Les sujets à surveiller, en un regard.
27 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 3 sujet(s) en rouge, 4 en orange.
Shopify
Recherche du sujet effectuée
Aucune nouveauté de sécurité Shopify répondant aux critères de la période figée n’a été vérifiée. Les deux candidats fournis concernent des CVE publiées avant la période et leur mise à jour NVD du 25 octobre 2026, à elle seule, ne démontre pas un nouvel avis, un correctif ou un changement substantiel daté de cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche dédiée sur Wix n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif ni de changement substantiel concernant Wix daté de la période demandée (du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu). Les résultats portant sur WiX Toolset concernent un homonyme et ne sont pas attribués à Wix.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifiable dans la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les résultats pertinents repérés étaient hors période ou ne documentaient pas un événement de sécurité dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche a repéré des avis Craft CMS publiés les 22 et 23 octobre 2026, hors de la période demandée. Les dix candidats indiquent une publication en juillet et une mise à jour NVD le 25 octobre, mais les éléments vérifiés ne démontrent pas qu’une vulnérabilité, un correctif ou un autre événement de sécurité substantiel concernant ces CVE soit intervenu pendant la période figée. Les trois candidats correspondent à des CVE publiées en juillet 2026. Les données fournies indiquent une mise à jour NVD le 25 octobre, mais ne documentent aucun changement substantiel dans la période du bulletin ; aucun item n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée n’a pas vérifié de nouvelle vulnérabilité, de correctif ou d’avis de sécurité Ghost daté de la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les deux candidats sont des mises à jour de fiches NVD concernant des vulnérabilités publiées antérieurement; aucune nouveauté substantielle datée de la période n’a été établie pour elles.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée n’a trouvé aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Strapi daté de la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. CVE-2026-57997 est une vulnérabilité publiée en juin 2026; sa modification NVD du 25 octobre ne suffit pas, à elle seule, à établir un changement substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié de vulnérabilité, d’avis de sécurité ni de correctif Directus daté de la période demandée (du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu). Le résultat consulté pour la version v12.5.1 indique une publication le 2026-10-23, hors période; les avis de sécurité Directus repérés sont antérieurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche web dédiée à OpenCart n’a fait ressortir aucun avis, correctif, événement d’exploitation ou changement substantiel OpenCart daté du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les résultats pertinents repérés étaient datés hors de cette période; aucune vulnérabilité n’est donc retenue pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée sur cPanel n’a identifié aucun nouvel avis, correctif ou changement substantiel de sécurité daté du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00 dans les sources consultées. L’avis cPanel relatif aux vulnérabilités PHP trouvé est daté du 2026-10-26, hors période; les correctifs qu’il décrit datent du 2026-10-21. Le candidat fourni concerne Mojo::JSON pour Perl, et non le produit cPanel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
La recherche dédiée a été effectuée pour Ruby. Les sources consultées ne confirment aucun avis, correctif, exploitation ni changement substantiel publié entre le 2026-10-25T00:00:00+02:00 et le 2026-10-26T00:00:00+02:00; les candidats fournis signalent des mises à jour NVD, mais ne démontrent pas à eux seuls un événement de sécurité substantiel dans cette période. Les trois candidats concernent des vulnérabilités publiées avant la période. Les données fournies indiquent des modifications de fiches NVD, mais ne documentent aucun changement substantiel intervenu pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
La recherche dédiée a repéré des avis Bun concernant Brotli et les certificats racines publiés le 23 octobre 2026, ainsi qu’un avis HTTP/3 publié le 24 octobre 2026. Ces événements précèdent la période figée du 25 octobre 2026 à 00:00:00+02:00 au 26 octobre 2026 à 00:00:00+02:00; aucun item ne répond donc au critère de nouveauté ou de changement substantiel daté dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Recherche dédiée effectuée sur Deno. Les sources consultées n’établissent aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant Deno daté de la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. Les avis antérieurs et la version publiée le 21 octobre 2026 ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Aucune information Go vérifiée dans les résultats consultés ne répond aux critères de nouveauté, de correctif, d’avis de sécurité, d’exploitation ou de changement substantiel pendant la période demandée. Les trois candidats concernent des vulnérabilités publiées antérieurement; leur date de mise à jour NVD du 2026-10-25 ne suffit pas à établir un événement substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kotlin
Recherche du sujet effectuée
Aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel concernant Kotlin n’a pu être vérifié comme daté de la période demandée (du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu). Les résultats consultés mentionnent notamment un incident lié à ua-parser-js et Kotlin/JS, mais le billet JetBrains situe les faits rapportés aux 22 et 23 octobre, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Aucune nouveauté de sécurité Electron datée du 2026-10-25 n’a été vérifiée dans les sources officielles consultées. L’avis Electron GHSA-jr5w-w6x2-84p9 est daté du 2026-10-22, hors période. Les deux candidats concernent SiYuan, et non le projet Electron lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité jQuery et aux sources de vulnérabilités consultées n’a pas relevé de nouvel avis, correctif, exploitation ni changement substantiel concernant la bibliothèque jQuery pendant la période demandée. Le candidat fourni concerne Craft CMS : la mention de jQuery décrit un mécanisme dans Craft CMS, et non une vulnérabilité de jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de vulnérabilité, d’avis ou de correctif Laravel dont la publication ou le changement substantiel soit daté dans la période demandée. Les avis Laravel repérés datent du 19 ou du 23 octobre 2026, avant le début de la période. Les candidats concernent des mises à jour de fiches NVD pour Mixpost, Snipe-IT et Laravel-Mediable; aucun élément consulté ne démontre un nouvel événement de sécurité Laravel dans la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte n’a relevé aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel daté dans la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. Les avis Svelte et SvelteKit repérés dans les résultats consultés sont datés d’autres périodes et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche ciblée a trouvé des avis Symfony antérieurs à la période, publiés le 15 octobre 2026. Aucun élément consulté ne confirme, pour la période du 25 octobre 2026 à 00:00 au 26 octobre 2026 à 00:00 (+02:00), une nouvelle vulnérabilité, un correctif ou avis de sécurité, une exploitation ou un changement substantiel admissible pour Symfony. Aucun élément retenu pour Symfony : les huit candidats concernent Twig et leurs dates de mise à jour NVD indiquées sont antérieures à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, nouvel événement d’exploitation ni changement substantiel concernant Flask (le projet Flask lui-même) daté de la période figée du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les deux candidats sont des modifications NVD publiées le 2026-10-25, mais les informations accessibles les décrivent comme des vulnérabilités de Serena et de Flask-MonitoringDashboard, et non de Flask ; leur publication initiale était antérieure à la période. Aucun élément consulté ne confirme un changement substantiel daté dans la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Aucun avis, correctif ou changement substantiel concernant le framework Django n’a été vérifié pour la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. L’archive officielle consultée date les avis Django recensés en octobre du 6 octobre, hors période; les trois CVE Django candidates sont initialement publiées en juillet. ([docs.djangoproject.com](https://docs.djangoproject.com/en/6.0/releases/security/?utm_source=openai))
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité FastAPI, aux versions du projet et aux CVE/NVD n’a identifié aucun avis, correctif de sécurité, exploitation confirmée ni changement substantiel concernant FastAPI, daté dans la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. La page PyPI consultée indique une publication FastAPI le 2026-10-23, hors période; les avis de sécurité GitHub visibles sont antérieurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant Express.js n’a été vérifié pour la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les candidats Fiber désignent un framework Go inspiré d’Express, et non Express.js; les autres candidats ne documentent pas un événement de sécurité daté dans la période retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
Aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel NestJS daté du 2026-10-25 dans la période demandée n’a été vérifié. Les avis NestJS repérés sont datés du 2026-09-15 et la version v12.2.0 du 2026-10-19, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Aucune vulnérabilité, correctif, avis de sécurité, exploitation ou évolution substantielle visant le produit MySQL n’a été vérifié pour la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. L’avis de sécurité MySQL Community consulté est daté du 2026-10-20, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
Dans les sources consultées, aucun avis, correctif ou autre événement de sécurité PostgreSQL daté de la période figée n’a été vérifié. Les candidats NVD fournis sont des fiches publiées antérieurement; leurs seules dates pertinentes dans la période sont des mises à jour NVD, sans preuve consultée d’un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
La recherche dédiée n’a pas vérifié de nouvel avis, correctif, exploitation ou changement substantiel attribuable au produit MongoDB pendant la période demandée. Les candidats fournis concernent Parse Server, Apache Camel ou Coolify, et non une vulnérabilité du produit MongoDB; l’avis MongoDB Compass repéré est daté du 2026-10-24, hors de la période locale commençant le 2026-10-25 à 00:00 +02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis GitHub daté du 25 octobre 2026 signale un logiciel malveillant dans le paquet npm `redis-dumper`. Les autres candidats fournis concernent des produits distincts ou des fiches publiées avant la période; ils ne constituent pas de nouvelles informations Redis datées de cette journée.
