.9 ou ultérieure.
OAuthLib : fuite temporelle dans la vérification PKCE
Dans OAuthLib, les comparaisons des valeurs code_verifier et des challenges PKCE utilisent une égalité de chaînes ordinaire, susceptible de révéler des informations de préfixe par mesure du temps. L’exploitation pratique est compliquée par le besoin d’intercepter un code d’autorisation à usage unique et par le bruit réseau; le problème est corrigé dans la version 4.0.0.
Action recommandée : Mettre à niveau OAuthLib vers la version 4.0.0 ou ultérieure.
CVE-2026-97688 — urllib3 : boucle infinie lors du décodage de réponses Deflate
Dans urllib3, une réponse Deflate fragmentée contenant des octets après la fin du flux peut faire tourner indéfiniment `HTTPResponse.stream` ou `read_chunked` dans certaines conditions de lecture par morceaux. Un serveur malveillant peut ainsi provoquer une forte consommation CPU et bloquer la requête; le défaut est corrigé dans la version 2.8.0.
Action recommandée : Mettre à niveau urllib3 vers la version 2.8.0 ou ultérieure.
CVE-2026-107289 — Pydantic AI : contournement du blocage des métadonnées cloud via IPv6
Dans Pydantic AI, certaines configurations autorisant l’accès local peuvent contourner le blocage des adresses de métadonnées cloud lorsqu’un identifiant de zone IPv6 est ajouté à l’adresse. Cela peut exposer des identifiants IAM, mais le scénario exige les options concernées activées et un environnement IPv6; les versions 1.107.6 et 2.44.0 corrigent le défaut.
Action recommandée : Mettre à niveau vers Pydantic AI 1.107.6 ou 2.44.0 et ne pas activer les options d’accès local sans nécessité.
CVE-2026-107290 — Pydantic AI : consommation excessive de ressources lors du traitement de réponses Web
Dans Pydantic AI, le traitement de réponses contrôlées par un serveur peut entraîner une complexité quadratique lors de l’extraction de titres, de la normalisation des espaces et de la numérotation de listes. Une page de taille modeste peut bloquer la boucle d’événements et ralentir d’autres traitements; les versions 1.107.6 et 2.44.0 corrigent le défaut.
Action recommandée : Mettre à niveau vers Pydantic AI 1.107.6 ou 2.44.0 selon la branche utilisée.
CVE-2026-107288 — Pydantic AI : contournement de la comparaison des domaines bloqués
Dans certaines versions de Pydantic AI, le contrôle des domaines bloqués compare des noms d’hôte avant normalisation, ce qui peut laisser passer des variantes IDNA, des séparateurs Unicode, des différences de casse ou un point final. Un modèle influencé par un attaquant peut alors amener l’application à contacter un hôte bloqué avec ses propres privilèges; les versions 1.107.6 et 2.44.0 corrigent le défaut.
Action recommandée : Mettre à niveau vers Pydantic AI 1.107.6 ou 2.44.0 selon la branche utilisée.
Java
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a trouvé dix CVE publiées par le NVD dans la période demandée et liées à des logiciels Java ou à des composants Java selon les descriptions fournies : SAP MII, PublicCMS, MeterSphere, Conductor, ConnectBot et OpenRemote. Les informations de versions et de correctifs ne sont renseignées que lorsqu’elles figurent dans les éléments consultés; aucun avis Oracle Java SE daté de cette fenêtre n’a été établi par la recherche effectuée. Trois nouvelles fiches NVD concernant des composants Java ont été publiées dans la période : OpenRemote, SLE API for Java et auth0/java-jwt. Les autres candidats sont des fiches publiées antérieurement dont les données fournies n’établissent pas de changement substantiel au cours de la période. Aucun changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats concernent des fiches NVD publiées avant la période et signalées comme modifiées pendant celle-ci, sans détail permettant d’identifier un changement substantiel. Les candidats publiés par le NVD le 13 octobre dans le périmètre Java décrivent notamment des SSRF dans MeterSphere et Conductor, une redirection ouverte dans PublicCMS, une faille d’autorisation dans SAP MII et un déni de service dans ConnectBot SSH Client Library. Le candidat AsyncHttpClient a été publié avant la période ; les données fournies n’établissent pas qu’une modification substantielle a eu lieu durant celle-ci. Quatre vulnérabilités Java ont une date de publication NVD comprise dans la période demandée : trois concernent OpenRemote ou SLE API for Java, et une auth0/java-jwt. La version corrective est indiquée dans les sources fournies pour les trois premières; aucune version corrective n’est précisée pour CVE-2026-85473.
SAP MII : élévation de privilèges vers le serveur d’applications sous-jacent
SAP Manufacturing Integration and Intelligence ne contrôle pas suffisamment certaines limites d’autorisation administratives : un administrateur MII peut créer un compte doté de privilèges élevés sur le serveur d’applications Java sous-jacent. L’exploitation peut compromettre la confidentialité, l’intégrité et la disponibilité du système ; appliquer le correctif SAP correspondant, dont la version n’est pas précisée dans les éléments fournis.
Action recommandée : Appliquer le correctif SAP approprié dès qu’il est identifié ; limiter et surveiller les comptes administrateurs MII.
OpenRemote : résolution d’entités externes lors de l’import KNX
Avant OpenRemote 1.24.2, l’import d’un projet ETS pouvait traiter un fichier XML avec des parseurs autorisant la résolution d’entités externes. Un utilisateur authentifié pouvait ainsi lire des fichiers accessibles au processus Java ou provoquer des requêtes côté serveur.
Action recommandée : Mettre à niveau OpenRemote vers la version 1.24.2 ou ultérieure.
OpenRemote : divulgation d’informations utilisateur entre royaumes
Avant OpenRemote 1.24.2, plusieurs points d’accès de lecture des utilisateurs ne vérifiaient pas que l’utilisateur demandé appartenait au royaume de l’appelant. Un administrateur de royaume disposant du rôle read:admin pouvait consulter le profil et les rôles d’utilisateurs d’autres royaumes, y compris du royaume master.
Action recommandée : Mettre à niveau OpenRemote vers la version 1.24.2 ou ultérieure.
Conductor : SSRF lors de la récupération d’une fiche d’agent
Conductor-oss Conductor jusqu’à 3.32.5 comporte une SSRF dans A2AService.getAgentCard : l’argument agentUrl peut être manipulé pour faire effectuer des requêtes par le serveur. Une divulgation publique de l’exploit est signalée ; aucun correctif n’est mentionné dans les données fournies, il faut donc vérifier les versions ultérieures et limiter les requêtes sortantes.
Action recommandée : Vérifier les versions corrigées ; valider les URL d’agent et restreindre les accès réseau depuis le serveur.
Conductor : SSRF dans la tâche de publication Kafka
Conductor-oss Conductor jusqu’à 3.33.0-rc10 comporte une SSRF dans KafkaPublishTask.start : la valeur kafka_request.bootStrapServers peut être manipulée à distance. Une divulgation publique de l’exploit est signalée ; aucun correctif n’est indiqué dans les éléments fournis, aussi vérifier les versions ultérieures et filtrer les destinations réseau autorisées.
Action recommandée : Vérifier les correctifs disponibles ; valider les serveurs Kafka configurés et restreindre les connexions sortantes.
ConnectBot SSH Client Library : déni de service par paquet SSH malformé
Avant la version 0.3.1, le parseur de protocole SSH de ConnectBot SSH Client Library ne vérifie pas que les longueurs et nombres d’éléments déclarés dans un paquet tiennent dans celui-ci. Un serveur SSH malveillant peut provoquer une allocation ou un traitement excessif et une erreur OutOfMemoryError non interceptée, entraînant l’arrêt du processus ; mettre à jour vers 0.3.1.
Action recommandée : Mettre à jour la bibliothèque vers la version 0.3.1 ou ultérieure.
