Les sujets à surveiller, en un regard.
318 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 15 sujet(s) en rouge, 7 en orange.
Shopify
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle de sécurité Shopify datée du 2026-10-28 n’a été vérifié dans les résultats consultés. Le changelog Shopify repéré concerne une annonce du 27 octobre, hors période; la page de statut indique qu’aucun incident n’a été signalé le 28 octobre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Aucune nouveauté de sécurité concernant Wix n’a été vérifiée pour la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les résultats pertinents repérés portent sur des dates antérieures ou sur des produits distincts de Wix.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche dédiée sur Solocal n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté de la période du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu. Les résultats consultés concernant Solocal ne documentent pas d’événement de sécurité admissible dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée sur Craft CMS n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de mise à jour substantielle daté de la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les avis Craft CMS repérés sur GitHub étaient datés des 2026-10-22 et 2026-10-23, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Ghost, aux publications du projet et aux références CVE consultées n’a identifié aucun nouvel avis, correctif de sécurité ou changement substantiel Ghost daté dans la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. La version Ghost v6.73.0 affichée dans les publications consultées est datée du 2026-10-27, donc antérieure à la période retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Les trois CVE fournies concernent Strapi, mais leur publication est antérieure à la période demandée. Pour chacune, l’élément fourni décrit une mise à jour NVD datée du 2026-10-28, sans preuve d’un changement substantiel durant la période. Les sources consultées ne permettent donc pas de retenir un événement admissible pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche web a été effectuée pour Directus. Les résultats consultés ne vérifient aucun nouvel avis, correctif de sécurité, cas d’exploitation ou changement substantiel daté du 2026-10-28 (période retenue : 2026-10-28T00:00:00+02:00 inclus à 2026-10-29T00:00:00+02:00 exclu). Le résultat repéré sur une version Directus publiée le 27 octobre ne satisfait pas le critère de date; aucune vulnérabilité n’est retenue pour la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle concernant OpenCart n’a été vérifié comme daté de la période demandée (du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu). La recherche a notamment fait remonter une publication ultérieure à cette période, qui n’est donc pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée sur cPanel n’a pas établi de nouvel avis, correctif, événement d’exploitation ou changement substantiel répondant à la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les résultats officiels repérés concernant les avis de sécurité cPanel datent notamment du 2026-10-26, hors période ; aucune information postérieure à la borne de fin n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis de sécurité concernant la bibliothèque Ruby Crass a été publié le 28 octobre 2026 : CVE-2026-116695, corrigée dans Crass 1.0.8.
Crass — contournement possible d’assainisseurs CSS (CVE-2026-116695)
Crass avant 1.0.8 peut mal terminer l’analyse d’un jeton d’URL CSS invalide, ce qui permet à du CSS qui aurait dû être écarté de passer un assainisseur qui utilise la bibliothèque. Selon le contexte, cela peut permettre du UI redress, le chargement de ressources externes ou l’exfiltration de données via CSS, mais pas l’exécution de scripts dans les navigateurs modernes.
Action recommandée : Mettre à niveau Crass vers la version 1.0.8 ou ultérieure et vérifier les dépendances qui l’embarquent.
Bun
Recherche du sujet effectuée
Les sources consultées ne montrent pas de nouvel avis, correctif, exploitation ou changement substantiel concernant Bun daté du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les avis Bun visibles dans le dépôt GitHub consulté sont datés des 23 et 24 octobre, et l’article paru le 28 octobre décrit un correctif annoncé antérieurement; ils ne répondent donc pas au critère de date de l’événement.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, exploitation ou changement substantiel de sécurité concernant Deno daté de la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Le candidat fourni concerne i18next-http-backend, et non Deno.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a couvert les avis Go et des projets Go repérés, notamment Go JOSE et les annonces officielles Go. Aucun élément consulté ne permet d’établir qu’une vulnérabilité, un correctif, un avis de sécurité, une exploitation ou une mise à jour substantielle concernant Go est daté de la période demandée. Les avis candidats dont la publication initiale est antérieure à cette période ne sont pas retenus sur la seule base d’une date de mise à jour. Neuf avis de sécurité Go/Echo publiés le 2026-10-28 ont été retenus, ainsi qu’un avis Caddy publié le même jour. L’avis Echo GHSA-cxf3-9h37-7rr8 a été exclu : il avait été publié le 2026-10-23 et sa mise à jour du 2026-10-28 ne fournit pas, dans les données du lot, de preuve d’un changement substantiel. Quatre avis GitHub publiés dans la période concernent l’écosystème Go : deux vulnérabilités d’Echo et deux vulnérabilités de go-jose. Les impacts décrits comprennent la lecture de fichiers protégés, le contournement de protections HTTPS/HSTS et des dénis de service par panic ou épuisement de pile.
Echo : contournement de contrôle d’accès dans le middleware Static
Le middleware Static d’Echo peut servir un fichier sous une forme de chemin encodée alors que les protections de route ou de groupe ne s’appliquent pas à cette forme. Le problème concerne le montage global décrit dans l’avis et ne permet pas, selon les éléments fournis, de lire des fichiers hors de la racine statique.
Action recommandée : Mettre à niveau vers Echo v5.4.0 ou v4.16.0 et vérifier les protections des fichiers servis par Static.
Echo : transmission d’un X-Real-IP falsifié au serveur amont
Le proxy Echo peut transmettre tel quel au serveur amont un en-tête X-Real-IP fourni par le client lorsque IPExtractor n’est pas configuré. Cela peut fausser les contrôles d’accès fondés sur l’adresse IP, la limitation de débit et les journaux d’audit.
Action recommandée : Mettre à niveau Echo v5 vers 5.4.0 ou configurer explicitement IPExtractor; aucun correctif v4 n’est précisé dans l’avis fourni.
Echo : contournement de la protection CSRF par réécriture de méthode
Dans Echo, MethodOverride peut transformer une requête POST en méthode sûre, notamment GET, avant que le middleware CSRF ne l’évalue. Si l’ordre des middlewares permet cette séquence, un gestionnaire modifiant l’état peut être atteint sans validation CSRF.
Action recommandée : Mettre à niveau vers Echo v5.4.0 ou v4.16.0 et vérifier l’ordre ainsi que la configuration des middlewares MethodOverride et CSRF.
Echo : contournement du limiteur de débit par falsification d’adresse IP
Avec la configuration par défaut d’Echo, RealIP peut faire confiance à un X-Forwarded-For fourni par le client lorsque IPExtractor n’est pas défini. Le limiteur de débit par défaut utilise cette valeur comme identifiant, ce qui permet de contourner une limitation fondée sur l’adresse IP en changeant l’en-tête.
Action recommandée : Mettre à niveau Echo v5 vers 5.1.0 ou une version ultérieure et configurer explicitement IPExtractor; l’avis fourni ne précise pas de correctif v4.
Echo : XSS réfléchie via le callback JSONP
Les méthodes `Context.JSONP` et `Context.JSONPBlob` du framework Echo concaténaient le callback fourni sans validation, permettant une XSS réfléchie si une application transmettait une valeur contrôlée par l’utilisateur. Les branches concernées sont corrigées dans Echo v5.4.0 et v4.16.0 ; mettre à jour ou valider strictement le callback et éviter JSONP pour les données sensibles.
Action recommandée : Mettre à jour Echo vers v5.4.0 ou v4.16.0 selon la branche utilisée.
Echo : injection de schéma dans les redirections WWW
Les middlewares WWWRedirect et NonWWWRedirect peuvent utiliser sans validation une valeur X-Forwarded-Proto (ou un en-tête équivalent) pour construire la cible de redirection. Un client peut alors injecter un schéma arbitraire dans l’en-tête Location si le proxy en amont ne filtre pas ces en-têtes.
Action recommandée : Mettre à niveau vers Echo v5.1.1 ou v4.15.2 et s’assurer que le proxy de confiance filtre les en-têtes de schéma transféré.
Echo : contournement de sanitizeURI et redirection ouverte
La vérification sanitizeURI d’Echo peut être contournée par un caractère de contrôle placé avant une paire de séparateurs dans une cible de redirection. Un navigateur peut normaliser cette valeur et interpréter la redirection comme une URL externe.
Action recommandée : Mettre à niveau Echo vers v5.4.0 ou v4.16.0.
Echo : double décodage de chemin dans le middleware Static
Le middleware Static d’Echo effectuait un décodage supplémentaire d’un chemin déjà décodé par net/http, permettant de reconstruire des séparateurs encodés et de contourner des protections de routes dans certaines configurations. Les éléments de l’avis précisent que la lecture hors de la racine statique n’a pas été reproduite.
Action recommandée : Mettre à niveau vers Echo v5.2.0 ou v4.15.3, ou une version ultérieure.
Echo : contournement des protections de route via le middleware de fichiers statiques
Echo ne vérifie pas suffisamment les chemins encodés lors du service de fichiers statiques, ce qui peut permettre de contourner des protections de route et de lire des fichiers censés être protégés. Les versions antérieures à 5.4.0 de la branche v5 et à 4.16.0 de la branche v4 sont indiquées comme affectées.
Action recommandée : Mettre à niveau vers Echo v5.4.0 ou v4.16.0, selon la branche utilisée.
Echo : contournement de la redirection HTTPS et de HSTS par des en-têtes transférés
Echo fait confiance à des en-têtes de schéma transmis par le client sans vérifier leur provenance, ce qui peut neutraliser la redirection HTTPS et empêcher l’ajout de l’en-tête HSTS. Les versions antérieures à 5.4.0 de la branche v5 et à 4.16.0 de la branche v4 sont indiquées comme affectées.
Action recommandée : Mettre à niveau vers Echo v5.4.0 ou v4.16.0, selon la branche utilisée; ne pas exposer directement l’application et faire remplacer les en-têtes de schéma par un proxy de confiance en attendant.
Go JOSE : panic lors du traitement CBC-HMAC
Le déchiffrement de données non fiables avec les modes CBC-HMAC concernés peut provoquer un panic et interrompre l’application. L’avis indique comme affectés go-jose/v4 avant 4.1.5 et go-jose/v3 jusqu’à 3.0.5 inclus; aucun correctif v3 n’est précisé dans les données fournies.
Action recommandée : Mettre à niveau go-jose/v4 vers 4.1.5; éviter les modes CBC-HMAC concernés si le correctif ou une version corrigée n’est pas disponible pour la branche utilisée.
Go JOSE : déni de service par structures JSON profondément imbriquées
Le parsing de structures JSON profondément imbriquées avec go-jose peut dépasser la limite de pile de Go et faire planter l’application. L’avis indique comme affectés go-jose/v4 avant 4.1.5 et go-jose/v3 jusqu’à 3.0.5 inclus; aucun correctif v3 n’est précisé dans les données fournies.
Action recommandée : Mettre à niveau go-jose/v4 vers 4.1.5 et limiter la taille des données JSON analysées; vérifier la disponibilité d’un correctif avant usage de la branche v3.
Caddy : des en-têtes hop-by-hop peuvent être transmis lors d’un upgrade WebSocket
Dans certaines réponses d’upgrade WebSocket (HTTP 101), le reverse proxy Caddy peut transmettre au client des en-têtes hop-by-hop provenant de l’upstream au lieu de les supprimer. Cela peut permettre notamment l’injection d’en-têtes dans la réponse; les versions antérieures à 2.11.5 sont concernées et la mise à niveau vers 2.11.5 ou ultérieure est recommandée.
Action recommandée : Mettre à niveau Caddy vers la version 2.11.5 ou ultérieure.
Kotlin
Recherche du sujet effectuée
La recherche dédiée sur Kotlin n’a identifié aucun nouvel avis de sécurité, correctif de vulnérabilité ni événement d’exploitation daté de la période du 2026-10-28 au 2026-10-29. Les sources consultées indiquent que Kotlin 2.4.21 a été publié le 2026-10-08 et que le dépôt GitHub Kotlin ne présente aucun avis de sécurité publié; ces éléments sont antérieurs à la période et ne constituent pas un item du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Aucun événement de sécurité Electron vérifié ne satisfait le critère de nouveauté ou de changement substantiel dans la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les quatre candidats correspondent à des vulnérabilités publiées avant cette période; leur mise à jour NVD datée du 28 octobre ne suffit pas, à elle seule, à établir un changement substantiel admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou avis de sécurité concernant le projet jQuery n’a été vérifié comme nouveau ou substantiellement mis à jour pendant la période demandée. Les résultats repérés pour Kendo UI for jQuery concernent un produit distinct et sont datés du 14 octobre 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche dédiée a repéré l’avis GitHub GHSA-f9x3-7vq9-cph6 sur un contournement d’authentification dans TokenGuard, mais cet avis est daté du 2026-10-19, hors de la période demandée. La modification NVD indiquée au 2026-10-28 ne suffit pas, à elle seule, à établir une nouvelle vulnérabilité ou un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Svelte et SvelteKit, ainsi qu’aux CVE/NVD, n’a pas fait apparaître de vulnérabilité, de correctif, d’avis de sécurité, d’exploitation ni de changement substantiel daté entre le 2026-10-28T00:00:00+02:00 inclus et le 2026-10-29T00:00:00+02:00 exclu. Les avis GitHub repérés dans les résultats consultés portent des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Vérification incomplète
Les notes de publication consultées indiquent que des versions correctives de Symfony ont été publiées le 28 octobre 2026 et comprennent un correctif associé à CVE-2026-45070 dans Mime. Aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Flask
Recherche du sujet effectuée
Pour Flask (framework), les sources consultées n’ont pas fait apparaître de nouvel avis, correctif, exploitation signalée ou changement substantiel daté du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les avis et changements Flask retrouvés dans les résultats de recherche portent sur des dates antérieures à cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis concernant Django REST framework a reçu, le 28 octobre 2026, une mise à jour CISA signalant une preuve de concept pour CVE-2026-114138. La faille affecte les versions antérieures à 3.18.2 ; les éléments consultés ne confirment pas son exploitation effective.
Django REST framework : mise à jour CISA signalant une preuve de concept pour CVE-2026-114138
Une mise à jour du 28 octobre 2026 a ajouté une évaluation CISA indiquant l’existence d’une preuve de concept pour CVE-2026-114138, une vulnérabilité de déni de service dans la négociation de contenu de Django REST framework. Un client distant non authentifié peut provoquer une consommation excessive de CPU en envoyant des en-têtes Accept spécialement construits ; la correction est disponible dans la version 3.18.2.
Action recommandée : Mettre à niveau Django REST framework vers la version 3.18.2 ou ultérieure.
FastAPI
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel concernant FastAPI daté du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu. Le candidat fourni porte sur Vibe-Trading, et les dates de publication et de mise à jour consultées sont antérieures à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Vérification incomplète
L’index du blog officiel Express consulté affiche un avis publié le 28 octobre 2026 sur CVE-2026-111181, un déni de service dans body-parser. Les détails de versions et de correction n’ont pas été vérifiés dans une page d’avis dédiée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel de sécurité daté dans la période demandée. La page des versions mentionne une publication de NestJS v12.3.0 le 28 octobre, mais les notes de version consultées décrivent des changements fonctionnels et des corrections générales, sans élément de sécurité correspondant aux critères du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Aucun événement de sécurité MySQL vérifié comme nouveau ou substantiellement mis à jour dans la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. L’avis de sécurité MySQL d’Oracle consulté concerne le Critical Patch Update du 2026-10-20, hors période; les seules dates du 2026-10-28 dans les candidats sont des modifications de fiches NVD, sans preuve d’un changement substantiel pertinent dans cette période. Un avis de sécurité MySqlConnector publié pendant la période signale une divulgation possible du mot de passe dans une configuration TLS particulière ; le correctif indiqué est la version 2.6.1. Les autres candidats sont des modifications de fiches NVD pour des vulnérabilités publiées antérieurement ; les données fournies ne démontrent pas de changement substantiel daté dans la période.
MySqlConnector : divulgation du mot de passe en mode TLS sans CA configurée
MySqlConnector peut transmettre le mot de passe de la base en clair à un intermédiaire malveillant avant de vérifier le certificat TLS, dans certaines configurations sans autorité de certification configurée. Le correctif est disponible en version 2.6.1 ; configurez `SslCa` avec `VerifyCA` ou `VerifyFull`, ou appliquez une autre mesure d’atténuation recommandée par l’avis.
Action recommandée : Mettre à niveau vers MySqlConnector 2.6.1 ou ultérieur et, avec `VerifyCA`/`VerifyFull`, configurer `SslCa`.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié des avis publiés le 28 octobre 2026 concernant huit vulnérabilités distinctes de PostgreSQL Anonymizer. L’éditeur indique que la version 3.3.0 corrige ces problèmes et recommande une mise à niveau; aucun élément consulté ne confirme une exploitation active. Quatre vulnérabilités de PostgreSQL Anonymizer ont une date de publication NVD dans la période : CVE-2026-105620, CVE-2026-110181, CVE-2026-110182 et CVE-2026-110183. Les descriptions fournies indiquent un correctif dans la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : données de sous-requête non masquées
PostgreSQL Anonymizer ne masque pas les données renvoyées par une sous-requête dans une règle. Les données concernées peuvent donc rester visibles malgré la règle d’anonymisation.
Action recommandée : Mettre à jour PostgreSQL Anonymizer vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : contrôle insuffisant de fonctions d’anonymisation SQL
Une vulnérabilité touche les fonctions d’anonymisation définies avec des corps de fonction conformes au standard SQL. Un utilisateur disposant du privilège TEMPORARY peut exploiter le décalage entre l’analyse de ces fonctions par PostgreSQL à leur déclaration et les contrôles effectués par Anonymizer à l’exécution.
Action recommandée : Mettre à jour PostgreSQL Anonymizer vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : divulgation possible de données par les fonctions partial
Les fonctions anon.partial() et anon.partial_email() peuvent révéler la valeur complète de certaines données lorsque celles-ci sont suffisamment courtes. Cela peut compromettre l’anonymisation attendue par les utilisateurs de ces fonctions.
Action recommandée : Mettre à jour PostgreSQL Anonymizer vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : persistance de statistiques après masquage statique
Après un masquage statique, des statistiques portant sur les données d’origine peuvent rester visibles dans pg_stats jusqu’à l’exécution d’une opération ANALYZE sur la table. Ces statistiques peuvent donc divulguer des informations sur les données avant leur masquage.
Action recommandée : Mettre à jour PostgreSQL Anonymizer vers la version 3.3.0 ou ultérieure. Après un masquage statique, exécuter ANALYZE sur les tables concernées.
PostgreSQL Anonymizer : épuisement mémoire via fonctions factices
Les fonctions factices fondées sur des plages ne limitaient pas la taille de celles-ci, ce qui pouvait épuiser la mémoire d’un processus PostgreSQL et provoquer un arrêt par manque de mémoire. PostgreSQL Anonymizer 3.3.0 corrige le défaut; mettez à niveau l’extension.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : déni de service dans `anon.image_blur()`
La fonction `anon.image_blur()` ne vérifiait pas les dimensions déclarées de l’image, permettant de demander une allocation mémoire disproportionnée à partir d’une petite image. PostgreSQL Anonymizer 3.3.0 corrige le défaut; mettez à niveau l’extension.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : exposition du sel dans les paramètres de rôle
Des paramètres secrets de PostgreSQL Anonymizer pouvaient être visibles dans `pg_db_role_setting` ou `pg_roles` lorsqu’ils étaient définis au niveau d’une base ou d’un rôle. La version 3.3.0 corrige le problème; mettez à niveau l’extension et suivez la recommandation de l’éditeur de changer la valeur du sel.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure et changer la valeur de `anon.salt` conformément aux recommandations de l’éditeur.
PostgreSQL Anonymizer : des plans préparés pouvaient contourner le masquage
Les plans préparés n’étaient pas invalidés après l’ajout d’une règle ou une modification de rôle; une session utilisant un tel plan pouvait continuer à lire des données non masquées. PostgreSQL Anonymizer 3.3.0 corrige le problème; mettez à niveau l’extension.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure; renouveler les sessions concernées après la mise à niveau.
PostgreSQL Anonymizer : masquage contourné via les tables parentes
Le masquage appliqué aux partitions et tables héritées ne s’appliquait pas correctement lorsque les données étaient interrogées par la table parente. PostgreSQL Anonymizer 3.3.0 corrige le défaut; mettez à niveau l’extension.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : défaut de masquage via une vue `security_invoker`
Les règles de masquage n’étaient pas appliquées aux données consultées via une vue `security_invoker`, ce qui pouvait exposer des données non masquées. PostgreSQL Anonymizer 3.3.0 corrige le problème; mettez à niveau l’extension.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : contournement de la restriction read-only
Une CTE modifiant des données pouvait contourner la restriction de lecture seule appliquée aux rôles masqués. PostgreSQL Anonymizer 3.3.0 corrige le problème; mettez à niveau l’extension.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : divulgation via les statistiques de table
Des rôles masqués ayant le privilège SELECT pouvaient consulter des statistiques optimisées de tables, notamment des histogrammes et valeurs les plus fréquentes, et ainsi déduire une partie des données. PostgreSQL Anonymizer 3.3.0 corrige le problème; mettez à niveau l’extension.
Action recommandée : Mettre PostgreSQL Anonymizer à niveau vers la version 3.3.0 ou ultérieure.
MongoDB
Vérification incomplète
Niveau relevé : Élevée
Les avis officiels MongoDB consultés signalent, pour le 28 octobre 2026, des vulnérabilités dans MongoDB Database Tools, le Java Driver et Laravel MongoDB. Les candidats Waline, n8n et ApostropheCMS ont été examinés, mais concernent ces produits plutôt qu’une vulnérabilité de MongoDB ou d’un produit MongoDB ; la mise à jour NVD d’ApostropheCMS ne constitue pas à elle seule un nouvel événement de sécurité dans la période.
Laravel MongoDB : contrôle incomplet des relations absentes
Dans l’intégration Laravel MongoDB, la construction d’une requête de relation peut mal traiter les identifiants sous forme de chaînes numériques lors d’une vérification d’absence de relation. Une application qui s’appuie sur cette vérification pour contrôler l’accès aux documents peut alors exposer ou permettre de modifier des documents qui devraient être refusés.
Action recommandée : Mettre à jour Laravel MongoDB vers la version 5.12.0 ou ultérieure.
MongoDB Java Driver : validation insuffisante de la longueur d’un document BSON brut
Un composant d’encodage BSON du MongoDB Java Driver ne vérifie pas que la longueur déclarée d’un document brut correspond à la plage d’octets fournie, ce qui peut conduire à l’ajout de contenu contrôlé par un attaquant à une commande de base de données. L’impact dépend d’une application qui accepte des octets non fiables et les utilise dans ce type de document; la fiche NVD fournie indique un score CVSS de 6,9, mais ne précise pas ici les versions affectées ni la version corrigée.