Logiciel malveillant signalé dans le paquet npm redis-dumper
Le 25 octobre 2026, GitHub a publié un avis concernant un logiciel malveillant dans le paquet npm `redis-dumper`. L’avis recommande de considérer comme compromis tout ordinateur où le paquet a été installé ou exécuté, de retirer le paquet et de renouveler les secrets depuis un autre ordinateur.
Action recommandée : Retirer le paquet si présent; traiter la machine comme compromise et renouveler ses secrets depuis un autre ordinateur.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy n’a pas fait apparaître, pour la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu, d’avis, de correctif, d’exploitation ou de changement substantiel répondant aux critères. Les avis Caddy repérés dans les résultats consultés sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée a repéré plusieurs avis de sécurité SvelteKit publiés le 5 octobre 2026, ainsi que des références CVE publiées le 21 octobre 2026. Ces dates sont antérieures à la période demandée, et aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté du 25 octobre 2026 à 00:00 (+02:00) au 26 octobre 2026 à 00:00 (+02:00) n’a été identifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée aux avis et publications de sécurité de Babel n’a identifié aucun événement vérifié répondant aux critères pour la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les avis Babel visibles dans le dépôt GitHub consulté sont datés d’avant cette période; la version Babel publiée le 2026-10-23 est également antérieure à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant Elasticsearch pendant la période demandée. Les résultats disponibles montrent des avis Elasticsearch publiés le 2026-10-06, hors période. Pour les trois fiches NVD mises à jour le 2026-10-25, aucune preuve consultée n’établit qu’il s’agissait d’un changement substantiel plutôt que d’une mise à jour administrative; elles ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Vérification incomplète
La page officielle des avis de sécurité RabbitMQ répertorie cinq avis du projet publiés le 2026-10-25 : trois de gravité moyenne et deux de gravité élevée. Les dix candidats fournis sont des mises à jour NVD dont la publication initiale indiquée remonte au 2026-07-10 ; leur date de mise à jour seule ne permet pas de les retenir comme nouveautés de la période. Le candidat concerne CVE-2026-57221 et indique une mise à jour de la fiche NVD le 2026-10-25. Les éléments fournis ne précisent pas la nature du changement ; il n’est donc pas possible de déterminer s’il s’agit d’une modification substantielle ou administrative.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Memcached
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni aucun changement substantiel concernant Memcached n’a été vérifié pour la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les résultats pertinents consultés concernaient des avis antérieurs à cette période; les avis publiés en dehors de la fenêtre n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel GraphQL daté dans la période demandée. Les huit candidats sont des fiches de vulnérabilités publiées entre juin et juillet 2026; leur mise à jour NVD du 25 octobre, à elle seule, ne démontre pas un événement de sécurité nouveau pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une nouvelle vulnérabilité publiée le 2026-10-25 concerne le module Chikkili – Google Pay India for WooCommerce jusqu’à la version 1.0.6. Les neuf autres candidats sont des mises à jour de fiches NVD pour des vulnérabilités publiées antérieurement; les éléments consultés ne permettent pas d’établir qu’elles signalent un changement substantiel durant la période. Les candidats fournis correspondent à des fiches NVD publiées avant la période et modifiées le 25 octobre. Les données du lot ne documentent aucun changement substantiel daté dans la période ; aucune vulnérabilité n’est retenue. Aucun événement de sécurité admissible n’est établi par les candidats : ils signalent des modifications de fiches NVD, sans preuve d’un changement substantiel daté dans la période. Les candidats mis à jour le 24 octobre sont en outre antérieurs à la période demandée. Aucun candidat ne documente un événement admissible dans la période demandée : les fiches NVD indiquent des publications du 13 juillet 2026 et des mises à jour du 24 octobre 2026, toutes antérieures au début de la période. Aucune recherche web n’a été effectuée, conformément à la consigne de traiter uniquement le lot fourni. Les deux candidats concernent des fiches NVD publiées le 2026-07-13 et modifiées le 2026-10-24, avant la période demandée. Aucun événement de sécurité pertinent daté de la période n’est établi par ce lot.
Chikkili- Google Pay India for Woocommerce : commandes marquées payées sans paiement vérifié
La publication NVD du 25 octobre signale un défaut de vérification des notifications de paiement dans Chikkili- Google Pay India for Woocommerce, présent jusqu’à la version 1.0.6. Un attaquant non authentifié peut faire marquer des commandes arbitraires comme payées sans effectuer de paiement.