Conductor : SSRF dans Agentspan Agent Runtime
Conductor-oss Conductor jusqu’à 3.33.0-rc10 comporte une SSRF dans le composant Agentspan Agent Runtime, associée à AgentController.java. Les éléments fournis ne précisent ni l’entrée exploitable exacte ni une version corrigée ; vérifier les mises à jour de l’éditeur et limiter les connexions réseau initiées par le serveur.
Action recommandée : Vérifier les mises à jour de sécurité ; réduire les accès réseau sortants et surveiller les requêtes initiées par le service.
SLE API for Java : déni de service par longueur de PDU non bornée
Avant SLE API for Java 5.1.7, le traitement des PDU ISP1 pouvait allouer un tableau à partir d’une longueur contrôlée par l’attaquant, sans limite supérieure. Un client non authentifié du service SLE pouvait provoquer des exceptions, une consommation de ressources ou un déni de service.
Action recommandée : Mettre à niveau SLE API for Java vers la version 5.1.7 ou ultérieure.
auth0/java-jwt : terminaison de thread lors de l’analyse de revendications temporelles
La bibliothèque auth0/java-jwt peut terminer un thread lorsqu’elle traite un JWT contenant une valeur hors plage dans une revendication temporelle exp, nbf ou iat. Comme l’erreur survient avant la vérification de signature, des requêtes répétées peuvent dégrader la disponibilité du service.
PublicCMS : redirection ouverte via returnUrl
PublicCMS comporte une redirection ouverte dans SafeConfigComponent.getSafeUrl, au niveau du point de terminaison pay : la valeur returnUrl peut être manipulée à distance. Les éléments fournis indiquent une divulgation publique de l’exploit, mais ne précisent pas de version corrigée ; vérifier les avis de l’éditeur et éviter de suivre des redirections vers des destinations non fiables.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif ; valider et restreindre les destinations de redirection autorisées.
MeterSphere : SSRF dans l’analyseur Swagger3
MeterSphere présente une vulnérabilité SSRF dans le composant Swagger3 Parser : la valeur swaggerUrl transmise à Swagger3ParserApiDefinition.testUrlTimeout peut être manipulée à distance. Les éléments fournis signalent une divulgation publique de l’exploit, mais n’indiquent pas de version corrigée ; vérifier les mises à jour de l’éditeur et restreindre les requêtes sortantes du serveur.
Action recommandée : Vérifier les correctifs disponibles ; limiter les connexions sortantes du serveur et valider les URL fournies à l’analyseur.
Conductor : SSRF dans la configuration des outils API
Conductor-oss Conductor 3.31.2 comporte une SSRF dans ListApiToolsTask.start : l’argument specUrl peut conduire le serveur à effectuer une requête vers une destination contrôlée. L’exploit est signalé comme publiquement divulgué ; aucun correctif n’est précisé dans les éléments fournis, donc rechercher une version corrigée et restreindre les requêtes sortantes.
Action recommandée : Rechercher et appliquer un correctif ; valider les URL et limiter les destinations réseau accessibles depuis le serveur.
Conductor : SSRF dans le service MCP
Conductor-oss Conductor 3.22.0 comporte une SSRF dans MCPService.listTools : la valeur mcpServer peut être manipulée afin de provoquer des requêtes depuis le serveur. La vulnérabilité est signalée comme publiquement divulguée ; les éléments fournis ne mentionnent pas de version corrigée, aussi il convient de vérifier les mises à jour et de restreindre les connexions sortantes.
Action recommandée : Vérifier la disponibilité d’un correctif ; valider les adresses des serveurs MCP et limiter les connexions sortantes.
TYPO3
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un nouvel avis concernant TYPO3 a été identifié dans la période : CVE-2026-109162, relative au stockage potentiellement public de fichiers téléversés dans certaines configurations du Form Framework. Les deux candidats fournis renvoient à cette même fiche ; le candidat « modified » ne montre pas de changement substantiel distinct.
TYPO3 CMS — exposition potentielle de fichiers téléversés (CVE-2026-109162)
Dans TYPO3 CMS, les éléments FileUpload et ImageUpload configurés avec un saveToFileMount personnalisé pouvaient enregistrer les fichiers téléversés dans le stockage par défaut plutôt que dans la destination configurée. Des fichiers destinés à un stockage non public pouvaient ainsi être servis sans les contrôles d’accès de ce stockage ; le paramètre par défaut de saveToFileMount n’est pas concerné.
Action recommandée : Vérifier si des formulaires utilisent FileUpload ou ImageUpload avec un saveToFileMount personnalisé et mettre à jour TYPO3 vers une version corrigée dès qu’elle est confirmée par l’avis éditeur.
Drupal
Recherche du sujet effectuée
La recherche dédiée des avis Drupal disponibles n’a identifié aucun avis ou correctif publié pendant la période demandée. L’avis PSA-2026-10-12 est daté du 12 octobre, donc antérieur à la période; il annonce une mise à jour prévue le 14 octobre, après sa borne de fin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
La recherche ciblée a consulté le centre officiel des avis de sécurité Joomla et les annonces de versions. Aucun nouvel avis de sécurité Joomla ni autre événement de sécurité daté du 2026-10-13 n’a été vérifié dans les sources consultées; les résultats de versions du jour ne suffisent pas à établir qu’il s’agissait de correctifs de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Vérification incomplète
La recherche a relevé l’annonce APSB26-153, datée du 2026-10-13, qui énumère 11 CVE pour Adobe Commerce et Magento Open Source. Les informations consultées ne permettent pas de confirmer les détails par CVE, les versions concernées, les correctifs spécifiques ni le statut d’exploitation; aucune de ces informations n’est extrapolée de l’avis global.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Adobe Commerce
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée a retrouvé la page officielle d’Adobe sur les bulletins Commerce, mais pas de bulletin Adobe daté du 13 octobre 2026 ni de résultat permettant de confirmer individuellement les dix fiches NVD candidates. Les éléments fournis décrivent des publications NVD durant la période, mais leur contenu et leurs détails techniques n’ont pas pu être corroborés par les sources consultées; aucune vulnérabilité n’est donc retenue comme vérifiée. Une nouvelle fiche NVD relative à Adobe Commerce a été publiée pendant la période : CVE-2026-95631, vulnérabilité de validation incorrecte des entrées pouvant conduire à l’exécution de code arbitraire. Les autres candidats correspondent à des modifications de fiches NVD, sans preuve fournie d’un changement substantiel; ils ne sont pas retenus comme nouvelles informations de sécurité. Aucun événement admissible n’est établi par les candidats fournis : ils signalent des modifications de fiches NVD, sans élément permettant de confirmer qu’il s’agit d’un avis, d’un correctif ou d’un changement substantiel daté dans la période.
CVE-2026-95631 : exécution de code arbitraire dans Adobe Commerce
Adobe Commerce présente une vulnérabilité de validation incorrecte des entrées pouvant permettre l’exécution de code arbitraire avec les privilèges de l’utilisateur courant. L’exploitation nécessite des privilèges élevés, mais aucune interaction de l’utilisateur n’est requise.