Action recommandée : Mettre à jour le MongoDB Java Driver vers la version 5.14.0 ou ultérieure.
Redis
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis/correctif de sécurité ni changement substantiel concernant Redis n’a été vérifié dans la période du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu. Les résultats consultés indiquent que CVE-2026-92925 avait été publiée le 2026-09-17; les éléments disponibles ne vérifient pas de changement substantiel propre à Redis le 28 octobre. Les autres candidats concernent MISP et IBM DataStage, et non une vulnérabilité de Redis.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
Niveau relevé : Faible
Un avis de sécurité Caddy publié dans la période a été vérifié : CVE-2026-55458, concernant la transmission d’en-têtes hop-by-hop dans des réponses d’upgrade WebSocket. Le défaut est corrigé dans Caddy 2.11.5. L’autre candidat concerne Ember, un tableau de bord distinct pour Caddy, et non le serveur Caddy lui-même.
Caddy : des en-têtes hop-by-hop peuvent être transmis lors d’un upgrade WebSocket
Dans certaines réponses d’upgrade WebSocket (HTTP 101), le reverse proxy Caddy peut transmettre au client des en-têtes hop-by-hop provenant de l’upstream au lieu de les supprimer. Cela peut permettre notamment l’injection d’en-têtes dans la réponse; les versions antérieures à 2.11.5 sont concernées et la mise à niveau vers 2.11.5 ou ultérieure est recommandée.
Action recommandée : Mettre à niveau Caddy vers la version 2.11.5 ou ultérieure.
SvelteKit
Vérification incomplète
La recherche a relevé une mise à jour SSVC datée du 28 octobre pour CVE-2026-114061, une vulnérabilité XSS publiée antérieurement et corrigée dans SvelteKit 3.0.0. Aucun élément consulté ne confirme un changement substantiel pour CVE-2026-114063 dans la période; sa mise à jour NVD seule ne suffit pas à établir qu’il s’agit d’un événement admissible.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Babel
Recherche du sujet effectuée
Recherche dédiée effectuée pour Babel. Aucun avis de sécurité, correctif, exploitation ni changement substantiel vérifiable n’a été trouvé comme daté de la période demandée (du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité Elasticsearch daté de la période examinée n’a été vérifié. Les résultats consultés situent les avis Elasticsearch affichés au 6 octobre 2026; l’annonce Elastic datée du 29 octobre trouvée dans la rubrique de sécurité concerne Elastic Cloud Enterprise, pas Elasticsearch.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée a relevé des avis RabbitMQ datés du 2026-10-25, antérieurs à la période demandée ; aucun item vérifié ne répond donc aux critères de cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
Pour la période du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu, les sources Memcached consultées ne font apparaître aucun nouvel avis de sécurité, correctif, cas d’exploitation ou changement substantiel correspondant. Les CVE Memcached trouvées dans les résultats de recherche étaient antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux avis GraphQL Tools concernant @graphql-tools/executor-legacy-ws ont été publiés pendant la période : une réutilisation de paramètres d’authentification WebSocket (CVE-2026-118665) et un mauvais routage des résultats d’abonnements partagés (CVE-2026-118666). Les deux avis indiquent un correctif en version 1.1.36. La mise à jour NVD signalée pour CVE-2026-54683 concerne une vulnérabilité publiée antérieurement, et les informations fournies ne montrent pas de changement substantiel daté dans la période.
GraphQL Tools : réutilisation de paramètres d’authentification WebSocket entre requêtes
La conservation de paramètres de connexion d’une requête dans l’état de l’exécuteur WebSocket peut rejouer des valeurs d’authentification antérieures lors d’une connexion ultérieure. Si un exécuteur est partagé entre des contextes d’autorisation, un utilisateur ultérieur peut être authentifié avec les paramètres d’un utilisateur précédent.
Action recommandée : Mettre à niveau @graphql-tools/executor-legacy-ws vers la version 1.1.36 ou ultérieure. Si la mise à niveau n’est pas immédiate, ne pas partager un exécuteur entre utilisateurs ou contextes d’autorisation.
GraphQL Tools : résultats d’abonnements WebSocket transmis au mauvais appelant
Lors d’abonnements simultanés partageant le même exécuteur, le gestionnaire WebSocket peut transmettre les résultats d’un abonnement au mauvais appelant. Cela peut exposer des données auxquelles l’autre abonnement a accès et interrompre la réception des résultats par l’abonnement initial.
Action recommandée : Mettre à niveau @graphql-tools/executor-legacy-ws vers la version 1.1.36 ou ultérieure. En attendant, isoler les exécuteurs et les abonnements par utilisateur ou contexte d’autorisation.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Critique
Les candidats fournis indiquent dix vulnérabilités publiées dans la période, concernant des extensions WooCommerce ou une fonctionnalité de Cozy Blocks dépendant d’un produit WooCommerce. Les failles décrites comprennent la falsification de paiements, des accès ou modifications de commandes, des téléversements de fichiers, des XSS, un contournement d’authentification et une lecture de fichiers ; les informations fournies ne confirment pas d’exploitation active. Huit fiches NVD relatives à des extensions WooCommerce ou à des extensions intégrant WooCommerce ont été publiées durant la période : XSS stockées, contournements d’autorisation, abus de synchronisation IA payante, validation insuffisante de paiements et désérialisation de données non fiables. Aucun correctif ni exploitation active n’est établi par les informations fournies. Huit vulnérabilités de plugins liés à WooCommerce ont une date de publication NVD dans la période : falsification de notifications de paiement, téléversement de fichiers, XSS, contournement de vérification et contrôles d’accès insuffisants sur les commandes. Les éléments fournis ne précisent pas les versions corrigées pour ces cas. Deux vulnérabilités liées à des extensions WooCommerce ont été publiées par le NVD le 2026-10-28 : un contournement d’autorisation dans PayPal Brasil para WooCommerce et une validation insuffisante des confirmations de paiement dans BitPay Gateway for WooCommerce. Les sources fournies ne précisent pas de versions corrigées.
Checkout Files Upload for WooCommerce : téléversement de fichiers arbitraires
CVE-2026-103688 affecte Checkout Files Upload for WooCommerce avant la version 2.4.0 lorsque le réglage des types de fichiers acceptés est laissé vide. Des utilisateurs non authentifiés peuvent alors téléverser des fichiers arbitraires, y compris des fichiers PHP pouvant permettre l’exécution de code sur les serveurs qui exécutent PHP dans le répertoire des téléversements.
Action recommandée : Mettre à jour vers la version 2.4.0 ou ultérieure et éviter de laisser vide le réglage des types acceptés tant que la mise à jour n’est pas appliquée.
Lecture de fichiers arbitraires dans Lumise
Product Designer for WooCommerce (Lumise) jusqu’à la version 2.1.2 permet la lecture de fichiers arbitraires du serveur par traversée de répertoires. L’exploitation ne nécessite pas d’authentification, le nonce requis étant accessible aux visiteurs ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour Lumise vers une version corrigée lorsqu’elle est disponible.
Prime Slider : XSS persistante accessible sans authentification
Prime Slider jusqu’à la version 4.7.2 incluse permet une XSS persistante sans authentification via le paramètre comment. La source ne précise pas de version corrigée ; mettre à jour dès qu’un correctif est disponible et examiner les commentaires concernés.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée et examiner les commentaires reçus pour détecter du contenu suspect.
Filter Everything : désérialisation de données non fiables
Filter Everything — WordPress & WooCommerce Filters présente une vulnérabilité de désérialisation de données non fiables pouvant conduire à une injection d’objets. La fiche NVD indique que les versions concernées vont jusqu’à 1.9.7 inclus ; elle ne précise pas de version corrigée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; surveiller les annonces de l’éditeur.
Menu Cart for WooCommerce : XSS stockée dans le panneau du panier
CVE-2026-105972 concerne Menu Cart for WooCommerce pour WordPress avant la version 3.2.1. Des données de variation d’article du panier ne sont pas échappées dans le panneau coulissant, ce qui permet à un utilisateur non authentifié d’y stocker un contenu XSS susceptible de s’exécuter dans la session d’un autre utilisateur, y compris un administrateur.
Action recommandée : Mettre à jour vers la version 3.2.1 ou ultérieure.
Persian WooCommerce SMS : XSS réfléchie visant un utilisateur privilégié
L’extension Persian WooCommerce SMS ne neutralisait pas un paramètre avant de le refléter dans un attribut HTML. Cela pouvait entraîner une XSS réfléchie dans le navigateur d’un utilisateur privilégié connecté, si celui-ci était amené à soumettre une requête intersite spécialement conçue.
Action recommandée : Mettre à jour Persian WooCommerce SMS vers la version 7.3.2 ou ultérieure.
Falsification de notifications de paiement dans UniPAY for WooCommerce
Le plugin UniPAY Payment Gateway for WooCommerce ne vérifie pas correctement l’authenticité des notifications de paiement lorsque le secret marchand est vide par défaut. Un attaquant non authentifié peut alors falsifier une notification et faire marquer des commandes comme payées ; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Vérifier la disponibilité d’une version corrigée et la déployer dès sa publication ; configurer un secret marchand robuste et non vide si le plugin le permet.
Casso Flow : notifications de paiement falsifiables
CVE-2026-103382 concerne Casso Flow pour WordPress avant la version 4.2.0 : sur une installation par défaut, le jeton de vérification des notifications de virement est vide. Un attaquant non authentifié peut ainsi falsifier une notification et marquer une commande WooCommerce en attente comme payée, quel que soit son mode de paiement.
Action recommandée : Mettre à jour Casso Flow vers la version 4.2.0 ou ultérieure.
Customer Email Verification for WooCommerce : contournement de vérification et d’authentification
Customer Email Verification for WooCommerce présente un contournement de vérification d’adresse électronique reposant sur un jeton prévisible, qui peut permettre à un attaquant non authentifié de se connecter comme un client WooCommerce ou de marquer un compte comme vérifié. Toutes les versions jusqu’à 2.8.2 inclus sont concernées ; l’exploitation décrite dépend de la présence d’une colonne `password` dans la table `cev_user_log`, présente sur certains sites mis à niveau depuis une ancienne version mais absente du schéma d’installation vierge 2.8.2.
Action recommandée : Vérifier la présence de la colonne `password` dans `cev_user_log` et appliquer une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est précisée dans les informations fournies.
PayPlug for WooCommerce : accès à la clé et annulation de commandes invitées
PayPlug for WooCommerce (Official) ne vérifie pas que la personne à l’origine d’une demande de paiement possède la commande WooCommerce visée. Un utilisateur non authentifié peut divulguer la clé de commande d’un autre client et annuler sa commande invitée impayée ; les versions antérieures à 3.1.1 sont concernées.
Action recommandée : Mettre à jour PayPlug for WooCommerce (Official) vers la version 3.1.1 ou ultérieure.
PayPlug for WooCommerce : accès non autorisé aux commandes
La fiche NVD publiée le 28 octobre décrit plusieurs actions AJAX non authentifiées de PayPlug for WooCommerce qui n’effectuent aucun contrôle de capacité ni de propriété sur l’identifiant de commande fourni. Un attaquant non authentifié peut modifier, lire ou supprimer définitivement des commandes WooCommerce ; mettre à jour le plugin vers la version 3.1.1 ou ultérieure.
Action recommandée : Mettre à jour PayPlug for WooCommerce (Official) vers la version 3.1.1 ou ultérieure.
CVE-2026-109978 — XSS stockée dans Cozy Blocks (productRating)
Cozy Blocks est également vulnérable à une XSS stockée via le paramètre productRating.iconColor jusqu’à la version 2.2.27 incluse. Le chemin vulnérable nécessite l’option productRating activée et un produit WooCommerce avec une note non nulle; aucun correctif n’est précisé dans la fiche fournie.
Action recommandée : Mettre à jour dès disponibilité d’un correctif; si possible, désactiver productRating sur les pages concernées jusqu’à correction.
Product Addons for WooCommerce : XSS persistante
Product Addons for WooCommerce – Product Options with Custom Fields jusqu’à la version 3.1.8 incluse permet à un utilisateur authentifié ayant au moins le rôle Shop Manager d’injecter du JavaScript persistant. Le code s’exécute lorsqu’un utilisateur consulte une page affectée ; la source ne fournit pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; limiter les privilèges des comptes capables de modifier les options produit.
Travelly : divulgation de publications par contournement d’autorisation
Travelly jusqu’à la version 2.3.6 incluse ne vérifie pas correctement les autorisations lors de la duplication de publications. Un utilisateur authentifié ayant au moins le rôle Contributeur peut copier dans ses brouillons le contenu et les métadonnées de publications privées, brouillons ou en attente appartenant à d’autres ; aucune version corrigée n’est indiquée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée et limiter les privilèges de publication aux comptes de confiance.
WoowBot : contournement d’autorisation et consommation de crédits API
Le plugin AI ChatBot for WooCommerce – WoowBot est vulnérable à un contournement d’autorisation permettant à un utilisateur authentifié de déclencher des synchronisations RAG et de consommer les crédits API payants du site. Les versions jusqu’à 5.0.0 inclus sont concernées ; aucune version corrective ni mesure de contournement n’est indiquée dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; à défaut, limiter l’accès au plugin et surveiller l’usage des clés API.
PayPal Brasil para WooCommerce : contournement d’autorisation
Le module PayPal Brasil para WooCommerce permet à des attaquants non authentifiés de modifier les réglages de la passerelle BCDC, notamment de la désactiver et de la retirer du paiement. Les versions concernées vont jusqu’à 1.7.8 incluse ; aucun correctif ni contournement n’est indiqué dans les éléments fournis.
Action recommandée : Vérifier les réglages de la passerelle et appliquer une version corrigée lorsqu’elle sera disponible.
Waitlist Woocommerce : XSS stockée via un shortcode
Waitlist Woocommerce permet à des utilisateurs authentifiés ayant le rôle Contributor ou supérieur d’introduire du contenu JavaScript persistant via l’attribut `type` d’un shortcode. Les versions jusqu’à 2.9.1 incluse sont concernées ; aucun correctif n’est mentionné dans les éléments fournis.
Action recommandée : Restreindre les rôles autorisés à publier et appliquer une version corrigée lorsqu’elle sera disponible.
BitPay Gateway for WooCommerce : commandes marquées payées à tort
BitPay Gateway for WooCommerce ne lie pas correctement la confirmation de transaction à la commande ni ne vérifie le montant confirmé. Les versions jusqu’à 4.1.3 incluses sont concernées et un attaquant non authentifié disposant d’une transaction réelle de faible montant peut faire marquer comme payées des commandes plus coûteuses ; aucun correctif n’est précisé.
Action recommandée : Vérifier manuellement les confirmations et montants de paiement, puis appliquer une version corrigée lorsqu’elle sera disponible.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press n’a relevé aucun avis, correctif de sécurité, exploitation ou changement substantiel vérifié et daté dans la période demandée (du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu). Les résultats consultés concernent des informations antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche web dédiée a inclus les annonces de sécurité officielles de Docker. L’annonce officielle consultée décrit des correctifs Docker Desktop publiés le 2026-10-26, hors de la période demandée; aucun avis, correctif ou événement de sécurité Docker daté dans la période figée n’a été identifié dans les résultats consultés. Le CERT-FR a publié le 28 octobre 2026 un avis signalant de multiples vulnérabilités dans Docker Desktop. Les informations fournies ne permettent pas de préciser les CVE, les versions affectées ou les correctifs.
Avis CERT-FR : multiples vulnérabilités dans Docker Desktop
Le CERT-FR signale de multiples vulnérabilités dans Docker Desktop susceptibles de porter atteinte à la confidentialité des données et de contourner la politique de sécurité. L’avis fourni ne précise ni les CVE concernées, ni les versions affectées ou corrigées.
Kubernetes
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou correctif Kubernetes répondant aux critères de la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les candidats fournis concernent soit des produits distincts de Kubernetes, soit des avis antérieurs dont la seule date dans la période est une modification de fiche ou une mise à jour non établie comme substantielle.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Exploitation active
Les candidats fournis recensent dix avis CVE du noyau Linux publiés par le NVD le 28 octobre 2026. Ils concernent les pilotes p54 et AMDGPU, NTFS, les workqueues, sched_ext et le client SMB ; les éléments fournis ne permettent pas de confirmer une exploitation active ni de renseigner une gravité ou des versions affectées générales. Onze fiches NVD concernant le noyau Linux ont été publiées dans la période : elles décrivent des vulnérabilités dans CIFS/ksmbd, le réseau, le pont multicast et des pilotes DRM. Les informations fournies ne précisent pas de versions corrigées, de scores de gravité ni d’exploitation confirmée. Dix CVE du noyau Linux ont une publication NVD datée du 28 octobre 2026 dans le lot fourni. Elles touchent KVM, IPv4, vsock, s390, page_pool, SCTP et SELinux; le lot ne fournit pas de scores CVSS ni d’informations confirmées sur l’exploitation active. Les sources NVD fournies indiquent la publication, pendant la période, de dix vulnérabilités distinctes du noyau Linux : io_uring, XFS, AF_IUCV, mac802154, dm-integrity, dm-crypt, CIFS et TCP. Les descriptions fournies détaillent les défauts et les changements correctifs, mais ne précisent ni versions affectées ou corrigées, ni scores de gravité, ni exploitation confirmée. Les candidats fournis documentent dix publications NVD du 28 octobre 2026 concernant le noyau Linux : défauts de traçage, sched_ext, DRM/Xe/i915/AMDGPU et gestion mémoire. Les mises à jour NVD postérieures au 28 octobre pour certains dossiers ne sont pas retenues comme événements de la période. Les candidats fournis correspondent à dix fiches CVE Linux publiées par le NVD le 2026-10-28 : pilotes AMDGPU/Display, libiscsi, frontend SCSI Xen, pilote SCSI tape, BSG/UFS et ring buffer. Les descriptions fournies documentent des correctifs, mai…
CISA ajoute CVE-2026-46300 du noyau Linux au catalogue KEV
CISA a ajouté CVE-2026-46300 au catalogue KEV le 2026-10-28 et signale son exploitation connue. La vulnérabilité du noyau Linux concerne une initialisation manquante pouvant permettre la modification involontaire de données adossées au cache de pages pendant le traitement d’entrée ESP; la source recommande d’appliquer les mesures du fournisseur.
Action recommandée : Appliquer les mesures d’atténuation selon les instructions du fournisseur et les exigences CISA applicables.
Linux : débordement de tas lors de la définition d’une ACL CIFS
Une validation insuffisante de la taille d’une ACL CIFS pouvait provoquer un débordement de tas lors de sa conversion au format réseau. Le correctif vérifie la taille nécessaire et sa compatibilité avec la limite de longueur du paquet.
Action recommandée : Appliquer un correctif Linux intégrant la validation de taille décrite dans l’avis.
Linux : perte de données possible lors d’O_TRUNC concurrent sur CIFS
Lors d’un O_TRUNC concurrent avec des écritures tamponnées, le client CIFS pouvait perdre des pages salies entre le vidage des pages et la troncature locale. Le correctif verrouille la séquence de vidage, de troncature et de redimensionnement afin de la rendre atomique vis-à-vis des écritures, des défauts de lecture et de la collecte du writeback.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux : lecture hors limites dans cls_flower
Dans cls_flower, un pointeur de masque avancé pouvait être utilisé sans validation, entraînant une lecture hors limites lors de l’analyse des options de tunnel. Le correctif rejette le filtre lorsque le pointeur obtenu est invalide, sauf dans le cas d’épuisement exact prévu.
Action recommandée : Appliquer un correctif Linux intégrant la validation du pointeur de masque.
Linux : divulgation possible de données résiduelles par ksmbd
ksmbd pouvait renvoyer des octets résiduels dans une réponse composée, car une structure FS_OBJECT_ID_INFORMATION n’était pas entièrement initialisée. Le correctif met la structure à zéro avant de la remplir.
Action recommandée : Appliquer un correctif Linux initialisant la structure avant son émission.
Linux : indicateurs non initialisés dans une réponse de ksmbd
ksmbd ne renseignait pas les indicateurs FileSystemControlFlags dans une réponse FS_CONTROL_INFORMATION. Dans une requête composée, cette omission pouvait exposer des données résiduelles; le correctif indique qu’aucun indicateur de contrôle n’est activé.
Action recommandée : Appliquer un correctif Linux renseignant explicitement les indicateurs de contrôle.
Linux : champ FileSysIdentifier non renseigné par ksmbd
ksmbd ne renseignait pas le champ FileSysIdentifier dans une réponse FS_POSIX_INFORMATION. Le correctif le remplit avec l’identifiant du système de fichiers renvoyé par statfs().
Action recommandée : Appliquer un correctif Linux renseignant FileSysIdentifier.
Linux : use-after-free lié à l’association PSP lors du clonage de sockets
Lors de la duplication de sockets, l’association PSP du socket parent pouvait être copiée sans référence appropriée, puis libérée alors que des sockets TIME_WAIT l’utilisaient encore. Le correctif empêche l’héritage de cette association par le socket cloné.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux : pointeur de port invalide lors du retrait de groupes multicast
Lors de la suppression d’un port de pont réseau, le parcours des groupes multicast pouvait s’interrompre prématurément et laisser des groupes avec un pointeur de port invalide. Le correctif préserve le chaînage nécessaire au parcours et ignore les groupes déjà détachés.
Action recommandée : Appliquer un correctif Linux intégrant la correction du parcours de teardown multicast.
Linux : validation renforcée du micrologiciel DMC d’i915
L’analyse du micrologiciel DMC d’i915 ne vérifiait pas certains calculs de taille et acceptait des charges utiles vides ou sans entrées MMIO. Le correctif contrôle le débordement arithmétique et rejette ces en-têtes malformés.
Action recommandée : Appliquer un correctif Linux intégrant les contrôles de taille et d’en-tête DMC.
Linux : correction de la validation des BO AMDGPU pour les files utilisateur
Le code AMDGPU destiné aux files utilisateur ne parcourait pas correctement certaines listes d’objets mémoire évincés, et une référence à un objet BO manquait avant son verrouillage. Le correctif valide les BO concernés et ajoute la référence manquante.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux — validation insuffisante des longueurs d’enregistrements du micrologiciel p54
Le parseur du micrologiciel p54 pouvait lire au-delà d’enregistrements mal formés dont la longueur ne couvrait pas les champs consultés. Le correctif valide les longueurs et les valeurs du descripteur avant de mettre à jour l’état du pilote.
Action recommandée : Mettre à jour vers une version corrigée de Linux ; l’avis recommande la dernière version stable prise en charge.
