Les sujets à surveiller, en un regard.
54 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 2 sujet(s) en rouge, 2 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif de vulnérabilité, exploitation confirmée ou changement substantiel de sécurité Shopify daté dans la période demandée. Le changelog Shopify annonce le 15 octobre un outil d’analyse de sécurité pour les applications, mais cette annonce d’outil ne constitue pas en elle-même un avis de vulnérabilité ni un correctif.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis GHSA daté du 2026-10-15 signale un paquet npm malveillant associé à une tentative de confusion de dépendances visant des noms de modules internes Wix. Les éléments disponibles décrivent une menace pour les consommateurs du paquet, mais n’établissent pas une vulnérabilité du service Wix ni une compromission effective de Wix.
Paquet npm malveillant visant des dépendances internes Wix
Un avis publié pendant la période signale le paquet npm util-foriepft@1.0.0 comme malveillant : son chargement exécuterait des commandes système et transmettrait leur résultat à un collecteur distant. Le rapport le relie à une tentative de confusion de dépendances visant des noms de modules internes Wix; il s’agit d’une menace de chaîne d’approvisionnement ciblant l’écosystème Wix, et non d’une vulnérabilité démontrée dans le service Wix lui-même.
Action recommandée : Vérifier les dépendances npm et journaux d’installation pour util-foriepft@1.0.0; si le paquet a été chargé, l’isoler, le supprimer et mener une investigation de compromission.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a fait ressortir aucun avis, correctif de sécurité, exploitation ou changement substantiel vérifiable comme daté de la période du 2026-10-15T00:00:00+02:00 inclus au 2026-10-16T00:00:00+02:00 exclu. Les résultats pertinents consultés étaient hors période ou ne documentaient pas un événement de sécurité daté dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée a relevé les deux candidats NVD et consulté les avis de sécurité Craft CMS sur GitHub. Les avis Craft correspondants aux vulnérabilités évoquées sont antérieurs à la période ; pour les deux candidats, les éléments fournis indiquent une publication NVD antérieure au 2026-10-15 et une modification de fiche pendant la période, sans preuve consultée d’un nouvel avis, d’un correctif ou d’un changement substantiel daté de cette période. Aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun avis de sécurité Ghost ni événement de vulnérabilité daté du 2026-10-15 dans les résultats consultés. Les avis GitHub affichés sont antérieurs à la période, et le billet Ghost daté du 15 octobre concerne une fonctionnalité, pas la sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Strapi sur la période du 2026-10-15T00:00:00+02:00 inclus au 2026-10-16T00:00:00+02:00 exclu. Les sources consultées n’ont fourni aucun avis, correctif ou autre événement de sécurité Strapi daté de cette période; les avis de sécurité trouvés étaient antérieurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée sur Directus n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-10-15T00:00:00+02:00 au 2026-10-16T00:00:00+02:00. Les avis Directus remontés par la recherche portent des dates de publication antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche web dédiée à OpenCart n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel attribuable à OpenCart et daté de la période demandée (du 2026-10-15T00:00:00+02:00 inclus au 2026-10-16T00:00:00+02:00 exclu). Les résultats consultés concernaient le dépôt du projet et des éléments antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis concernant un plugin tiers pour WHM/cPanel a été publié pendant la période : CVE-2026-104586, injection de commandes dans AUTOM8N. Aucun avis cPanel distinct daté de cette période n’a été vérifié dans les résultats consultés.
Injection de commandes dans le plugin AUTOM8N pour WHM/cPanel
Le 15 octobre 2026, une fiche CVE a été publiée pour une injection de commandes système dans `borg_restore.cgi` du plugin AUTOM8N pour WHM/cPanel. Les informations consultées identifient les versions jusqu’au commit `82821f7` comme concernées, mais ne précisent ni version corrigée ni mesure d’atténuation.
Action recommandée : Vérifier l’utilisation du plugin AUTOM8N et appliquer les consignes de correction de son mainteneur dès qu’elles sont disponibles. Aucune version corrigée n’a été confirmée par les sources consultées.
Ruby
Recherche du sujet effectuée
La recherche ciblée sur Ruby n’a pas identifié de nouvel avis, correctif de sécurité, exploitation ou changement substantiel daté du 2026-10-15 dans les sources consultées. Les avis de sécurité Ruby visibles dans les résultats officiels sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
Recherche dédiée effectuée sur Bun (oven-sh/bun) pour la période du 2026-10-15T00:00:00+02:00 inclus au 2026-10-16T00:00:00+02:00 exclu. Les sources consultées n’ont pas permis de vérifier de nouvel avis de sécurité, correctif de sécurité, exploitation ou changement substantiel concernant Bun, daté dans cette période; une version publiée le 10 octobre est hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité Deno correspondant à la période du 2026-10-15T00:00:00+02:00 au 2026-10-16T00:00:00+02:00 n’a été identifié dans les résultats consultés. Les avis Deno visibles sur la page GitHub consultée sont datés antérieurement à cette période; les annonces Deno repérées pour octobre 2026 ne sont pas des avis de sécurité datés du 15 octobre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Critique
Cinq avis GitHub de sécurité datés du 15 octobre 2026 dans la période demandée concernent des logiciels de l’écosystème Go : trois avis sur GitHub CLI, un sur Terragrunt et un sur Sliver. Les candidats NVD antérieurs à cette période n’ont pas été retenus comme nouveautés sur la seule base d’une date de mise à jour de fiche. Les candidats fournis sont des avis GitHub publiés le 2026-10-15 concernant Nginx UI, projet de l’écosystème Go. Ils décrivent des failles de contrôle d’accès, de validation de configuration, de gestion des sauvegardes et de jetons ; les détails et versions retenus sont ceux indiqués dans chaque avis. Les candidats fournis sont des avis GitHub publiés le 2026-10-15 concernant des vulnérabilités de composants Go. Les détails, versions affectées et correctifs sont rapportés selon les éléments de chaque avis; aucune exploitation active n’est établie par ce lot. Le lot contient dix avis de sécurité publiés le 2026-10-15 concernant des projets Go, notamment kin-openapi, Argo CD, KEDA, Talos, containerd et Distribution. Les avis décrivent des problèmes de déni de service, de contrôle d’accès, d’exposition de secrets, de restauration de conteneurs et d’intégrité de manifestes ; les versions correctives sont indiquées lorsqu’elles sont fournies par les candidats. Trois avis de sécurité pertinents pour des projets de l’écosystème Go ont été publiés dans la période : containerd (CVE-2026-95838), SFTPGo (CVE-2026-103028) et Podman (CVE-2026-94603).
Vitess : XSS réfléchie dans le gestionnaire vttablet `/twopcz`
Une faille XSS réfléchie dans le gestionnaire `/twopcz` de Vitess permet d’injecter des valeurs de formulaire dans la réponse HTML sans échappement. L’avis rapporte un correctif sur la branche principale, mais aucun correctif publié n’est précisé dans les données fournies.