Action recommandée : Vérifier les commandes marquées payées et confirmer leur règlement auprès du fournisseur de paiement. Aucune version corrigée n’est établie par les sources consultées.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée à Simple:Press n’a identifié aucun avis, correctif, vulnérabilité nouvellement publiée, exploitation signalée ou changement substantiel daté entre le 2026-10-25T00:00:00+02:00 et le 2026-10-26T00:00:00+02:00. Les sources consultées affichent des informations historiques ou des mises à jour antérieures à cette période; elles ne constituent pas un événement admissible pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche des avis Docker, des dépôts de sécurité Moby/BuildKit et des publications pertinentes n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Docker daté de la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les avis Docker trouvés les plus proches sont antérieurs à cette période; l’avis Docker sur PHP2Shell, publié le 2026-10-22, concerne des vulnérabilités de PHP et est également hors période. Aucune vulnérabilité propre au produit Docker n’est établie par les candidats de ce lot. Les fiches concernent PentAGI, Crawl4AI, Coolify ou Ruflo ; la mention de Docker dans leur description ne suffit pas à les rattacher au sujet demandé. Aucun candidat ne documente une vulnérabilité ou un avis concernant le produit Docker lui-même. Les références à Docker apparaissent dans des descriptions de vulnérabilités touchant d’autres produits.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis Kubernetes nouvellement publié ni aucun événement de sécurité vérifié correspondant à la période demandée. Les candidats fournis sont des fiches publiées antérieurement dont la date de mise à jour NVD, à elle seule, ne démontre pas une nouvelle vulnérabilité ou un changement substantiel pendant cette période. Les deux entrées concernent Tilt, un outil de développement pour des applications exécutées sur Kubernetes, et non Kubernetes lui-même. Elles décrivent des CVE publiées le 10 juillet 2026; la mise à jour NVD du 25 octobre est administrative selon les éléments fournis, sans changement substantiel démontré dans la période. Aucun item Kubernetes admissible n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Linux (noyau)
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de vulnérabilité, de correctif, d’avis de sécurité ou d’événement d’exploitation du noyau Linux daté de la période demandée. Plusieurs résultats consultés concernaient des avis hors période; les candidats fournis ne décrivent pas des vulnérabilités du noyau Linux. Aucun candidat du lot ne concerne le noyau Linux : les fiches décrivent des vulnérabilités de Google Chrome. Aucun élément admissible pour le sujet demandé n’est retenu. Aucun candidat fourni ne concerne Linux (noyau) : les fiches portent sur des vulnérabilités de Google Chrome. Aucun élément pertinent pour le sujet demandé n’est retenu. Aucun élément du lot ne concerne le noyau Linux. Les candidats décrivent des vulnérabilités de Google Chrome, et leur seule activité datée dans la période est une mise à jour de fiche NVD; aucune modification substantielle n’est établie par les informations fournies. Aucun candidat fourni ne concerne Linux (noyau) : les dix entrées portent sur des vulnérabilités de Google Chrome/Chromium. Les seules dates de la période indiquées sont des mises à jour de fiches NVD de vulnérabilités publiées antérieurement; aucune nouveauté Linux noyau vérifiée n’est établie par ce lot. Aucun candidat ne concerne une vulnérabilité du noyau Linux : les fiches portent sur Google Chrome. Leurs mises à jour NVD datées du 25 octobre sont administratives et ne constituent pas, selon les informations fournies, un changement substantiel relatif au sujet demandé. Aucun candidat fourni ne concerne Linux (noyau) : les dix fiches portent sur Google Chrome. Aucun élément du lot ne répond donc au sujet demandé. Aucune information vérifiée de la période ne concerne le noyau Linux parmi les candidats fournis : ils portent tous sur Google Chrome et leurs dates de…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Debian
Vérification incomplète
Un avis Debian daté du 25 octobre 2026 corrige deux vulnérabilités de Varnish Cache. L’avis DSA-6585-1 concernant Thunderbird apparaît également daté du 25 octobre, mais les éléments consultés ne permettent pas d’établir les CVE et les détails nécessaires pour produire des fiches individuelles.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Alpine Linux
Recherche du sujet effectuée
La recherche dédiée à Alpine Linux n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel vérifié comme daté du 2026-10-25 dans la période demandée. Le communiqué officiel de publication des versions Alpine 3.21.9, 3.22.7, 3.23.7 et 3.24.3 est daté du 2026-10-21, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou changement substantiel concernant Apache HTTP Server daté de la période demandée. Le projet indique une version 2.4.69 publiée le 2026-10-01, et sa page des vulnérabilités consultée est datée du 2026-10-23, hors période. Les trois candidats concernent des équipements ou projets distincts utilisant un binaire ou une fonction nommés « httpd » ; ils ne sont pas attribuables à Apache HTTP Server.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
La recherche ciblée a consulté l’index officiel des avis de sécurité nginx et des avis pertinents publiés autour de la période. Aucun élément vérifié ne correspond à une nouvelle vulnérabilité, à un correctif ou à un changement substantiel concernant nginx, daté du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. L’avis Amazon Linux trouvé porte une date de publication antérieure à la période (2026-10-24) et une mise à jour au 2026-10-26, sans preuve consultée d’un changement substantiel durant la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
La recherche dédiée a vérifié les avis du projet PHP et les résultats pertinents pour PHP/PHP-FPM. Les avis PHP2Shell repérés concernent des événements antérieurs à la période figée; aucun avis, correctif ou changement concernant le runtime PHP/PHP-FPM daté dans la période demandée n’a été confirmé. Les candidats fournis portent sur des applications distinctes, et non sur PHP lui-même. Aucune vulnérabilité ou évolution vérifiée dans ce lot ne concerne le projet PHP lui-même. Les CVE de publication portent sur KodExplorer, Performance Indicator System et DedeCMS ; les CVE restantes concernent des extensions ou thèmes WordPress, et les seules informations fournies sur leurs mises à jour NVD ne démontrent pas de changement substantiel dans la période. Les candidats fournis concernent des mises à jour NVD du 25 octobre 2026, mais portent sur des vulnérabilités de produits distincts de PHP. Aucune nouveauté applicable au sujet PHP n’est établie par ce lot. Aucun élément retenu : les candidats concernent des vulnérabilités de produits tiers, et non PHP ou PHP-FPM. Ils signalent des mises à jour de fiches NVD, sans preuve d’un événement de sécurité substantiel dans la période. Aucune information vérifiée dans ce lot ne concerne une vulnérabilité ou un avis de sécurité du langage PHP ou de PHP-FPM. Les CVE fournies portent sur des applications distinctes, même lorsque leurs noms de fichiers comportent l’extension .php. Aucun candidat du lot ne concerne PHP ou php-fpm : les fiches portent sur d’autres produits. Elles signalent des modifications NVD de vulnérabilités publiées antérieurement, sans élément fourni établissant un changement substantiel pertinent pour le sujet demandé. Aucun candidat ne documente une vulnérabilité ou un correctif du produit PHP lui-même. Les candidat…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WordPress
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a recensé 11 fiches CVE WordPress publiées dans la période demandée : Contact Form by Supsystic (1), WP Stripe Checkout (1), GiveWP (5) et WPVR (3). Les correctifs identifiés sont Contact Form by Supsystic 1.8.0, GiveWP 4.19.0.1 et WPVR 9.0.3 ou 9.1.3 selon la faille; aucune exploitation active n’est établie par les sources consultées. Cinq nouvelles fiches NVD concernant des extensions WordPress ont été publiées dans la période : InstaWP Connect, Qi Addons For Elementor, Datawiza Proxy Auth Plugin, Duplicator et Chikkili- Google Pay India for Woocommerce. Les mises à jour NVD datées du 25 octobre pour des CVE publiées antérieurement ne sont pas retenues, faute d’élément fourni montrant un changement substantiel. Les candidats sont des fiches NVD publiées en juillet 2026 et signalées comme modifiées le 25 octobre. Les éléments fournis n’établissent pas que ces modifications correspondent à un changement substantiel plutôt qu’à une mise à jour administrative; aucun événement admissible n’est donc retenu. Aucune vulnérabilité nouvelle, publication de correctif ou évolution substantielle datée de la période demandée n’est établie par les candidats fournis. Les trois entrées indiquent une mise à jour NVD au 2026-10-24, antérieure au début de la période, et ne documentent pas de changement substantiel pendant celle-ci.
Datawiza Proxy Auth Plugin : usurpation possible d’un compte administrateur
La publication NVD du 25 octobre signale que Datawiza Proxy Auth Plugin, avant la version 1.1.1, ne vérifie pas l’origine des en-têtes HTTP d’identité et de rôle qu’il utilise. Un attaquant non authentifié peut ainsi créer un compte WordPress et s’authentifier avec des privilèges d’administrateur.
Action recommandée : Mettre à jour Datawiza Proxy Auth Plugin vers la version 1.1.1 ou ultérieure.
Duplicator : exécution de PHP arbitraire possible dans un environnement multisite
La publication NVD du 25 octobre signale que Duplicator, avant la version 5.0.0, expose une procédure de mise à niveau en un clic sans contrôle approprié des droits. Un administrateur d’un site enfant multisite, qui n’est pas administrateur du réseau, peut ainsi installer et exécuter du PHP arbitraire dans le répertoire partagé du plugin.