Linux : correction d’un défaut de redimensionnement d’attributs NTFS
Une erreur dans `ntfs_new_attr_flags()` pouvait faire redimensionner l’enregistrement d’un attribut avant le déplacement de sa charge utile, entraînant la persistance de données de mapping pairs mal formées. Le correctif déplace la charge utile avant de réduire l’enregistrement; aucune version corrigée ni version affectée n’est indiquée dans les éléments fournis.
Action recommandée : Appliquer une version du noyau Linux intégrant le correctif dès qu’elle est disponible.
Linux : synchronisation du redimensionnement de fichiers NTFS
`ntfs_setattr_size()` modifiait la taille et redimensionnait l’attribut sur disque sans verrou exclusif `invalidate_lock`, ce qui pouvait provoquer une erreur SIGBUS lors d’une faute de page concurrente. Le correctif protège l’opération de redimensionnement par ce verrou; les versions concernées et une version corrigée ne sont pas précisées dans les éléments fournis.
Action recommandée : Appliquer une version du noyau Linux intégrant le correctif dès qu’elle est disponible.
Linux — utilisation après libération dans la durée de vie des pools workqueue
Un pwq vide pouvait rester dans pending_pwqs alors que sa référence au worker_pool était libérée. Le traitement ultérieur de cette liste pouvait alors tenter de verrouiller un pool déjà libéré, entraînant une utilisation après libération.
Action recommandée : Installer une version du noyau intégrant le correctif.
Linux sched_ext : correction de réservations de dispatch lors du contournement
La propagation des opérations de contournement dans `sched_ext` ne gérait pas correctement les réservations de dispatch des ordonnanceurs descendants, ce qui pouvait laisser des tâches sans consommateur ou provoquer un avertissement noyau. Le correctif ajuste la prise et la libération de ces réservations; aucune version affectée ou corrigée n’est précisée dans les éléments fournis.
Action recommandée : Appliquer une version du noyau Linux intégrant le correctif dès qu’elle est disponible.
Linux — tâche bloquée dans la file locale avec certains ordonnanceurs sched_ext
Avec SCX_OPS_ENQ_LAST, certains chemins plaçaient une tâche dans la file locale du processeur sans provoquer de nouvelle planification. Le processeur pouvait alors rester inactif avec la tâche en attente jusqu’à un réveil ultérieur ou au déclenchement du watchdog.
Action recommandée : Installer une version du noyau intégrant le correctif.
Linux — fuite de ressources userptr dans le chemin d’erreur amdgpu
Certaines erreurs après l’allocation des plages HMM dans amdgpu_cs_parser_bos() ne libéraient pas les plages associées aux entrées userptr. Les échecs répétés pouvaient donc laisser des plages, leurs tableaux hmm_pfns et des références aux objets BO non libérés.
Action recommandée : Installer une version du noyau intégrant le correctif.
Linux NTFS : correction du pointeur MFT utilisé pour redimensionner un attribut
`ntfs_new_attr_flags()` transmettait à `ntfs_attr_record_resize()` le pointeur de l’enregistrement MFT de base au lieu de celui de l’enregistrement d’extension contenant l’attribut. Le correctif transmet le bon pointeur; les versions affectées et corrigées ne sont pas indiquées dans les éléments fournis.
Action recommandée : Appliquer une version du noyau Linux intégrant le correctif dès qu’elle est disponible.
Linux : risque de perte de données lors de FITRIM sur NTFS
Une erreur d’alignement dans FITRIM pouvait étendre une commande discard au-delà d’une zone libre NTFS et effacer des clusters alloués. Le correctif aligne la fin absolue de la zone et ignore celles qui ne contiennent aucune unité discard complète.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible; éviter FITRIM sur les configurations concernées jusqu’à cette mise à jour.
Linux : écriture hors limites dans le client SMB lors de SetEA
Le client SMB du noyau copiait une valeur d’attribut étendu sans vérifier au préalable que la requête assemblée tenait dans le tampon, ce qui pouvait provoquer une écriture hors limites. Le correctif contrôle la taille totale avant la copie et prévient également le dépassement des compteurs utilisés pour la requête.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible; limiter l’usage des attributs étendus sur des montages SMB1 concernés jusqu’à la mise à jour.
Linux KVM : accès hors limites possible avec le bit SS dans un code #NPF
KVM x86 pouvait effectuer un accès hors limites lorsqu’un code d’erreur de défaut de page imbriquée contenait le bit SS inattendu. Le correctif filtre les bits inconnus lors du contrôle des permissions tout en conservant le bit SS dans le code d’erreur transmis au niveau supérieur.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux IPv4 : éviter une division par zéro dans fib_rebalance
Une modification concurrente du paramètre ignore_routes_with_linkdown peut faire calculer à fib_rebalance() un poids total nul avant qu’une seconde passe ne trouve un prochain saut admissible, entraînant une division par zéro. Le correctif évite cette division et attribue une borne supérieure de -1 aux prochains sauts concernés.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux vsock/VMCI : validation manquante de la source des paquets
Le transport VMCI de vsock pouvait sélectionner un socket connecté à partir de sa seule destination, sans vérifier que le paquet provenait bien du pair attendu. Le correctif contrôle la source après verrouillage du socket, dans les chemins de traitement en contexte bottom-half comme dans ceux délégués à un workqueue.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux vsock/virtio : validation de la source des paquets reçus
Dans le transport virtio de vsock, la recherche de socket par destination seule pouvait accepter des paquets d’une source autre que le pair enregistré. Le défaut pouvait permettre à un processus sans capacités particulières d’injecter des données dans le socket d’une victime; le correctif valide le transport, le port source et le CID source après verrouillage.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux s390/pci : empêcher la fuite de données non initialisées dans un rapport SCLP
La fonction report_error_write() vérifiait la taille minimale de l’en-tête, mais pas que le tampon fourni contenait toute la longueur de rapport déclarée. Un tampon trop court pouvait ainsi provoquer une lecture hors limites et inclure dans le rapport SCLP des données du noyau non initialisées; le correctif doit rejeter ce rapport mal formé.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux s390 : gestion des appels répétés d’arrêt du PMU
Sur s390, plusieurs appels rapprochés au callback d’arrêt du PMU pouvaient survenir lors de la limitation d’échantillonnage suivie de la terminaison d’une tâche. Le correctif rend l’arrêt idempotent, réinitialise l’état lors du démarrage et interdit le réglage de période ioctl non pris en charge pour ces événements.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux s390/ctcm : prévenir un déréférencement nul lors de la validation XID
Dans le pilote s390/ctcm, le chemin de validation XID pouvait déréférencer un pointeur nul lorsque le XID du pair était absent ou que l’appariement des canaux lecture/écriture était incohérent. Le correctif écrit le drapeau d’erreur dans priv->xid, qui est toujours disponible, plutôt que dans grp->saved_xid2, qui peut ne pas avoir été initialisé.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux page_pool : préserver l’alignement des fragments de taille impaire
Des demandes de fragments de taille impaire pouvaient désaligner les allocations successives du page pool partagé. Dans un scénario XDP générique, ce désalignement pouvait placer skb_shared_info de façon à provoquer un verrou fractionné fatal lors du clonage d’un skb; le correctif arrondit la taille à l’alignement requis.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux SCTP : valider la longueur des blocs dans le parseur d’entrée
Le parseur SCTP en file d’entrée acceptait des blocs dont la longueur déclarée était inférieure à l’en-tête générique de quatre octets. Avec certaines options SCTP-AUTH et ASCONF activées, un pair distant pouvait provoquer le retrait répété du même bloc malformé et un blocage du softirq de réception; le correctif rejette ces longueurs au point d’entrée partagé du parseur.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif; examiner les systèmes qui activent SCTP, ADDIP et AUTH.
Linux SELinux : correction des contrôles de permission des jetons BPF
Les contrôles SELinux des jetons BPF effectuaient des recherches répétées du SID du créateur de bpffs via le descripteur de fichier fourni. Le correctif utilise le chemin résolu ou le jeton lui-même selon l’opération, afin d’éviter notamment une condition de course TOCTOU liée à la modification du descripteur.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux : boucle infinie à la sortie d’un thread avec io_uring
Une boucle de sortie dans io_uring peut faire tourner un thread sans fin lorsqu’un anneau désactivé est activé par un autre thread et conserve du travail local en attente. Le correctif évite d’attendre que le thread exécute un travail qu’il ne peut pas traiter et retire un avertissement inadapté à ce scénario pris en charge.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; aucun contournement ni numéro de version corrigée n’est précisé dans la source.
Linux XFS : contournement possible des quotas de groupe
Une vérification incorrecte des capacités dans XFS peut permettre de contourner les contrôles de quota de groupe lors d’un changement de GID, notamment via un client NFS. Le correctif remplace la vérification concernée par ns_capable_noaudit() afin de rétablir le contrôle attendu.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; aucune version corrigée ni mesure de contournement n’est indiquée.
Linux XFS : risque d’interblocage pendant la synchronisation des métadonnées
Dans XFS, xfs_sync_sb_buf() conservait des verrous de buffers pendant la validation synchrone d’une transaction, ce qui pouvait provoquer un interblocage lors d’un arrêt du système de fichiers. Le correctif libère les verrous lors de la validation puis récupère les buffers pour l’écriture sur disque.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; la source ne précise ni version corrigée ni contournement.
Linux AF_IUCV : déconnexion intempestive et gestion incorrecte des crédits
La réception de messages sur une socket AF_IUCV pouvait envoyer une mise à jour de fenêtre réservée au transport HiperSockets même avec un transport classique, entraînant une déconnexion intempestive. Le chemin concerné comportait aussi une allocation sous verrou spinlock et une mise à jour concurrente incorrecte des crédits ; le correctif vérifie le transport et synchronise l’envoi et le crédit.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; aucun contournement ni version corrigée n’est précisé.
Linux mac802154 : course pouvant provoquer un déréférencement NULL
Dans mac802154, une course entre le traitement d’une réponse d’association et le nettoyage pouvait provoquer un déréférencement NULL ou l’utilisation d’un objet libéré. Une réponse concurrente pouvait aussi rendre incohérents le statut et l’adresse enregistrés ; le correctif met en cache l’adresse et protège l’état partagé par un verrou dédié.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; la source ne fournit pas de version corrigée ni de contournement.
Linux dm-integrity : boucle infinie lors d’un discard
Dans dm-integrity, le traitement d’un discard pouvait boucler indéfiniment lorsque l’allocation mémoire échouait et que la taille de tag dépassait la taille de hachage maximale. Le correctif utilise la taille réelle du tampon sur pile pour garantir qu’au moins un bloc est traité à chaque itération.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; aucune version corrigée ni solution de contournement n’est indiquée.
Linux dm-crypt : statut d’erreur d’E/S périmé en cas de course
Une course dans dm-crypt permettait à crypt_dec_pending de lire un statut d’erreur avant qu’un autre contexte ne le mette à jour, puis de terminer l’E/S avec ce statut périmé. Une lecture ou écriture en échec pouvait ainsi être signalée comme réussie ; le correctif lit l’erreur après la décrémentation atomique de la référence.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; aucun contournement ni numéro de version corrigée n’est fourni.
Linux CIFS : incohérence de taille lors d’une troncature sans handle en cache
Le client CIFS pouvait mettre localement la taille d’un fichier à zéro avant qu’une ouverture O_TRUNC réussisse lorsque aucun handle inscriptible n’était disponible. Le correctif ne redimensionne le fichier qu’après un succès serveur et purge les pages de cache périmées dans le chemin sans handle.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible.
Linux TCP : utilisation après libération dans TCP_CC_INFO
Dans do_tcp_getsockopt(TCP_CC_INFO), le noyau pouvait déréférencer un pointeur vers des opérations de contrôle de congestion BPF après sa libération concurrente. Le correctif protège le chargement du pointeur et l’appel à get_info par une section RCU, avec une lecture READ_ONCE().
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; aucun contournement ni version corrigée n’est précisé.
Linux TCP : utilisation après libération dans TCP_CONGESTION
Dans do_tcp_getsockopt(TCP_CONGESTION), le noyau lisait le nom des opérations de contrôle de congestion sans protection RCU, alors que leur mémoire BPF pouvait être libérée concurremment. Le correctif protège l’accès, copie le nom dans un tampon local avant de relâcher la protection et marque les accès concernés au pointeur avec READ_ONCE()/WRITE_ONCE().
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’il est disponible ; la source ne précise ni version corrigée ni solution de contournement.
Linux : horodatage des déclencheurs hist sur événements tamponnés
Un défaut de concurrence dans le traçage pouvait déclencher un avertissement et enregistrer un horodatage incorrect lorsqu’un déclencheur hist était ajouté pendant le traitement d’un événement tamponné. Le correctif utilise l’API d’horodatage adaptée à ces événements.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif, dès qu’elle est disponible pour la distribution utilisée.
Linux : plantage possible lors d’un changement de traceur
Un changement de traceur sans indicateurs pouvait laisser `current_trace_flags` à NULL et provoquer un plantage lors de l’affichage d’entrées function_graph. Le correctif utilise un ensemble d’indicateurs vide dans ce cas, y compris lors de l’auto-test du traceur.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux : dépassement possible de la pile d’opérateurs du parseur de prédicats
Une vérification insuffisante de la capacité de la pile d’opérateurs dans le parseur de prédicats pouvait autoriser une écriture au-delà de la pile allouée. Le correctif rejette l’empilement lorsque le sommet atteint la dernière entrée disponible.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif, dès qu’elle est disponible pour la distribution utilisée.
Linux : dépassement de capacité lors de l’analyse des prédicats de traçage
Le parseur de prédicats confondait la limite de prédicats analysés avec la taille d’allocation après avoir réservé des entrées terminales. Lorsque davantage de prédicats étaient analysés que prévu, des accès pouvaient dépasser la mémoire allouée; le correctif sépare la limite de parsing de la capacité du programme.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif, dès qu’elle est disponible pour la distribution utilisée.
Linux sched_ext : use-after-free lors d’une réinsertion différée
Une réinsertion différée pouvait accéder à une file DSQ utilisateur déjà libérée, entraînant une use-after-free. Le correctif annule les demandes en attente avant la période de grâce RCU et empêche les nouvelles demandes visant une file invalidée.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux drm/xe : correction des compteurs de pages pour les objets épinglés
Le pilote drm/xe modifiait sans condition les compteurs de pages récupérables lorsque l’état purgeable d’un objet mémoire épinglé changeait. Le correctif ne modifie que l’état de purgeabilité pour les objets épinglés et laisse la comptabilisation des pages à l’opération de désépinglage.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux i915 : validation de l’adresse de chargement DMC
Pour certains firmwares DMC de version d’en-tête 3, l’adresse de chargement du firmware n’était pas validée avant son utilisation. Le correctif ajoute une vérification de sa plage de validité.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux DRM : gestion incorrecte d’un objet préverrouillé dans DRM exec
Dans DRM exec, un objet verrouillé par anticipation après une contention pouvait être ajouté trop tôt à la liste des objets explicitement verrouillés. S’il n’était jamais référencé à nouveau par le pilote, un emplacement de fence pouvait manquer et conduire à un avertissement ou à un BUG_ON; le correctif le conserve hors de la liste jusqu’à sa mention explicite.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif, dès qu’elle est disponible pour la distribution utilisée.
Linux amdgpu : conservation de la clôture d’éviction jusqu’à la dernière référence
Le pilote amdgpu détachait la clôture d’éviction d’un objet GEM dès la fermeture de n’importe quel handle, même si d’autres références et mappings subsistaient. Le correctif conserve la clôture jusqu’à la disparition de la dernière référence au `bo_va`.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux amdgpu : fuite de ressources en cas d’échec ENOMEM de l’ioctl userptr
En cas d’échec d’allocation de plage HMM, l’ioctl userptr d’amdgpu retournait `-ENOMEM` sans libérer l’objet GEM ni ses ressources associées. Le correctif passe par la routine de libération de l’objet sur ce chemin d’erreur.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux : double libération d’une référence Runtime PM dans AMDGPU
Le noyau Linux pouvait libérer deux fois une référence Runtime PM dans `amdgpu_debugfs_gpr_read()` lorsque la copie des registres vers l’espace utilisateur échouait, ce qui pouvait provoquer un sous-compte ou retirer la référence détenue par un autre utilisateur. Le correctif effectue la copie depuis le tampon noyau avec un seul `copy_to_user()` après l’accès au matériel.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux AMD Display : protection contre un déréférencement NULL du sink USB4
Dans le pilote AMD Display, des fonctions de gestion de bande passante USB4 s’appuyaient sur des assertions pour vérifier la présence de `stream->sink`; celles-ci peuvent être désactivées en production. Le correctif ajoute des vérifications explicites avant déréférencement, y compris au point d’appel de la désallocation.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux : validation insuffisante de tâches iSCSI (CVE-2026-99152)
Une réponse de gestion iSCSI malformée peut nommer une tâche qui n’est pas en cours et provoquer un déréférencement de pointeur nul dans le noyau. Le suivi Debian consulté indique que les versions Debian listées restent vulnérables et que la correction est alors indiquée dans Linux 7.2.13-1 (sid).
Action recommandée : Suivre les mises à jour de sécurité Debian du noyau et installer un paquet corrigé dès sa disponibilité pour la distribution utilisée.
Linux : validation de l’ITT dans les PDU Reject iSCSI (CVE-2026-99153)
Un PDU Reject iSCSI peut contenir un ITT réfléchi non validé, conduisant à la complétion incorrecte d’une tâche, à un déréférencement nul ou à une corruption du traitement d’une commande SCSI. Le suivi Debian consulté indique les versions Debian listées vulnérables et une correction dans Linux 7.2.13-1 (sid).
Action recommandée : Suivre et appliquer la mise à jour du noyau Debian correspondant à la distribution déployée.
Linux : index de tâche négatif accepté dans libiscsi
Des recherches de tâches libiscsi pouvaient accepter un index négatif fourni par le transport, car elles ne contrôlaient que la borne supérieure. Le pilote be2iscsi pouvait transmettre une valeur issue de l’ITT du PDU; le correctif rejette les index négatifs dans les deux recherches concernées.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux : déréférencement nul dans le frontend SCSI Xen
Le frontend SCSI Xen vérifiait qu’un identifiant de requête reçu du backend était dans les limites, mais déréférençait son entrée shadow sans vérifier qu’elle était renseignée. Une réponse malveillante ou erronée visant une requête absente ou déjà terminée pouvait faire planter la machine invitée; le correctif rejette les entrées shadow nulles.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux : course d’utilisation après libération dans le pilote SCSI tape
Une course entre `st_remove()` et `st_open()` pouvait laisser dans l’IDR une entrée pointant vers un objet scsi_tape déjà libéré. Le correctif retire l’entrée de l’IDR avant de libérer la référence, sous le verrou prévu, afin que les ouvertures concurrentes obtiennent soit une référence valide, soit un échec propre.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux : débordement du tampon de réponse BSG pour UFS RPMB
Le tampon de réponse alloué par bsg-lib était trop petit pour certaines réponses UFS Advanced RPMB contenant un EHS de 64 octets, entraînant une écriture de huit octets au-delà de sa fin. Le correctif permet aux transports de fournir leur taille de réponse et demande à UFS un tampon de la taille de `struct ufs_rpmb_reply`.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux : faux avertissement dans le lecteur mmap du ring buffer
Dans le lecteur mmap du ring buffer, une course normale avec un écrivain encore en train de valider des événements pouvait faire retourner NULL à `rb_get_reader_page()`, résultat ensuite signalé à tort comme une erreur. Le correctif traite ce cas comme une absence momentanée de données et supprime un contrôle redondant de page.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux : base incorrecte du tableau de sous-tampons du ring buffer persistant
Sur un ring buffer persistant, le calcul d’index des sous-tampons pouvait être décalé d’un sous-tampon, laissant notamment `subbuf_ids[0]` nul et produisant des indices de métadonnées invalides. Cela pouvait provoquer un déréférencement nul lors du mappage de `trace_pipe_raw` ou faire rejeter les traces précédentes au démarrage suivant; le correctif réutilise le calcul inverse commun.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux — déréférencement nul lors de la lecture de buffer_meta
Une lecture de `buffer_meta` pour un CPU jamais démarré pouvait déréférencer un pointeur nul dans le noyau. Le correctif fait échouer l’ouverture avec `-ENODEV` lorsque ce CPU ne possède pas de tampon.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux — fuite de référence d’horloge dans le pilote I²C MediaTek WMT
Le pilote I²C `viai2c-wmt` ne libérait pas la référence d’horloge acquise lors de son initialisation, notamment après une erreur ou le déchargement du module. Le correctif remplace cette acquisition par `devm_clk_get()`, qui gère automatiquement la libération.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux GPIO : correction d’une use-after-free lors de l’ajout de proxies partagés
Une table de recherche GPIO pouvait rester en vie après l’objet kobject dont le nom fournissait la valeur de `lookup->dev_id`, créant un risque d’utilisation après libération. Le correctif duplique la chaîne afin que sa durée de vie soit indépendante de celle du kobject.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux — validation incorrecte des champs de pile des histogrammes de traçage
La validation des champs d’événements synthétiques de traçage pouvait accepter un champ scalaire là où une pile était attendue, puis interpréter sa valeur comme un pointeur de pile du noyau. Le correctif propage les indicateurs de pile nécessaires et rejette les incompatibilités entre les types de champ.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux SPI i.MX : correction d’un débordement lié aux tampons DMA
Le pilote SPI i.MX allouait des tampons DMA plus courts que la longueur arrondie utilisée par les opérations de mapping et de synchronisation, permettant des accès au-delà de l’allocation. Le correctif dimensionne les tampons et la synchronisation selon la longueur alignée sur le cache.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux — déréférencement nul dans le chemin d’envoi SCTP
Dans le chemin d’envoi SCTP, une attente libérant le verrou de socket pouvait rendre invalide le flux sélectionné avant la reprise, provoquant un déréférencement nul. Le correctif revérifie après ces attentes que le flux est valide et que son extension existe.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux — déréférencement d’un transport non initialisé dans RDS/RDMA
Le gestionnaire d’événements RDMA de RDS pouvait utiliser un transport non initialisé pour des événements provenant d’un périphérique non InfiniBand, avec un risque de plantage du noyau. Le correctif initialise explicitement le transport InfiniBand et rejette ou abandonne les connexions non compatibles selon le type d’événement.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux — utilisation après libération dans la gestion des actions réseau
Dans le sous-système de planification réseau, une course entre la décrémentation du compteur de références et celle du compteur de liaisons pouvait conduire à accéder à une action déjà libérée. Le correctif protège les mises à jour des compteurs et le retrait de l’IDR avec son mutex.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux mshv_vtl : vérification de la page de registres par CPU
Dans mshv_vtl, un indicateur global pouvait signaler la présence d’une page de registres alors que celle du CPU demandé n’avait pas été configurée. Un défaut de page utilisateur pouvait alors atteindre `get_page(NULL)`; le correctif vérifie la page propre à ce CPU et renvoie `VM_FAULT_SIGBUS` si elle est absente.