Action recommandée : Appliquer une version corrigée dès qu’elle est disponible auprès de l’éditeur; limiter l’accès réseau à l’interface HTTP vttablet et aux endpoints de diagnostic.
Dgraph : endpoints administratifs Zero accessibles sans authentification
Dgraph Zero expose des endpoints administratifs HTTP sans authentification lorsque le port 6080 est accessible. Une requête sur `/removeNode` peut perturber le plan de contrôle; la version 25.4.0 corrige le problème.
Action recommandée : Mettre à niveau vers Dgraph 25.4.0 ou une version ultérieure; ne pas exposer le port Zero 6080 à des réseaux non fiables.
Podman — une image de checkpoint peut neutraliser les options de confinement
Podman pouvait interpréter une image portant l’annotation de checkpoint comme un checkpoint et ignorer les options de sécurité fournies à `podman run`, laissant le contenu de l’image contrôler le bac à sable du conteneur. La fonctionnalité a été retirée; mettre à jour vers la version corrigée de sa branche et rejeter les images portant cette annotation avant mise à jour.
Action recommandée : Mettre à jour Podman vers 5.8.8 ou 6.1.3, selon la branche utilisée; en attendant, rejeter les images portant l’annotation de checkpoint.
Argo CD : les hooks de suppression contournent les restrictions AppProject
Lors de la suppression d’une application Argo CD, les hooks PreDelete et PostDelete peuvent être créés sans appliquer les restrictions de destination et de ressources de l’AppProject. Un utilisateur capable de modifier le dépôt Git synchronisé peut ainsi préparer un hook qui s’exécute avec les privilèges du contrôleur ; les versions corrigées indiquées sont 3.3.15, 3.4.10, 3.5.4 et 3.6.0-rc2.
Action recommandée : Mettre à niveau vers une version corrigée prise en charge (3.3.15, 3.4.10, 3.5.4 ou 3.6.0-rc2, selon la branche). Pour les branches non prises en charge, migrer vers une branche corrigée.
KEDA : élévation de privilèges via l’exposition du jeton de l’opérateur
Un administrateur d’espace de noms peut, sous les préconditions indiquées, amener l’opérateur KEDA à transmettre son jeton de ServiceAccount à une URL contrôlée par le locataire. Ce jeton dispose de droits étendus à l’échelle du cluster ; la version corrigée indiquée pour KEDA v2 est 2.21.0.
Action recommandée : Mettre à niveau KEDA v2 vers 2.21.0 ou une version ultérieure.
Sliver : épuisement mémoire possible via le décodeur PNG d’un écouteur HTTP(S)
Le serveur Sliver pouvait épuiser sa mémoire lors du traitement d’images PNG envoyées à un écouteur HTTP(S), entraînant une perte de disponibilité. Mettre à jour vers 1.7.6; l’avis ne précise pas de contournement.
Action recommandée : Mettre à jour Sliver vers 1.7.6.
Nginx UI — contournement de validation des directives via MCP (CVE-2026-84319)
Une faille dans les outils de configuration MCP de Nginx UI permet à un utilisateur authentifié secondaire de contourner la validation des directives Nginx restreintes et d’exécuter du NJS dans le contexte des workers. Le correctif indiqué est la version 1.9.10-0.20260703131214-23d1934099b0 ; mettez à niveau Nginx UI.
Action recommandée : Mettre à niveau vers la version corrigée ; limiter l’accès MCP aux utilisateurs de confiance et le désactiver si nécessaire jusqu’à la mise à niveau.
Nginx UI — validation absente dans MCP nginx_config_add (CVE-2026-84317)
L’outil MCP nginx_config_add de Nginx UI écrit une configuration sans appeler le validateur qui bloque certaines directives Nginx dangereuses, puis recharge Nginx. Un utilisateur authentifié peut ainsi injecter des directives ; mettez à niveau vers la version 1.9.10-0.20260703131214-23d1934099b0.
Action recommandée : Mettre à niveau vers la version corrigée ; restreindre ou désactiver l’accès MCP jusqu’à la mise à niveau.
Nginx UI — contournement de validation et injection de directives via MCP (CVE-2026-84318)
Le chemin MCP nginx_config_add de Nginx UI permet d’écrire des directives restreintes sans validation, puis déclenche un rechargement de Nginx. Un utilisateur authentifié peut exploiter cette lacune pour exécuter du code lorsque les modules appropriés sont présents ; mettez à niveau vers la version 1.9.10-0.20260703131214-23d1934099b0.
Action recommandée : Mettre à niveau vers la version corrigée et limiter l’accès MCP aux seuls utilisateurs de confiance.
Nginx UI — enrôlement TOTP/passkey sans réauthentification (CVE-2026-84313)
Les routes d’enrôlement TOTP et de passkey acceptent un JWT valide sans exiger la réauthentification par session sécurisée, ce qui peut permettre d’ajouter un second facteur contrôlé par un attaquant au compte visé. Mettez à niveau Nginx UI vers la version corrigée indiquée dans l’avis.
Action recommandée : Mettre à niveau vers la version corrigée ; en attendant, protéger les comptes contre l’usage de JWT compromis et surveiller les enrôlements de facteurs d’authentification.
Nginx UI — modification non protégée du mot de passe d’un autre utilisateur (CVE-2026-84314)
L’endpoint de gestion des utilisateurs permet à un utilisateur authentifié de modifier le mot de passe d’un autre compte sans exiger la session sécurisée normalement requise pour les opérations sensibles. Le défaut peut permettre la prise de contrôle du compte administrateur ; mettez à niveau vers la version corrigée indiquée.
Action recommandée : Mettre à niveau vers la version corrigée et vérifier les changements récents de mots de passe sur les comptes privilégiés.
Nginx UI — contrôles de session sécurisée manquants sur des mutations sensibles (CVE-2026-84315)
Plusieurs routes de mutation sensibles de Nginx UI n’exigent pas l’étape de vérification par session sécurisée imposée aux utilisateurs ayant activé la 2FA. Un JWT/session compromis peut ainsi autoriser des opérations sensibles sans OTP/passkey récent ; mettez à niveau vers la version corrigée indiquée.
Action recommandée : Mettre à niveau vers la version corrigée et éviter de réutiliser des sessions authentifiées potentiellement compromises.
Nginx UI — state OAuth Casdoor constant permettant un login CSRF (CVE-2026-84312)
Le flux SSO Casdoor utilise une valeur constante pour le paramètre OAuth state et ne vérifie pas que l’état retourné correspond à une valeur liée à la session du navigateur. Cela expose à une attaque de type login CSRF pouvant authentifier la victime sur le compte de l’attaquant ; l’avis recommande de désactiver Casdoor SSO jusqu’à correction.
Action recommandée : Désactiver Casdoor SSO jusqu’à correction ; appliquer une mise à jour corrigée dès qu’elle est disponible.