Action recommandée : Mettre à jour Duplicator vers la version 5.0.0 ou ultérieure.
Chikkili- Google Pay India for Woocommerce : commandes marquées payées sans paiement vérifié
La publication NVD du 25 octobre signale un défaut de vérification des notifications de paiement dans Chikkili- Google Pay India for Woocommerce, présent jusqu’à la version 1.0.6. Un attaquant non authentifié peut faire marquer des commandes arbitraires comme payées sans effectuer de paiement.
Action recommandée : Vérifier les commandes marquées payées et confirmer leur règlement auprès du fournisseur de paiement. Aucune version corrigée n’est établie par les sources consultées.
WP Stripe Checkout — validation absente de la signature des webhooks
WP Stripe Checkout avant la version 1.2.2.62 ne vérifie pas la signature des webhooks Stripe lorsque le secret de signature n’est pas configuré, ce qui est son état par défaut selon la fiche. Un attaquant non authentifié pourrait ainsi falsifier une notification de paiement et faire marquer une commande comme payée; mettre à jour le plugin.
Action recommandée : Mettre à jour vers la version 1.2.2.62 ou ultérieure et vérifier la configuration des webhooks Stripe.
GiveWP — exposition de formulaires de don non publiés
GiveWP avant 4.19.0.1 peut afficher sur une route publique des formulaires de don non publiés, sans vérifier leur statut ni les capacités nécessaires. Mettre à jour vers 4.19.0.1 ou ultérieure; la version corrective est indiquée dans l’avis de sécurité du projet.
Action recommandée : Mettre à jour GiveWP vers la version 4.19.0.1 ou ultérieure.
GiveWP — traversée de chemin dans l’import des réglages
GiveWP avant 4.19.0.1 valide insuffisamment un nom de fichier fourni par l’utilisateur lors d’une lecture depuis le disque, ce qui peut permettre à un rôle personnalisé suffisamment privilégié de lire certains fichiers et d’écraser la configuration enregistrée du plugin. Mettre à jour vers 4.19.0.1 ou ultérieure.
Action recommandée : Mettre à jour GiveWP vers la version 4.19.0.1 ou ultérieure.
GiveWP — XSS stocké via un réglage de modèle de formulaire
GiveWP avant 4.19.0.1 échappe et assainit incorrectement un réglage de modèle de formulaire inséré dans un attribut HTML, ce qui peut permettre à un rôle personnalisé autorisé à modifier les formulaires d’injecter un script. Mettre à jour vers 4.19.0.1 ou ultérieure.
Action recommandée : Mettre à jour GiveWP vers la version 4.19.0.1 ou ultérieure.
GiveWP — contrôle d’accès inadéquat aux pages
GiveWP avant 4.19.0.1 détermine incorrectement la page visée lors d’une demande de vérification de capacité, ce qui peut autoriser un rôle personnalisé de collecte de fonds à lire, modifier ou publier des pages appartenant à d’autres utilisateurs. Mettre à jour vers 4.19.0.1 ou ultérieure.
Action recommandée : Mettre à jour GiveWP vers la version 4.19.0.1 ou ultérieure.
WPVR — création et publication non autorisées de visites virtuelles
WPVR avant la version 9.1.3 vérifie incorrectement les capacités lors de la création d’une visite virtuelle par l’assistant de configuration, permettant à des utilisateurs ayant le rôle Contributeur ou supérieur de créer et publier du contenu et des métadonnées qu’ils ne devraient pas pouvoir définir. Mettre à jour vers 9.1.3 ou ultérieure.
Action recommandée : Mettre à jour WPVR vers la version 9.1.3 ou ultérieure.
Contact Form by Supsystic — injection de script via le nom du formulaire
Contact Form by Supsystic avant la version 1.8.0 ne neutralise pas correctement le nom d’un formulaire, ce qui peut permettre à un utilisateur ayant accès à l’éditeur d’injecter un script exécuté lors de l’affichage du formulaire. Mettre à jour vers la version 1.8.0 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.8.0 ou ultérieure.
GiveWP — modification non autorisée des adresses de donateurs
GiveWP avant 4.19.0.1 ne vérifie pas la capacité d’édition requise lors du traitement des changements d’adresse de donateur. Un compte disposant de l’accès aux rapports de donateurs, mais pas de l’accès à leur édition, peut ainsi modifier ou supprimer les adresses enregistrées; mettre à jour le plugin.
Action recommandée : Mettre à jour GiveWP vers la version 4.19.0.1 ou ultérieure et limiter les accès aux rapports de donateurs.
WPVR — accès et modification de visites appartenant à d’autres utilisateurs
WPVR avant 9.0.3 ne vérifie pas correctement l’autorisation au niveau de l’objet lors de la lecture et de la mise à jour des visites virtuelles. Des utilisateurs disposant d’un accès de niveau Contributeur ou supérieur peuvent consulter et modifier les visites d’autres utilisateurs; mettre à jour le plugin.
Action recommandée : Mettre à jour WPVR vers la version 9.0.3 ou ultérieure.
WPVR — contrôle de propriété manquant lors de la mise à jour des visites
WPVR avant 9.0.3 ne vérifie pas correctement la propriété des visites virtuelles lors de leur mise à jour, permettant à des utilisateurs de niveau Contributeur ou supérieur de modifier, reconfigurer ou publier les visites d’autres utilisateurs. Mettre à jour vers 9.0.3 ou ultérieure.
Action recommandée : Mettre à jour WPVR vers la version 9.0.3 ou ultérieure.
InstaWP Connect : contrôle de capacité manquant lors de la modification des réglages
La publication NVD du 25 octobre signale un défaut de contrôle de capacité dans InstaWP Connect, antérieur à la version 0.1.4.2. Un utilisateur authentifié disposant d’un accès à la fonctionnalité de synchronisation peut modifier les réglages du plugin, y compris les rôles autorisés à utiliser cette fonctionnalité.
Action recommandée : Mettre à jour InstaWP Connect vers la version 0.1.4.2 ou ultérieure.
Qi Addons For Elementor : sanitisation insuffisante du titre d’un widget
La publication NVD du 25 octobre signale un défaut de sanitisation dans Qi Addons For Elementor avant la version 1.11.2. Un contributeur ou un utilisateur ayant un rôle supérieur peut intégrer du HTML actif dans le texte de titre d’un widget, notamment des formulaires dont les données peuvent être envoyées à un hôte externe.