Action recommandée : Appliquer une version du noyau intégrant le correctif.
Linux — confusion lors de la réutilisation d’espace mémoire pour les futex partagés
La réutilisation d’une adresse de mémoire de processus pouvait permettre à des attentes sur un futex partagé de consommer des réveils destinés à un nouvel espace mémoire. Le correctif identifie chaque espace mémoire avec un identifiant unique de 64 bits pour les clés `FUT_OFF_MMSHARED`.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux : contournement d’un montage verrouillé via copy_tree()
Une incohérence dans `copy_tree()` pouvait permettre à un processus root dans son espace utilisateur de retirer la couverture d’un montage verrouillé, exposant le fichier sous-jacent. Le correctif empêche de laisser de côté ou de déplacer de cette manière un montage verrouillé contenant un fichier d’espace de noms de montage.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux ntfs3 : utilisation après libération lors d’une recherche de chemin
La fiche NVD publiée le 28 octobre décrit une utilisation après libération dans le système de fichiers ntfs3 lorsque l’option de montage « nocase » est utilisée. Une recherche de chemin concurrente avec la disparition du dernier montage pouvait accéder aux données privées du superbloc déjà libérées ; le correctif reporte leur libération après une période de grâce RCU.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle sera disponible.
Linux : fuite du montage mqueue lors d’un échec d’initialisation IPC
Lorsqu’une initialisation d’espace de noms IPC échouait après la création du montage mqueue, un simple `mntput()` ne détruisait pas ce montage à longue durée de vie. Le correctif utilise `kern_unmount()` pour libérer correctement le montage et éviter la fuite du montage et du superbloc mqueue.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux eventfs : utilisation après libération lors d’un parcours de chemin
La fiche NVD publiée le 28 octobre décrit une utilisation après libération dans eventfs : un parcours de chemin RCU pouvait lire un eventfs_inode déjà libéré. Le correctif attend à la fois la période de grâce SRCU nécessaire aux itérateurs et une période RCU pour protéger les lecteurs en parcours de chemin.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle sera disponible.
Linux ext4 : accès à des données de superbloc libérées
La fiche NVD publiée le 28 octobre décrit une course dans ext4 : un parcours RCU suivant un lien symbolique pouvait accéder au superbloc privé ou aux compteurs de statut d’extent après leur libération. Le correctif conserve ces données jusqu’à la fin d’une période de grâce avant de les libérer.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle sera disponible.
Linux fsnotify : course lors de la destruction des marques
La fiche NVD publiée le 28 octobre décrit une course dans fsnotify pendant la destruction des marques : l’ajout concurrent d’une marque pouvait faire manquer un élément lors du parcours et détacher le connecteur de l’objet. Un accès non privilégié via fdinfo pouvait alors déclencher un déréférencement de pointeur nul ; le correctif bloque les nouveaux ajouts pendant la destruction.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle sera disponible.
Linux KVM nVMX : pointeur MMU incorrect après échec de chargement L2
La fiche NVD publiée le 28 octobre décrit un défaut de restauration de l’état MMU dans KVM nVMX lorsque le chargement de l’état L2 échoue hors d’une entrée de VM. Le vCPU pouvait continuer à utiliser la MMU imbriquée alors que l’état associé avait été libéré, pouvant provoquer un déréférencement nul ; la correction restaure le pointeur vers la MMU racine.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle sera disponible.
Linux KVM SEV : verrouillage lors du marquage des pages comme modifiées
Dans `sev_gmem_post_populate()`, le noyau pouvait appeler `set_page_dirty()` sans détenir le verrou requis pour garantir que le mapping de la page reste valide. Le correctif remplace cet appel par `set_page_dirty_lock()`.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux KVM : course sur les indicateurs de faute de page asynchrone en contexte NMI
La fiche NVD publiée le 28 octobre décrit une course entre une faute de page asynchrone KVM et une faute de page survenant en contexte NMI : le gestionnaire de la faute imbriquée pouvait consommer les indicateurs de la faute asynchrone interrompue et provoquer un panic. Le correctif laisse ces indicateurs intacts lorsqu’une faute de noyau survient dans ce contexte où une faute asynchrone ne peut pas être attendue.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle sera disponible.
Linux watch_queue : course lors de la publication du pool de notifications
La fiche NVD publiée le 28 octobre décrit une course de publication du pool de notes dans watch_queue : un producteur de notification pouvait observer un nombre de notes non nul avant que le tableau de notes soit visible, puis déréférencer un pointeur nul. La source indique qu’un utilisateur non privilégié pouvait déclencher la course ; le correctif publie le nombre en dernier avec une sémantique release et le lit avec acquire.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle sera disponible.
Linux : utilisation après libération de la table Unicode lors d’une recherche de chemin
Une recherche de chemin en mode RCU peut continuer à utiliser la table Unicode après sa libération lors du démontage d’un système de fichiers sensible à la casse, provoquant une utilisation après libération. Le correctif retarde cette libération jusqu’à la fin d’une période de grâce RCU.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux autofs : un échec de notification peut fermer le tube de remplacement
Lorsqu’une écriture de notification sur un ancien tube autofs échoue après le remplacement de celui-ci, le noyau peut faire passer à tort le superbloc en mode catatonic et fermer le nouveau tube. Le correctif n’effectue cette transition que si le tube ayant échoué est toujours le tube courant.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux ASoC SOF : décalage hors limites pour une capture ALH agrégée
Dans le pilote SOF, si le nombre de canaux est inférieur au nombre de périphériques ALH agrégés, le calcul de l’étape peut donner zéro et provoquer un décalage hors limites dans GENMASK(). Le correctif traite ce cas en appliquant le même masque de canaux à chaque périphérique agrégé.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux Rocket : recherche incomplète des cœurs après retrait
Après le retrait d’un cœur Rocket qui n’était pas le dernier, la recherche pouvait ignorer des cœurs encore actifs et retourner un pointeur nul. Le correctif fait rechercher le scheduler dans tous les emplacements de cœur alloués; il ne rend pas pour autant sûr le retrait d’un seul cœur parmi plusieurs.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux Rocket : dépassement de tableau après retrait et rattachement de cœurs
Le retrait séquentiel de cœurs Rocket pouvait laisser un cœur introuvable, empêcher la finalisation du périphérique et conserver un compteur obsolète. Un nouveau rattachement pouvait alors écrire au-delà du tableau alloué; le correctif mémorise le nombre d’emplacements alloués et recherche dans tous ces emplacements.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux FireWire : condition de course dans les transactions fractionnées
Une réponse et le callback d’expiration pouvaient traiter simultanément la même transaction FireWire fractionnée après une régression dans la gestion du temporisateur. Le correctif laisse le callback retirer l’entrée lorsque `timer_delete()` indique qu’il est déjà en cours, évitant ainsi un use-after-free côté initiateur.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux x86 : blocage du noyau via l’évaluation des préfixes d’instruction
Une variable d’itération masquait l’index de segment dans l’évaluation d’instructions x86, ce qui ignorait les overrides FS/GS et pouvait faire boucler le traitement d’un préfixe CS. Avec l’émulation UMIP, un utilisateur pouvait bloquer des processeurs dans le noyau; les accès FS/GS pouvaient aussi viser une adresse incorrecte.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux perf : des événements PMU peuvent rester dans le contexte source lors du retrait à chaud d’un CPU
Lors du retrait d’un PMU, la suppression d’un groupe du parcours de l’arbre pouvait interrompre prématurément l’itération et laisser d’autres groupes dans le contexte source. Lors du retrait à chaud d’un CPU, des événements pouvaient alors rester associés au CPU en cours d’arrêt; le correctif parcourt la liste des événements du contexte et sélectionne ceux du PMU concerné.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux stmmac : tempête d’interruptions RGMII à la reprise
Après la reprise du contrôleur Ethernet, un statut d’interruption RGMII resté en attente pouvait provoquer une tempête d’interruptions. Selon la source, cela pouvait affamer le thread de reprise et aboutir à un soft lockup, un redémarrage du watchdog ou un blocage; le correctif lit le registre de statut afin de l’effacer.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux GPIO mxc : course lors de l’installation du gestionnaire IRQ
Le pilote GPIO mxc installait le gestionnaire d’interruptions chaîné avant que le domaine IRQ, la puce générique et l’entrée de liste du port soient prêts. Une interruption pendant cette fenêtre, ou un échec ultérieur de la sonde, pouvait conduire à l’accès à des données non initialisées ou libérées; le correctif installe le gestionnaire après la préparation des dépendances.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : fuite mémoire sur un chemin d’erreur de gpiolib
Une erreur de `gpiod_set_array_value_complex()` pouvait provoquer une fuite mémoire lorsque `gpiochip_set_multiple()` échouait. Le correctif reporte le retour d’erreur après la libération des bitmaps concernés.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux : longueur IPv6 incorrecte après modification d’une étiquette CALIPSO
La modification d’un paquet IPv6 BIG TCP portant une étiquette CALIPSO pouvait corrompre `payload_len`, notamment en cas de dépassement de `IPV6_MAXPLEN`. Le correctif recalcule cette longueur à partir de la taille du paquet avec `ipv6_set_payload_len()`.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux : blocage possible de la file d’émission dans bcmgenet
Le pilote bcmgenet pouvait réutiliser un skb partagé et écraser des informations de son control block, empêchant la comptabilisation correcte des octets transmis. Cela pouvait bloquer la file d’émission jusqu’à une réinitialisation par le watchdog; le correctif désolidarise le skb avant d’écrire dans ce control block.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la branche utilisée.
Linux TI icssm-prueth : déréférencement nul pendant la sonde
Le pilote TI icssm-prueth attachait le PHY avant d’avoir affecté `netdev_ops`; avec `CONFIG_NET_SHAPER`, ce chemin pouvait déréférencer un pointeur nul pendant la sonde. Le correctif affecte les opérations réseau avant l’attachement du PHY.
Action recommandée : Installer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : déréférencement NULL dans le pilote Ethernet Aeroflex
Dans le pilote Ethernet Aeroflex, l’attachement du PHY pouvait précéder l’affectation de `netdev_ops` et provoquer un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; les versions concernées et la version corrigée ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer le correctif Linux qui affecte `netdev_ops` avant l’attachement du PHY ; vérifier les mises à jour correspondant à la branche utilisée.
Linux : déréférencement NULL dans le pilote ethoc
Dans le pilote Ethernet ethoc, l’attachement du PHY pouvait survenir avant l’affectation de `netdev_ops`, entraînant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; aucune version affectée ni version corrigée n’est indiquée dans la source fournie.
Action recommandée : Appliquer le correctif Linux qui affecte `netdev_ops` avant l’attachement du PHY ; vérifier les mises à jour correspondant à la branche utilisée.
Linux : déréférencement NULL dans le pilote au1000
Dans le pilote Ethernet au1000, l’attachement du PHY pouvait précéder l’affectation de `netdev_ops` et provoquer un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; les versions concernées et corrigées ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer le correctif Linux qui affecte `netdev_ops` avant l’attachement du PHY ; vérifier les mises à jour correspondant à la branche utilisée.
Linux : déréférencement NULL dans le pilote mv643xx
Dans le pilote Ethernet mv643xx, le PHY pouvait être connecté avant l’affectation de `netdev_ops`, causant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; les versions affectées et corrigées ne sont pas indiquées dans la source fournie.
Action recommandée : Appliquer le correctif Linux qui affecte `netdev_ops` avant l’attachement du PHY ; vérifier les mises à jour correspondant à la branche utilisée.
Linux : déréférencement NULL dans le pilote Actions Owl
Dans le pilote Ethernet Actions Owl, l’initialisation du PHY pouvait précéder l’affectation de `netdev_ops`, provoquant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; la source fournie ne précise pas les versions concernées ni la version corrigée.
Action recommandée : Appliquer le correctif Linux qui affecte `netdev_ops` avant l’attachement du PHY ; vérifier les mises à jour correspondant à la branche utilisée.
Linux : déréférencement NULL dans le pilote hip04_eth
Dans le pilote hip04_eth, le PHY pouvait être connecté avant l’affectation de `netdev_ops`, causant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; les versions concernées et corrigées ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer le correctif Linux qui affecte `netdev_ops` avant l’attachement du PHY ; vérifier les mises à jour correspondant à la branche utilisée.
Linux : panic du noyau possible dans le pilote hisi_femac
Dans le pilote hisi_femac, la connexion du PHY pouvait précéder l’affectation de `netdev_ops`, entraînant un déréférencement NULL et pouvant faire paniquer le noyau au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; les versions concernées et corrigées ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer le correctif Linux qui affecte `netdev_ops` avant l’attachement du PHY ; vérifier les mises à jour correspondant à la branche utilisée.
Linux : risque de fuite d’adresse noyau via le hachage netlink
Un utilisateur non privilégié peut exploiter l’ordre des buckets de la table netlink exposé par `/proc/net/netlink` et les diagnostics de sockets pour tenter de retrouver des bits de l’adresse de `init_net`. Le correctif remplace le pointeur d’espace de noms dans la clé de hachage par le `net_cookie` ; les versions affectées et la version corrigée ne sont pas précisées dans la source.
Action recommandée : Appliquer le correctif qui utilise `net_cookie` dans la clé de comparaison netlink ; aucune version corrigée précise n’est indiquée.
Linux : interblocage possible lors de la reprise d’un hôte SAS
Lors de la reprise d’un hôte SAS, une commande SMP concernant certains disques SATA reliés à un expandeur peut provoquer un interblocage entre la reprise runtime PM et le vidage du travail SAS. Le correctif évite de demander une reprise synchrone dans ce chemin et traite séparément la reprise nécessaire au chemin BSG ; les versions affectées et corrigées ne sont pas précisées.
Action recommandée : Appliquer le correctif Linux relatif à la gestion runtime PM des commandes SMP ; aucune version corrigée précise n’est indiquée.
Linux : use-after-free possible dans la gestion fasync des pipes
Une configuration concurrente de l’activation asynchrone (`fasync`) sur un FIFO ouvert en lecture-écriture peut supprimer une inscription préexistante après l’échec d’une allocation. Une notification ultérieure peut alors accéder à une mémoire libérée ; le correctif ne défait l’inscription du lecteur que si l’appel courant l’a créée, et les versions concernées ne sont pas précisées.
Action recommandée : Appliquer le correctif Linux qui préserve les inscriptions fasync préexistantes ; aucune version corrigée précise n’est indiquée.
Linux : utilisation après libération lors de lectures debugfs OCFS2 (CVE-2026-99204)
Une lecture concurrente de l’état de récupération OCFS2 via debugfs peut accéder à des enregistrements libérés, causant une utilisation de mémoire après libération. Le suivi consulté confirme l’existence de l’avis CVE mais ne fournit pas ici de version corrigée vérifiée.
Action recommandée : Surveiller les mises à jour Debian du noyau et les appliquer dès qu’un paquet corrigé est publié.
Linux : tâche exécutable ignorée après un changement de classe d’ordonnancement
Une course lors du changement de classe d’ordonnancement d’une tâche déjà mise en file pouvait laisser le processeur inactif alors qu’une tâche restait exécutable. Le correctif appelle `wakeup_preempt()` pour les tâches en file afin de réévaluer la classe suivante et le besoin de préemption ; les versions concernées et corrigées ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer le correctif de l’ordonnanceur Linux dans la branche utilisée.
Linux : double libération possible lors d’une mise à jour de l’authentification iSCSI
Des mises à jour concurrentes du paramètre `AuthMethod` de découverte iSCSI via configfs peuvent libérer deux fois la même valeur. Le correctif protège la recherche et le remplacement par le verrou d’accès du TPG de découverte ; les versions affectées et corrigées ne sont pas précisées.
Action recommandée : Appliquer le correctif Linux qui verrouille les mises à jour du paramètre d’authentification de découverte iSCSI ; aucune version corrigée précise n’est indiquée.
Linux SCSI target : risque de blocage lié au verrou des commandes différées
Dans le sous-système SCSI target, une prise de verrou sans désactivation des interruptions pouvait provoquer un blocage lorsque certaines complétions de commandes survenaient en contexte d’interruption. Le correctif utilise `spin_lock_irq()` dans le travail différé ; le scénario décrit nécessite notamment `complete_type=1`, un fabric compatible, un backend complétant en contexte d’interruption et des commandes ORDERED.
Action recommandée : Appliquer le correctif du sous-système SCSI target ; évaluer en priorité les configurations utilisant les complétions directes et des commandes ORDERED.
Linux Xe : exposition possible de données résiduelles via les tampons OA
Les tampons OA du pilote graphique Xe n’étaient pas nécessairement initialisés à zéro à l’allocation et pouvaient contenir des données de pages précédemment libérées. Comme ces tampons sont accessibles par mmap et que certains flux ne passaient pas par l’initialisation qui les effaçait, le correctif les met à zéro dès l’allocation ; les versions concernées et corrigées ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer le correctif du pilote Xe qui met à zéro le tampon OA à l’allocation.
Linux : déréférencement NULL dans l’éviction des BO du pilote DRM Xe
Une BO du pilote DRM Xe dépourvue de ressource pouvait provoquer un déréférencement NULL lors de son éviction, notamment après la libération de la ressource d’un dma-buf importé. Le correctif évite l’éviction dans ce cas; aucune version corrigée précise n’est indiquée dans la source.
Action recommandée : Appliquer un correctif du noyau intégrant le changement décrit.
Linux : pointeur d’erreur conservé après un échec d’initialisation Rocket
Lorsqu’une initialisation de périphérique Rocket échouait, le pointeur global rdev pouvait conserver un pointeur d’erreur et être interprété plus tard comme un périphérique déjà initialisé. Le correctif efface rdev et préserve le code d’erreur avant le retour; aucune version corrigée précise n’est indiquée dans la source.
Action recommandée : Appliquer un correctif du noyau intégrant le changement décrit.
Linux : divulgation de données via des filtres de socket Netlink
Les filtres de socket Netlink pouvaient lire des données situées avant le message initialisé lorsque les en-têtes du skb n’étaient pas réinitialisés. Un utilisateur non privilégié disposant d’un socket NETLINK_RDMA et d’un filtre adapté pouvait ainsi divulguer le contenu de la zone de tête réservée.
Action recommandée : Appliquer le correctif du noyau correspondant dès qu’il est disponible auprès de la distribution ou du fournisseur.
Linux : gestion incorrecte de l’identifiant RDMA lors d’un échec RDS
En cas d’échec synchrone de résolution d’itinéraire RDMA, le gestionnaire d’événement pouvait détruire un identifiant de connexion que RDS conservait encore. La connexion pouvait ensuite utiliser cet identifiant libéré lors de son arrêt, avec risque de comportement indéfini ou de plantage.
Action recommandée : Appliquer le correctif du noyau correspondant dès qu’il est disponible auprès de la distribution ou du fournisseur.
Linux : corruption mémoire possible lors d’une course dans vsock
Une transition de TCP_ESTABLISHED vers TCP_CLOSING pouvait entrer en course avec la boucle de connexion vsock. La réinitialisation d’un socket encore présent dans connected_table pouvait conduire à une corruption mémoire et à un plantage du noyau.
Action recommandée : Appliquer le correctif du noyau correspondant dès qu’il est disponible auprès de la distribution ou du fournisseur.
Linux : avertissement noyau possible lors de la préparation audio HDMI VC4
Le gestionnaire HPD pouvait déclencher l’audio avant le rétablissement vidéo, alors que la Packet RAM HDMI était désactivée. L’écriture de l’infoframe audio pouvait alors produire un avertissement du noyau.
Action recommandée : Appliquer le correctif du noyau correspondant dès qu’il est disponible auprès de la distribution ou du fournisseur.
Linux : risque d’utilisation après libération lors de la désinscription d’une alimentation
La désinscription d’une alimentation pouvait se terminer alors qu’un callback était encore en cours, laissant le pilote libérer des données que le callback pouvait ensuite utiliser. Le correctif synchronise les callbacks external_power_changed() avec power_supply_unregister(); aucune version corrigée précise n’est indiquée dans la source.
Action recommandée : Appliquer un correctif du noyau intégrant le changement décrit.
Linux : déchargement VMBus omis sur certains chemins d’erreur
Sur certains chemins d’erreur ou de sortie, le code marquait la connexion VMBus comme déconnectée avant l’appel à vmbus_disconnect(). Le déchargement pouvait alors être ignoré, laissant la connexion active et permettant à l’hôte Hyper-V de continuer à envoyer des messages ou des interruptions.
Action recommandée : Appliquer le correctif du noyau correspondant dès qu’il est disponible auprès de la distribution ou du fournisseur.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche dédiée a relevé trois nouvelles fiches CVE Linux publiées le 28 octobre 2026 et trois avis de sécurité Debian datés de cette journée (OpenJDK 25, Chromium et Firefox ESR). Les mises à jour indiquées par Debian corrigent ces trois paquets dans trixie; les fiches Linux consultées signalent des états de vulnérabilité et une correction sid pour deux CVE, sans version corrigée vérifiée ici pour la troisième.
Linux : validation insuffisante de tâches iSCSI (CVE-2026-99152)
Une réponse de gestion iSCSI malformée peut nommer une tâche qui n’est pas en cours et provoquer un déréférencement de pointeur nul dans le noyau. Le suivi Debian consulté indique que les versions Debian listées restent vulnérables et que la correction est alors indiquée dans Linux 7.2.13-1 (sid).
Action recommandée : Suivre les mises à jour de sécurité Debian du noyau et installer un paquet corrigé dès sa disponibilité pour la distribution utilisée.
Linux : validation de l’ITT dans les PDU Reject iSCSI (CVE-2026-99153)
Un PDU Reject iSCSI peut contenir un ITT réfléchi non validé, conduisant à la complétion incorrecte d’une tâche, à un déréférencement nul ou à une corruption du traitement d’une commande SCSI. Le suivi Debian consulté indique les versions Debian listées vulnérables et une correction dans Linux 7.2.13-1 (sid).
Action recommandée : Suivre et appliquer la mise à jour du noyau Debian correspondant à la distribution déployée.
Linux : utilisation après libération lors de lectures debugfs OCFS2 (CVE-2026-99204)
Une lecture concurrente de l’état de récupération OCFS2 via debugfs peut accéder à des enregistrements libérés, causant une utilisation de mémoire après libération. Le suivi consulté confirme l’existence de l’avis CVE mais ne fournit pas ici de version corrigée vérifiée.
Action recommandée : Surveiller les mises à jour Debian du noyau et les appliquer dès qu’un paquet corrigé est publié.