Nginx UI — contournement du validateur par séparation de directives sur une ligne (CVE-2026-84316)
Le validateur de directives Nginx ne détecte que le premier jeton de chaque ligne, ce qui permet de dissimuler une directive bloquée après un point-virgule sur la même ligne. Un utilisateur authentifié peut ainsi injecter des directives sur des chemins qui appellent pourtant le validateur ; mettez à niveau vers la version corrigée indiquée.
Action recommandée : Mettre à niveau vers la version corrigée ; limiter l’accès authentifié à la gestion des configurations jusqu’à la mise à niveau.
Nginx UI : contournement de la session sécurisée OTP via MCP
Une vulnérabilité dans l’interface MCP de Nginx UI permet à un utilisateur authentifié avec OTP de modifier la configuration Nginx sans satisfaire à l’étape de session sécurisée requise par les autres points d’entrée. Mettez à niveau vers la version corrigée indiquée dans l’avis.
Action recommandée : Mettre à niveau vers la version corrigée ou une version ultérieure.
FrankenPHP : fuite d’identifiant de session entre requêtes en mode worker
En mode worker, certaines constructions de FrankenPHP peuvent réutiliser l’identifiant de session PHP d’une requête précédente ou concurrente lorsque l’extension `session` est chargée comme module partagé. Les versions affectées sont celles utilisant ce mode de liaison; les binaires et images où l’extension est liée statiquement ne sont pas concernés selon l’avis.
Action recommandée : Mettre à niveau vers 1.12.5 ou une version ultérieure; vérifier que les paquets utilisés ne chargent pas `session` comme module partagé.
kin-openapi : panique sur un schéma OpenAPI 3.1 de tableau sans items
Dans kin-openapi, certains schémas OpenAPI 3.1 déclarant un tableau sans `items` provoquent un déréférencement nil lors de la validation ou du décodage de requêtes ou réponses. Une requête visant l’opération concernée peut faire paniquer le gestionnaire; la version 0.143.0 corrige le défaut.
Action recommandée : Mettre à niveau kin-openapi vers 0.143.0 ou une version ultérieure.
kin-openapi : contournement de contrôle d’accès par divergence de routage des chemins encodés
Avec certaines configurations de routage utilisant `UseEncodedPath()`, le middleware de validation peut autoriser une opération publique alors que le routeur en aval distribue la requête à une opération protégée. Les versions 0.144.0 à 0.146.0 sont signalées comme affectées ; mettez à niveau vers 0.147.0.
Action recommandée : Mettre à niveau kin-openapi vers 0.147.0 et vérifier que le middleware de validation et le routeur en aval sélectionnent la même opération.
kin-openapi : panic sur des valeurs YAML NaN et Inf
Dans certaines validations de schémas OpenAPI 3.1, des valeurs YAML `.nan`, `.inf` ou `-.inf` peuvent provoquer un panic lorsque le schéma contient une contrainte numérique. Les versions de kin-openapi antérieures à 0.148.0 sont concernées ; mettez à niveau vers 0.148.0.
Action recommandée : Mettre à niveau kin-openapi vers 0.148.0.
kin-openapi : débordement de pile fatal avec des schémas circulaires
La validation d’une requête ou d’une réponse utilisant un schéma circulaire `allOf`, `anyOf` ou `oneOf` peut entraîner une récursion sans borne et un débordement fatal de pile. Les versions de kin-openapi antérieures à 0.149.0 sont concernées ; mettez à niveau vers 0.149.0.
Action recommandée : Mettre à niveau kin-openapi vers 0.149.0.
kin-openapi : panic lors du décodage de tableaux sans items
Trois chemins de décodage supplémentaires dans kin-openapi peuvent provoquer un panic lorsqu’un schéma de tableau OpenAPI 3.1 omet `items`, notamment pour des paramètres de requête ou des corps URL-encodés. Les versions 0.136.0 à 0.148.x sont concernées ; mettez à niveau vers 0.149.0.
Action recommandée : Mettre à niveau kin-openapi vers 0.149.0.
containerd : restauration de checkpoint contournant le contexte de sécurité
La restauration d’un checkpoint non fiable via l’API `CreateContainer` peut rétablir des attributs de processus privilégiés sans appliquer le contexte de sécurité demandé par la configuration CRI de destination. Les versions corrigées indiquées sont containerd 2.2.7 et 2.3.4 ; la fonctionnalité est supprimée en 2.4.0.
Action recommandée : Mettre à niveau vers containerd 2.2.7 ou 2.3.4 selon la branche, ou vers 2.4.0 où la fonctionnalité est supprimée. Ne pas réactiver la restauration via `CreateContainer` si la vérification du contexte de sécurité est requise.
Terragrunt : risque de détournement de répertoire temporaire par lien symbolique
Dans Terragrunt, `terragrunt catalog` utilisait un chemin temporaire prévisible et pouvait suivre un lien symbolique préalablement placé par un utilisateur local, avec un risque de suppression et de recréation d’un répertoire hors de l’emplacement temporaire attendu. La version corrective est 1.1.1; à défaut, l’avis recommande de ne pas laisser des parties non fiables contrôler TMPDIR, TMP ou TEMP dans cet environnement.
Action recommandée : Mettre à jour Terragrunt vers 1.1.1.
Nginx UI — traversée de chemin dans le nom des sauvegardes automatiques (CVE-2026-84320)
La création de sauvegardes automatiques ne neutralise pas les séparateurs de chemin ni les composants « .. » contenus dans le nom fourni, ce qui peut faire sortir l’archive et sa clé éventuelle du répertoire de stockage autorisé. Le correctif indiqué est la version 1.9.10-0.20260715121709-f92218e01054 ; mettez à niveau Nginx UI.
Action recommandée : Mettre à niveau vers la version corrigée et éviter les noms de sauvegarde contenant des séparateurs ou des séquences de traversée jusqu’à la mise à niveau.
Nginx UI — jeton court réutilisable après révocation et réactivation du compte (CVE-2026-84321)
La révocation des jetons courts autonomes ne purge pas toujours leur entrée de cache ; si le compte est réactivé avant l’expiration de cette entrée, le jeton révoqué peut de nouveau authentifier son détenteur. Mettez à niveau vers la version corrigée indiquée et vérifiez les jetons courts existants.
Action recommandée : Mettre à niveau vers la version corrigée et renouveler/révoquer les jetons courts susceptibles d’avoir été exposés.
SFTPGo : déni de service par requête SSH malformée
SFTPGo peut subir un arrêt de service lorsqu’un client SSH authentifié envoie un message de protocole malformé pendant l’ouverture d’un canal. La version 2.7.5 corrige le problème.
Action recommandée : Mettre à niveau vers SFTPGo 2.7.5 ou une version ultérieure.