Action recommandée : Évaluer l’exposition des instances Adobe Commerce et appliquer les correctifs éditeur dès leur disponibilité. Les éléments fournis ne précisent ni version corrigée ni mesure de contournement.
fooocus
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucune vulnérabilité, aucun correctif/avis de sécurité, aucune exploitation ni mise à jour substantielle Fooocus datée de la période demandée. Les résultats trouvés concernant CVE-2025-31114 sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
70 alerte(s)Importation de traces pouvant exécuter du JavaScript et permettre des opérations PLC
Des appareils concernés ne restreignent pas correctement le contenu exécutable des fichiers de trace importés. Un attaquant peut inciter un utilisateur autorisé disposant du droit « Read diagnostics » à importer un fichier conçu pour exécu…
Source : NVD — CVE-2026-63350
Commentaires de traces importées pouvant exécuter du JavaScript dans le navigateur
Des appareils concernés n’assainissent pas correctement les champs de commentaire des fichiers de trace importés avant leur rendu sur la page Trace. Un attaquant peut inciter un utilisateur autorisé à importer un fichier conçu pour exécute…
Source : NVD — CVE-2026-63353
Marqueurs visuels de traces CSV pouvant provoquer une exécution de JavaScript
Des appareils concernés ne valident ni n’assainissent correctement les données de marqueurs visuels provenant de fichiers CSV de trace avant leur affichage. Une trace spécialement conçue peut déclencher du JavaScript dans la session d’un u…
Source : NVD — CVE-2026-63354
Adobe Commerce : XSS stockée dans des champs de formulaire
Adobe Commerce est affecté par une XSS stockée permettant l’injection de scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime qui consulte la page concernée, avec un risque d’acc…
Source : NVD — CVE-2026-91013
Adobe Experience Manager : XSS stockée dans des champs de formulaire
Adobe Experience Manager est affecté par une XSS stockée permettant d’injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime lorsqu’elle consulte la page correspondant…
Source : NVD — CVE-2026-106629
Adobe Experience Manager : XSS stockée dans des champs de formulaire
Adobe Experience Manager est affecté par une XSS stockée permettant d’injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victime qui consulte la page contenant le champ vu…
Source : NVD — CVE-2026-106630
Adobe Commerce : XSS stockée dans des champs de formulaire
Adobe Commerce est décrit comme vulnérable à une XSS stockée dans des champs de formulaire, permettant l’exécution de JavaScript dans le navigateur d’une victime. La fiche fournie ne précise ni les versions concernées ni la version correct…
Source : NVD — CVE-2026-100133
Frappe ERPNext — XSS réfléchie sur une page
Frappe ERPNext présente une XSS réfléchie liée à l’absence de validation d’entrée sur une page, susceptible d’exécuter du JavaScript dans la session d’un utilisateur authentifié qui ouvre une URL forgée. Les versions concernées sont antéri…
Source : NVD — CVE-2025-71432
Adobe Commerce : XSS stockée exploitable par un utilisateur à faibles privilèges
Adobe Commerce est affecté par une XSS stockée permettant à un attaquant disposant de faibles privilèges d’injecter des scripts dans des champs de formulaire vulnérables. Le script peut s’exécuter dans le navigateur d’une victime qui visit…
Source : NVD — CVE-2026-92911
Adobe Commerce : XSS stockée exploitable par un attaquant à privilèges élevés
Adobe Commerce est affecté par une XSS stockée permettant à un attaquant disposant de privilèges élevés d’injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript injecté peut s’exécuter dans le navigateur d’une victim…
Source : NVD — CVE-2026-92922
GitLab corrige une faille d’exécution de JavaScript via des dépôts spécialement conçus
GitLab CE/EE présentait une faille permettant à un utilisateur authentifié d’exécuter du JavaScript dans les sessions navigateur d’autres utilisateurs via un dépôt spécialement conçu. GitLab indique avoir corrigé le problème dans les versi…
Source : NVD — CVE-2026-92883
CVE-2026-78557 — Exécution de JavaScript et risque d’exécution de code à distance dans Industrial Edge App Publisher
Industrial Edge App Publisher ne neutralise pas correctement certaines données reçues du backend avant de les afficher dans l’interface. Comme le frontend est intégré à Node.js, l’exécution de JavaScript arbitraire peut conduire à une exéc…
Source : NVD — CVE-2026-78557
Froxlor : XSS stockée via la valeur de thème
Froxlor présente une XSS stockée permettant à un client authentifié d’injecter du HTML et du JavaScript via une valeur de thème. Un administrateur consultant la vue concernée peut être exposé à une exécution de script susceptible d’abuser…
Source : NVD — CVE-2026-109960
VNote : XSS dans l’ouverture de notes Markdown piégées
VNote permet l’exécution de JavaScript stocké lorsqu’un utilisateur ouvre une note Markdown piégée. La faille concerne les versions antérieures à 4.3.0 et peut exposer des fichiers de notes accessibles localement ; mettre à niveau vers la…
Source : NVD — CVE-2026-86016
Frappe — XSS stockée dans les filtres de graphiques
Frappe présente une XSS stockée dans les filtres des graphiques de tableau de bord : des valeurs saisies sont rendues comme du contenu riche via jQuery et peuvent exécuter du script lorsqu’un utilisateur consulte le graphique. La fiche NVD…
Source : NVD — CVE-2026-109602
Quasar @quasar/app-vite : écriture de fichiers hors du répertoire de sortie SSG
Une vulnérabilité de traversée de chemin dans la génération SSG de @quasar/app-vite peut permettre de créer des fichiers HTML ou des répertoires hors du dossier de sortie configuré. Le risque concerne les processus de build dont la configu…
Source : NVD — CVE-2026-106108
Frappe — XSS stockée dans le classement
Frappe présente une XSS stockée dans le classement : un utilisateur authentifié peut faire exécuter du JavaScript injecté dans le navigateur des personnes qui consultent la page. Les versions concernées sont antérieures à 14.99.10 et, pour…
Source : NVD — CVE-2025-71430
Hugo — traversée de chemin lors du build
Hugo comporte un traversée de chemin dans le résolveur de repli d’ESBuild, exploitable par des thèmes ou modules malveillants pendant la génération du site. Des imports relatifs ou liens symboliques peuvent amener le processus de build à i…
Source : NVD — CVE-2026-109595
IBM Planning Analytics — XSS stockée dans l’interface Web
IBM Planning Analytics est affecté par une XSS stockée permettant à un utilisateur authentifié d’insérer du JavaScript arbitraire dans l’interface Web. Le code peut altérer le fonctionnement de l’interface et potentiellement exposer des id…
Source : NVD — CVE-2026-18541
IBM Planning Analytics — encodage de sortie incorrect
IBM Planning Analytics permet à un attaquant distant authentifié de faire exécuter du JavaScript arbitraire en raison d’un encodage de sortie incorrect. Les versions 2.0 et 2.1 sont indiquées comme concernées; les informations disponibles…
Source : NVD — CVE-2026-75063
IBM Aspera Enterprise WebApps — exposition de source maps
IBM Aspera Enterprise WebApps 1.0.0 à 1.0.6 expose des fichiers source map JavaScript, ce qui peut permettre à un attaquant distant d’obtenir des informations sensibles. La fiche consultée ne précise pas la version corrigée.
Source : NVD — CVE-2026-75076
Un avatar SVG malveillant peut exécuter du JavaScript sur le domaine CDN de YouMind
Le portail YouMind ne validait ni n’assainissait correctement le contenu SVG utilisé comme avatar, permettant l’exécution de JavaScript lorsque l’image était consultée directement depuis l’URL servie par le CDN. Les versions touchées et le…
Source : NVD — CVE-2026-96535
Propriétés visuelles de traces CSV pouvant provoquer une exécution de JavaScript
Des appareils concernés ne valident ni n’assainissent correctement les propriétés visuelles de signaux calculés dans des fichiers CSV de trace avant leur affichage. Un fichier spécialement conçu peut conduire à l’exécution de JavaScript da…
Source : NVD — CVE-2026-63351
Données de signaux calculés dans les traces CSV pouvant exécuter du JavaScript
Des appareils concernés n’assainissent pas correctement les données de signaux calculés dans les fichiers CSV de trace avant leur affichage sur la page Trace. Un utilisateur autorisé peut être amené à importer un fichier conçu pour exécute…
Source : NVD — CVE-2026-63352
Noms de signaux de traces CSV pouvant exécuter du JavaScript dans les menus
Des appareils concernés n’assainissent pas correctement les noms de signaux contenus dans les fichiers CSV de trace avant de les afficher dans les menus de sélection de la page Trace. Après l’importation d’un fichier spécialement conçu, l’…
Source : NVD — CVE-2026-63355
Noms de signaux calculés pouvant exécuter du JavaScript dans les messages d’erreur
Des appareils concernés n’assainissent pas correctement les noms de signaux calculés provenant des fichiers CSV de trace avant de les inclure dans les messages d’erreur de la page Trace. L’affichage du message après l’importation d’un fich…
Source : NVD — CVE-2026-63356
CVE-2026-63357 — JavaScript via des fichiers de signaux calculés
Les données de signaux calculés issues de fichiers de signal calculé importés ne sont pas correctement assainies avant leur affichage sur la page Trace. L’importation d’un fichier spécialement conçu peut exécuter du JavaScript dans la sess…
Source : NVD — CVE-2026-63357
Firefox et Thunderbird : utilisation après libération dans le JIT JavaScript
Une utilisation après libération dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5.