Debian DSA-6591-1 : mise à jour de sécurité pour OpenJDK 25
Debian a publié une mise à jour de sécurité pour OpenJDK 25 concernant plusieurs vulnérabilités susceptibles d’entraîner un déni de service, une sortie de sandbox, des vérifications de certificats incomplètes ou une divulgation d’informations. L’avis fourni ne précise ni les CVE concernées ni les versions corrigées ; consulter l’avis Debian pour les détails et appliquer la mise à jour de sécurité correspondante.
Action recommandée : Appliquer la mise à jour de sécurité OpenJDK 25 fournie par Debian.
Debian : mise à jour de sécurité Chromium (DSA-6592-1)
Debian a publié DSA-6592-1 pour Chromium, couvrant des problèmes pouvant permettre l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. L’avis recommande la mise à niveau; les vulnérabilités étant groupées dans l’avis, elles ne sont pas attribuées individuellement dans cet item.
Action recommandée : Mettre à niveau chromium vers 156.0.8078.73-1~deb13u1 sur Debian trixie.
Debian : mise à jour de sécurité Firefox ESR (DSA-6590-1)
Debian a publié DSA-6590-1 pour Firefox ESR, couvrant plusieurs problèmes susceptibles d’entraîner exécution de code, échappement de bac à sable, contournement de la politique de même origine, élévation de privilèges, divulgation d’informations ou usurpation. L’avis recommande la mise à niveau; aucune vulnérabilité individuelle n’est détaillée dans cet item multi-CVE.
Action recommandée : Mettre à niveau firefox-esr vers 153.6.0esr-1~deb13u1 sur Debian trixie.
Alpine Linux
Vérification incomplète
La recherche dédiée a repéré un compte rendu d’incident publié par Alpine Linux le 2026-10-28 au sujet d’une tentative d’exploitation de CVE-2026-97229 visant son instance GitLab. Aucun candidat n’ayant été fourni, aucun élément de preuve candidat n’est lié à l’item.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée aux avis du projet Apache HTTP Server et aux sources de vulnérabilités consultées n’a pas identifié de nouvel avis, correctif, événement d’exploitation ou changement substantiel daté de la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les avis HTTP Server trouvés concernent des publications antérieures à cette période; la mise à jour du candidat NVD porte sur un routeur Tenda et non sur Apache HTTP Server.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
Aucune information vérifiée ne satisfait les critères pour Nginx pendant la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les avis nginx retrouvés étaient datés d’avant la période; les CVE Traefik concernent un composant Traefik nommé « Kubernetes Ingress NGINX provider », et les avis GitHub concernent Nginx UI, non le serveur Nginx lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
Niveau relevé : Gravité à préciser
La recherche dédiée a relevé des avis PHP officiels datés du 21 octobre 2026, hors de la période demandée. Aucun nouvel avis ou correctif PHP daté du 2026-10-28 n’a été vérifié dans les sources consultées. Les candidats fournis concernent d’autres logiciels utilisant PHP, et non PHP ou PHP-FPM eux-mêmes. Une vulnérabilité nouvellement publiée dans rybakit/msgpack concerne les applications exécutées sur PHP 32 bits. Les autres candidats portent sur des extensions ou applications tierces écrites pour WordPress ou PHP, et non sur PHP lui-même ni sur le paquet PHP identifié comme sujet. Aucun candidat ne documente une nouveauté de sécurité PHP dans la période demandée. Les entrées retenues portent sur d’autres produits ou décrivent uniquement une modification NVD, sans preuve d’un changement substantiel daté dans la période. Aucun candidat du lot ne concerne directement PHP ou PHP-FPM : les entrées décrivent des vulnérabilités propres à d’autres produits. Les modifications NVD indiquées ne suffisent pas, à elles seules, à établir un changement substantiel daté de la période. Aucune nouveauté PHP vérifiée dans les éléments fournis : les candidats sont des modifications de fiches NVD publiées avant la période, et leur caractère substantiel ne peut être établi à partir des seules données présentes. La recherche web demandée n’a pas été réalisée. Aucun candidat fourni ne concerne une vulnérabilité, un correctif ou un avis de sécurité du langage ou de l’environnement d’exécution PHP (PHP/PHP-FPM). Les candidats portent sur des vulnérabilités de produits distincts développés en PHP; cela ne suffit pas à les rattacher au sujet demandé. Aucun candidat ne documente une vulnérabilité, un correctif ou un avis de sécurité nouveau ou substantiellement mis à jour pour le langage PHP pen…
Déni de service dans rybakit/msgpack sur PHP 32 bits
Un débordement d’entier dans `MessagePack\BufferUnpacker` de `rybakit/msgpack` peut provoquer un déni de service lorsque l’application utilise PHP 32 bits et traite une entrée MessagePack spécialement conçue. Les versions antérieures à 0.11.0 sont concernées ; mettre à niveau vers la version 0.11.0 ou ultérieure.
Action recommandée : Mettre à niveau rybakit/msgpack vers la version 0.11.0 ou ultérieure.
WordPress
Vérification incomplète
Niveau relevé : Exploitation active
Les dix candidats fournis correspondent à des fiches NVD publiées le 28 octobre 2026 et concernent des extensions WordPress. Les versions corrigées n’étaient pas établies par les éléments consultés ; aucune exploitation active n’est confirmée ici. Les mises à jour de fiches intervenues après la borne de fin n’ont pas été traitées comme des événements de la période. Dix fiches NVD concernant des plugins WordPress ont été publiées dans la période indiquée. Elles décrivent notamment des défauts de contrôle d’accès, de validation ou d’échappement, des injections et des failles touchant les paiements ou le téléversement de fichiers. Onze vulnérabilités de plugins WordPress ont été publiées par la NVD le 28 octobre 2026 dans la période demandée : deux touchent Court Reservation, cinq Royal Addons for Elementor, une Customer Email Verification for WooCommerce, une PayPlug for WooCommerce (Official) et deux Page Builder by SiteOrigin. Les informations fournies indiquent des versions corrigées pour dix vulnérabilités ; pour CVE-2026-109236, elles ne précisent pas de version corrigée. Les dix candidats correspondent à des fiches NVD publiées le 2026-10-28 et décrivent des vulnérabilités touchant des extensions WordPress. Les fiches indiquent les versions corrigées et les impacts résumés dans chaque item. Dix fiches NVD concernant des extensions WordPress ont été publiées le 28 octobre 2026 dans la période demandée. Elles décrivent des vulnérabilités d’injection JavaScript et SQL, de protection CSRF, de contrôle d’accès, de divulgation de données et d’accès aux commandes. Dix fiches NVD concernant des vulnérabilités de plugins WordPress ont été publiées le 28 octobre 2026 : injections SQL, traversées de répertoires et XSS stockées. Les modifications de fiches datées du 29 octobre…
Wordfence signale des tentatives PHP2Shell, sans compromission WordPress confirmée
Wordfence rapporte que, au 2026-10-28, il n’a connaissance d’aucun site WordPress compromis par PHP2Shell, tout en observant des tentatives de balayage et d’exploitation visant des serveurs PHP. Cette mise à jour ne confirme pas de compromission WordPress; les administrateurs doivent mettre à jour PHP vers une version corrigée et redémarrer PHP, car une mise à jour de WordPress ne met pas PHP à jour.
Action recommandée : Mettre à jour PHP vers une version corrigée ou un paquet fournisseur contenant les deux correctifs, puis redémarrer PHP.
Wordfence : aucune compromission WordPress PHP2Shell confirmée au 28 octobre
Wordfence indique qu’au 2026-10-28 il n’a connaissance d’aucun site WordPress compromis par PHP2Shell, malgré des requêtes associées à des tentatives de balayage et d’exploitation. La mise à jour recommande de corriger PHP et de le redémarrer; mettre à jour WordPress seul ne corrige pas PHP.
Action recommandée : Mettre à jour PHP vers une version corrigée ou un paquet fournisseur contenant les deux correctifs, puis redémarrer PHP.
Jupiter X Core : contournement d’authentification via Twitter/X
Le plugin Jupiter X Core est vulnérable à un contournement d’authentification via la connexion sociale Twitter/X. Les versions jusqu’à 4.61.0 inclus sont concernées ; la fiche NVD a été publiée pendant la période, mais le correctif n’est pas précisé ici.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est identifiée par l’éditeur ; à défaut, désactiver la connexion sociale concernée.
Pie Register Premium : téléversement de fichiers dangereux sans authentification
Pie Register Premium présente un téléversement de fichiers de types dangereux sans authentification. Toutes les versions jusqu’à 3.8.4.0 inclus sont signalées comme concernées ; la fiche indique qu’un fichier exécutable téléversé pourrait permettre une exécution de code à distance.
Action recommandée : Désactiver ou retirer le plugin vulnérable jusqu’à l’installation d’un correctif.
CVE-2026-109218 — Téléversement arbitraire de fichiers dans Contact Manager
Contact Manager est vulnérable à l’envoi arbitraire de fichiers jusqu’à la version 9.1.2 incluse, en raison d’un contournement de la vérification des extensions; un attaquant non authentifié peut téléverser un fichier potentiellement exécutable et, sous certaines configurations Apache, obtenir une exécution de code à distance. La fiche fournie ne précise aucun correctif : vérifier la version installée et appliquer une mise à jour de l’éditeur dès qu’elle est disponible.
Action recommandée : Vérifier si Contact Manager est installé et limiter son exposition; mettre à jour vers une version corrigée lorsqu’elle est publiée.
Checkout Files Upload for WooCommerce : téléversement de fichiers arbitraires
CVE-2026-103688 affecte Checkout Files Upload for WooCommerce avant la version 2.4.0 lorsque le réglage des types de fichiers acceptés est laissé vide. Des utilisateurs non authentifiés peuvent alors téléverser des fichiers arbitraires, y compris des fichiers PHP pouvant permettre l’exécution de code sur les serveurs qui exécutent PHP dans le répertoire des téléversements.
Action recommandée : Mettre à jour vers la version 2.4.0 ou ultérieure et éviter de laisser vide le réglage des types acceptés tant que la mise à jour n’est pas appliquée.
Lecture de fichiers arbitraires dans Lumise
Product Designer for WooCommerce (Lumise) jusqu’à la version 2.1.2 permet la lecture de fichiers arbitraires du serveur par traversée de répertoires. L’exploitation ne nécessite pas d’authentification, le nonce requis étant accessible aux visiteurs ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour Lumise vers une version corrigée lorsqu’elle est disponible.
Prime Slider : XSS persistante accessible sans authentification
Prime Slider jusqu’à la version 4.7.2 incluse permet une XSS persistante sans authentification via le paramètre comment. La source ne précise pas de version corrigée ; mettre à jour dès qu’un correctif est disponible et examiner les commentaires concernés.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée et examiner les commentaires reçus pour détecter du contenu suspect.
Filter Everything : désérialisation de données non fiables
Filter Everything — WordPress & WooCommerce Filters présente une vulnérabilité de désérialisation de données non fiables pouvant conduire à une injection d’objets. La fiche NVD indique que les versions concernées vont jusqu’à 1.9.7 inclus ; elle ne précise pas de version corrigée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; surveiller les annonces de l’éditeur.
AI Marketing Expert : XSS stockée déclenchable sans authentification
Le plugin AI Marketing Expert permet une XSS stockée via le paramètre `name` lorsque le module chatbot est actif et qu’au moins un bot est configuré. L’attaque décrite ne requiert pas d’authentification et peut faire exécuter le script injecté à un administrateur qui ouvre le tableau de bord ; vérifier la disponibilité d’un correctif éditeur et limiter l’exposition du plugin.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée; en attendant, désactiver le module chatbot si la configuration concernée est présente.
Affiliate-toolkit : XSS stockée dans l’URL produit
Affiliate-toolkit présente une XSS stockée via « atkp_product_producturl ». Les versions jusqu’à 3.9.2 inclus sont concernées ; la fiche indique que l’exploitation peut être non authentifiée si une option de chargement AJAX pertinente est activée, et qu’elle requiert sinon au moins le rôle Contributeur.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; désactiver les options AJAX concernées si possible.
AMP for WP : XSS stockée via un attribut de shortcode
AMP for WP présente une XSS stockée liée à un attribut de shortcode « headline-* ». Les versions jusqu’à 1.1.17 inclus sont concernées ; la fiche décrit une voie où un utilisateur de niveau Abonné peut stocker le shortcode dans sa biographie, avec exécution du script dans des pages consultées par les visiteurs.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et limiter la création de profils par des utilisateurs non fiables.
Téléversement de fichiers arbitraires dans affiliate-toolkit
Le plugin affiliate-toolkit présente une vulnérabilité de téléversement de fichiers arbitraires via `upload_image` ; un compte disposant au moins du rôle de contributeur peut potentiellement téléverser un fichier exécutable. L’exploitation dépend de l’activation de l’option d’import d’image de produit, et aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Vérifier la disponibilité d’une version corrigée et la déployer dès sa publication ; sinon, désactiver l’option d’import d’image de produit et limiter les comptes disposant de droits de contributeur.
CVE-2026-116613 — Divulgation d’informations dans Animated Text Block
Le shortcode « animated-text » du plugin Animated Text Block peut divulguer le contenu rendu d’articles auxquels l’utilisateur ne devrait pas avoir accès. Le défaut concerne les versions jusqu’à 1.2.6 et peut être exploité par un utilisateur authentifié ayant au moins le rôle Contributor.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible.
CVE-2026-1928 — Injection d’objets PHP dans Rank Math SEO
Rank Math SEO est vulnérable à une injection d’objets PHP via la désérialisation d’une entrée non fiable dans un point de terminaison REST. Un utilisateur authentifié de niveau Contributor ou supérieur peut, en présence de la chaîne POP mentionnée, parvenir à l’exécution de code à distance.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
CVE-2026-109381 — Élévation de privilèges dans Mage Eventpress
Mage Eventpress permet une élévation de privilèges jusqu’à la version 5.7.8 incluse : un utilisateur authentifié ayant au moins les droits Shop Manager peut obtenir des privilèges d’administrateur en exploitant une vérification insuffisante d’un marqueur de requête. La fiche fournie ne mentionne pas de version corrigée; mettre à jour dès qu’un correctif est disponible et restreindre les comptes disposant du rôle Shop Manager.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et limiter les comptes Shop Manager aux personnes de confiance.
CVE-2026-109384 — Téléversement arbitraire de fichiers dans IvyForms
IvyForms est vulnérable au téléversement arbitraire de fichiers jusqu’à la version 1.5.1 incluse, du fait d’une validation insuffisante des extensions et du contournement des contrôles natifs de WordPress. Un utilisateur authentifié disposant de la capacité add_edit_forms peut configurer un formulaire permettant des téléversements dangereux, ensuite déclenchables par des visiteurs non authentifiés; la fiche fournie ne précise pas de correctif.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les formulaires configurés avec des champs de téléversement.
MxChat : XSS persistante accessible sans authentification
MxChat jusqu’à la version 3.2.25 incluse permet à un visiteur non authentifié d’enregistrer un contenu provoquant une XSS persistante dans la page Transcripts. Le code malveillant peut s’exécuter lorsque l’administrateur consulte cette page ; la source ne donne pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée ; restreindre l’accès à l’administration et vérifier les contenus ou transcriptions concernés.
VikRentCar : CSRF pouvant mener à l’exécution de code à distance
VikRentCar jusqu’à la version 1.4.8 incluse présente une faille CSRF qui peut permettre l’écriture de code PHP dans des fichiers de modèles exécutables. L’attaque requiert qu’un administrateur effectue une action forgée ; la source ne précise pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et éviter toute action d’administration déclenchée depuis des liens ou contenus non fiables.
MemberPress : CSRF pouvant mener à une prise de contrôle de compte
MemberPress présente une faille CSRF dans l’enregistrement des champs de profil : l’absence du nonce peut contourner la vérification. Jusqu’à la version 1.14.1 incluse, une requête forgée peut changer l’adresse électronique d’un utilisateur connecté, avec un risque de prise de contrôle de compte via la réinitialisation de mot de passe.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et sensibiliser les utilisateurs connectés aux requêtes inattendues.
Menu Cart for WooCommerce : XSS stockée dans le panneau du panier
CVE-2026-105972 concerne Menu Cart for WooCommerce pour WordPress avant la version 3.2.1. Des données de variation d’article du panier ne sont pas échappées dans le panneau coulissant, ce qui permet à un utilisateur non authentifié d’y stocker un contenu XSS susceptible de s’exécuter dans la session d’un autre utilisateur, y compris un administrateur.
Action recommandée : Mettre à jour vers la version 3.2.1 ou ultérieure.
Persian WooCommerce SMS : XSS réfléchie visant un utilisateur privilégié
L’extension Persian WooCommerce SMS ne neutralisait pas un paramètre avant de le refléter dans un attribut HTML. Cela pouvait entraîner une XSS réfléchie dans le navigateur d’un utilisateur privilégié connecté, si celui-ci était amené à soumettre une requête intersite spécialement conçue.
Action recommandée : Mettre à jour Persian WooCommerce SMS vers la version 7.3.2 ou ultérieure.
GoSMTP : autorisation insuffisante sur la configuration SMTP
GoSMTP avant 1.2.5 n’effectue pas un contrôle d’autorisation suffisant sur la page de configuration SMTP. Un utilisateur ayant un rôle délégué inférieur à administrateur peut modifier l’envoi des courriels et provoquer une prise de contrôle de compte administrateur; mettre à jour vers la version 1.2.5 ou ultérieure.
Action recommandée : Mettre à jour GoSMTP vers la version 1.2.5 ou ultérieure.
Falsification de notifications de paiement dans UniPAY for WooCommerce
Le plugin UniPAY Payment Gateway for WooCommerce ne vérifie pas correctement l’authenticité des notifications de paiement lorsque le secret marchand est vide par défaut. Un attaquant non authentifié peut alors falsifier une notification et faire marquer des commandes comme payées ; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Vérifier la disponibilité d’une version corrigée et la déployer dès sa publication ; configurer un secret marchand robuste et non vide si le plugin le permet.
Casso Flow : notifications de paiement falsifiables
CVE-2026-103382 concerne Casso Flow pour WordPress avant la version 4.2.0 : sur une installation par défaut, le jeton de vérification des notifications de virement est vide. Un attaquant non authentifié peut ainsi falsifier une notification et marquer une commande WooCommerce en attente comme payée, quel que soit son mode de paiement.
Action recommandée : Mettre à jour Casso Flow vers la version 4.2.0 ou ultérieure.
Customer Email Verification for WooCommerce : contournement de vérification et d’authentification
Customer Email Verification for WooCommerce présente un contournement de vérification d’adresse électronique reposant sur un jeton prévisible, qui peut permettre à un attaquant non authentifié de se connecter comme un client WooCommerce ou de marquer un compte comme vérifié. Toutes les versions jusqu’à 2.8.2 inclus sont concernées ; l’exploitation décrite dépend de la présence d’une colonne `password` dans la table `cev_user_log`, présente sur certains sites mis à niveau depuis une ancienne version mais absente du schéma d’installation vierge 2.8.2.
Action recommandée : Vérifier la présence de la colonne `password` dans `cev_user_log` et appliquer une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est précisée dans les informations fournies.
PayPlug for WooCommerce : accès à la clé et annulation de commandes invitées
PayPlug for WooCommerce (Official) ne vérifie pas que la personne à l’origine d’une demande de paiement possède la commande WooCommerce visée. Un utilisateur non authentifié peut divulguer la clé de commande d’un autre client et annuler sa commande invitée impayée ; les versions antérieures à 3.1.1 sont concernées.
Action recommandée : Mettre à jour PayPlug for WooCommerce (Official) vers la version 3.1.1 ou ultérieure.
PayPlug for WooCommerce : accès non autorisé aux commandes
La fiche NVD publiée le 28 octobre décrit plusieurs actions AJAX non authentifiées de PayPlug for WooCommerce qui n’effectuent aucun contrôle de capacité ni de propriété sur l’identifiant de commande fourni. Un attaquant non authentifié peut modifier, lire ou supprimer définitivement des commandes WooCommerce ; mettre à jour le plugin vers la version 3.1.1 ou ultérieure.
Action recommandée : Mettre à jour PayPlug for WooCommerce (Official) vers la version 3.1.1 ou ultérieure.
CVE-2026-109978 — XSS stockée dans Cozy Blocks (productRating)
Cozy Blocks est également vulnérable à une XSS stockée via le paramètre productRating.iconColor jusqu’à la version 2.2.27 incluse. Le chemin vulnérable nécessite l’option productRating activée et un produit WooCommerce avec une note non nulle; aucun correctif n’est précisé dans la fiche fournie.
Action recommandée : Mettre à jour dès disponibilité d’un correctif; si possible, désactiver productRating sur les pages concernées jusqu’à correction.
Product Addons for WooCommerce : XSS persistante
Product Addons for WooCommerce – Product Options with Custom Fields jusqu’à la version 3.1.8 incluse permet à un utilisateur authentifié ayant au moins le rôle Shop Manager d’injecter du JavaScript persistant. Le code s’exécute lorsqu’un utilisateur consulte une page affectée ; la source ne fournit pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; limiter les privilèges des comptes capables de modifier les options produit.
Travelly : divulgation de publications par contournement d’autorisation
Travelly jusqu’à la version 2.3.6 incluse ne vérifie pas correctement les autorisations lors de la duplication de publications. Un utilisateur authentifié ayant au moins le rôle Contributeur peut copier dans ses brouillons le contenu et les métadonnées de publications privées, brouillons ou en attente appartenant à d’autres ; aucune version corrigée n’est indiquée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée et limiter les privilèges de publication aux comptes de confiance.
WoowBot : contournement d’autorisation et consommation de crédits API
Le plugin AI ChatBot for WooCommerce – WoowBot est vulnérable à un contournement d’autorisation permettant à un utilisateur authentifié de déclencher des synchronisations RAG et de consommer les crédits API payants du site. Les versions jusqu’à 5.0.0 inclus sont concernées ; aucune version corrective ni mesure de contournement n’est indiquée dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; à défaut, limiter l’accès au plugin et surveiller l’usage des clés API.
PayPal Brasil para WooCommerce : contournement d’autorisation
Le module PayPal Brasil para WooCommerce permet à des attaquants non authentifiés de modifier les réglages de la passerelle BCDC, notamment de la désactiver et de la retirer du paiement. Les versions concernées vont jusqu’à 1.7.8 incluse ; aucun correctif ni contournement n’est indiqué dans les éléments fournis.
Action recommandée : Vérifier les réglages de la passerelle et appliquer une version corrigée lorsqu’elle sera disponible.