Nezha : déni de service du tableau de bord par course concurrente
Une course entre la suppression d’un service et le traitement de son état peut provoquer un déréférencement nil dans le worker de surveillance de Nezha. Un membre peu privilégié peut ainsi faire tomber le processus du tableau de bord; le correctif est disponible dans la révision indiquée.
Action recommandée : Mettre à niveau vers la version corrigée indiquée dans l’avis, ou une version ultérieure.
Gotify : protection insuffisante de l’endpoint de changement de mot de passe
L’avis signale une protection insuffisante de l’endpoint de changement de mot de passe Gotify. Les versions 2.x jusqu’à 2.9.1 sont affectées sans correctif fourni dans les données; la branche 3 est corrigée en 3.0.0.
Action recommandée : Mettre à niveau la branche 3 vers 3.0.0 ou une version ultérieure; pour la branche 2, consulter l’éditeur, aucun correctif n’étant indiqué dans les données fournies.
kin-openapi : déni de service par méthode HTTP non prise en charge
Le routeur legacy de kin-openapi peut paniquer lorsqu’une requête adressée à un chemin statique utilise une méthode HTTP non canonique ou non prise en charge. La panique survient avant l’authentification; la version 0.145.0 corrige le problème.
Action recommandée : Mettre à niveau kin-openapi vers 0.145.0 ou une version ultérieure.
kin-openapi : panique du chargeur sur une référence additionalProperties autoréférente
Le chargeur de kin-openapi peut paniquer en résolvant une référence `$ref` autoréférente vers `additionalProperties` lorsque la valeur du schéma est encore nulle. Cela concerne les applications qui chargent des spécifications OpenAPI non fiables; la version 0.145.0 corrige le défaut.
Action recommandée : Mettre à niveau kin-openapi vers 0.145.0 ou une version ultérieure; isoler le chargement de spécifications non fiables jusqu’à la mise à niveau.
containerd — déni de service par déballage coûteux de couches d’image
Le traitement de certaines couches d’image par containerd peut entraîner un temps de déballage superlinéaire et une hausse modérée de l’utilisation CPU. Cela peut retarder le démarrage des conteneurs et réduire la capacité de traitement des téléchargements concurrents; mettre à jour vers une version corrigée et, dans l’intervalle, ne traiter que des images de confiance.
Action recommandée : Mettre à jour containerd vers une version corrigée de la branche utilisée.
SFTPGo — contournement des filtres de fichiers lors d’une copie
Dans SFTPGo, un utilisateur authentifié autorisé à copier des fichiers pouvait contourner les filtres de motifs ou une règle de masquage en copiant un fichier interdit vers un nom autorisé, puis en le lisant. Le correctif est disponible dans la version 2.7.6; mettre à jour SFTPGo.
Action recommandée : Mettre à jour SFTPGo vers la version 2.7.6.
kin-openapi : consommation excessive de CPU avec les paramètres deepObject
Une requête contenant de nombreuses clés de query string peut forcer kin-openapi à recompiler la même expression régulière pour chaque clé lorsqu’un paramètre `deepObject` est validé, consommant excessivement du CPU. Les versions 0.145.0 et antérieures à 0.146.0 sont concernées ; mettez à niveau vers 0.146.0.
Action recommandée : Mettre à niveau kin-openapi vers 0.146.0.
Distribution : manifeste servi sans vérification du digest demandé
Le client Distribution renvoie un manifeste récupéré par digest sans vérifier que le contenu correspond au digest demandé. Un registre malveillant ou une interception réseau peut donc substituer le manifeste ; mettez à niveau vers distribution v3.1.2 pour la branche v3.
Action recommandée : Pour la branche distribution v3, mettre à niveau vers 3.1.2. Vérifier le digest du contenu reçu dans les composants consommateurs, et éviter de faire confiance à un registre ou proxy non fiable.
GitHub CLI pouvait afficher partiellement certains jetons d’authentification
Dans GitHub CLI, `gh auth status` pouvait révéler une partie de certains jetons lorsque sa sortie était enregistrée ou partagée. Mettre à jour vers 2.97.0 et renouveler tout jeton concerné dont la sortie a pu être exposée.
Action recommandée : Mettre à jour GitHub CLI vers 2.97.0; renouveler les jetons concernés si leur sortie a pu être capturée ou diffusée.
GitHub CLI : altération possible du chemin de certaines requêtes
GitHub CLI pouvait construire certaines URL de requêtes sans encoder correctement leurs composants de chemin, permettant à une valeur contrôlée d’altérer le chemin demandé. Mettre à jour vers 2.97.0 et faire preuve de prudence avec les entrées ou dépôts non fiables.
Action recommandée : Mettre à jour GitHub CLI vers 2.97.0.
GitHub CLI : contournement possible de la vérification d’attestation par métacaractères
Les valeurs des options `–signer-repo` et `–signer-workflow` étaient incorporées dans une expression régulière sans échappement, ce qui pouvait faire accepter un signataire ressemblant au signataire attendu. Mettre à jour vers 2.97.0; l’avis propose aussi, selon le cas, d’utiliser `–repo` ou `–owner` comme contournement.
Action recommandée : Mettre à jour GitHub CLI vers 2.97.0 ou une version ultérieure.
Talos Linux : identifiants de registre présents dans les bundles de support
La commande `talosctl support` inclut dans le bundle généré des informations d’authentification de registres privés au lieu de les masquer. Talos antérieur à la version corrigée indiquée est concerné ; évitez de partager publiquement les bundles produits par ces versions et faites tourner les identifiants qui ont pu être exposés.
Action recommandée : Mettre à niveau vers la version corrigée indiquée et renouveler les identifiants éventuellement divulgués.
Kotlin
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun avis de sécurité Kotlin ni aucune vulnérabilité dont la publication ou la mise à jour soit vérifiée dans la période demandée. La CVE-2026-53914 trouvée concerne Kotlin, mais sa publication NVD est datée du 2026-06-26, hors période; elle n’est donc pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Les trois candidats concernent des vulnérabilités Electron déjà documentées dans les avis du projet publiés le 2026-08-29. Les éléments consultés ne montrent pas de nouvel avis ni de changement substantiel daté du 2026-10-15; la date de mise à jour NVD signalée par les candidats ne suffit donc pas à retenir ces éléments comme nouveautés de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Vérification incomplète
Niveau relevé : Élevée
Dix fiches NVD relatives à Kendo UI for jQuery ont une date de publication dans la période demandée : CVE-2026-106147 à CVE-2026-106163, pour des vulnérabilités d’injection HTML/XSS ou de chemins d’objet dangereux. Les résumés fournis indiquent 2026.3.1015 comme correctif pour neuf fiches ; la fiche CVE-2026-106163 ne donne pas de correctif dans les éléments consultés. Les sources fournies indiquent neuf vulnérabilités Kendo UI for jQuery dont les fiches NVD ont été publiées le 2026-10-15. Les vulnérabilités décrites touchent notamment l’injection HTML/JavaScript dans des composants UI et la manipulation de requêtes PivotGrid XMLA ; le correctif indiqué pour ces avis est la version 2026.3.1015.