Source : NVD — CVE-2026-109729
Firefox et Thunderbird : utilisation après libération dans JavaScript WebAssembly
Une utilisation après libération dans le composant JavaScript WebAssembly a été publiée comme vulnérabilité le 13 octobre 2026. Le correctif indiqué est Firefox 158 et Thunderbird 158.
Source : NVD — CVE-2026-109748
Firefox et Thunderbird : use-after-free dans JavaScript WebAssembly
Un use-after-free dans le composant WebAssembly de JavaScript affecte Firefox et Thunderbird. Mettre à jour vers Firefox 158 ou Thunderbird 158.
Source : NVD — CVE-2026-109749
Firefox et Thunderbird : use-after-free dans JavaScript WebAssembly
Un use-after-free dans le composant WebAssembly de JavaScript affecte Firefox et Thunderbird. Mettre à jour vers Firefox 158 ou Thunderbird 158.
Source : NVD — CVE-2026-109761
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager est affecté par une XSS basée sur le DOM, exploitable en manipulant l’environnement DOM pour exécuter du JavaScript dans le navigateur de la victime. Une interaction est nécessaire : la victime doit consulter une p…
Source : NVD — CVE-2026-106628
Adobe Experience Manager : XSS stockée exploitable à faibles privilèges
Adobe Experience Manager est affecté par une XSS stockée exploitable par un attaquant à faibles privilèges, qui peut injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une vic…
Source : NVD — CVE-2026-106631
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager est affecté par une XSS basée sur le DOM, exploitable par manipulation de l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation exige que celle-ci visite une page spécia…
Source : NVD — CVE-2026-106632
Adobe Experience Manager : XSS stockée — CVE-2026-106633
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées…
Source : NVD — CVE-2026-106633
Adobe Experience Manager : XSS stockée — CVE-2026-107305
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées…
Source : NVD — CVE-2026-107305
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-107682
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à…
Source : NVD — CVE-2026-107682
Adobe Experience Manager : XSS stockée — CVE-2026-109415
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées…
Source : NVD — CVE-2026-109415
Adobe Experience Manager : XSS stockée — CVE-2026-110037
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées…
Source : NVD — CVE-2026-110037
Adobe Experience Manager : XSS stockée — CVE-2026-110073
Adobe Experience Manager présente une faille XSS stockée permettant à un attaquant peu privilégié d’injecter du JavaScript dans des champs de formulaire vulnérables, ensuite exécuté dans le navigateur d’une victime. Les versions concernées…
Source : NVD — CVE-2026-110073
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110074
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à…
Source : NVD — CVE-2026-110074
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110075
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à…
Source : NVD — CVE-2026-110075
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110076
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à…
Source : NVD — CVE-2026-110076
Adobe Experience Manager : XSS basée sur le DOM — CVE-2026-110077
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable en manipulant l’environnement DOM afin d’exécuter du JavaScript dans le navigateur de la victime. L’exploitation requiert que celle-ci visite une page conçue à…
Source : NVD — CVE-2026-110077
ammonia : contournement de l’assainissement SVG pouvant mener à une XSS
La bibliothèque Rust ammonia peut conserver dans certains SVG une animation ciblant href avec une valeur utilisant le schéma javascript:, ce qui peut créer un lien exécutable après assainissement. Mettre à jour vers la version corrective c…
Source : NVD — CVE-2026-102342
Electron sur macOS : course dans l’assistant ShipIt des mises à jour
Dans certaines applications Electron sur macOS utilisant les mises à jour automatiques Squirrel.Mac, une course dans l’assistant privilégié ShipIt peut détourner une écriture exécutée avec les privilèges root. Mettre à jour vers une des ve…
Source : NVD — CVE-2026-102672
unstructured : génération de HTML non sécurisé pouvant exécuter du JavaScript
La bibliothèque unstructured peut produire du HTML non échappé à partir de contenu non fiable, laissant notamment passer des attributs d’événement et des liens javascript:. Lorsqu’un navigateur affiche le HTML généré, un script peut s’exéc…
Source : NVD — CVE-2026-104250
Koillection : XSS stockée via des pièces jointes HTML
Koillection permet à des utilisateurs authentifiés d’envoyer des fichiers HTML en pièce jointe, servis ensuite comme text/html, ce qui peut déclencher une XSS stockée. La fiche indique les versions affectées jusqu’à 1.8.4, mais ne fournit…
Source : NVD — CVE-2026-110101
QloApps : XSS réfléchie dans le formulaire Additional Facilities
QloApps jusqu’à 1.7.0 contient une XSS réfléchie dans le formulaire d’ajout de facilités du back-office. La valeur `price`, réaffichée sans échappement après un échec de validation, peut exécuter du JavaScript dans la session d’un utilisat…
Source : NVD — CVE-2026-110219
QloApps : XSS réfléchie dans les paramètres de prix des fonctionnalités d’hôtel
QloApps jusqu’à 1.7.0 présente une XSS réfléchie dans le formulaire AdminHotelFeaturePricesSettings. Après l’échec de validation, les valeurs `feature_price_name` et `impact_value` sont réaffichées sans échappement et peuvent exécuter du J…
Source : NVD — CVE-2026-110221
QloApps : XSS réfléchie dans les erreurs de validation de la recherche du back-office
QloApps jusqu’à 1.7.0 comporte une XSS réfléchie dans `AdminSearchConfController::processSave()`. Les valeurs rejetées des champs alias et recherche sont insérées sans échappement dans les erreurs de validation, ce qui peut exécuter du Jav…
Source : NVD — CVE-2026-110224
Omnispace Agora Project : XSS réfléchie via visioUrl
Omnispace Agora Project présente une XSS réfléchie via le paramètre visioUrl, exploitable sans authentification en piégeant une victime avec une URL spécialement construite. La faille concerne les versions antérieures à 26.10.0 ; mettre à…
Source : NVD — CVE-2026-63156
Omnispace Agora Project : XSS stockée dans la messagerie
Omnispace Agora Project présente une XSS stockée dans la messagerie : un utilisateur authentifié peut publier un message contenant un iframe malveillant, ensuite rendu aux autres membres du canal. La faille concerne les versions antérieure…
Source : NVD — CVE-2026-63169
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-110078)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concer…
Source : NVD — CVE-2026-110078
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-110079)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concer…
Source : NVD — CVE-2026-110079
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-110080)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concer…
Source : NVD — CVE-2026-110080
Adobe Experience Manager : XSS stockée (CVE-2026-110081)
Adobe Experience Manager présente une vulnérabilité XSS stockée qu’un attaquant peu privilégié peut exploiter pour injecter des scripts dans des champs de formulaire vulnérables. Le JavaScript peut s’exécuter dans le navigateur d’une victi…
Source : NVD — CVE-2026-110081
Adobe Experience Manager : XSS réfléchie (CVE-2026-110082)
Adobe Experience Manager présente une vulnérabilité XSS réfléchie : un attaquant peu privilégié peut amener une victime à ouvrir une URL faisant référence à une page vulnérable. Du contenu JavaScript peut alors s’exécuter dans le navigateu…
Source : NVD — CVE-2026-110082
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-48398)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concer…
Source : NVD — CVE-2026-48398
Adobe Experience Manager : XSS basée sur le DOM (CVE-2026-83958)
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM permettant l’exécution de JavaScript dans le navigateur d’une victime. L’exploitation nécessite que celle-ci visite une page spécialement conçue ; les versions concer…
Source : NVD — CVE-2026-83958
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM, exploitable si une victime visite une page web préparée. La fiche NVD publiée dans la période décrit cette faille ; les versions affectées, le correctif et les mesur…
Source : NVD — CVE-2026-83960
Rapyd Admin : XSS stockée dans le composant rich-text
Rapyd Admin comporte une XSS stockée dans le composant Blade `x-rpd::rich-text`, qui restitue sans assainissement des valeurs de modèle liées. Un utilisateur authentifié peut enregistrer du JavaScript via l’API client Livewire, exécuté lor…
Source : NVD — CVE-2026-110239
CVE-2026-109715 — Condition de limite incorrecte dans le moteur JavaScript
Une condition de limite incorrecte dans le moteur JavaScript est signalée pour Firefox et Thunderbird. La fiche indique que le problème est corrigé dans Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5; elle ne…
Source : NVD — CVE-2026-109715
Firefox et Thunderbird : condition de limites incorrecte dans le moteur JavaScript
Une condition de limites incorrecte dans le moteur JavaScript de Firefox et Thunderbird a été publiée comme vulnérabilité le 13 octobre 2026. Les versions correctives indiquées sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thund…
Source : NVD — CVE-2026-109716
Firefox et Thunderbird : mauvaise compilation JIT dans JavaScript WebAssembly
Une mauvaise compilation JIT dans le composant JavaScript WebAssembly a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158 et ESR 153.5, ainsi que Thunderbird 158 et 153.5.