Waitlist Woocommerce : XSS stockée via un shortcode
Waitlist Woocommerce permet à des utilisateurs authentifiés ayant le rôle Contributor ou supérieur d’introduire du contenu JavaScript persistant via l’attribut `type` d’un shortcode. Les versions jusqu’à 2.9.1 incluse sont concernées ; aucun correctif n’est mentionné dans les éléments fournis.
Action recommandée : Restreindre les rôles autorisés à publier et appliquer une version corrigée lorsqu’elle sera disponible.
BitPay Gateway for WooCommerce : commandes marquées payées à tort
BitPay Gateway for WooCommerce ne lie pas correctement la confirmation de transaction à la commande ni ne vérifie le montant confirmé. Les versions jusqu’à 4.1.3 incluses sont concernées et un attaquant non authentifié disposant d’une transaction réelle de faible montant peut faire marquer comme payées des commandes plus coûteuses ; aucun correctif n’est précisé.
Action recommandée : Vérifier manuellement les confirmations et montants de paiement, puis appliquer une version corrigée lorsqu’elle sera disponible.
XSS stockée dans le plugin WordPress Ultimate Member
Le plugin Ultimate Member est vulnérable à une XSS stockée via le paramètre `user_url` ; l’exploitation requiert un compte authentifié disposant au moins du rôle d’abonné et l’interaction d’un visiteur avec le lien du profil. Les versions jusqu’à 2.14.0 inclus sont concernées, et aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Vérifier la disponibilité d’une version corrigée et la déployer dès sa publication ; dans l’intervalle, limiter les comptes autorisés à publier des profils et examiner les liens de profil suspects.
AI Engine : suppression non autorisée de fichiers média
AI Engine présente une faille de suppression de fichiers média liée à une validation insuffisante des chemins. Les versions jusqu’à 3.8.4 inclus sont concernées ; l’exploitation nécessite le réglage Public API activé et dépend de l’exécution ultérieure de la tâche de nettoyage horaire.
Action recommandée : Désactiver Public API si nécessaire et appliquer une version corrigée dès qu’elle est disponible.
All-in-One Video Gallery : XSS stockée via le code d’intégration
All-in-One Video Gallery présente une XSS stockée liée au champ « custom_fields[embedcode] ». Les versions jusqu’à 4.9.7 inclus sont concernées ; la fiche indique une exploitation possible via XML-RPC par un utilisateur authentifié disposant au moins du rôle Abonné.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et restreindre l’accès XML-RPC si son usage n’est pas nécessaire.
All-in-One Video Gallery : XSS stockée via more_link
All-in-One Video Gallery présente une XSS stockée via le paramètre « more_link ». Les versions jusqu’à 4.9.7 inclus sont concernées ; la fiche indique que des utilisateurs authentifiés ayant au moins le rôle Contributeur peuvent injecter un script dans des pages consultées par d’autres utilisateurs.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et limiter les droits de publication.
CVE-2026-111727 — XSS stockée dans Appointment Booking Calendar
Une XSS stockée affecte Appointment Booking Calendar via le paramètre « vs_text_submitbtn » : un attaquant authentifié peut injecter du script, sous réserve notamment d’être désigné propriétaire d’un calendrier. Mettre à jour au-delà de la version 1.4.05 dès qu’un correctif est disponible et limiter les attributions de propriétaires de calendrier.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et restreindre les attributions de propriétaires de calendrier.
Payconiq pour WordPress : accès non autorisé aux données de commandes
CVE-2026-103372 affecte le plugin Payconiq pour WordPress jusqu’à la version 1.0.4 : un utilisateur non authentifié peut obtenir la clé de commande d’une commande payée et, pour certaines commandes récentes invitées, consulter des données personnelles du client. La source indique la version vulnérable mais ne précise pas de version corrigée ni de mesure de contournement.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; la version corrigée n’est pas indiquée dans les données fournies.
Thrive Automator : injection SQL accessible aux éditeurs
CVE-2026-104694 touche Thrive Automator pour WordPress avant la version 11.2. Un attaquant authentifié disposant d’un accès de niveau éditeur peut exploiter une injection SQL aveugle, car une clé de tableau n’est pas correctement assainie ni échappée avant son utilisation dans une requête SQL.
Action recommandée : Mettre à jour Thrive Automator vers la version 11.2 ou ultérieure.
Booking Package : envoi abusif de courriels de vérification
CVE-2026-105997 affecte Booking Package pour WordPress avant la version 1.7.33. Des utilisateurs non authentifiés peuvent déclencher l’envoi de courriels contenant des codes de vérification à des destinataires arbitraires, car le destinataire n’est pas limité ni lié à un état côté serveur.
Action recommandée : Mettre à jour Booking Package vers la version 1.7.33 ou ultérieure.
Court Reservation : suppression non autorisée de défis de tournoi
CVE-2026-106002 touche Court Reservation pour WordPress avant la version 1.12.4. Une action de gestion des défis ne vérifie ni les autorisations ni le nonce, ce qui permet à un utilisateur non authentifié de supprimer des défis de tournoi arbitraires et, le cas échéant, l’événement de réservation de terrain associé.
Action recommandée : Mettre à jour Court Reservation vers la version 1.12.4 ou ultérieure.
Court Reservation : modification non autorisée des types de réservation
CVE-2026-106003 affecte Court Reservation pour WordPress avant la version 1.12.4. Une action AJAX ne comporte aucune validation d’autorisation, d’authentification ou de nonce, permettant à un utilisateur non authentifié d’ajouter ou de supprimer des types de réservation dans la configuration du plugin.
Action recommandée : Mettre à jour Court Reservation vers la version 1.12.4 ou ultérieure.
Royal Addons for Elementor : ajout non autorisé de contacts à Mailchimp
CVE-2026-107097 affecte Royal Addons for Elementor pour WordPress avant la version 1.7.1070. En l’absence de vérification d’autorisation, un attaquant non authentifié peut utiliser les identifiants Mailchimp enregistrés par le propriétaire du site pour ajouter des adresses et coordonnées arbitraires à une audience en tant qu’abonnés confirmés.
Action recommandée : Mettre à jour Royal Addons for Elementor vers la version 1.7.1070 ou ultérieure.
Royal Addons for Elementor : XSS via le réglage de taille du widget de carte
Royal Addons for Elementor échappe insuffisamment un réglage de taille du widget cartographique avant son insertion dans un attribut HTML. Un contributeur ou un utilisateur de rôle supérieur peut ainsi injecter du JavaScript exécuté par les visiteurs de la page ; mettre à niveau vers 1.7.1070 ou une version ultérieure.
Action recommandée : Mettre à niveau Royal Addons for Elementor vers 1.7.1070 ou une version ultérieure.
Royal Addons for Elementor : divulgation de contenus non publics
Une action AJAX non authentifiée de Royal Addons for Elementor ne vérifie pas que le contenu demandé est publiquement visible et se fie uniquement au statut de publication. Elle peut exposer le contenu de types de publications non publics, notamment des soumissions de formulaires contenant des données personnelles ; les versions antérieures à 1.7.1070 sont concernées.
Action recommandée : Mettre à jour Royal Addons for Elementor vers la version 1.7.1070 ou ultérieure.
Page Builder by SiteOrigin : XSS persistante dans l’interface du constructeur
Page Builder by SiteOrigin ne nettoie ni n’échappe une propriété de widget avant son stockage et son affichage dans l’interface du constructeur, permettant une XSS persistante. Un utilisateur ayant le rôle Contributeur ou supérieur peut viser les utilisateurs privilégiés qui ouvrent la publication concernée dans l’éditeur ; les versions antérieures à 2.38.0 sont concernées.
Action recommandée : Mettre à jour Page Builder by SiteOrigin vers la version 2.38.0 ou ultérieure.
Essential Addons for Elementor : exposition de contenus non publics et de métadonnées
Dans Essential Addons for Elementor, une requête non authentifiée vers le point de pagination pouvait spécifier un type de publication ou une requête de métadonnées non restreints. Cela pouvait exposer des contenus de types non publics et les valeurs de champs personnalisés privés associés à des publications publiques.
Action recommandée : Mettre à jour Essential Addons for Elementor vers la version 6.8.7 ou ultérieure.
Copy Anything to Clipboard : XSS stockée via un attribut de shortcode
Copy Anything to Clipboard ne neutralisait pas correctement un attribut de shortcode avant son stockage et sa réinsertion dans la page par un script côté client. Un utilisateur ayant le rôle contributeur ou supérieur pouvait ainsi provoquer une XSS stockée visant des utilisateurs privilégiés qui consultent et manipulent le contenu concerné.
Action recommandée : Mettre à jour Copy Anything to Clipboard vers la version 5.5.5 ou ultérieure.
WPOrLogin : modification non autorisée des URL de connexion
WPOrLogin ne vérifiait ni les capacités de l’utilisateur ni la validité d’un nonce avant de modifier les réglages de l’URL de connexion masquée. Un attaquant non authentifié pouvait réassigner les chemins de connexion, d’inscription et de récupération du mot de passe, et empêcher l’administrateur d’accéder à l’interface de connexion habituelle.
Action recommandée : Mettre à jour WPOrLogin vers la version 3.1.0 ou ultérieure.
Welcart e-Commerce : injection SQL via un paramètre
Dans Welcart e-Commerce avant 2.12.6, un paramètre insuffisamment assaini permet une injection SQL à des utilisateurs ayant le rôle Éditeur ou supérieur. Mettre à jour vers la version 2.12.6 ou ultérieure.
Action recommandée : Mettre à jour Welcart e-Commerce vers la version 2.12.6 ou ultérieure.
Welcart e-Commerce : redirection vers un site externe
Welcart e-Commerce avant 2.12.6 ne valide pas une URL fournie par l’utilisateur avant de l’utiliser dans une redirection. Un attaquant non authentifié peut rediriger les visiteurs vers un site externe arbitraire; mettre à jour vers la version 2.12.6 ou ultérieure.
Action recommandée : Mettre à jour Welcart e-Commerce vers la version 2.12.6 ou ultérieure.
Royal MCP : divulgation de contenus non publics
Royal MCP avant 1.5.10 ne vérifie pas les permissions au niveau de l’objet ni le type de contenu dans l’un de ses outils de recherche. Un utilisateur authentifié, par exemple un abonné, peut accéder au titre et au contenu d’entrées non publiques; mettre à jour vers la version 1.5.10 ou ultérieure.
Action recommandée : Mettre à jour Royal MCP vers la version 1.5.10 ou ultérieure.
MP3 Audio Player : injection JavaScript via un attribut de shortcode
Le plugin WordPress MP3 Audio Player avant la version 5.16 ne neutralise pas un attribut de shortcode avant son insertion dans un attribut HTML, ce qui permet une injection JavaScript stockée par un utilisateur disposant au minimum du rôle Contributor. Le script peut s’exécuter lorsqu’un autre utilisateur consulte le contenu, notamment lors de l’aperçu d’un article en attente ; mettre à jour vers la version 5.16 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 5.16 ou ultérieure.
Media Library Assistant : actions groupées vulnérables au CSRF
Media Library Assistant avant 3.42 vérifie de manière incomplète le nonce CSRF dans le gestionnaire d’actions groupées de la médiathèque. Une requête forgée omettant le champ nonce peut faire mettre à la corbeille ou supprimer des pièces jointes par un utilisateur connecté ayant le rôle Auteur ou supérieur; mettre à jour vers la version 3.42 ou ultérieure.
Action recommandée : Mettre à jour Media Library Assistant vers la version 3.42 ou ultérieure.
Media Library Assistant : vidage de corbeille vulnérable au CSRF
Media Library Assistant avant 3.42 ne vérifie pas le nonce CSRF pour l’action de vidage de la corbeille. Une requête forgée peut faire supprimer définitivement toutes les pièces jointes à la corbeille par un utilisateur connecté ayant le rôle Éditeur ou supérieur; mettre à jour vers la version 3.42 ou ultérieure.
Action recommandée : Mettre à jour Media Library Assistant vers la version 3.42 ou ultérieure.
GeoDirectory : XSS stocké via le lien d’un badge
GeoDirectory avant 2.8.196 n’assainit ni n’échappe correctement le lien d’un badge de publication avant de l’afficher dans une annonce. Un utilisateur ayant le rôle Contributeur ou supérieur peut injecter du JavaScript stocké qui s’exécute lorsque des utilisateurs privilégiés consultent l’annonce; mettre à jour vers la version 2.8.196 ou ultérieure.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.196 ou ultérieure.
GeoDirectory : XSS stockée via un shortcode de badge
GeoDirectory avant la version 2.8.196 n’échappe pas correctement un attribut de shortcode de badge avant son insertion dans un gestionnaire d’événement JavaScript. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi créer du contenu provoquant une XSS stockée lorsque la victime, y compris un administrateur, clique sur le badge ; appliquer la version 2.8.196 ou ultérieure.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.196 ou ultérieure.
Customer Engagement System : injection SQL dans les règles de visibilité
La fiche NVD publiée le 28 octobre décrit une injection SQL dans la construction des requêtes enregistrant les règles de visibilité des pages et catégories d’une fenêtre popup. Un administrateur authentifié peut injecter du SQL et lire la base de données WordPress ; mettre à jour Customer Engagement System vers la version 2.0.2 ou ultérieure.
Action recommandée : Mettre à jour Customer Engagement System vers la version 2.0.2 ou ultérieure.
Customer Engagement System : requêtes serveur vers des hôtes internes
La fiche NVD publiée le 28 octobre indique que la fonction de recherche de groupes d’intérêt MailChimp de Customer Engagement System ne restreint pas l’accès et ne valide pas la clé API fournie. Un utilisateur non authentifié peut provoquer des connexions du serveur vers des hôtes et ports internes arbitraires et déduire leur accessibilité ; mettre à jour vers la version 2.0.2 ou ultérieure.
Action recommandée : Mettre à jour Customer Engagement System vers la version 2.0.2 ou ultérieure.
WP Roster : suppression non authentifiée de comptes utilisateurs
La fiche NVD publiée le 28 octobre signale qu’une action AJAX de WP Roster ne contrôle ni les capacités ni le nonce. Un attaquant non authentifié peut supprimer les comptes WordPress des membres du roster ; mettre à jour WP Roster vers la version 2.35 ou ultérieure.
Action recommandée : Mettre à jour WP Roster vers la version 2.35 ou ultérieure.
Injection SQL dans Recipe Card Blocks Lite
Recipe Card Blocks Lite antérieure à 3.6.4 ne neutralise pas un attribut de bloc ou de shortcode avant son insertion dans une requête SQL, permettant une injection SQL. L’attaque requiert un compte ayant au moins le rôle Contributor ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour Recipe Card Blocks Lite vers une version corrigée lorsqu’elle est disponible.
XSS stockée dans Postie
Postie jusqu’à la version 1.9.87 permet une injection de script persistante via les URL auto-liées dans le corps des courriels traités. Le point d’accès de récupération des courriels est accessible sans authentification ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour Postie vers une version corrigée lorsqu’elle est disponible et limiter l’accès à l’endpoint de récupération.
XSS stockée dans Awesome Support
Awesome Support jusqu’à la version 6.4.1 présente une XSS stockée via le paramètre wpas_files, due à un assainissement et un échappement insuffisants. L’exploitation requiert un compte authentifié avec un accès de niveau personnalisé ou supérieur et l’activation de l’option d’envoi par glisser-déposer, désactivée par défaut ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour Awesome Support vers une version corrigée lorsqu’elle est disponible ; à défaut, désactiver le téléverseur concerné.
XSS stockée dans If-So Dynamic Content via le paramètre url
If-So Dynamic Content jusqu’à la version 1.10.2 présente une XSS stockée via le paramètre url. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter un script qui s’exécute dans le navigateur d’un administrateur lorsque celui-ci prévisualise ou ouvre l’article concerné ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour If-So Dynamic Content vers une version corrigée lorsqu’elle est disponible.
XSS stockée dans Avada Builder
Avada (Fusion) Builder jusqu’à la version 3.16.2 permet une XSS stockée via les paramètres tab_index et empty_notice. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts persistants ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour Avada Builder vers une version corrigée lorsqu’elle est disponible.
XSS stockée dans If-So Dynamic Content via l’attribut conversion
If-So Dynamic Content jusqu’à la version 1.10.2 présente une seconde XSS stockée, cette fois via l’attribut de shortcode conversion. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts dans des pages ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour If-So Dynamic Content vers une version corrigée lorsqu’elle est disponible.
Traversée de répertoires dans Tainacan
Tainacan jusqu’à la version 1.3.0 permet à un utilisateur authentifié disposant au moins du rôle Editor de lire des fichiers arbitraires via une traversée de répertoires. Le chemin d’import empoisonné est conservé en base puis lu par un endpoint REST ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour Tainacan vers une version corrigée lorsqu’elle est disponible.
XSS stockée dans Hustle
Hustle jusqu’à la version 7.8.14.3 présente une XSS stockée via le paramètre content[title]. L’exploitation requiert un compte authentifié auquel un administrateur a explicitement accordé la capacité de créer et modifier des modules ; mettre à jour vers une version corrigée, si disponible, et vérifier ces délégations.
Action recommandée : Mettre à jour Hustle vers une version corrigée lorsqu’elle est disponible et contrôler les capacités attribuées aux rôles.
XSS stockée dans easy.jobs
easy.jobs jusqu’à la version 2.8.2 présente une XSS stockée via l’attribut icon du bloc Gutenberg easyjobs/job-list. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts dans les pages concernées ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour easy.jobs vers une version corrigée lorsqu’elle est disponible.
CVE-2026-109370 — XSS DOM stockée dans Document Embedder
Document Embedder est vulnérable à une XSS DOM stockée jusqu’à la version 2.4.0 incluse; un utilisateur authentifié ayant au moins le rôle Contributor peut injecter un script qui s’exécute lorsqu’un visiteur clique sur le bouton de téléchargement du document intégré. La fiche fournie ne donne pas de version corrigée : vérifier les mises à jour du plugin et limiter les contenus soumis par des comptes peu privilégiés jusqu’à correction.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et examiner les pages contenant des documents intégrés soumis par des utilisateurs.
UiChemy : XSS stockée dans un lien de composant
UiChemy permet une XSS stockée via un lien `slot_{N}_link` insuffisamment assaini dans les versions jusqu’à 5.3.0 incluse. L’exécution du lien JavaScript nécessite qu’un utilisateur privilégié clique dessus en examinant ou prévisualisant le contenu ; vérifier la publication d’un correctif éditeur et éviter ce clic sur du contenu non fiable.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée; sensibiliser les réviseurs à ne pas cliquer sur des liens issus de contenus non fiables.
CVE-2026-109590 — XSS stockée dans Tour Booking Manager
Tour Booking Manager est vulnérable à une XSS stockée dans les attributs width, height et zoom du shortcode [ttbm-hotel-map] jusqu’à la version 2.3.6 incluse. Un utilisateur authentifié ayant au moins le rôle Contributor peut injecter du script dans une page; aucun correctif n’est indiqué dans les données fournies, et une mise à jour est recommandée dès disponibilité.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et examiner les pages utilisant le shortcode concerné.
CVE-2026-109972 — XSS stockée dans s2Member
s2Member est associé à une vulnérabilité de XSS stockée selon la fiche NVD publiée pendant la période. Toutefois, le texte fourni est tronqué avant de préciser les versions touchées, les conditions d’exploitation et les détails d’impact; ces informations ne peuvent donc pas être établies de manière fiable.
Action recommandée : Consulter la fiche NVD complète et les avis de l’éditeur pour établir les versions affectées et les mesures de correction.
CVE-2026-109975 — XSS stockée dans Cozy Blocks (attributs de bloc)
Cozy Blocks est vulnérable à une XSS stockée via des attributs de bloc jusqu’à la version 2.2.27 incluse, selon la fiche fournie. Le candidat précise que wp_kses_post ne neutralise pas le vecteur décrit, mais son texte est tronqué; aucun correctif n’est indiqué et une mise à jour est recommandée dès disponibilité.
Action recommandée : Mettre à jour dès disponibilité d’un correctif et limiter la création de contenus concernés aux utilisateurs de confiance.
CVE-2026-109979 — Divulgation de titres de publications dans Related Posts for WordPress
Related Posts for WordPress expose les titres de publications non publiques jusqu’à la version 3.0.0 incluse. Un utilisateur authentifié ayant au moins le rôle Contributor peut lier un identifiant de publication arbitraire à un brouillon qu’il contrôle et lire ensuite le titre correspondant; la fiche fournie ne mentionne pas de correctif.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et limiter les comptes Contributor aux personnes de confiance.
Related Posts for WordPress : exposition d’informations sur les articles privés
La version 3.0.0 et les versions antérieures de Related Posts for WordPress exposent les titres et dates de publication de tous les articles privés à des utilisateurs authentifiés ayant au moins le rôle Contributeur. La fiche ne précise pas de version corrigée ; mettre à jour le plugin si un correctif est disponible ou en limiter l’accès.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée ; jusque-là, limiter l’accès au plugin et surveiller les accès aux données privées.
Rich Showcase for Google Reviews : divulgation d’un secret d’authentification
Rich Showcase for Google Reviews jusqu’à la version 7.1.6 incluse vérifie insuffisamment les autorisations, permettant à un utilisateur authentifié ayant au moins le rôle Contributeur d’obtenir le secret grw_auth_code du site. Ce secret peut servir à usurper l’identité du site auprès du service RichPlugins ; aucune version corrigée n’est indiquée dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est publiée et faire renouveler le secret exposé si possible.
Mang Board : XSS persistante via le paramètre align
Mang Board jusqu’à la version 2.4.5 incluse présente une XSS persistante exploitable par un utilisateur authentifié ayant au moins le rôle Contributeur. La source ne mentionne pas de version corrigée ; mettre le plugin à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les privilèges de publication.
Bit Flows : inclusion de fichier local pouvant mener à l’exécution de code
Bit Flows jusqu’à la version 1.31.0 incluse est vulnérable à une inclusion de fichier local pouvant mener à l’exécution de code PHP. L’exploitation exige une configuration particulière de flux webhook sans secret bearer ni liste d’adresses IP autorisées ; la source ne précise pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et sécuriser les webhooks par un secret ou une liste d’adresses IP autorisées.
DesignSetGo : XSS persistante lors de la conversion des blocs
DesignSetGo jusqu’à la version 2.11.0 incluse présente une XSS persistante déclenchable par un utilisateur authentifié ayant au moins le rôle Contributeur. L’exploitation nécessite qu’un administrateur lance la migration « Scan & Convert Blocks » ; aucune version corrigée n’est mentionnée dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et ne lancer la migration qu’après vérification de la disponibilité d’un correctif.