Manipulation de requêtes XMLA dans PivotGrid de Kendo UI for jQuery
Des valeurs de filtre spécialement conçues dans le transport XMLA de PivotGrid peuvent modifier des prédicats MDX ou injecter du balisage XML dans des requêtes SOAP. Cela peut exposer des données accessibles via la connexion XMLA configurée ; mettre à jour vers la version 2026.3.1015.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Rendu HTML non encodé dans ListBox de Kendo UI for jQuery
Le modèle par défaut de ListBox rend sans encodage la valeur dataTextField, ce qui peut permettre à un attaquant capable de modifier les données liées d’injecter du HTML et d’exécuter du JavaScript lors de l’affichage. Les versions concernées commencent à R1 2020 et sont antérieures à 2026.3.1015 ; appliquer la version corrigée.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Injection d’attributs via imageUrl dans des composants Kendo UI for jQuery
TabStrip, Menu et PanelBar insèrent des valeurs imageUrl dans des attributs src sans échappement approprié, ce qui peut permettre l’injection d’attributs HTML et l’exécution de JavaScript. Les versions concernées sont antérieures à 2026.3.1015 ; la version de début d’exposition n’est pas confirmée dans les informations fournies.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Injection HTML via les URL des éléments PanelBar
PanelBar insère des URL d’éléments dans un attribut href sans encodage adéquat, ce qui peut permettre l’ajout d’attributs HTML et l’exécution de JavaScript. Les versions concernées commencent à 2019.2.514 et sont antérieures à 2026.3.1015 ; appliquer la version corrigée.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Injection d’attributs via les couleurs de ressources dans Scheduler
Les vues Day, Timeline, Month et Agenda de Scheduler insèrent des valeurs de couleur de ressources dans des attributs sans encodage approprié, pouvant permettre l’injection d’attributs et l’exécution de JavaScript. La fiche indique une exposition en version 2026.3.811 et antérieure, avec une première version affectée non confirmée ; le correctif est en 2026.3.1015.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Injection d’attributs dans les liens ButtonGroup de ToolBar
Les URL des boutons ButtonGroup de ToolBar sont concaténées dans un attribut href non cité après assainissement, ce qui peut permettre l’ajout d’attributs et l’exécution de JavaScript. Les versions concernées commencent à 2022.3.1109 et sont antérieures à 2026.3.1015 ; appliquer la version corrigée.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Kendo UI for jQuery : chemins d’objet dangereux dans Model.accept
La fiche NVD du 15 octobre signale que `Model.accept` transmet des clés de réponse serveur à `kendo.setter` sans bloquer certains chemins d’objet dangereux, notamment `__proto__`, `constructor` ou `prototype`. Une donnée acceptée par le modèle peut ainsi modifier des attributs de prototype et influencer le comportement de l’application ; la correction est en version 2026.3.1015.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.3.1015 ou ultérieur.
Kendo UI for jQuery : XSS dans la méthode Badge.text
La fiche NVD publiée le 15 octobre indique que la méthode `Badge.text` rend des chaînes sous forme de HTML brut sans encodage, y compris les valeurs liées par binding. Une valeur contrôlée peut exécuter du JavaScript lorsque le Badge est affiché ; la version corrigée est 2026.3.1015.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.3.1015 ou ultérieur.
Kendo UI for jQuery : XSS dans l’indication de glisser-déposer du FileManager
La fiche NVD du 15 octobre décrit un rendu non encodé des noms d’éléments distants dans l’indication de glisser-déposer par défaut du FileManager. Un nom contrôlé peut injecter du HTML et exécuter du JavaScript lorsque l’utilisateur fait glisser l’élément ; la correction est en 2026.3.1015.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.3.1015 ou ultérieur.
Kendo UI for jQuery : XSS via les noms distants de FileBrowser et ImageBrowser
La fiche NVD publiée le 15 octobre signale que FileBrowser et ImageBrowser rendent des noms de fichiers et de répertoires distants sans encodage adéquat. Un nom contrôlé contenant du HTML peut exécuter du JavaScript dans le navigateur ; la fiche fournie ne précise pas de version corrective, il convient de vérifier auprès de l’éditeur et d’appliquer le correctif disponible.
Action recommandée : Vérifier l’avis éditeur et mettre à jour vers une version corrigée dès qu’elle est confirmée.
Kendo UI for jQuery : injection d’attributs HTML dans le Menu
La fiche NVD publiée le 15 octobre signale que le composant Menu assemble des attributs HTML à partir des champs liés de la source de données sans neutralisation adéquate. Un utilisateur capable de contrôler ces champs peut injecter des attributs d’événement déclenchant du JavaScript lors d’une interaction ; la version corrigée est 2026.3.1015.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.3.1015 ou ultérieur.
Injection HTML dans des composants iframe de Kendo UI for jQuery
Des valeurs contrôlées par un utilisateur peuvent injecter des attributs HTML dans le balisage iframe de certains composants Kendo UI for jQuery, puis exécuter du JavaScript dans le navigateur d’un utilisateur. Les composants concernés sont Splitter et Window à partir de 2011.2.804, et Tooltip à partir de 2013.1.319 ; mettre à jour vers la version 2026.3.1015.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Interprétation HTML de messages de validation dans Kendo UI for jQuery
Le Validator peut interpréter comme HTML actif des messages de validation décodés depuis des attributs data-msg-*, ce qui peut permettre l’exécution de JavaScript dans le navigateur. Les versions concernées commencent à 2012.2.710 et sont antérieures à 2026.3.1015 ; appliquer la version corrigée.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Injection dans les modèles mensuels de Calendar et MultiViewCalendar
Les modèles de contenu mensuel de Calendar et MultiViewCalendar peuvent rendre des valeurs URL ou titre sans assainissement ni encodage adéquats, permettant l’injection de balisage ou d’URL JavaScript. La faille concerne les versions antérieures à 2026.3.1015 ; appliquer cette version corrigée.
Action recommandée : Mettre à jour Kendo UI for jQuery vers la version 2026.3.1015.