Source : NVD — CVE-2026-109720
Firefox et Thunderbird : condition de limites incorrecte dans le JIT JavaScript
Une condition de limites incorrecte dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158 et ESR 153.5, ainsi que Thunderbird 158 et 153.5.
Source : NVD — CVE-2026-109721
Firefox et Thunderbird : mauvaise compilation JIT dans le moteur JavaScript
Une mauvaise compilation JIT dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5.
Source : NVD — CVE-2026-109722
Firefox et Thunderbird : mauvaise compilation JIT dans le moteur JavaScript
Une mauvaise compilation JIT dans le composant JIT du moteur JavaScript a été publiée comme vulnérabilité le 13 octobre 2026. Les correctifs indiqués sont Firefox 158, Firefox ESR 115.43 et 153.5, ainsi que Thunderbird 158 et 153.5.
Source : NVD — CVE-2026-109733
Shopware 6.7 : XSS stockée via des fichiers HTML téléversés
Shopware 6.7 peut servir des fichiers HTML contrôlés par un attaquant en tant que text/html, permettant une XSS stockée lorsqu’un administrateur les consulte. Le vol du jeton d’administration peut mener à des actions non autorisées et, si…
Source : NVD — CVE-2026-104937
blob42 gosuki : XSS stockée dans l’interface web
blob42 gosuki présente une XSS stockée dans l’interface web locale, car des champs d’URL de signets sont rendus sans échappement contextuel adapté. Les données fournies indiquent une vulnérabilité jusqu’au commit 6e2bf34, mais ne précisent…
Source : NVD — CVE-2026-104587
Backend & données
59 alerte(s)SAP MII : élévation de privilèges vers le serveur d’applications sous-jacent
SAP Manufacturing Integration and Intelligence ne contrôle pas suffisamment certaines limites d’autorisation administratives : un administrateur MII peut créer un compte doté de privilèges élevés sur le serveur d’applications Java sous-jac…
Source : NVD — CVE-2026-89108
Vitess — XSS via le point de débogage /twopcz
Une faille XSS dans Vitess permet à un attaquant distant non authentifié d’injecter du contenu dans la réponse HTML du point de terminaison de débogage `/twopcz`. Si un opérateur ouvre la requête piégée, le script s’exécute sur l’origine d…
Source : NVD — CVE-2026-104252
SSRF dans le SAP Cloud SDK for Python pouvant exposer des identifiants OAuth2
Une vulnérabilité SSRF affecte le SAP Cloud SDK for Python dans des applications BTP multi-locataires : un attaquant contrôlant le paramètre tenant_subdomain peut détourner des requêtes de jeton OAuth2 vers un serveur qu’il contrôle. Les i…
Source : NVD — CVE-2026-89111
Élévation locale de privilèges dans Python
CVE-2026-85864 concerne une mauvaise gestion des privilèges dans Python, permettant à un attaquant autorisé d’élever localement ses privilèges. La fiche NVD fournie ne précise ni les versions concernées ni le correctif ; vérifier les infor…
Source : NVD — CVE-2026-85864
CVE-2025-26240 — python-pdfkit : exécution de JavaScript et accès à des fichiers locaux
Dans python-pdfkit 1.0.0, la méthode `from_string` peut permettre l’exécution de JavaScript dans le contexte serveur et l’exfiltration de fichiers locaux. Les éléments fournis ne précisent ni version corrigée ni action d’atténuation.
Source : NVD — CVE-2025-26240
Parse Server : interférence entre lots transactionnels affectant les écritures PostgreSQL
Une vulnérabilité de concurrence dans Parse Server peut faire interférer les transactions d’une requête avec les écritures d’autres clients sur PostgreSQL. Selon les conditions, des écritures acquittées peuvent être annulées et des transac…
Source : NVD — CVE-2026-109954
Arrêt possible de MongoDB Server lors d’une insertion avec un validateur particulier
Une expression particulière enregistrée dans un validateur de collection MongoDB Server peut provoquer l’arrêt du processus lorsque des documents sont insérés. Le scénario décrit requiert un utilisateur authentifié disposant de droits d’éc…
Source : NVD — CVE-2026-104004
Arrêt de mongos déclenchable par un pipeline d’agrégation
Dans MongoDB mongos, un utilisateur authentifié disposant de privilèges readWrite peut provoquer l’arrêt du routeur au moyen d’un pipeline d’agrégation spécialement construit. L’arrêt interrompt le service pour les clients acheminés par l’…
Source : NVD — CVE-2026-104005
Arrêt de mongos déclenchable par un pipeline d’agrégation
Dans MongoDB mongos, un utilisateur authentifié disposant de privilèges readWrite peut provoquer l’arrêt du routeur au moyen d’un pipeline d’agrégation spécialement construit. L’arrêt interrompt le service pour les clients acheminés par l’…
Source : NVD — CVE-2026-96299
Nginx UI — défaut de validation OAuth `state` dans l’intégration Casdoor
Avant Nginx UI 2.4.1, l’intégration Casdoor utilisait une valeur OAuth `state` constante et ne la liait pas à la session du navigateur ayant lancé l’authentification. Un attaquant non authentifié pouvait ainsi amener une victime à terminer…
Source : NVD — CVE-2026-84312
FrankenPHP : fuite possible d’identifiants de session en mode worker
Dans certaines compilations de FrankenPHP antérieures à 1.12.5, le mode worker peut conserver l’état de session PHP entre des requêtes et réutiliser un identifiant de session périmé ou appartenant à un autre client. Cela peut exposer des s…
Source : NVD — CVE-2026-82416
Qwik : une requête peut provoquer l’arrêt du serveur lors de la désérialisation
Avant @builder.io/qwik 1.20.0 et @qwik.dev/core 2.0.0-beta.37, la désérialisation serveur peut traiter un objet contrôlé par l’attaquant comme une promesse et provoquer un rejet asynchrone non géré, susceptible d’arrêter le serveur Node.js…
Source : NVD — CVE-2026-84994
Engine.IO : arrêt possible du processus lors d’une mise à niveau de transport
Dans Engine.IO 6.6.0 à 6.6.9, une mise à niveau de transport peut utiliser une révision de protocole différente de celle de la session existante et provoquer une exception non interceptée qui arrête le processus Node.js. Mettez à jour Engi…
Source : NVD — CVE-2026-102599
Heym : contournement du bac à sable de l’outil Python
Dans Heym, un utilisateur authentifié pouvant créer ou modifier un workflow avec un outil Python personnalisé peut contourner le bac à sable et exécuter des commandes ainsi que des opérations sur les fichiers avec les droits du processus b…
Source : NVD — CVE-2026-55376
dataclasses-avroschema : injection de code via des valeurs de défaut Avro
Dans dataclasses-avroschema, des valeurs de champs contrôlées par le schéma sont insérées sans échappement dans des littéraux Python générés. Une valeur élaborée peut injecter du code qui s’exécute à l’import du module généré; la correctio…
Source : NVD — CVE-2026-108375
dataclasses-avroschema : injection d’expression via un nom de record Avro
Dans dataclasses-avroschema, le nom d’un record référencé fourni par le schéma peut être inséré dans la position appelable d’une expression default_factory générée sans validation. Un nom élaboré peut ainsi provoquer l’exécution d’une expr…
Source : NVD — CVE-2026-108376
dataclasses-avroschema : injection de code via le nom d’un record Avro
Dans dataclasses-avroschema, un nom de record Avro contrôlé par le schéma est copié sans échappement dans le champ Meta.schema_name du code Python généré. Un nom élaboré peut injecter des instructions exécutées à l’import du module; la ver…
Source : NVD — CVE-2026-108377
dataclasses-avroschema : injection de code via une docstring générée
Dans dataclasses-avroschema, la documentation d’un record est copiée sans échappement dans une docstring Python générée. Des guillemets ou antislashs élaborés peuvent injecter du code exécuté à l’import du module; la version 0.70.6 corrige…
Source : NVD — CVE-2026-108378
dataclasses-avroschema : injection de code via le namespace d’un type fixed