Beyondseo : gestion non autorisée des redirections
Beyondseo accorde aux comptes Contributor des capacités de gestion des redirections et ses routes REST permettent de créer, modifier ou supprimer des redirections à l’échelle du site. Les versions jusqu’à 1.3.6 incluse sont concernées ; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Limiter les comptes Contributor et surveiller les redirections ; appliquer une version corrigée lorsqu’elle sera disponible.
Post Snippets : XSS stockée dans les attributs de shortcode
Post Snippets permet à des utilisateurs authentifiés de niveau Contributor ou supérieur d’injecter du JavaScript persistant dans les attributs de shortcode, lorsque les shortcodes de snippets sont activés. Les versions jusqu’à 4.2.4 incluse sont concernées ; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Désactiver les shortcodes de snippets si possible et appliquer une version corrigée lorsqu’elle sera disponible.
Multi-Step Forms for Contact Form 7 : XSS réfléchie
Multi-Step Forms for Contact Form 7 présente une XSS réfléchie via le paramètre `l10n_print_after` dans les configurations comportant au moins un formulaire avec la balise `[multistep]`. Les versions jusqu’à 4.7 incluse sont concernées selon la fiche fournie ; aucun correctif ultérieur n’est indiqué.
Action recommandée : Vérifier la présence de formulaires multistep et installer une version corrigée lorsqu’elle sera disponible.
Echo Knowledge Base : XSS réfléchie dans l’aperçu frontal
Echo Knowledge Base comporte une XSS réfléchie liée à des valeurs de configuration insérées sans échappement dans une feuille de style lors de l’aperçu frontal. La fiche indique les versions jusqu’à 17.214.0 incluse ; l’attaque nécessite également de piéger un utilisateur disposant des capacités précisées dans la fiche pour qu’il effectue une action.
Action recommandée : Éviter les aperçus frontaux avec des liens non fiables et appliquer une version corrigée lorsqu’elle sera disponible.
Enable Media Replace : modification non autorisée de publications
Enable Media Replace ne vérifie pas les droits sur chaque publication affectée lors du remplacement d’un média, ce qui permet à un utilisateur authentifié de niveau Author ou supérieur de modifier le contenu de publications qu’il ne peut normalement pas éditer. Toutes les versions jusqu’à 4.2.2 incluse sont concernées ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Restreindre les rôles disposant de la fonction de remplacement et appliquer une version corrigée lorsqu’elle sera disponible.
Sadad QA Payment : falsification de notifications de paiement
Sadad QA Payment ne valide pas correctement l’authenticité des notifications de paiement ; le secret marchand étant vide par défaut et les autres données signées contrôlables, une confirmation peut être falsifiée. Les versions jusqu’à 1.28 incluses sont concernées ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Vérifier et configurer un secret marchand robuste, puis appliquer une version corrigée lorsqu’elle sera disponible.
WP Visitor Statistics : injection SQL via les attributs d’un shortcode
Le plugin WP Visitor Statistics (Real Time Traffic) présente une injection SQL exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Les versions jusqu’à 8.8 inclus sont concernées ; le contenu fourni ne précise ni correctif ni contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les contenus de shortcode contrôlés par des utilisateurs non fiables.
Clean Login : autorisation manquante lors de l’enregistrement de contenus
Le plugin Clean Login ne vérifie pas correctement les autorisations lors de l’enregistrement de certains contenus, ce qui permet à un utilisateur authentifié de niveau Contributeur ou supérieur de modifier des options du plugin. Les versions jusqu’à 1.20.1 inclus sont concernées ; aucun correctif ni contournement n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les options et pages configurées par le plugin.
VikRentCar : script intersites persistant via className
Le plugin VikRentCar est vulnérable à une injection de scripts persistante via le paramètre className, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Toutes les versions jusqu’à 1.4.10 inclus sont concernées ; aucune version corrigée n’est indiquée dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter la création de contenus par des comptes non fiables.
VikRentCar : injection SQL aveugle via catid
Le plugin VikRentCar présente également une injection SQL aveugle via le paramètre catid, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Toutes les versions jusqu’à 1.4.10 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter la prévisualisation de contenus soumis par des utilisateurs non fiables.
CMB2 : script intersites persistant dans un formulaire frontal configurable
Le plugin CMB2 présente une vulnérabilité de script intersites persistant liée à un champ WYSIWYG dans un groupe répétable, dans une configuration particulière du formulaire frontal. Toutes les versions jusqu’à 2.13.4 inclus sont concernées ; aucun correctif n’est mentionné dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier si des formulaires frontaux utilisent cette configuration de champ.
If-So Dynamic Content : script intersites persistant
Le plugin If-So Dynamic Content est vulnérable à un script intersites persistant via des champs du paramètre repeater, notamment version_uid. Les versions jusqu’à 1.10.2 inclus sont concernées ; les éléments fournis ne précisent pas de version corrective.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les droits de création de contenu aux utilisateurs de confiance.
Hustle : script intersites persistant dans le libellé d’appel à l’action
Le plugin Hustle est vulnérable à un script intersites persistant via le paramètre content[cta_label], dans les versions jusqu’à 7.8.14.3 inclus. L’exploitation requiert la capacité hustle_edit_module, attribuée par défaut aux administrateurs mais délégable à des rôles moins privilégiés ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les délégations de hustle_edit_module.
ACF Extended : accès non autorisé à des données via des gestionnaires AJAX
Advanced Custom Fields: Extended expose des gestionnaires AJAX accessibles sans authentification qui ne vérifient pas correctement les capacités de l’utilisateur. Jusqu’à la version 0.9.2.7 incluse, un attaquant non authentifié peut notamment accéder à certains titres de contenus et structures internes ; le correctif est signalé comme partiel en 0.9.2.4.
Action recommandée : Mettre à jour vers une version entièrement corrigée dès qu’elle est disponible ; ne pas considérer le correctif partiel de 0.9.2.4 comme une résolution complète.
WP Inventory Manager : injection SQL temporelle via un shortcode
WP Inventory Manager est vulnérable à une injection SQL temporelle via l’attribut sort_order du shortcode wpinventory_categories, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Les versions jusqu’à 2.5.5 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter la création ou la prévisualisation de contenus contenant des shortcodes contrôlés.
Royal Elementor Addons : validation insuffisante des destinataires de courriels
Royal Elementor Addons ne valide pas les valeurs de champs soumises avant de les utiliser dans les destinataires des courriels de notification de formulaire. Si un champ destinataire reprend une valeur soumise, un attaquant non authentifié peut détourner la liste des destinataires et faire relayer un courriel composé par l’attaquant depuis le domaine du site.
Action recommandée : Mettre à jour Royal Elementor Addons vers la version 1.7.1070 ou ultérieure.
Essential Addons for Elementor : contournement de l’approbation des inscriptions
Essential Addons for Elementor n’applique pas l’exigence d’approbation par un administrateur aux comptes créés par le parcours d’inscription utilisant un mot de passe à usage unique envoyé par courriel. Lorsque les deux fonctions sont activées, un utilisateur non authentifié peut s’inscrire et se connecter sans approbation administrative.
Action recommandée : Mettre à jour Essential Addons for Elementor vers la version 6.8.7 ou ultérieure.
Smart Popup by Supsystic : injection de modèle côté serveur
Smart Popup by Supsystic ne bloque pas certains contenus d’injection de modèle stockés dans un bloc de texte de popup, puis évalués par le moteur de modèles. Un administrateur authentifié peut ainsi exécuter des expressions de modèle côté serveur et lire des constantes PHP, notamment des identifiants de base de données ou des clés d’authentification du site.
Action recommandée : Mettre à jour Smart Popup by Supsystic vers la version 2.0.2 ou ultérieure.
Ninja Forms : validation incomplète pouvant entraîner une injection CSV
Ninja Forms ne valide pas suffisamment côté serveur certaines valeurs soumises dans des champs de type cases à cocher, listes à choix multiples, listes d’images, pays et état. Un attaquant non authentifié peut soumettre des valeurs de formule par le point de terminaison nf_ajax_submit ; l’injection peut se déclencher lorsqu’un administrateur ouvre un export CSV des soumissions.
Action recommandée : Mettre à jour Ninja Forms vers la version 3.15.4 ou ultérieure.
Royal Addons for Elementor : détournement de la destination des formulaires
CVE-2026-106647 concerne Royal Addons for Elementor avant la version 1.7.1070. Un utilisateur ayant le rôle Auteur ou supérieur peut remplacer la configuration de livraison de courriels d’un formulaire appartenant à un autre utilisateur et rediriger ses soumissions vers une adresse contrôlée par l’attaquant.
Action recommandée : Mettre à jour Royal Addons for Elementor vers la version 1.7.1070 ou ultérieure.
Page Builder by SiteOrigin : lecture de publications non publiques via Post Loop
Le widget Post Loop de Page Builder by SiteOrigin ne restreint pas les arguments de requête et ne limite pas les résultats aux publications que l’utilisateur est autorisé à lire. Un utilisateur ayant le rôle Contributeur ou supérieur peut ainsi accéder au contenu de publications et pages d’autres utilisateurs, notamment à l’état brouillon, en attente, programmé ou privé ; les versions antérieures à 2.38.0 sont concernées.
Action recommandée : Mettre à jour Page Builder by SiteOrigin vers la version 2.38.0 ou ultérieure.
Welcart e-Commerce : contrôle d’accès insuffisant aux données SKU
Welcart e-Commerce avant 2.12.6 contrôle les permissions sans les rattacher au produit visé lors de changements de SKU. Tout utilisateur authentifié disposant au moins du rôle Auteur peut consulter ou modifier les données SKU d’autres produits, notamment les prix, coûts confidentiels et stocks; mettre à jour vers la version 2.12.6 ou ultérieure.
Action recommandée : Mettre à jour Welcart e-Commerce vers la version 2.12.6 ou ultérieure.
Royal MCP : accès et publication de pages sans autorisation adéquate
Royal MCP avant 1.5.10 ne vérifie pas les permissions portant sur la page demandée avant de la dupliquer. Un utilisateur ayant le niveau Contributeur peut lire le contenu complet de pages privées ou en brouillon et les publier sans permission de publication; mettre à jour vers la version 1.5.10 ou ultérieure.
Action recommandée : Mettre à jour Royal MCP vers la version 1.5.10 ou ultérieure.
GeoDirectory : divulgation de listings non publics
La fiche NVD publiée le 28 octobre signale que GeoDirectory ne vérifie ni le statut ni la propriété d’un listing référencé dans certains shortcodes de champ. Un utilisateur ayant au moins le rôle Contributor peut ainsi consulter le contenu et les champs personnalisés de listings non publics d’autres utilisateurs ; mettre à jour vers la version 2.8.195 ou ultérieure.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.195 ou ultérieure.
WordPress 7.1.4 corrige plusieurs problèmes de sécurité
WordPress a publié la version 7.1.4 comme mise à jour de sécurité, corrigeant plusieurs problèmes du cœur, dont des XSS stockées, un risque d’exécution de code à distance pendant la mise à niveau et des problèmes de contrôle d’accès. Mettez à jour immédiatement vers 7.1.4; les correctifs pour les branches antérieures éligibles étaient en cours de rétroportage au moment de l’avis.
Action recommandée : Mettre à jour vers WordPress 7.1.4 immédiatement; appliquer les rétroportages lorsqu’ils sont disponibles pour les branches prises en charge.
PrestaShop
Recherche du sujet effectuée
La recherche dédiée n’a fait ressortir aucun avis, correctif ou incident propre à PrestaShop dont la date retenue tombe dans la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les résultats consultés incluaient des avis PrestaShop antérieurs et un avis du projet PrestaShop sur des vulnérabilités du moteur PHP, qui ne sont pas des vulnérabilités du core, d’un module ou d’un thème PrestaShop. Aucun de ces éléments n’est retenu comme item pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche web dédiée à Cockpit n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel dont la date de publication ou de l’événement soit établie dans la période du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu. Les résultats consultés pour les avis GitHub et le blog du projet concernent des dates antérieures; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée sur CloudPanel n’a pas établi de vulnérabilité, d’avis de sécurité, de correctif ou d’événement d’exploitation daté dans la période demandée (du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu). Les résultats pertinents consultés concernent des événements datés hors de cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun nouvel avis, correctif, cas d’exploitation ni changement substantiel concernant Uptime Kuma daté de la période demandée. L’avis GHSA-98hr-q8q8-5j23 a été publié le 2026-10-27, avant le début de la période, et est donc exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Vérification incomplète
Un avis de correctif Amazon Linux daté du 2026-10-28 concerne CVE-2026-97380 dans MariaDB. Les autres candidats fournis portent sur Laravel et MySqlConnector, et non sur une vulnérabilité du sujet MariaDB.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
phpMyAdmin
Recherche du sujet effectuée
La recherche web dédiée à phpMyAdmin n’a pas mis en évidence de nouvel avis de sécurité, correctif, exploitation ou changement substantiel phpMyAdmin daté de la période demandée (du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu). Les résultats signalant une prétendue vulnérabilité WebAuthn de phpMyAdmin ne permettent pas de confirmer un avis éditeur ou un correctif dans cette fenêtre; les vulnérabilités PHP mentionnées concernent le langage PHP, pas phpMyAdmin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée sur pgAdmin n’a identifié aucun avis, correctif de sécurité, cas d’exploitation ou changement substantiel dont la date de publication ou de l’événement soit comprise dans la période demandée. Les avis visibles sur la page de sécurité officielle sont datés hors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin n’a identifié aucun nouvel avis ou correctif de sécurité, aucune exploitation ni aucun changement substantiel de sécurité daté du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu. Le changelog Virtualmin mentionne une publication de Virtualmin Podman le 28 octobre, sans indication de sécurité dans les informations consultées; elle n’est donc pas retenue comme événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif/avis de sécurité, exploitation ni mise à jour substantielle concernant Webmin n’a été vérifiée comme datée de la période demandée. Les pages consultées mentionnent notamment des vulnérabilités divulguées antérieurement ; leur republication dans des fiches Tenable le 2026-10-28 ne constitue pas un nouvel événement de sécurité dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Vérification incomplète
Niveau relevé : Élevée
Deux avis de sécurité Vue I18n ont été publiés pendant la période : CVE-2026-118256 et CVE-2026-118257. Les deux candidats Nuxt concernent des fiches publiées avant la période; leur seule mise à jour NVD datée du 2026-10-28 ne suffit pas à établir un changement substantiel pendant celle-ci.
Vue I18n : XSS via srcdoc malgré l’échappement des paramètres
Lorsque l’échappement des paramètres est activé, le nettoyage de Vue I18n ne neutralisait pas l’attribut `srcdoc`, ce qui pouvait permettre une XSS si des traductions étaient rendues comme HTML et que du contenu non fiable atteignait cet attribut. Le correctif est disponible dans les versions 11.4.14 et 12.0.0-alpha.5 ; les branches 9 et 10 ne sont plus prises en charge selon l’avis.
Action recommandée : Mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5 selon la branche ; éviter en attendant le rendu HTML des traductions contenant du contenu non fiable.
Vue I18n : valeurs nommées non échappées si l’appel fournit aussi une liste
Avec `escapeParameter` activé, Vue I18n échappait les valeurs de liste ou les valeurs nommées, mais pas les deux lorsque l’appel fournissait les deux types simultanément. La correction échappe désormais les deux ; mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5, ou éviter cette combinaison et le rendu HTML de valeurs non fiables.
Action recommandée : Mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5 selon la branche, et éviter la combinaison liste/valeurs nommées jusqu’à la mise à niveau.
Vite
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une publication NVD datée du 2026-10-28 concerne CVE-2026-118662 et Vite 6.4.4. L’avis du projet correspondant est toutefois daté du 2026-10-21, avant la période figée. Les autres candidats ne correspondent pas à une nouveauté Vite datée de la période : l’un est une simple mise à jour NVD d’une fiche antérieure, l’autre concerne Vitest, et le dernier concerne SvelteKit.
Vite : contournement des règles d’accès aux fichiers du serveur de développement
Dans certaines configurations de Vite, un attaquant non authentifié pouvant atteindre le serveur de développement peut contourner server.fs.deny en ajoutant des paramètres de chargement à l’URL et récupérer un fichier sensible. Le correctif est disponible dans Vite 6.4.5.
Action recommandée : Mettre à jour vers Vite 6.4.5 et éviter d’exposer le serveur de développement à des réseaux non fiables.
Nuxt
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié un avis de sécurité pertinent publié dans la période : CVE-2026-59158 affectant nuxt-ollama, corrigée en version 1.3.1. Les candidats Nuxt dont la fiche NVD a seulement été modifiée le 28 octobre concernent des avis initialement publiés le 16 octobre; aucun changement substantiel daté dans la période n’a été établi pour eux.
Nuxt Ollama : exposition de la clé API dans la configuration publique
Nuxt Ollama expose la clé API configurée en la fusionnant dans `runtimeConfig.public.ollama`, que Nuxt sérialise dans le HTML rendu côté serveur. Toute personne pouvant charger une page peut alors récupérer la clé ; mettre à niveau vers 1.3.1 et renouveler toute clé potentiellement exposée.
Action recommandée : Mettre à niveau vers 1.3.1 et révoquer puis renouveler les clés API qui ont pu être exposées.
Next.js
Recherche du sujet effectuée
La recherche dédiée n’a fait ressortir aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel Next.js daté du 2026-10-28 dans la période demandée. Les résultats pertinents consultés renvoient notamment à des avis publiés le 2026-10-14, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de nouvel avis ou changement de sécurité concernant React daté de la période du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu. L’avis React visible dans les résultats consultés est daté du 2026-10-14, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif ou d’avis de sécurité Angular daté de la période demandée n’a été identifié dans les résultats consultés. Les avis Angular visibles dans les résultats sont antérieurs au 2026-10-28 et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée sur Astro n’a fait ressortir aucun avis, correctif ou événement de sécurité dont la date de publication ou de mise à jour soit vérifiable dans la période demandée (du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu). Les avis Astro trouvés dans les résultats de recherche sont datés d’autres périodes et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux avis de sécurité publiés pendant la période concernent des logiciels ou fonctions TypeScript : Functype MCP (CVE-2026-59176) et les autorisations personnalisées JavaScript/TypeScript de LangGraph (CVE-2026-118668). L’entrée Vitest fournie a été exclue : sa publication initiale date du 2026-10-20 et le candidat ne démontre qu’une mise à jour NVD pendant la période, sans changement substantiel établi.
functype-mcp-server : exécution de code via une version de paquet non contrainte
Le serveur MCP de functype avant la version 1.4.4 acceptait une chaîne de version non contrainte puis l’utilisait pour installer un paquet, avant de charger dynamiquement du code associé. Un client MCP autorisé à appeler l’outil pouvait ainsi provoquer l’exécution de code arbitraire avec les privilèges du serveur ; mettre à jour vers la version 1.4.4 ou ultérieure et contrôler les clients MCP connectés.
Action recommandée : Mettre à jour vers functype-mcp-server 1.4.4 ou ultérieur et limiter les clients pouvant appeler les outils MCP.
LangGraph : accès inter-utilisateurs au Store via l’authentification personnalisée JavaScript
Dans certaines configurations d’authentification personnalisée JavaScript ou TypeScript, les changements d’espace de noms renvoyés par le gestionnaire d’autorisation n’étaient pas appliqués aux opérations du Store. Un utilisateur authentifié pouvait alors accéder aux données d’autres utilisateurs ; mettre à niveau langgraph-api vers 0.15.0 ou configurer les gestionnaires pour rejeter les espaces de noms non autorisés.
Action recommandée : Mettre à niveau langgraph-api vers 0.15.0 ou ultérieur ; à défaut, faire rejeter explicitement les espaces de noms non autorisés dans tous les gestionnaires Store concernés.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche a identifié neuf candidats publiés dans la période locale du 2026-10-28 : des problèmes d’exécution de JavaScript ou d’exposition liés à WebSub, GRR, Nuxt Ollama, quatre extensions WordPress, UiChemy et functype MCP. Le candidat pretix est exclu car le défaut décrit concerne la validation du type de réponse OAuth, et JavaScript n’y est qu’une précondition d’exploitation. Dix vulnérabilités JavaScript ont été publiées dans les fiches NVD pendant la période indiquée : une concerne RE2JS, les neuf autres Highcharts, Highcharts Grid Pro, Highcharts Grid ou Highcharts Dashboards. Les résumés fournis signalent des risques de déni de service, d’exécution de script et de pollution de prototype; les versions correctives sont indiquées pour chaque CVE. Le lot fourni contient neuf fiches NVD publiées pendant la période, couvrant des vulnérabilités de Highcharts, Highcharts Dashboards, Highcharts Grid, Echo, FearlessCMS et Happy DOM. Les descriptions fournies indiquent des correctifs versions; aucune information d’exploitation active n’est établie par ces éléments. Quatre vulnérabilités nouvellement publiées pendant la période concernent des composants JavaScript : deux dans Happy DOM, une dans Vite et une dans langgraph-api. Les autres candidats sont des fiches antérieures seulement signalées comme mises à jour durant la période; les données fournies ne documentent pas de changement substantiel permettant de les retenir comme nouveautés. Aucun événement nouveau, avis de sécurité, correctif, exploitation ou changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats sont des modifications de fiches NVD dont les dates de publication sont antérieures à la période; le lot ne précise pas la nature des changements intervenus le 28 octobre…
FearlessCMS : scripts de débogage exposés et opérations de fichiers non protégées
FearlessCMS avant 0.1.4 expose plusieurs scripts de débogage et de test sous `admin/` sans contrôles suffisants, permettant notamment des écritures et lectures de fichiers ainsi que des XSS. Mettre à jour vers 0.1.4 et vérifier les fichiers et contenus accessibles ou modifiés par ces scripts.
Action recommandée : Mettre à jour vers 0.1.4; examiner les journaux, les contenus et fichiers du site, et réduire les privilèges du processus PHP.
AI Marketing Expert : XSS stockée déclenchable sans authentification
Le plugin AI Marketing Expert permet une XSS stockée via le paramètre `name` lorsque le module chatbot est actif et qu’au moins un bot est configuré. L’attaque décrite ne requiert pas d’authentification et peut faire exécuter le script injecté à un administrateur qui ouvre le tableau de bord ; vérifier la disponibilité d’un correctif éditeur et limiter l’exposition du plugin.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée; en attendant, désactiver le module chatbot si la configuration concernée est présente.
Nuxt Ollama : exposition de la clé API dans la configuration publique
Nuxt Ollama expose la clé API configurée en la fusionnant dans `runtimeConfig.public.ollama`, que Nuxt sérialise dans le HTML rendu côté serveur. Toute personne pouvant charger une page peut alors récupérer la clé ; mettre à niveau vers 1.3.1 et renouveler toute clé potentiellement exposée.
Action recommandée : Mettre à niveau vers 1.3.1 et révoquer puis renouveler les clés API qui ont pu être exposées.