Laravel
Recherche du sujet effectuée
La recherche dédiée sur Laravel et les sources de vulnérabilités consultables n’a pas établi de vulnérabilité, d’avis ou de correctif nouvellement publié dans la période demandée. Les deux candidats concernent des CVE publiées le 14 octobre 2026 ; leurs mises à jour NVD du 15 octobre ne suffisent pas, au vu des éléments consultés, à démontrer un changement substantiel survenu dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
Aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant le projet Svelte n’a été vérifié pour la période du 2026-10-15T00:00:00+02:00 inclus au 2026-10-16T00:00:00+02:00 exclu. Les avis Svelte consultés sont datés d’avant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Flask
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Django
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
FastAPI
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Express
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
NestJS
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MySQL
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PostgreSQL
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MongoDB
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Redis
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Caddy
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
SvelteKit
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Babel
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Elasticsearch
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
RabbitMQ
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Memcached
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
GraphQL
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WooCommerce
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Simple:Press
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Docker
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kubernetes
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Linux (noyau)
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Debian
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Alpine Linux
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PHP
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WordPress
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PrestaShop
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Cockpit
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Uptime Kuma
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MariaDB
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
phpMyAdmin
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
pgAdmin
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Virtualmin
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Webmin
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Vue.js
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Vite
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nuxt
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Next.js
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
React
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Angular
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Astro
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
TypeScript
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
JavaScript
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
HTML5
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CSS3
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Tailwind CSS
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Bootstrap
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Webpack
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
esbuild
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Parcel
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Node.js
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Python
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Java
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
TYPO3
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Drupal
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Adobe Commerce
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
fooocus
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
14 alerte(s)Manipulation de requêtes XMLA dans PivotGrid de Kendo UI for jQuery
Des valeurs de filtre spécialement conçues dans le transport XMLA de PivotGrid peuvent modifier des prédicats MDX ou injecter du balisage XML dans des requêtes SOAP. Cela peut exposer des données accessibles via la connexion XMLA configuré…
Source : NVD — CVE-2026-108116
Rendu HTML non encodé dans ListBox de Kendo UI for jQuery
Le modèle par défaut de ListBox rend sans encodage la valeur dataTextField, ce qui peut permettre à un attaquant capable de modifier les données liées d’injecter du HTML et d’exécuter du JavaScript lors de l’affichage. Les versions concern…
Source : NVD — CVE-2026-106147
Injection d’attributs via imageUrl dans des composants Kendo UI for jQuery
TabStrip, Menu et PanelBar insèrent des valeurs imageUrl dans des attributs src sans échappement approprié, ce qui peut permettre l’injection d’attributs HTML et l’exécution de JavaScript. Les versions concernées sont antérieures à 2026.3.…
Source : NVD — CVE-2026-106148
Injection HTML via les URL des éléments PanelBar
PanelBar insère des URL d’éléments dans un attribut href sans encodage adéquat, ce qui peut permettre l’ajout d’attributs HTML et l’exécution de JavaScript. Les versions concernées commencent à 2019.2.514 et sont antérieures à 2026.3.1015…
Source : NVD — CVE-2026-106157
Injection d’attributs via les couleurs de ressources dans Scheduler
Les vues Day, Timeline, Month et Agenda de Scheduler insèrent des valeurs de couleur de ressources dans des attributs sans encodage approprié, pouvant permettre l’injection d’attributs et l’exécution de JavaScript. La fiche indique une exp…
Source : NVD — CVE-2026-106158
Injection d’attributs dans les liens ButtonGroup de ToolBar
Les URL des boutons ButtonGroup de ToolBar sont concaténées dans un attribut href non cité après assainissement, ce qui peut permettre l’ajout d’attributs et l’exécution de JavaScript. Les versions concernées commencent à 2022.3.1109 et so…
Source : NVD — CVE-2026-106159
Kendo UI for jQuery : chemins d’objet dangereux dans Model.accept
La fiche NVD du 15 octobre signale que `Model.accept` transmet des clés de réponse serveur à `kendo.setter` sans bloquer certains chemins d’objet dangereux, notamment `__proto__`, `constructor` ou `prototype`. Une donnée acceptée par le mo…
Source : NVD — CVE-2026-106160
Kendo UI for jQuery : XSS dans la méthode Badge.text
La fiche NVD publiée le 15 octobre indique que la méthode `Badge.text` rend des chaînes sous forme de HTML brut sans encodage, y compris les valeurs liées par binding. Une valeur contrôlée peut exécuter du JavaScript lorsque le Badge est a…
Source : NVD — CVE-2026-106161
Kendo UI for jQuery : XSS dans l’indication de glisser-déposer du FileManager
La fiche NVD du 15 octobre décrit un rendu non encodé des noms d’éléments distants dans l’indication de glisser-déposer par défaut du FileManager. Un nom contrôlé peut injecter du HTML et exécuter du JavaScript lorsque l’utilisateur fait g…
Source : NVD — CVE-2026-106162
Kendo UI for jQuery : XSS via les noms distants de FileBrowser et ImageBrowser
La fiche NVD publiée le 15 octobre signale que FileBrowser et ImageBrowser rendent des noms de fichiers et de répertoires distants sans encodage adéquat. Un nom contrôlé contenant du HTML peut exécuter du JavaScript dans le navigateur ; la…
Source : NVD — CVE-2026-106163
Kendo UI for jQuery : injection d’attributs HTML dans le Menu
La fiche NVD publiée le 15 octobre signale que le composant Menu assemble des attributs HTML à partir des champs liés de la source de données sans neutralisation adéquate. Un utilisateur capable de contrôler ces champs peut injecter des at…
Source : NVD — CVE-2026-106149
Injection HTML dans des composants iframe de Kendo UI for jQuery
Des valeurs contrôlées par un utilisateur peuvent injecter des attributs HTML dans le balisage iframe de certains composants Kendo UI for jQuery, puis exécuter du JavaScript dans le navigateur d’un utilisateur. Les composants concernés son…
Source : NVD — CVE-2026-106150
Interprétation HTML de messages de validation dans Kendo UI for jQuery
Le Validator peut interpréter comme HTML actif des messages de validation décodés depuis des attributs data-msg-*, ce qui peut permettre l’exécution de JavaScript dans le navigateur. Les versions concernées commencent à 2012.2.710 et sont…
Source : NVD — CVE-2026-106151
Injection dans les modèles mensuels de Calendar et MultiViewCalendar
Les modèles de contenu mensuel de Calendar et MultiViewCalendar peuvent rendre des valeurs URL ou titre sans assainissement ni encodage adéquats, permettant l’injection de balisage ou d’URL JavaScript. La faille concerne les versions antér…
Source : NVD — CVE-2026-106153
Backend & données
38 alerte(s)Vitess : XSS réfléchie dans le gestionnaire vttablet `/twopcz`
Une faille XSS réfléchie dans le gestionnaire `/twopcz` de Vitess permet d’injecter des valeurs de formulaire dans la réponse HTML sans échappement. L’avis rapporte un correctif sur la branche principale, mais aucun correctif publié n’est…
Source : GHSA-v75v-6fpf-gvw8 — Vitess
Dgraph : endpoints administratifs Zero accessibles sans authentification
Dgraph Zero expose des endpoints administratifs HTTP sans authentification lorsque le port 6080 est accessible. Une requête sur `/removeNode` peut perturber le plan de contrôle; la version 25.4.0 corrige le problème.