Action recommandée : Mettre à jour Qi Addons For Elementor vers la version 1.11.2 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvel avis, correctif, exploitation ni changement substantiel concernant PrestaShop pendant la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les avis et incidents repérés dans les résultats consultés sont antérieurs à cette période; ils ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a établi aucun avis, correctif, événement d’exploitation ou changement substantiel répondant à la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. Les candidats CVE-2026-13533 et CVE-2026-58467 signalent des mises à jour NVD datées du 25 octobre, mais les éléments consultés ne permettent pas d’établir qu’elles correspondent à un changement substantiel plutôt qu’à une modification administrative; les deux autres candidats indiquent une mise à jour antérieure à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée sur CloudPanel n’a pas permis de vérifier de nouvelle vulnérabilité, d’avis ou de correctif de sécurité, ni d’autre changement substantiel publié pendant la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. Les résultats consultés mentionnaient notamment des vulnérabilités PHP divulguées avant cette période et une discussion GitHub sur leur disponibilité dans les dépôts CloudPanel, mais aucun résultat vérifié ne satisfaisait le critère de datation et de nouveauté demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
Aucune vulnérabilité, aucun avis/correctif de sécurité ni événement d’exploitation daté dans la période demandée n’a été identifié dans les sources consultées pour Uptime Kuma. Les avis et changements de versions repérés sont datés hors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée à MariaDB n’a pas identifié de vulnérabilité, d’avis ou de correctif dont la publication ou le changement substantiel soit vérifié dans la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. Les résultats repérés pour MariaDB renvoient à des événements antérieurs ou postérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée aux sources de sécurité et dépôts de phpMyAdmin n’a identifié aucun avis, correctif ou événement propre à phpMyAdmin daté de la période demandée (du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu). Les vulnérabilités PHP repérées concernent le langage PHP, et non phpMyAdmin lui-même; elles ont été publiées le 21 octobre 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée dans les avis de sécurité pgAdmin et les résultats CVE/GitHub consultés n’a pas confirmé de nouvel avis, correctif, exploitation ni changement substantiel concernant pgAdmin daté de la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les avis pgAdmin visibles dans les résultats consultés portent des dates de publication antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication corrective, exploitation ni mise à jour de sécurité propre à Virtualmin datée du 2026-10-25 (période +02:00) n’a été identifiée dans les résultats consultés. Les discussions de sécurité repérées sur le forum Virtualmin étaient datées du 2026-10-23, hors période; les avis concernant PHP ne sont pas attribués à Virtualmin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a pas identifié d’avis, de correctif, d’exploitation ni de changement substantiel daté du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu dans les sources consultées. Les avis et publications Webmin repérés concernent d’autres dates et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel concernant Vue.js n’a été vérifié comme daté du 2026-10-25 dans la période demandée. Le candidat fourni porte sur Bagisto et une injection de modèle côté client exploitant Vue.js ; sa vulnérabilité avait été publiée en juillet 2026. La mise à jour NVD du 25 octobre est administrative et ne suffit pas à établir un nouvel événement de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis/correctif ni évolution substantielle concernant Vite n’a été vérifiée pour la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les avis Vite repérés dans les sources consultées sont datés d’avant cette période, notamment les 2026-10-06 et 2026-10-21; ils sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée sur Nuxt a fait ressortir des avis de sécurité publiés le 16 octobre 2026 et des références CVE datées du 21 octobre 2026, donc hors de la période demandée (du 25 octobre 2026 à 00:00 au 26 octobre 2026 à 00:00, heure +02:00). Aucun élément trouvé ne répond aux critères de date de ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
Aucun avis ou événement de sécurité Next.js daté du 2026-10-25 dans la période demandée n’a été vérifié. Les avis Next.js trouvés dans la recherche étaient antérieurs à cette période; les deux candidats concernent 9Router, et non une vulnérabilité du projet Next.js.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis de sécurité publié le 25 octobre signale du code malveillant dans la version 9000.0.0 du paquet npm react-native-bright-sdk. Le candidat CVE-2026-58460 a été exclu : sa vulnérabilité avait été publiée en juillet, et le seul élément fourni pour le 25 octobre est une mise à jour NVD dont le caractère substantiel n’est pas établi.
Code malveillant dans react-native-bright-sdk
Le 25 octobre 2026, un avis GHSA a signalé du code malveillant dans react-native-bright-sdk 9000.0.0 : son hook preinstall envoie automatiquement le nom d’hôte et l’horodatage d’installation à un endpoint externe. Évitez cette version; si elle a été installée, supprimez-la et examinez les systèmes concernés.
Action recommandée : Ne pas installer la version 9000.0.0; si elle est présente, la supprimer et vérifier les systèmes où elle a été installée.
Angular
Recherche du sujet effectuée
La recherche dédiée sur Angular n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel vérifiable, daté dans la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. Les avis Angular repérés dans les résultats consultés sont datés hors de cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche des avis de sécurité Astro et des fiches CVE accessibles a retrouvé CVE-2026-59731 / GHSA-vj59-8hwv-xxmv, mais les dates publiées indiquées sont antérieures à la période demandée. La fiche NVD du candidat indique une mise à jour le 2026-10-25, sans preuve consultable ici qu’il s’agisse d’un changement substantiel; une modification administrative seule ne répond pas aux critères d’inclusion.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel lié à TypeScript n’a été vérifié pour la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les quatre candidats sont des CVE publiées en juillet 2026; leur mise à jour NVD datée du 25 octobre, à elle seule, ne permet pas d’établir un événement de sécurité admissible dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Élevée
Cinq vulnérabilités liées à JavaScript ont été retenues comme nouvelles dans la période : une affectant AVideo, deux SiYuan et deux YesWiki. Les candidats portant sur des mises à jour NVD de fiches publiées antérieurement ont été écartés, car les éléments disponibles ne démontrent pas de changement substantiel daté dans la période. Les candidats fournis sont des fiches NVD dont la date de mise à jour tombe dans la période, mais les éléments disponibles ne démontrent pour aucun une nouvelle vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté dans cette période. Aucune nouveauté JavaScript n’est donc retenue. Aucun événement répondant aux critères de la période n’est établi par les éléments fournis : les candidats signalent des mises à jour de fiches NVD le 25 octobre, mais ne documentent pas de changement substantiel daté de cette période. Les dates de publication et les descriptions des vulnérabilités sont antérieures. Aucun candidat ne documente une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel intervenu dans la période. Les fiches indiquent des publications en juillet 2026 et une mise à jour NVD le 25 octobre, sans préciser de changement substantiel; une mise à jour administrative seule ne suffit pas à retenir un item. Aucun élément du lot ne démontre une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté de la période demandée. Les candidats indiquent des dates de publication antérieures et une mise à jour NVD le 2026-10-25, sans décrire la nature d’un changement substantiel. Aucun événement JavaScript admissible n’est établi par les candidats fournis pour cette période : les entrées datées du 25 octob…
SiYuan — XSS via la redirection de /check-auth
SiYuan versions 2.9.0 à 3.8.6 présente une XSS sur la page non authentifiée /check-auth, qui redirige vers une URL sans valider son schéma. Un lien spécialement construit peut faire exécuter du JavaScript après la connexion et compromettre les données ou paramètres de l’espace de travail; mettez à niveau vers 3.8.7.
Action recommandée : Mettre à niveau SiYuan vers la version 3.8.7 ou ultérieure.
AVideo — XSS stockée dans les commentaires Markdown
AVideo 26.0 à 29.3.0 présente une XSS stockée dans le rendu Markdown des commentaires : un commentateur authentifié peut injecter du JavaScript exécuté dans le navigateur des visiteurs. Mettez à niveau vers une version corrigée dès qu’elle est disponible.
Action recommandée : Vérifier l’exposition des commentaires et appliquer une mise à niveau dès publication d’un correctif.
XSS stockée dans le rendu des blocs mathématiques de SiYuan
SiYuan comporte une XSS stockée dans le rendu des blocs mathématiques : un utilisateur disposant d’un droit de modification peut y insérer des liens `javascript:` qui exécutent du code lorsqu’un lecteur clique dessus. Les versions à partir de 2.10.0 et antérieures à 3.8.7 sont concernées ; mettre à jour vers 3.8.7 ou une version ultérieure.
Action recommandée : Mettre à jour SiYuan vers la version 3.8.7 ou ultérieure et limiter les droits de modification aux utilisateurs de confiance.
YesWiki — XSS dans l’action filtertags
YesWiki avant 4.7.0 présente une XSS dans l’action filtertags : des valeurs contrôlées par un attaquant sont renvoyées sans encodage de sortie. Un attaquant non authentifié peut provoquer l’exécution de JavaScript chez les personnes qui consultent la page; mettez à niveau vers 4.7.0.