Dans dataclasses-avroschema, le namespace d’un type fixed est inséré sans validation dans une annotation Python générée. Un namespace spécialement conçu peut modifier l’expression évaluée lors de la définition de la classe et exécuter du c…
Source : NVD — CVE-2026-108379
dataclasses-avroschema : injection de code via la documentation d’un champ Pydantic
Dans dataclasses-avroschema, la documentation d’un champ contrôlée par le schéma est insérée sans échappement dans l’argument description d’un champ Pydantic généré. Une valeur élaborée peut injecter une expression Python exécutée lors de…
Source : NVD — CVE-2026-108380
dataclasses-avroschema : injection de code via une annotation Pydantic générée
Dans les générateurs Pydantic et AvroDantic de dataclasses-avroschema, une valeur pydantic-class contrôlée par le schéma est incorporée sans restriction dans une annotation Python. Comme les annotations sont évaluées à l’import du module g…
Source : NVD — CVE-2026-108381
Injection de code lors de la génération d’énumérations Avro
Dans dataclasses-avroschema, des symboles d’énumération contrôlés par le schéma pouvaient injecter du code Python dans une classe d’énumération générée, exécuté à l’import du module. Les versions 0.38.0 à 0.70.5 sont concernées et la versi…
Source : NVD — CVE-2026-108382
Injection dans le code généré à partir d’une valeur par défaut d’énumération
Dans dataclasses-avroschema, une valeur par défaut d’énumération contrôlée par le schéma pouvait être insérée dans le code généré sans validation comme identifiant, permettant d’injecter des instructions contraintes ou d’empêcher le charge…
Source : NVD — CVE-2026-108383
Exécution de code par une valeur aliases malformée dans un schéma Avro
Dans dataclasses-avroschema, une valeur aliases de type chaîne fournie dans un schéma pouvait être interpolée comme expression Python non citée dans le module généré, puis exécutée lors de son import. Les versions 0.38.0 à 0.70.5 sont conc…
Source : NVD — CVE-2026-108384
Injection dans une classe d’énumération générée
Dans dataclasses-avroschema, les symboles d’énumération issus du schéma pouvaient être utilisés comme noms de membres générés sans validation d’identifiant, permettant d’altérer le corps de classe généré ou d’empêcher le chargement du modu…
Source : NVD — CVE-2026-108385
CVE-2025-71339 — Picklescan : gadget pickle non détecté pouvant conduire à une exécution de code
Picklescan, avant la version 0.0.33, ne détecte pas un gadget lié à `numpy.f2py.crackfortran._eval_length` dans certaines méthodes `__reduce__` de pickle. Un pickle malveillant peut alors exécuter du code Python chez une personne qui le ch…
Source : NVD — CVE-2025-71339
CVE-2026-97687 — urllib3 : paramètres TLS mal séparés pour les proxys HTTPS
Dans urllib3, des paramètres TLS destinés au serveur cible peuvent être appliqués par erreur à la connexion TLS vers un proxy HTTPS, notamment avec certaines configurations de transfert HTTPS. Cela peut affaiblir la vérification du certifi…
Source : NVD — CVE-2026-97687
CVE-2026-97689 — urllib3 : épuisement mémoire via une ligne de fragment HTTP non terminée
Dans urllib3, le parseur des réponses HTTP fragmentées peut conserver en mémoire une ligne de taille de fragment très longue jusqu’à recevoir une nouvelle ligne ou la fin du flux. Un serveur malveillant peut envoyer une ligne non terminée…
Source : NVD — CVE-2026-97689
CVE-2026-106558 — Backstage TechDocs : contournement de sanitisation et exécution de code Python
Dans le générateur TechDocs de Backstage, la validation incorrecte d’une configuration `markdown_extensions` au format mapping peut permettre à un utilisateur authentifié influençant une source de documentation SCM de contourner la sanitis…
Source : NVD — CVE-2026-106558
CVE-2026-107286 — Pydantic AI : places de concurrence retenues après des flux interrompus
Dans Pydantic AI, certains flux de requêtes limités par `ConcurrencyLimitedModel` ou `limit_model_concurrency` peuvent conserver des places de capacité après une interruption, une annulation ou une exception. À terme, d’autres requêtes par…
Source : NVD — CVE-2026-107286
OpenRemote : résolution d’entités externes lors de l’import KNX
Avant OpenRemote 1.24.2, l’import d’un projet ETS pouvait traiter un fichier XML avec des parseurs autorisant la résolution d’entités externes. Un utilisateur authentifié pouvait ainsi lire des fichiers accessibles au processus Java ou pro…
Source : NVD — CVE-2026-54640
OpenRemote : divulgation d’informations utilisateur entre royaumes
Avant OpenRemote 1.24.2, plusieurs points d’accès de lecture des utilisateurs ne vérifiaient pas que l’utilisateur demandé appartenait au royaume de l’appelant. Un administrateur de royaume disposant du rôle read:admin pouvait consulter le…
Source : NVD — CVE-2026-54641
Conductor : SSRF lors de la récupération d’une fiche d’agent
Conductor-oss Conductor jusqu’à 3.32.5 comporte une SSRF dans A2AService.getAgentCard : l’argument agentUrl peut être manipulé pour faire effectuer des requêtes par le serveur. Une divulgation publique de l’exploit est signalée ; aucun cor…
Source : NVD — CVE-2026-109403
Conductor : SSRF dans la tâche de publication Kafka
Conductor-oss Conductor jusqu’à 3.33.0-rc10 comporte une SSRF dans KafkaPublishTask.start : la valeur kafka_request.bootStrapServers peut être manipulée à distance. Une divulgation publique de l’exploit est signalée ; aucun correctif n’est…
Source : NVD — CVE-2026-109405
SSRF dans la gem Ruby IFSC de Razorpay
La gem Ruby IFSC de Razorpay présente une SSRF : une valeur IFSC spécialement construite peut rediriger la requête de recherche vers un hôte interne ou choisi par l’attaquant. Les versions jusqu’à 2.0.62 inclus sont indiquées comme affecté…
Source : NVD — CVE-2026-110222
Analyse DER de clés privées : dépassement d’entier et allocation excessive dans ConnectBot SSH Client Library
Dans `sshlib` jusqu’à la version 0.3.0, l’analyse des longueurs DER d’une clé privée fournie à l’application peut provoquer un dépassement d’entier ou une allocation mémoire excessive. Cela peut faire échouer le processus, notamment par `O…
Source : NVD — CVE-2026-54697
ConnectBot SSH Client Library : déni de service par paquet SSH malformé
Avant la version 0.3.1, le parseur de protocole SSH de ConnectBot SSH Client Library ne vérifie pas que les longueurs et nombres d’éléments déclarés dans un paquet tiennent dans celui-ci. Un serveur SSH malveillant peut provoquer une alloc…
Source : NVD — CVE-2026-54700
Divulgation possible de valeurs dans les agrégations MongoDB Server
MongoDB Server peut mal traiter certaines constantes lors de la réécriture interne de requêtes d’agrégation, et renvoyer des valeurs de champs que la requête ne devait pas exposer. Le problème concerne, sous certaines conditions, un utilis…
Source : NVD — CVE-2026-103965
Lecture de mémoire libérée possible lors d’agrégations MongoDB Server
Un défaut d’utilisation de mémoire libérée dans la fonctionnalité d’agrégation de MongoDB Server peut conduire à lire des données qui ne sont plus à l’emplacement mémoire attendu. Les résultats peuvent contenir des données sans rapport ave…
Source : NVD — CVE-2026-96297
GitLab : lecture non autorisée de notes via GraphQL
GitLab CE/EE présentait un défaut d’autorisation dans l’API GraphQL pouvant permettre, sous certaines conditions, à un utilisateur non authentifié de lire des notes internes et confidentielles sur des projets publics. Les versions correcti…
Source : NVD — CVE-2026-85529
WPGraphQL : exposition possible de données sensibles
WPGraphQL comporte un défaut d’autorisation susceptible d’exposer des données sensibles intégrées. La fiche consultée indique que les versions jusqu’à 2.23.1 sont concernées ; la source consultée ne précise pas de version corrective.