Source : GHSA-qj98-gp63-54xj — Dgraph
Podman — une image de checkpoint peut neutraliser les options de confinement
Podman pouvait interpréter une image portant l’annotation de checkpoint comme un checkpoint et ignorer les options de sécurité fournies à `podman run`, laissant le contenu de l’image contrôler le bac à sable du conteneur. La fonctionnalité…
Argo CD : les hooks de suppression contournent les restrictions AppProject
Lors de la suppression d’une application Argo CD, les hooks PreDelete et PostDelete peuvent être créés sans appliquer les restrictions de destination et de ressources de l’AppProject. Un utilisateur capable de modifier le dépôt Git synchro…
KEDA : élévation de privilèges via l’exposition du jeton de l’opérateur
Un administrateur d’espace de noms peut, sous les préconditions indiquées, amener l’opérateur KEDA à transmettre son jeton de ServiceAccount à une URL contrôlée par le locataire. Ce jeton dispose de droits étendus à l’échelle du cluster ;…
Sliver : épuisement mémoire possible via le décodeur PNG d’un écouteur HTTP(S)
Le serveur Sliver pouvait épuiser sa mémoire lors du traitement d’images PNG envoyées à un écouteur HTTP(S), entraînant une perte de disponibilité. Mettre à jour vers 1.7.6; l’avis ne précise pas de contournement.
Nginx UI — contournement de validation des directives via MCP (CVE-2026-84319)
Une faille dans les outils de configuration MCP de Nginx UI permet à un utilisateur authentifié secondaire de contourner la validation des directives Nginx restreintes et d’exécuter du NJS dans le contexte des workers. Le correctif indiqué…
Source : GHSA-5r62-gj48-897x — Nginx UI
Nginx UI — validation absente dans MCP nginx_config_add (CVE-2026-84317)
L’outil MCP nginx_config_add de Nginx UI écrit une configuration sans appeler le validateur qui bloque certaines directives Nginx dangereuses, puis recharge Nginx. Un utilisateur authentifié peut ainsi injecter des directives ; mettez à ni…
Source : GHSA-76pm-mq2q-9gcr — Nginx UI
Nginx UI — contournement de validation et injection de directives via MCP (CVE-2026-84318)
Le chemin MCP nginx_config_add de Nginx UI permet d’écrire des directives restreintes sans validation, puis déclenche un rechargement de Nginx. Un utilisateur authentifié peut exploiter cette lacune pour exécuter du code lorsque les module…
Source : GHSA-9jww-cxg5-rj9m — Nginx UI
Nginx UI — enrôlement TOTP/passkey sans réauthentification (CVE-2026-84313)
Les routes d’enrôlement TOTP et de passkey acceptent un JWT valide sans exiger la réauthentification par session sécurisée, ce qui peut permettre d’ajouter un second facteur contrôlé par un attaquant au compte visé. Mettez à niveau Nginx U…
Source : GHSA-gfrc-g87h-7h5w — Nginx UI
Nginx UI — modification non protégée du mot de passe d’un autre utilisateur (CVE-2026-84314)
L’endpoint de gestion des utilisateurs permet à un utilisateur authentifié de modifier le mot de passe d’un autre compte sans exiger la session sécurisée normalement requise pour les opérations sensibles. Le défaut peut permettre la prise…
Source : GHSA-2gc7-j998-5xx6 — Nginx UI
Nginx UI — contrôles de session sécurisée manquants sur des mutations sensibles (CVE-2026-84315)
Plusieurs routes de mutation sensibles de Nginx UI n’exigent pas l’étape de vérification par session sécurisée imposée aux utilisateurs ayant activé la 2FA. Un JWT/session compromis peut ainsi autoriser des opérations sensibles sans OTP/pa…
Source : GHSA-5v7c-xpfp-p65m — Nginx UI
Nginx UI — state OAuth Casdoor constant permettant un login CSRF (CVE-2026-84312)
Le flux SSO Casdoor utilise une valeur constante pour le paramètre OAuth state et ne vérifie pas que l’état retourné correspond à une valeur liée à la session du navigateur. Cela expose à une attaque de type login CSRF pouvant authentifier…
Source : GHSA-44xr-mrhh-qm78 — Nginx UI
Nginx UI — contournement du validateur par séparation de directives sur une ligne (CVE-2026-84316)
Le validateur de directives Nginx ne détecte que le premier jeton de chaque ligne, ce qui permet de dissimuler une directive bloquée après un point-virgule sur la même ligne. Un utilisateur authentifié peut ainsi injecter des directives su…
Source : GHSA-cf23-7qxj-xmhr — Nginx UI
Nginx UI : contournement de la session sécurisée OTP via MCP
Une vulnérabilité dans l’interface MCP de Nginx UI permet à un utilisateur authentifié avec OTP de modifier la configuration Nginx sans satisfaire à l’étape de session sécurisée requise par les autres points d’entrée. Mettez à niveau vers…
Source : GHSA-vc32-4gwf-77xp — Nginx UI
FrankenPHP : fuite d’identifiant de session entre requêtes en mode worker
En mode worker, certaines constructions de FrankenPHP peuvent réutiliser l’identifiant de session PHP d’une requête précédente ou concurrente lorsque l’extension `session` est chargée comme module partagé. Les versions affectées sont celle…
Source : GHSA-v3ph-cgqh-r8p5 — FrankenPHP
kin-openapi : panique sur un schéma OpenAPI 3.1 de tableau sans items
Dans kin-openapi, certains schémas OpenAPI 3.1 déclarant un tableau sans `items` provoquent un déréférencement nil lors de la validation ou du décodage de requêtes ou réponses. Une requête visant l’opération concernée peut faire paniquer l…
Source : GHSA-p6wj-qrr4-pgh5 — kin-openapi
kin-openapi : contournement de contrôle d’accès par divergence de routage des chemins encodés
Avec certaines configurations de routage utilisant `UseEncodedPath()`, le middleware de validation peut autoriser une opération publique alors que le routeur en aval distribue la requête à une opération protégée. Les versions 0.144.0 à 0.1…
kin-openapi : panic sur des valeurs YAML NaN et Inf
Dans certaines validations de schémas OpenAPI 3.1, des valeurs YAML `.nan`, `.inf` ou `-.inf` peuvent provoquer un panic lorsque le schéma contient une contrainte numérique. Les versions de kin-openapi antérieures à 0.148.0 sont concernées…
kin-openapi : débordement de pile fatal avec des schémas circulaires
La validation d’une requête ou d’une réponse utilisant un schéma circulaire `allOf`, `anyOf` ou `oneOf` peut entraîner une récursion sans borne et un débordement fatal de pile. Les versions de kin-openapi antérieures à 0.149.0 sont concern…
kin-openapi : panic lors du décodage de tableaux sans items
Trois chemins de décodage supplémentaires dans kin-openapi peuvent provoquer un panic lorsqu’un schéma de tableau OpenAPI 3.1 omet `items`, notamment pour des paramètres de requête ou des corps URL-encodés. Les versions 0.136.0 à 0.148.x s…
containerd : restauration de checkpoint contournant le contexte de sécurité
La restauration d’un checkpoint non fiable via l’API `CreateContainer` peut rétablir des attributs de processus privilégiés sans appliquer le contexte de sécurité demandé par la configuration CRI de destination. Les versions corrigées indi…
Terragrunt : risque de détournement de répertoire temporaire par lien symbolique
Dans Terragrunt, `terragrunt catalog` utilisait un chemin temporaire prévisible et pouvait suivre un lien symbolique préalablement placé par un utilisateur local, avec un risque de suppression et de recréation d’un répertoire hors de l’emp…
Source : GHSA-wv6g-x823-wx9m — Terragrunt catalog predictable temp symlink clobber
Nginx UI — traversée de chemin dans le nom des sauvegardes automatiques (CVE-2026-84320)
La création de sauvegardes automatiques ne neutralise pas les séparateurs de chemin ni les composants « .. » contenus dans le nom fourni, ce qui peut faire sortir l’archive et sa clé éventuelle du répertoire de stockage autorisé. Le correc…
Source : GHSA-jrq7-xrjx-pcfw — Nginx UI
Nginx UI — jeton court réutilisable après révocation et réactivation du compte (CVE-2026-84321)
La révocation des jetons courts autonomes ne purge pas toujours leur entrée de cache ; si le compte est réactivé avant l’expiration de cette entrée, le jeton révoqué peut de nouveau authentifier son détenteur. Mettez à niveau vers la versi…
Source : GHSA-wq4w-vwvq-q3x9 — Nginx UI
SFTPGo : déni de service par requête SSH malformée
SFTPGo peut subir un arrêt de service lorsqu’un client SSH authentifié envoie un message de protocole malformé pendant l’ouverture d’un canal. La version 2.7.5 corrige le problème.