Action recommandée : Mettre à niveau YesWiki vers la version 4.7.0 ou ultérieure.
XSS stockée dans les commentaires de YesWiki
YesWiki comporte une XSS stockée dans les commentaires : un utilisateur authentifié peut insérer du contenu HTML brut qui est ensuite rendu sans échappement, avec exécution de JavaScript dans les sessions des visiteurs ou des administrateurs. Les versions à partir de 4.2.0 et antérieures à 4.7.0 sont concernées ; mettre à jour vers 4.7.0 ou une version ultérieure.
Action recommandée : Mettre à jour YesWiki vers la version 4.7.0 ou ultérieure et contrôler les commentaires déjà publiés.
HTML5
Recherche du sujet effectuée
Aucun avis ou correctif de sécurité HTML5 daté de la période demandée n’a été vérifié dans les sources consultées. Le candidat CVE-2026-57323 concerne le plugin WordPress Flash & HTML5 Video, mais sa divulgation et son correctif datent de juin 2026; la modification NVD du 25 octobre est administrative et ne constitue pas un nouvel événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée à CSS3 n’a identifié aucun avis de sécurité, correctif ou événement de vulnérabilité pertinent daté dans la période demandée. Les avis Mozilla repérés concernent le 27 octobre 2026, après la borne de fin, et sont exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel concernant Tailwind CSS daté de la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les résultats relevés sur des paquets malveillants liés à Tailwind CSS sont datés du 2026-10-20, et une discussion évoque le retrait d’un avis le 2026-10-23 : ces événements sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
Pour Bootstrap, le framework front-end twbs/bootstrap, la recherche n’a identifié aucun avis de sécurité, correctif ou autre événement de sécurité daté du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les candidats NVD fournis portent sur d’autres produits dont le nom contient « Bootstrap », ou emploient « bootstrap » dans une description ; leurs mises à jour NVD ne constituent pas des nouveautés de sécurité pour le framework demandé. Aucun élément concernant Bootstrap n’a été identifié dans ce lot.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant Webpack et daté de la période du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu. Les avis repérés pour webpack-dev-server étaient datés du 22 octobre 2026 et concernent un projet distinct; ils sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif/avis de sécurité, aucune exploitation ni mise à jour substantielle concernant esbuild n’a été vérifié comme ayant été publié pendant la période demandée. Les avis esbuild consultés sont antérieurs à cette période; les éléments apparus après la borne de fin sont exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou mise à jour de sécurité concernant le projet Parcel n’a été vérifiée comme nouvelle pendant la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les résultats repérés concernant react-server-dom-parcel sont antérieurs à cette période ou ne documentent pas un événement de sécurité Parcel dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche dédiée a trouvé l’avis de sécurité Node.js d’octobre 2026, publié le 21 octobre, donc hors de la période demandée. Aucun élément consulté n’établit un événement Node.js admissible daté du 25 octobre 2026. Aucun événement pertinent pour Node.js n’est établi dans la période à partir des candidats fournis. Les entrées portent des dates de publication antérieures ; leur seule modification NVD dans la période ne suffit pas à établir une nouvelle vulnérabilité, un correctif ou un changement substantiel daté dans cette période. Les candidats examinés sont des mises à jour de fiches NVD datées du 2026-10-25, mais leurs dates de publication indiquées sont en juillet 2026 et les éléments fournis ne démontrent aucun changement substantiel survenu pendant la période demandée. Ils ne sont donc pas retenus comme nouveautés pour ce bulletin Node.js. Aucun candidat fourni ne documente une vulnérabilité ou un avis concernant le produit Node.js lui-même. Les candidats portent sur d’autres logiciels; les seules dates de mise à jour NVD ne suffisent pas à établir un changement substantiel pertinent pour le sujet. Un avis publié pendant la période signale un paquet npm malveillant dont le code collecte et transmet des identifiants d’hôte, notamment la version de Node.js. Les deux entrées NVD portent sur SAP Approuter et n8n, et ne concernent pas Node.js.
Code malveillant dans le paquet npm @ppa-web-components/ppa-searchform
Le paquet npm @ppa-web-components/ppa-searchform contient du code qui transmet des identifiants de l’hôte à une adresse IP externe lors de l’installation ou de l’importation du module. Les versions signalées sont 0.0.1, 1.0.0, 1.0.1, 1.1.0, 2.0.0, 2.0.1, 3.0.0 et 99.0.1 ; supprimer le paquet et vérifier les environnements où il a été installé ou chargé.
Action recommandée : Ne pas installer ni utiliser les versions concernées. Si elles ont été installées ou importées, retirer le paquet et examiner les systèmes et journaux concernés.
Python
Vérification incomplète
Un avis GitHub daté du 24 octobre 2026 signale une mesure de sécurité de Python contre des clés intermédiaires eMudhra compromises. Les versions correctives communiquées le 26 octobre sont hors de la période demandée. Les candidats fournis sont des fiches NVD dont la date de mise à jour tombe dans la période, mais leur date de publication est antérieure. Les éléments transmis ne montrent pas de changement substantiel daté dans la période; une mise à jour NVD seule ne suffit pas à retenir un événement. Aucun événement Python admissible n’est établi pour la période à partir des éléments fournis. Les candidats décrivent des vulnérabilités publiées en juillet 2026 et signalent uniquement une mise à jour NVD le 25 octobre, sans préciser de changement substantiel intervenu ce jour-là. Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni aucun changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats correspondent à des fiches publiées le 8 juillet 2026 dont la seule date d’événement fournie pour le 25 octobre est une mise à jour NVD; aucune preuve ne montre que cette mise à jour était substantielle. Aucune nouveauté de sécurité vérifiable dans la période pour Python parmi les candidats fournis. Les fiches indiquent une publication antérieure et une mise à jour NVD au 2026-10-25, sans élément fourni établissant un changement substantiel au-delà de cette modification. Aucune nouveauté Python vérifiée dans la période demandée parmi les candidats fournis : les dates de publication de ces vulnérabilités précèdent la période, et les modifications NVD indiquées ne documentent pas de changement substantiel daté du 25 octobre 2026. Les candidats Grist et PraisonAI ont été publiés en juillet 2026 ; les deux aut…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Java
Recherche du sujet effectuée
Niveau relevé : Exploitation rapportée
Les candidats fournis comprennent quatre CVE publiées le 2026-10-25 dans des composants logiciels Java ; elles sont retenues comme nouvelles publications dans la période. Les candidats portant sur des fiches publiées en juin et seulement modifiées le 2026-10-25 sont exclus, faute d’élément fourni établissant un changement de sécurité substantiel ce jour-là. La recherche web a également fait ressortir des avis Oracle Java datés des 20 et 21 octobre, hors période ; aucun item n’en est tiré. Aucune nouveauté Java vérifiable n’a été retenue pour cette période. Les candidats sont des vulnérabilités publiées entre juin et juillet 2026 ; leur seule date dans la période est une mise à jour NVD, sans changement substantiel daté de cette période établi par les éléments fournis. Aucun événement substantiel concernant Java dans la période ne peut être établi à partir des éléments fournis. Les candidats indiquent une date de mise à jour NVD le 2026-10-25, mais ne précisent pas quels changements ont été apportés; une modification de fiche, à elle seule, ne suffit pas à établir une nouveauté ou un changement substantiel. Aucune vulnérabilité du lot n’est retenue pour la période : les candidats sont des fiches NVD publiées en juillet 2026, et les données fournies ne décrivent aucun changement substantiel intervenu le 25 octobre. La seule date de mise à jour NVD ne suffit pas à établir un nouvel événement de sécurité. Le lot contient une vulnérabilité nouvellement publiée pendant la période : une injection SQL dans pig-mesh Pig (CVE-2026-115997), corrigée en version 4.1.1. Les autres candidats sont des modifications de fiches NVD antérieures à la période, sans preuve dans le lot d’un changement substantiel daté pendant celle-ci. Le candidat fourni concerne une vulnérabilité de ruoyi-vu…
Injection SQL dans pig-mesh Pig (CVE-2026-115997)
Une injection SQL à distance affecte pig-mesh Pig jusqu’à la version 4.1.0, dans le traitement des arguments `ascs` et `descs` par `orderItem.getColumn`. Une mise à niveau vers la version 4.1.1 corrige le problème; la source signale qu’un exploit a été publié, sans confirmer son utilisation dans des attaques.