Source : NVD — CVE-2026-109703
Phase Console : accès non autorisé à l’historique des secrets via GraphQL
Phase Console permettait à des membres d’organisation dépourvus du droit de lecture des secrets d’interroger l’historique des secrets via la requête GraphQL secretHistory. La fiche indique que les versions jusqu’à 2.77.3 sont concernées ;…
Source : NVD — CVE-2026-110210
FrankenPHP : exposition de phpinfo() dans certaines images Docker dérivées
Avant FrankenPHP 1.12.5, les images Docker Debian et Alpine officielles contiennent un fichier /app/public/index.php par défaut qui exécute phpinfo(). Si une image dérivée ne remplace pas ce fichier, la page de diagnostic peut révéler des…
Source : NVD — CVE-2026-85733
OAuthLib : injection JavaScript via le callback JSONP du point de révocation
Dans OAuthLib, un paramètre callback non validé peut être réfléchi dans les réponses JSONP du point de révocation et permettre l’exécution de JavaScript dans l’origine de l’application qui charge cette réponse. Le problème concerne les ver…
Source : NVD — CVE-2026-49264
Axios : les règles CIDR de NO_PROXY peuvent ne pas protéger les requêtes
Dans Axios 1.15.0 à 1.19.x, les entrées CIDR de `NO_PROXY` ne sont pas évaluées comme des plages réseau, de sorte que certaines requêtes censées contourner le proxy y sont envoyées. Mettez à jour vers Axios 1.20.0 ou ultérieur et vérifiez…
Source : NVD — CVE-2026-101899
Évasion du bac à sable et accès mémoire arbitraire dans asteval
Dans asteval, l’interpréteur par défaut avec NumPy activé expose un type ctypes accessible permettant des accès mémoire via from_address, tandis que les affectations d’attributs ne sont pas filtrées. Une expression contrôlée par un attaqua…
Source : NVD — CVE-2026-102734
OAuthLib : fuite temporelle dans la vérification PKCE
Dans OAuthLib, les comparaisons des valeurs code_verifier et des challenges PKCE utilisent une égalité de chaînes ordinaire, susceptible de révéler des informations de préfixe par mesure du temps. L’exploitation pratique est compliquée par…
Source : NVD — CVE-2026-49265
CVE-2026-97688 — urllib3 : boucle infinie lors du décodage de réponses Deflate
Dans urllib3, une réponse Deflate fragmentée contenant des octets après la fin du flux peut faire tourner indéfiniment `HTTPResponse.stream` ou `read_chunked` dans certaines conditions de lecture par morceaux. Un serveur malveillant peut a…
Source : NVD — CVE-2026-97688
CVE-2026-107289 — Pydantic AI : contournement du blocage des métadonnées cloud via IPv6
Dans Pydantic AI, certaines configurations autorisant l’accès local peuvent contourner le blocage des adresses de métadonnées cloud lorsqu’un identifiant de zone IPv6 est ajouté à l’adresse. Cela peut exposer des identifiants IAM, mais le…
Source : NVD — CVE-2026-107289
CVE-2026-107290 — Pydantic AI : consommation excessive de ressources lors du traitement de réponses Web
Dans Pydantic AI, le traitement de réponses contrôlées par un serveur peut entraîner une complexité quadratique lors de l’extraction de titres, de la normalisation des espaces et de la numérotation de listes. Une page de taille modeste peu…
Source : NVD — CVE-2026-107290
Conductor : SSRF dans Agentspan Agent Runtime
Conductor-oss Conductor jusqu’à 3.33.0-rc10 comporte une SSRF dans le composant Agentspan Agent Runtime, associée à AgentController.java. Les éléments fournis ne précisent ni l’entrée exploitable exacte ni une version corrigée ; vérifier l…
Source : NVD — CVE-2026-109404
SLE API for Java : déni de service par longueur de PDU non bornée
Avant SLE API for Java 5.1.7, le traitement des PDU ISP1 pouvait allouer un tableau à partir d’une longueur contrôlée par l’attaquant, sans limite supérieure. Un client non authentifié du service SLE pouvait provoquer des exceptions, une c…
Source : NVD — CVE-2026-54086
auth0/java-jwt : terminaison de thread lors de l’analyse de revendications temporelles
La bibliothèque auth0/java-jwt peut terminer un thread lorsqu’elle traite un JWT contenant une valeur hors plage dans une revendication temporelle exp, nbf ou iat. Comme l’erreur survient avant la vérification de signature, des requêtes ré…
Source : NVD — CVE-2026-85473
PublicCMS : redirection ouverte via returnUrl
PublicCMS comporte une redirection ouverte dans SafeConfigComponent.getSafeUrl, au niveau du point de terminaison pay : la valeur returnUrl peut être manipulée à distance. Les éléments fournis indiquent une divulgation publique de l’exploi…
Source : NVD — CVE-2026-109160
MeterSphere : SSRF dans l’analyseur Swagger3
MeterSphere présente une vulnérabilité SSRF dans le composant Swagger3 Parser : la valeur swaggerUrl transmise à Swagger3ParserApiDefinition.testUrlTimeout peut être manipulée à distance. Les éléments fournis signalent une divulgation publ…
Source : NVD — CVE-2026-109189
Conductor : SSRF dans la configuration des outils API
Conductor-oss Conductor 3.31.2 comporte une SSRF dans ListApiToolsTask.start : l’argument specUrl peut conduire le serveur à effectuer une requête vers une destination contrôlée. L’exploit est signalé comme publiquement divulgué ; aucun co…
Source : NVD — CVE-2026-109190
Conductor : SSRF dans le service MCP
Conductor-oss Conductor 3.22.0 comporte une SSRF dans MCPService.listTools : la valeur mcpServer peut être manipulée afin de provoquer des requêtes depuis le serveur. La vulnérabilité est signalée comme publiquement divulguée ; les élément…
Source : NVD — CVE-2026-109402
Fastify : contournement possible de la validation de certains en-têtes
Dans Fastify 5.12.2 à 5.12.5, des noms d’en-tête définis dans certaines règles `propertyNames` ne sont pas convertis en minuscules, ce qui peut permettre de contourner une règle de validation et de transmettre un en-tête interdit au gestio…
Source : NVD — CVE-2026-107832
CVE-2026-107288 — Pydantic AI : contournement de la comparaison des domaines bloqués
Dans certaines versions de Pydantic AI, le contrôle des domaines bloqués compare des noms d’hôte avant normalisation, ce qui peut laisser passer des variantes IDNA, des séparateurs Unicode, des différences de casse ou un point final. Un mo…
Source : NVD — CVE-2026-107288
CMS & e-commerce
12 alerte(s)XSS stockée dans Bit Integrations via une configuration webhook spécifique
Bit Integrations jusqu’à la version 2.10.6 incluse présente une XSS stockée exploitable sans authentification dans une configuration particulière d’intégration avec BuddyBoss. L’attaque nécessite un flux préconfiguré reliant le webhook pub…
Source : NVD — CVE-2026-102007
XSS stockée dans AcyMailing via le formulaire public d’inscription
AcyMailing jusqu’à la version 11.1.0 incluse est vulnérable à une XSS stockée via le paramètre customField[] de son endpoint public d’inscription. Une valeur piégée peut être rendue sans encodage dans l’archive en ligne d’un abonné et décl…
Source : NVD — CVE-2026-102562
CVE-2026-95631 : exécution de code arbitraire dans Adobe Commerce
Adobe Commerce présente une vulnérabilité de validation incorrecte des entrées pouvant permettre l’exécution de code arbitraire avec les privilèges de l’utilisateur courant. L’exploitation nécessite des privilèges élevés, mais aucune inter…
Source : NVD — CVE-2026-95631
CVE-2026-108174 — Contrôle d’accès manquant dans FOX
Une vulnérabilité de contrôle d’accès manquant affecte le plugin FOX (woocommerce-currency-switcher) jusqu’à la version 1.5.4. La description fournie n’indique pas quelles opérations peuvent être réalisées sans autorisation ; mettez à jour…
Source : NVD — CVE-2026-108174
CVE-2026-108489 — Divulgation de données sensibles dans Active Products Tables for WooCommerce
Une vulnérabilité de divulgation de données sensibles affecte Active Products Tables for WooCommerce. Les versions concernées vont jusqu’à 2.1.3 inclusivement ; aucun correctif n’est indiqué dans la source fournie.