Source : GHSA-q7pc-356p-hggc — SFTPGo
Nezha : déni de service du tableau de bord par course concurrente
Une course entre la suppression d’un service et le traitement de son état peut provoquer un déréférencement nil dans le worker de surveillance de Nezha. Un membre peu privilégié peut ainsi faire tomber le processus du tableau de bord; le c…
Gotify : protection insuffisante de l’endpoint de changement de mot de passe
L’avis signale une protection insuffisante de l’endpoint de changement de mot de passe Gotify. Les versions 2.x jusqu’à 2.9.1 sont affectées sans correctif fourni dans les données; la branche 3 est corrigée en 3.0.0.
Source : GHSA-3hcj-9m7p-wwm9 — Gotify
kin-openapi : déni de service par méthode HTTP non prise en charge
Le routeur legacy de kin-openapi peut paniquer lorsqu’une requête adressée à un chemin statique utilise une méthode HTTP non canonique ou non prise en charge. La panique survient avant l’authentification; la version 0.145.0 corrige le prob…
Source : GHSA-fh4f-47mf-f2gj — kin-openapi
kin-openapi : panique du chargeur sur une référence additionalProperties autoréférente
Le chargeur de kin-openapi peut paniquer en résolvant une référence `$ref` autoréférente vers `additionalProperties` lorsque la valeur du schéma est encore nulle. Cela concerne les applications qui chargent des spécifications OpenAPI non f…
Source : GHSA-mh7x-f8wq-4jhx — kin-openapi
containerd — déni de service par déballage coûteux de couches d’image
Le traitement de certaines couches d’image par containerd peut entraîner un temps de déballage superlinéaire et une hausse modérée de l’utilisation CPU. Cela peut retarder le démarrage des conteneurs et réduire la capacité de traitement de…
Source : GHSA-rp3h-jf77-q9p4 — containerd: Unpack DoS via repeated opaque whiteouts
SFTPGo — contournement des filtres de fichiers lors d’une copie
Dans SFTPGo, un utilisateur authentifié autorisé à copier des fichiers pouvait contourner les filtres de motifs ou une règle de masquage en copiant un fichier interdit vers un nom autorisé, puis en le lisant. Le correctif est disponible da…
Source : GHSA-wwv9-g5x4-966q — SFTPGo source-side file-pattern filter bypass during copy operations
kin-openapi : consommation excessive de CPU avec les paramètres deepObject
Une requête contenant de nombreuses clés de query string peut forcer kin-openapi à recompiler la même expression régulière pour chaque clé lorsqu’un paramètre `deepObject` est validé, consommant excessivement du CPU. Les versions 0.145.0 e…
Distribution : manifeste servi sans vérification du digest demandé
Le client Distribution renvoie un manifeste récupéré par digest sans vérifier que le contenu correspond au digest demandé. Un registre malveillant ou une interception réseau peut donc substituer le manifeste ; mettez à niveau vers distribu…
GitHub CLI pouvait afficher partiellement certains jetons d’authentification
Dans GitHub CLI, `gh auth status` pouvait révéler une partie de certains jetons lorsque sa sortie était enregistrée ou partagée. Mettre à jour vers 2.97.0 et renouveler tout jeton concerné dont la sortie a pu être exposée.
Source : GHSA-cg6r-mpgc-h9mm — GitHub CLI partially discloses authentication tokens
GitHub CLI : altération possible du chemin de certaines requêtes
GitHub CLI pouvait construire certaines URL de requêtes sans encoder correctement leurs composants de chemin, permettant à une valeur contrôlée d’altérer le chemin demandé. Mettre à jour vers 2.97.0 et faire preuve de prudence avec les ent…
Source : GHSA-4fjg-2h4q-fwg3 — GitHub CLI allows path traversal through unescaped request URL components
GitHub CLI : contournement possible de la vérification d’attestation par métacaractères
Les valeurs des options `–signer-repo` et `–signer-workflow` étaient incorporées dans une expression régulière sans échappement, ce qui pouvait faire accepter un signataire ressemblant au signataire attendu. Mettre à jour vers 2.97.0; l’…
Talos Linux : identifiants de registre présents dans les bundles de support
La commande `talosctl support` inclut dans le bundle généré des informations d’authentification de registres privés au lieu de les masquer. Talos antérieur à la version corrigée indiquée est concerné ; évitez de partager publiquement les b…
CMS & e-commerce
1 alerte(s)Paquet npm malveillant visant des dépendances internes Wix
Un avis publié pendant la période signale le paquet npm util-foriepft@1.0.0 comme malveillant : son chargement exécuterait des commandes système et transmettrait leur résultat à un collecteur distant. Le rapport le relie à une tentative de…
Systèmes & serveurs
1 alerte(s)Injection de commandes dans le plugin AUTOM8N pour WHM/cPanel
Le 15 octobre 2026, une fiche CVE a été publiée pour une injection de commandes système dans `borg_restore.cgi` du plugin AUTOM8N pour WHM/cPanel. Les informations consultées identifient les versions jusqu’au commit `82821f7` comme concern…
Source : NVD — CVE-2026-104586