Action recommandée : Mettre à niveau vers pig-mesh Pig 4.1.1 ou une version ultérieure corrigée.
Défaut d’authentification par code SMS dans ruoyi-vue-pro
Une faille d’authentification est signalée dans la vérification de codes SMS de ruoyi-vue-pro. Le candidat indique que la manipulation des paramètres mobile/code permet une authentification incorrecte à distance ; il ne fournit pas de version corrigée.
Injection de code dans Alfresco Activiti
Une injection de code à distance est signalée dans Alfresco Activiti, dans la méthode JuelScriptEngine.eval. Le candidat indique une version affectée jusqu’à 7.21.0-rc.692, sans version corrigée connue.
Limitation insuffisante des tentatives de validation SMS dans ruoyi-vue-pro
Une restriction insuffisante des tentatives d’authentification est signalée dans la validation des codes SMS de ruoyi-vue-pro. Le candidat situe le défaut dans SmsCodeServiceImpl.java et ne précise pas de version corrigée.
TYPO3
Recherche du sujet effectuée
Aucun nouvel avis de sécurité TYPO3, correctif, signalement d’exploitation ou changement substantiel daté du 2026-10-25 n’a été vérifié dans les sources consultées. Les avis TYPO3 affichés dans les résultats de recherche portent des dates antérieures à la période figée; aucune information postérieure à la borne de fin n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Vérification incomplète
La recherche dédiée a consulté le flux des avis de sécurité Drupal et la page des avis Drupal core. Les avis visibles dans ces sources ne fournissent pas de preuve d’un nouvel avis Drupal daté du 25 octobre 2026. Les dix candidats sont des fiches NVD publiées en juillet et signalées comme modifiées le 25 octobre ; leur contenu n’a pas pu être vérifié pour déterminer si ces modifications étaient substantielles. Ils restent donc incertains et ne sont pas retenus comme éléments confirmés du bulletin. Les dix candidats sont des fiches NVD publiées le 2026-07-10. Les éléments fournis ne décrivent pour le 2026-10-25 qu’une mise à jour de fiche, sans changement substantiel vérifiable ; aucun item ne répond donc aux critères de la période. Aucune nouveauté Drupal vérifiable pour la période demandée dans ce lot. Les candidats sont des mises à jour de fiches NVD pour des vulnérabilités publiées en juillet ; les informations fournies n’établissent pas qu’un changement substantiel soit intervenu le 25 octobre. Les candidats fournis sont des modifications de fiches NVD de vulnérabilités publiées le 10 juillet 2026. Les données du lot ne documentent aucun changement substantiel survenu pendant la période demandée; une modification administrative NVD seule n’est pas retenue comme nouvelle information de sécurité. Aucune nouveauté Drupal vérifiable dans la période à partir des candidats fournis. Les six entrées correspondent à des vulnérabilités publiées le 2026-07-10 ; leur mise à jour NVD du 2026-10-25 est administrative et ne fournit pas de preuve d’un changement substantiel survenu dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Vérification incomplète
La recherche dédiée n’a identifié aucun avis de sécurité Joomla ni aucune nouveauté substantielle vérifiable datée du 25 octobre 2026 dans les sources consultées. Les dix candidats sont des vulnérabilités publiées en juin ou juillet 2026 ; les dates du 25 octobre fournies correspondent à des mises à jour NVD, sans preuve d’un changement substantiel pendant la période. Aucun candidat n’est retenu pour cette période : les dates fournies signalent des mises à jour NVD, sans preuve d’un changement substantiel daté dans l’intervalle. Les deux dernières fiches indiquent en outre une mise à jour antérieure au début de la période. Les deux candidats concernent des CVE publiées avant la période. Leurs fiches NVD ont été mises à jour à l’intérieur de la période, mais les éléments fournis ne précisent pas si ces modifications étaient substantielles; aucune nouveauté ne peut donc être confirmée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Recherche du sujet effectuée
La recherche web dédiée a été effectuée. Les résultats consultés indiquent que le bulletin Adobe APSB26-153 date du 2026-10-13 et que sa mise à jour de correctif isolé date du 2026-10-16 ; ces événements précèdent la période demandée. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel Magento daté du 2026-10-25 n’a été vérifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis/correctif de sécurité ni changement substantiel Adobe Commerce daté du 2026-10-25T00:00:00+02:00 inclus au 2026-10-26T00:00:00+02:00 exclu n’a été identifié dans la recherche effectuée. Les avis et mises à jour Adobe repérés concernent des dates antérieures à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée sur Fooocus n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel dont la date soit établie dans la période du 2026-10-25T00:00:00+02:00 au 2026-10-26T00:00:00+02:00. Les résultats trouvés concernant CVE-2025-31114 sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
6 alerte(s)SiYuan — XSS via la redirection de /check-auth
SiYuan versions 2.9.0 à 3.8.6 présente une XSS sur la page non authentifiée /check-auth, qui redirige vers une URL sans valider son schéma. Un lien spécialement construit peut faire exécuter du JavaScript après la connexion et compromettre…
Source : NVD — CVE-2026-116167
AVideo — XSS stockée dans les commentaires Markdown
AVideo 26.0 à 29.3.0 présente une XSS stockée dans le rendu Markdown des commentaires : un commentateur authentifié peut injecter du JavaScript exécuté dans le navigateur des visiteurs. Mettez à niveau vers une version corrigée dès qu’elle…
Source : NVD — CVE-2026-116139
XSS stockée dans le rendu des blocs mathématiques de SiYuan
SiYuan comporte une XSS stockée dans le rendu des blocs mathématiques : un utilisateur disposant d’un droit de modification peut y insérer des liens `javascript:` qui exécutent du code lorsqu’un lecteur clique dessus. Les versions à partir…
Source : NVD — CVE-2026-116169
YesWiki — XSS dans l’action filtertags
YesWiki avant 4.7.0 présente une XSS dans l’action filtertags : des valeurs contrôlées par un attaquant sont renvoyées sans encodage de sortie. Un attaquant non authentifié peut provoquer l’exécution de JavaScript chez les personnes qui co…
Source : NVD — CVE-2026-116203
XSS stockée dans les commentaires de YesWiki
YesWiki comporte une XSS stockée dans les commentaires : un utilisateur authentifié peut insérer du contenu HTML brut qui est ensuite rendu sans échappement, avec exécution de JavaScript dans les sessions des visiteurs ou des administrateu…
Source : NVD — CVE-2026-116206
Code malveillant dans react-native-bright-sdk
Le 25 octobre 2026, un avis GHSA a signalé du code malveillant dans react-native-bright-sdk 9000.0.0 : son hook preinstall envoie automatiquement le nom d’hôte et l’horodatage d’installation à un endpoint externe. Évitez cette version; si…
Source : GHSA-fjcx-639f-h39g — Malicious code in react-native-bright-sdk
Backend & données
6 alerte(s)Logiciel malveillant signalé dans le paquet npm redis-dumper
Le 25 octobre 2026, GitHub a publié un avis concernant un logiciel malveillant dans le paquet npm `redis-dumper`. L’avis recommande de considérer comme compromis tout ordinateur où le paquet a été installé ou exécuté, de retirer le paquet…
Injection SQL dans pig-mesh Pig (CVE-2026-115997)
Une injection SQL à distance affecte pig-mesh Pig jusqu’à la version 4.1.0, dans le traitement des arguments `ascs` et `descs` par `orderItem.getColumn`. Une mise à niveau vers la version 4.1.1 corrige le problème; la source signale qu’un…
Source : NVD — CVE-2026-115997
Défaut d’authentification par code SMS dans ruoyi-vue-pro
Une faille d’authentification est signalée dans la vérification de codes SMS de ruoyi-vue-pro. Le candidat indique que la manipulation des paramètres mobile/code permet une authentification incorrecte à distance ; il ne fournit pas de vers…
Source : NVD — CVE-2026-116006
Injection de code dans Alfresco Activiti
Une injection de code à distance est signalée dans Alfresco Activiti, dans la méthode JuelScriptEngine.eval. Le candidat indique une version affectée jusqu’à 7.21.0-rc.692, sans version corrigée connue.