Source : NVD — CVE-2026-108489
CVE-2026-108493 — Défaut d’autorisation dans Pay for Payment for WooCommerce
Une vulnérabilité d’autorisation affecte Pay for Payment for WooCommerce. Les versions concernées vont jusqu’à 3.0.1 inclusivement ; aucun correctif n’est indiqué dans la source fournie.
Source : NVD — CVE-2026-108493
CVE-2026-109896 — Défaut d’autorisation dans Download Monitor integration for WooCommerce
Une vulnérabilité d’autorisation affecte Download Monitor integration for WooCommerce. Les versions concernées vont jusqu’à 1.0.3 inclusivement ; aucun correctif n’est indiqué dans la source fournie.
Source : NVD — CVE-2026-109896
WP Testimonials expose les visiteurs à du JavaScript stocké dans les témoignages
Le plugin WordPress WP Testimonials jusqu’à la version 1.4.13 ne neutralise pas correctement le contenu des témoignages et peut annuler l’assainissement HTML de WordPress lors de l’affichage. Un utilisateur ayant le rôle Auteur ou supérieu…
Source : NVD — CVE-2026-89269
Écriture arbitraire de fichiers dans WP-BusinessDirectory
WP-BusinessDirectory jusqu’à la version 4.0.2 ne limite pas suffisamment le type ni la destination des fichiers traités par un gestionnaire d’envoi accessible sans authentification. Un attaquant non authentifié peut écrire du contenu arbit…
Source : NVD — CVE-2026-89271
Injection SQL de second ordre dans Animated Number Counters
Animated Number Counters jusqu’à la version 3.0 incluse présente une injection SQL de second ordre via le paramètre counterid. Un attaquant authentifié disposant du rôle Editor ou supérieur peut exploiter une valeur stockée puis lue sans r…
Source : NVD — CVE-2026-15399
Divulgation d’informations sensibles dans Ad Inserter
Ad Inserter jusqu’à la version 2.8.18 incluse expose des informations sensibles via ai_wp_footer_hook à des utilisateurs authentifiés ayant le rôle Subscriber ou supérieur. Les données accessibles peuvent inclure des informations de config…
Source : NVD — CVE-2026-89097
TYPO3 CMS — exposition potentielle de fichiers téléversés (CVE-2026-109162)
Dans TYPO3 CMS, les éléments FileUpload et ImageUpload configurés avec un saveToFileMount personnalisé pouvaient enregistrer les fichiers téléversés dans le stockage par défaut plutôt que dans la destination configurée. Des fichiers destin…
Source : CVE-2026-109162 — NVD
Systèmes & serveurs
4 alerte(s)Linux : élévation locale de privilèges par course TOCTOU
Une course TOCTOU dans le noyau Linux pourrait permettre à un attaquant autorisé d’élever localement ses privilèges. Les versions affectées et le correctif ne sont pas précisés dans les informations vérifiées ; appliquer les mises à jour d…
Source : NVD — CVE-2026-62840
DLA-4832-1 : mise à jour de sécurité pour nagios4
Debian a publié l’avis DLA-4832-1 pour nagios4, signalant plusieurs vulnérabilités pouvant entraîner une falsification de requête intersites, des scripts intersites ou l’exécution de commandes arbitraires. Les CVE concernées, les versions…
Source : DLA-4832-1 nagios4 – security update
Debian LTS : correctif de sécurité pour Keystone (CVE-2026-90460)
L’avis LTS Debian DLA-4834-1 du 2026-10-13 corrige une vulnérabilité dans la gestion de l’authentification déléguée de Keystone, susceptible d’entraîner une divulgation d’informations ou une élévation de privilèges. Pour Debian 12 bookworm…
Source : DLA-4834-1 — annonce Debian LTS
Debian LTS : avis de sécurité Chromium DLA-4833-1
L’avis Debian LTS DLA-4833-1, publié le 2026-10-13, annonce des correctifs de sécurité pour Chromium susceptibles de prévenir l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. La version Debian 12 indiqu…
Source : DLA-4833-1 — annonce Debian LTS
Cloud & DevOps
6 alerte(s)Docker Hub : réaffectation non autorisée de jetons d’accès personnels
Une vulnérabilité dans la conversion d’un compte Docker Hub en organisation permettait à un utilisateur authentifié de réattribuer à un autre utilisateur un jeton d’accès personnel qu’il contrôlait, sans changer son secret. Le jeton pouvai…
Source : NVD — CVE-2026-105445
NVIDIA AIStore : paramètres Kubernetes dangereux dans l’API ETL legacy
Une vulnérabilité dans l’ancienne API d’initialisation de PodSpec Kubernetes d’AIStore ETL permettait à un attaquant distant de fournir des paramètres liés aux espaces de noms de l’hôte et à la sécurité des conteneurs. Selon la fiche NVD,…
Source : NVD — CVE-2026-65162
Argo CD : contournement des restrictions AppProject par les hooks de suppression
Argo CD n’appliquait pas les contrôles d’autorisation AppProject aux hooks de ressources PostDelete, contrairement aux hooks de synchronisation ordinaires. Un utilisateur pouvant écrire dans le dépôt Git de l’application pouvait ainsi fair…
Source : NVD — CVE-2026-77459
NVIDIA AIStore : contrôle d’accès manquant dans l’API de gestion ETL
Une absence de contrôle d’autorisation dans l’API de gestion ETL d’AIStore pouvait permettre à un attaquant distant non authentifié d’accéder à des informations ETL ou de contrôler des tâches existantes en adressant des requêtes à un proxy…
Source : NVD — CVE-2026-65172
Docker Distribution : absence de vérification du digest des manifestes
Le client de Docker Distribution ne vérifiait pas que le contenu d’un manifeste reçu correspondait au digest demandé, ce qui pouvait permettre la substitution de contenu lors d’une requête épinglée par digest. Le correctif est inclus dans…
Source : NVD — CVE-2026-85747
GitLab : fuite possible de jetons via le proxy Kubernetes
Une validation insuffisante des redirections dans le proxy Kubernetes de GitLab pouvait, sous certaines conditions, permettre à un utilisateur authentifié contrôlant un agent Kubernetes de faire transmettre des jetons d’authentification se…
Source : NVD — CVE-2026-7767