Source : NVD — CVE-2026-116058
Limitation insuffisante des tentatives de validation SMS dans ruoyi-vue-pro
Une restriction insuffisante des tentatives d’authentification est signalée dans la validation des codes SMS de ruoyi-vue-pro. Le candidat situe le défaut dans SmsCodeServiceImpl.java et ne précise pas de version corrigée.
Source : NVD — CVE-2026-116007
Code malveillant dans le paquet npm @ppa-web-components/ppa-searchform
Le paquet npm @ppa-web-components/ppa-searchform contient du code qui transmet des identifiants de l’hôte à une adresse IP externe lors de l’installation ou de l’importation du module. Les versions signalées sont 0.0.1, 1.0.0, 1.0.1, 1.1.0…
CMS & e-commerce
15 alerte(s)Datawiza Proxy Auth Plugin : usurpation possible d’un compte administrateur
La publication NVD du 25 octobre signale que Datawiza Proxy Auth Plugin, avant la version 1.1.1, ne vérifie pas l’origine des en-têtes HTTP d’identité et de rôle qu’il utilise. Un attaquant non authentifié peut ainsi créer un compte WordPr…
Source : NVD — CVE-2026-115214
Duplicator : exécution de PHP arbitraire possible dans un environnement multisite
La publication NVD du 25 octobre signale que Duplicator, avant la version 5.0.0, expose une procédure de mise à niveau en un clic sans contrôle approprié des droits. Un administrateur d’un site enfant multisite, qui n’est pas administrateu…
Source : NVD — CVE-2026-115251
Chikkili- Google Pay India for Woocommerce : commandes marquées payées sans paiement vérifié
La publication NVD du 25 octobre signale un défaut de vérification des notifications de paiement dans Chikkili- Google Pay India for Woocommerce, présent jusqu’à la version 1.0.6. Un attaquant non authentifié peut faire marquer des command…
Source : NVD — CVE-2026-94295
WP Stripe Checkout — validation absente de la signature des webhooks
WP Stripe Checkout avant la version 1.2.2.62 ne vérifie pas la signature des webhooks Stripe lorsque le secret de signature n’est pas configuré, ce qui est son état par défaut selon la fiche. Un attaquant non authentifié pourrait ainsi fal…
Source : NVD — CVE-2026-110285
GiveWP — exposition de formulaires de don non publiés
GiveWP avant 4.19.0.1 peut afficher sur une route publique des formulaires de don non publiés, sans vérifier leur statut ni les capacités nécessaires. Mettre à jour vers 4.19.0.1 ou ultérieure; la version corrective est indiquée dans l’avi…
Source : NVD — CVE-2026-111976
GiveWP — traversée de chemin dans l’import des réglages
GiveWP avant 4.19.0.1 valide insuffisamment un nom de fichier fourni par l’utilisateur lors d’une lecture depuis le disque, ce qui peut permettre à un rôle personnalisé suffisamment privilégié de lire certains fichiers et d’écraser la conf…
Source : NVD — CVE-2026-111978
GiveWP — XSS stocké via un réglage de modèle de formulaire
GiveWP avant 4.19.0.1 échappe et assainit incorrectement un réglage de modèle de formulaire inséré dans un attribut HTML, ce qui peut permettre à un rôle personnalisé autorisé à modifier les formulaires d’injecter un script. Mettre à jour…
Source : NVD — CVE-2026-111979
GiveWP — contrôle d’accès inadéquat aux pages
GiveWP avant 4.19.0.1 détermine incorrectement la page visée lors d’une demande de vérification de capacité, ce qui peut autoriser un rôle personnalisé de collecte de fonds à lire, modifier ou publier des pages appartenant à d’autres utili…
Source : NVD — CVE-2026-111980
WPVR — création et publication non autorisées de visites virtuelles
WPVR avant la version 9.1.3 vérifie incorrectement les capacités lors de la création d’une visite virtuelle par l’assistant de configuration, permettant à des utilisateurs ayant le rôle Contributeur ou supérieur de créer et publier du cont…
Source : NVD — CVE-2026-114740
Contact Form by Supsystic — injection de script via le nom du formulaire
Contact Form by Supsystic avant la version 1.8.0 ne neutralise pas correctement le nom d’un formulaire, ce qui peut permettre à un utilisateur ayant accès à l’éditeur d’injecter un script exécuté lors de l’affichage du formulaire. Mettre à…
Source : NVD — CVE-2025-15705
GiveWP — modification non autorisée des adresses de donateurs
GiveWP avant 4.19.0.1 ne vérifie pas la capacité d’édition requise lors du traitement des changements d’adresse de donateur. Un compte disposant de l’accès aux rapports de donateurs, mais pas de l’accès à leur édition, peut ainsi modifier…
Source : NVD — CVE-2026-111981
WPVR — accès et modification de visites appartenant à d’autres utilisateurs
WPVR avant 9.0.3 ne vérifie pas correctement l’autorisation au niveau de l’objet lors de la lecture et de la mise à jour des visites virtuelles. Des utilisateurs disposant d’un accès de niveau Contributeur ou supérieur peuvent consulter et…
Source : NVD — CVE-2026-114741
WPVR — contrôle de propriété manquant lors de la mise à jour des visites
WPVR avant 9.0.3 ne vérifie pas correctement la propriété des visites virtuelles lors de leur mise à jour, permettant à des utilisateurs de niveau Contributeur ou supérieur de modifier, reconfigurer ou publier les visites d’autres utilisat…
Source : NVD — CVE-2026-114742
InstaWP Connect : contrôle de capacité manquant lors de la modification des réglages
La publication NVD du 25 octobre signale un défaut de contrôle de capacité dans InstaWP Connect, antérieur à la version 0.1.4.2. Un utilisateur authentifié disposant d’un accès à la fonctionnalité de synchronisation peut modifier les régla…
Source : NVD — CVE-2026-114743
Qi Addons For Elementor : sanitisation insuffisante du titre d’un widget
La publication NVD du 25 octobre signale un défaut de sanitisation dans Qi Addons For Elementor avant la version 1.11.2. Un contributeur ou un utilisateur ayant un rôle supérieur peut intégrer du HTML actif dans le texte de titre d’un widg…
Source : NVD — CVE-2026-115183