Vue I18n : XSS via srcdoc malgré l’échappement des paramètres
Lorsque l’échappement des paramètres est activé, le nettoyage de Vue I18n ne neutralisait pas l’attribut `srcdoc`, ce qui pouvait permettre une XSS si des traductions étaient rendues comme HTML et que du contenu non fiable atteignait cet attribut. Le correctif est disponible dans les versions 11.4.14 et 12.0.0-alpha.5 ; les branches 9 et 10 ne sont plus prises en charge selon l’avis.
Action recommandée : Mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5 selon la branche ; éviter en attendant le rendu HTML des traductions contenant du contenu non fiable.
functype-mcp-server : exécution de code via une version de paquet non contrainte
Le serveur MCP de functype avant la version 1.4.4 acceptait une chaîne de version non contrainte puis l’utilisait pour installer un paquet, avant de charger dynamiquement du code associé. Un client MCP autorisé à appeler l’outil pouvait ainsi provoquer l’exécution de code arbitraire avec les privilèges du serveur ; mettre à jour vers la version 1.4.4 ou ultérieure et contrôler les clients MCP connectés.
Action recommandée : Mettre à jour vers functype-mcp-server 1.4.4 ou ultérieur et limiter les clients pouvant appeler les outils MCP.
LangGraph : accès inter-utilisateurs au Store via l’authentification personnalisée JavaScript
Dans certaines configurations d’authentification personnalisée JavaScript ou TypeScript, les changements d’espace de noms renvoyés par le gestionnaire d’autorisation n’étaient pas appliqués aux opérations du Store. Un utilisateur authentifié pouvait alors accéder aux données d’autres utilisateurs ; mettre à niveau langgraph-api vers 0.15.0 ou configurer les gestionnaires pour rejeter les espaces de noms non autorisés.
Action recommandée : Mettre à niveau langgraph-api vers 0.15.0 ou ultérieur ; à défaut, faire rejeter explicitement les espaces de noms non autorisés dans tous les gestionnaires Store concernés.
GRR : XSS réfléchie dans le paramètre `forcemaj`
GRR reflète sans échappement adéquat le paramètre `forcemaj` dans `maj.php` si les fichiers d’installation restent accessibles. Un lien spécialement construit peut déclencher du JavaScript dans le navigateur d’une victime et compromettre sa session ; mettre à niveau vers 4.5.0 et supprimer les fichiers d’installation.
Action recommandée : Mettre à niveau vers GRR 4.5.0 et vérifier que les fichiers d’installation ne sont plus accessibles.
Highcharts : pollution de prototype lors de la construction des colonnes de séries
La construction des colonnes de séries de Highcharts utilisait directement certaines clés des objets de points, permettant à des clés spécialement formées de modifier `Object.prototype` lorsque l’attaquant contrôle les données de points. Cette pollution peut affecter d’autres traitements JavaScript de la page ; la plage corrigée indiquée par l’avis est Highcharts 13.1.0.
Action recommandée : Mettre à jour Highcharts vers 13.1.0 ou une version ultérieure.
Highcharts : pollution de prototype via les chemins series.keys
Dans Highcharts, des chemins pointés définis par `series.keys` pouvaient être suivis sans filtrer leurs segments, permettant à des données contrôlées de modifier `Object.prototype`. Les propriétés injectées sont visibles par le reste du code JavaScript de la page ; mettre à jour vers la version corrigée correspondant à la branche utilisée.
Action recommandée : Mettre à jour Highcharts vers 11.4.9, 12.6.1 ou 13.1.0, selon la branche utilisée.
Highcharts : exécution de JavaScript via credits.href
Dans Highcharts, une valeur `credits.href` commençant par `javascript:` pouvait être assignée à la destination de navigation lorsque l’utilisateur cliquait sur le lien des crédits. Si une configuration de graphique contrôlée par un attaquant atteint le composant, ce mécanisme permet l’exécution de script dans l’origine de la page ; mettre à jour vers la version corrigée applicable.
Action recommandée : Mettre à jour Highcharts vers 11.4.9, 12.6.1 ou 13.1.0, selon la branche utilisée.
Highcharts Dashboards : XSS dans la barre latérale du mode édition
Highcharts Dashboards versions antérieures à 4.2.3 insèrent comme HTML, plutôt que comme texte, certaines chaînes de langue de la barre latérale du mode édition. Une configuration linguistique contrôlée par un attaquant peut exécuter du script lorsque l’utilisateur ouvre cette barre; mettre à jour vers 4.2.3.
Action recommandée : Mettre à jour Highcharts Dashboards vers 4.2.3.
Highcharts Dashboards : XSS dans le libellé plein écran
Dans Highcharts Dashboards antérieur à 4.2.3, les libellés de langue du contrôle plein écran en mode édition sont interprétés comme du HTML. Une configuration linguistique malveillante peut déclencher l’exécution de script lorsque le contrôle est rendu dans le contexte indiqué; appliquer la mise à jour 4.2.3.
Action recommandée : Mettre à jour Highcharts Dashboards vers 4.2.3.
Highcharts Grid : XSS via les chaînes de langue de pagination
Highcharts Grid traitait certaines chaînes de langue de pagination comme du HTML, ce qui pouvait permettre une XSS dans l’origine de l’application lorsque des données non fiables contrôlaient la configuration. Les versions affectées sont corrigées en 3.2.0 ; mettre à niveau les paquets concernés ou appliquer le contournement décrit dans l’avis.
Action recommandée : Mettre à niveau @highcharts/grid-lite et/ou @highcharts/grid-pro vers la version 3.2.0 ou ultérieure.
Highcharts Grid : exécution de script via le lien des crédits
Highcharts Grid versions antérieures à 3.2.0 utilisent `credits.href` sans valider le schéma de l’URL. Une configuration contrôlée par un attaquant peut fournir une URL `javascript:` dont l’activation exécute un script dans l’origine de l’application; mettre à jour vers Grid Pro 3.2.0.
Action recommandée : Mettre à jour Highcharts Grid Pro vers 3.2.0 et ne pas accepter de configuration de crédits non fiable.
Happy DOM : accès SSRF via le serveur de rendu
Le serveur de rendu de Happy DOM avant 21.0.2 accepte des requêtes HTTP/2 non authentifiées et peut suivre une destination contrôlée par l’attaquant lors de la résolution du chemin. Le serveur peut ainsi accéder à des services HTTP(S) internes et en relayer la réponse; mettre à jour vers 21.0.2.
Action recommandée : Mettre à jour Happy DOM vers 21.0.2 et limiter l’exposition réseau du serveur de rendu aux destinations nécessaires.
Happy DOM : requêtes SSRF déclenchées par l’analyse de HTML
Happy DOM jusqu’à la version 20.14.6 peut effectuer par défaut des requêtes HTTP vers des URL arbitraires lors de l’analyse de HTML non fiable contenant des éléments iframe ou des feuilles de style liées. Mettre à niveau vers 21.0.0 ou désactiver le chargement de ces ressources externes.
Action recommandée : Mettre à niveau happy-dom vers 21.0.0 ou désactiver le chargement des ressources externes.
re2js : déni de service par complexité quadratique avec lookbehinds
Dans re2js de 2.2.0 à 2.8.6, l’utilisation de lookbehinds avec des API de recherche répétée peut entraîner un temps de calcul quadratique et bloquer le processus Node.js. Mettre à niveau vers 2.8.7 ; en attendant, éviter cette combinaison sur des entrées contrôlées par un attaquant.
Action recommandée : Mettre à niveau re2js vers 2.8.7.
Highcharts : URL javascript dans xlink:href des graphiques exportés
Dans Highcharts, le filtrage des attributs autorisait un `xlink:href` contenant une URL `javascript:` à subsister dans le SVG exporté, même si l’attribut n’agissait pas comme lien dans la page d’origine. Si le SVG est ensuite ouvert ou réinterprété et que l’utilisateur active le lien, du code peut s’exécuter dans l’origine du document ; mettre à jour vers la version corrigée de la branche utilisée.
Action recommandée : Mettre à jour Highcharts vers 11.4.9, 12.6.2 ou 13.1.1, selon la branche utilisée.
Highcharts Grid Pro : injection d’attributs d’événement dans les contrôles de cellule
Dans Highcharts Grid Pro avant 3.2.0, les attributs fournis dans la configuration des cellules sont copiés sans filtrage sur des éléments input ou select. Une configuration contrôlée par un attaquant peut ainsi ajouter des gestionnaires d’événements et provoquer l’exécution de script dans la page.
Action recommandée : Mettre à jour Highcharts Grid Pro vers la version 3.2.0.
Highcharts Grid : attributs d’événement injectables dans les icônes SVG
Dans Highcharts Grid avant 3.2.0, les définitions d’icônes peuvent fournir des noms d’attributs copiés sur des éléments SVG sans filtrage. Une configuration contrôlée par un attaquant peut ajouter des gestionnaires d’événements aux icônes et provoquer l’exécution de script lors d’un survol ou d’une activation.
Action recommandée : Mettre à jour Highcharts Grid vers la version 3.2.0.
Highcharts : injection de HTML lors du rendu déclenché par l’impression
Dans Highcharts de la version 12.0.0 jusqu’aux versions correctives, un chemin de repli peut affecter du contenu brut à innerHTML avant l’application de la liste d’autorisation. Dans Chromium, une erreur de Trusted Types pendant un gestionnaire beforeprint peut ainsi permettre l’injection de HTML non fiable et l’exécution de script au démarrage de l’impression.
Action recommandée : Mettre à jour vers Highcharts 12.6.1 ou 13.1.0 selon la branche utilisée.
Highcharts Dashboards : sélection non contrôlée de chartConstructor
Dans Highcharts Dashboards avant 4.2.2, chartConstructor est utilisé comme recherche de propriété non contrôlée dans l’espace de noms Highcharts. Une configuration de tableau de bord contrôlée par un attaquant peut sélectionner une fonction utilitaire et conduire à l’injection de balisage ou à l’exécution de gestionnaires d’événements lors du rendu.
Action recommandée : Mettre à jour Highcharts Dashboards vers la version 4.2.2.
Highcharts : attributs d’événement non filtrés dans les breadcrumbs
Dans Highcharts, les options de style des breadcrumbs sont appliquées comme attributs SVG sans filtrage, dans les versions affectées. Une configuration contrôlée par un attaquant peut ajouter des gestionnaires d’événements au bouton breadcrumb et provoquer l’exécution de script après navigation et interaction; les graphiques en styled mode ne sont pas concernés.
Action recommandée : Mettre à jour vers Highcharts 11.4.9, 12.6.1 ou 13.1.0 selon la branche utilisée.
LiquidJS : contournement des limites de rendu par le filtre date
Dans LiquidJS, le filtre `date` transmettait sans borne la largeur d’un spécificateur strftime à une fonction de remplissage, contournant les limites documentées de mémoire et de rendu. Une entrée de format contrôlée peut provoquer une consommation excessive de mémoire et de CPU ; mettre à jour `liquidjs` vers la version 10.26.0 ou ultérieure.
Action recommandée : Mettre à jour liquidjs vers 10.26.0 ou ultérieur ; éviter de transmettre des formats de date non fiables aux templates non corrigés.
Echo : XSS réfléchie via le callback JSONP
Les méthodes `Context.JSONP` et `Context.JSONPBlob` du framework Echo concaténaient le callback fourni sans validation, permettant une XSS réfléchie si une application transmettait une valeur contrôlée par l’utilisateur. Les branches concernées sont corrigées dans Echo v5.4.0 et v4.16.0 ; mettre à jour ou valider strictement le callback et éviter JSONP pour les données sensibles.
Action recommandée : Mettre à jour Echo vers v5.4.0 ou v4.16.0 selon la branche utilisée.
Royal Addons for Elementor : XSS via le réglage de taille du widget de carte
Royal Addons for Elementor échappe insuffisamment un réglage de taille du widget cartographique avant son insertion dans un attribut HTML. Un contributeur ou un utilisateur de rôle supérieur peut ainsi injecter du JavaScript exécuté par les visiteurs de la page ; mettre à niveau vers 1.7.1070 ou une version ultérieure.
Action recommandée : Mettre à niveau Royal Addons for Elementor vers 1.7.1070 ou une version ultérieure.
MP3 Audio Player : injection JavaScript via un attribut de shortcode
Le plugin WordPress MP3 Audio Player avant la version 5.16 ne neutralise pas un attribut de shortcode avant son insertion dans un attribut HTML, ce qui permet une injection JavaScript stockée par un utilisateur disposant au minimum du rôle Contributor. Le script peut s’exécuter lorsqu’un autre utilisateur consulte le contenu, notamment lors de l’aperçu d’un article en attente ; mettre à jour vers la version 5.16 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 5.16 ou ultérieure.
GeoDirectory : XSS stockée via un shortcode de badge
GeoDirectory avant la version 2.8.196 n’échappe pas correctement un attribut de shortcode de badge avant son insertion dans un gestionnaire d’événement JavaScript. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi créer du contenu provoquant une XSS stockée lorsque la victime, y compris un administrateur, clique sur le badge ; appliquer la version 2.8.196 ou ultérieure.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.196 ou ultérieure.
UiChemy : XSS stockée dans un lien de composant
UiChemy permet une XSS stockée via un lien `slot_{N}_link` insuffisamment assaini dans les versions jusqu’à 5.3.0 incluse. L’exécution du lien JavaScript nécessite qu’un utilisateur privilégié clique dessus en examinant ou prévisualisant le contenu ; vérifier la publication d’un correctif éditeur et éviter ce clic sur du contenu non fiable.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée; sensibiliser les réviseurs à ne pas cliquer sur des liens issus de contenus non fiables.
Vite : contournement des règles d’accès aux fichiers du serveur de développement
Dans certaines configurations de Vite, un attaquant non authentifié pouvant atteindre le serveur de développement peut contourner server.fs.deny en ajoutant des paramètres de chargement à l’URL et récupérer un fichier sensible. Le correctif est disponible dans Vite 6.4.5.
Action recommandée : Mettre à jour vers Vite 6.4.5 et éviter d’exposer le serveur de développement à des réseaux non fiables.
WebSub : réponse de vérification susceptible d’être interprétée comme du contenu actif
La recommandation WebSub ne prescrit pas de type MIME sûr ni la désactivation du MIME sniffing pour la réponse de vérification. Selon la configuration du subscriber, un challenge contrôlé par l’attaquant peut être interprété comme du HTML ou une ressource JavaScript dans son origine ; configurer un type de contenu sûr et `X-Content-Type-Options: nosniff`.
Action recommandée : Appliquer les mesures de typage MIME sûr et de désactivation du MIME sniffing aux réponses de vérification WebSub.
Happy DOM : validation incorrecte des domaines de cookies
Happy DOM ne valide pas correctement certains attributs Domain des cookies et peut aussi faire correspondre des hôtes partageant un suffixe sans respecter les limites entre labels DNS. Dans des scénarios de rendu ou de prérendu côté serveur, cela peut permettre l’injection de cookies ou la fixation de session; mettre à jour vers la version 20.14.6 ou ultérieure.
Action recommandée : Mettre à jour vers Happy DOM 20.14.6 ou ultérieur.
Highcharts Dashboards : pollution de prototype via un identifiant DataTable
Dans Highcharts Dashboards avant 4.2.2, les cartes d’état de DataCursor sont stockées dans des objets ordinaires indexés par identifiant de DataTable, ce qui rend possible une pollution de prototype via un identifiant __proto__. Des états de synchronisation persistants peuvent également provoquer des erreurs et interrompre des fonctions du tableau de bord.
Action recommandée : Mettre à jour Highcharts Dashboards vers la version 4.2.2.
Highcharts DataTable : pollution de prototype lors des écritures de cellule
Les écritures de cellule de Highcharts DataTable utilisent des identifiants de colonne non fiables comme clés sans rejeter __proto__ ou constructor, dans les branches concernées. Une écriture peut modifier Object.prototype ou le constructeur Object et perturber le comportement ou le rendu de l’application.
Action recommandée : Mettre à jour Dashboards vers 4.2.2 et Grid Pro vers 3.2.0.
Highcharts Dashboards : pollution de prototype via les chemins d’options éditables
Dans le mode édition de Highcharts Dashboards avant 4.2.2, les chemins de propriété des options éditables ne rejettent pas les clés liées au prototype. Une édition contrôlée par un attaquant peut donc écrire une valeur sur Object.prototype, où elle devient visible dans tout le code JavaScript de la page.
Action recommandée : Mettre à jour Highcharts Dashboards vers la version 4.2.2.
pretix : validation insuffisante du type de réponse SSO
Dans certaines configurations SSO où pretix agit comme fournisseur d’identité pour des comptes clients, la réponse d’autorisation ne validait pas le `response_type` demandé par rapport au type de flux autorisé pour le client. L’exploitation nécessite notamment que l’attaquant puisse exécuter du JavaScript sur une page correspondant à une URI de redirection configurée ; les données fournies ne précisent pas de version corrective.
systeminformation : pollution de prototype via networkStats()
Dans systeminformation avant 5.33.13, l’appel à networkStats() avec un nom d’interface contrôlé égal à __proto__ peut modifier Object.prototype sur FreeBSD, OpenBSD ou NetBSD. Mettre à niveau vers 5.33.13 et ne pas transmettre de noms d’interface non fiables.
Action recommandée : Mettre à niveau systeminformation vers 5.33.13.
Vue I18n : valeurs nommées non échappées si l’appel fournit aussi une liste
Avec `escapeParameter` activé, Vue I18n échappait les valeurs de liste ou les valeurs nommées, mais pas les deux lorsque l’appel fournissait les deux types simultanément. La correction échappe désormais les deux ; mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5, ou éviter cette combinaison et le rendu HTML de valeurs non fiables.
Action recommandée : Mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5 selon la branche, et éviter la combinaison liste/valeurs nommées jusqu’à la mise à niveau.
HTML5
Recherche du sujet effectuée
Les recherches web effectuées pour HTML5 n’ont pas permis de vérifier un avis, un correctif, une exploitation ou une évolution substantielle correspondant au sujet et à la période demandés. Cela ne permet pas de conclure qu’aucune nouveauté n’a existé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée n’a pas permis de vérifier de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ou de changement substantiel concernant CSS3 dans la période du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu. Les résultats repérés concernant des vulnérabilités dans des composants de navigateur liés au CSS étaient datés du 27 octobre, hors de la période retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée sur Tailwind CSS n’a fait ressortir aucun avis de sécurité, correctif, exploitation confirmée ou changement substantiel correspondant à la période demandée. Les résultats concernant des paquets malveillants aux noms apparentés portaient sur des dates antérieures à cette période et ne constituent pas, à eux seuls, des vulnérabilités du projet Tailwind CSS.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
Pour Bootstrap, le framework front-end, les sources consultées n’indiquent aucun nouvel avis de sécurité ni correctif de sécurité daté du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les candidats portent sur Chitchatter et non sur le projet Bootstrap.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche a repéré un avis GitHub concernant CVE-2026-114139, mais il porte sur @sentry/nextjs, pas sur une vulnérabilité de Webpack. L’avis GitHub était publié le 2026-09-24 et mis à jour le 2026-10-22; la modification NVD du 2026-10-28 ne suffit pas à établir un changement substantiel pendant la période demandée. Aucun item n’est donc retenu pour Webpack dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Recherche web dédiée effectuée pour esbuild, notamment sur les avis de sécurité et les releases du projet GitHub. Les résultats consultés font apparaître des avis antérieurs à la période demandée; aucun nouvel avis, correctif ou changement substantiel daté du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée n’a pas fait ressortir de vulnérabilité, d’avis de sécurité, de correctif ni d’exploitation concernant Parcel daté de la période demandée. Les résultats hors sujet ou portant sur des homonymes ont été écartés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Niveau relevé : Élevée
La recherche web a fait ressortir trois publications NVD du 2026-10-28 concernant des composants de l’écosystème Node.js : i18next-http-backend, @hono/node-server et decode-uri-component. Le bulletin officiel du projet Node.js trouvé pendant la recherche concerne des correctifs publiés le 2026-10-21, hors de la période demandée; les autres candidats NVD modifiés le 2026-10-28 nécessitent une vérification de la nature des changements avant de pouvoir les inclure ou les exclure avec certitude. Cinq avis publiés dans la période concernent des paquets de l’écosystème Node.js : deux vulnérabilités de validation dans mcp-sanitizer, une SSRF dans happy-dom, un déni de service dans re2js et une pollution de prototype dans systeminformation. Un avis GitHub publié pendant la période décrit CVE-2026-116673 dans systeminformation sous Linux. La version corrigée indiquée est 5.33.14 ; l’impact démontré est une divulgation de fichier au processus appelant.
Happy DOM : requêtes SSRF déclenchées par l’analyse de HTML
Happy DOM jusqu’à la version 20.14.6 peut effectuer par défaut des requêtes HTTP vers des URL arbitraires lors de l’analyse de HTML non fiable contenant des éléments iframe ou des feuilles de style liées. Mettre à niveau vers 21.0.0 ou désactiver le chargement de ces ressources externes.
Action recommandée : Mettre à niveau happy-dom vers 21.0.0 ou désactiver le chargement des ressources externes.
re2js : déni de service par complexité quadratique avec lookbehinds
Dans re2js de 2.2.0 à 2.8.6, l’utilisation de lookbehinds avec des API de recherche répétée peut entraîner un temps de calcul quadratique et bloquer le processus Node.js. Mettre à niveau vers 2.8.7 ; en attendant, éviter cette combinaison sur des entrées contrôlées par un attaquant.
Action recommandée : Mettre à niveau re2js vers 2.8.7.
decode-uri-component : consommation CPU quadratique sur une entrée malformée
Dans decode-uri-component avant la version 0.5.1, une entrée malformée comportant de nombreux segments encodés distincts pouvait provoquer un coût de traitement quadratique dans la fonction de décodage de repli. Cela pouvait bloquer la boucle d’événements Node.js; la correction est disponible en version 0.5.1.
Action recommandée : Mettre à niveau decode-uri-component vers la version 0.5.1 ou ultérieure et limiter les entrées non fiables selon le contexte d’utilisation.
mcp-sanitizer : validation insuffisante des chemins de répertoires personnels
Dans mcp-sanitizer avant 1.4.0, le contrôle de chemins autorise des chemins absolus sous /home/ et /Users/, ce qui peut exposer des fichiers sensibles si une application utilise ensuite le chemin pour des opérations de fichiers. Mettre à niveau vers 1.4.0 ; à défaut, ne pas faire confiance à ces chemins sans validation.
Action recommandée : Mettre à niveau mcp-sanitizer vers 1.4.0.
mcp-sanitizer : contournement SSRF de la validation d’URL
Dans mcp-sanitizer avant 1.4.0, la validation d’URL peut laisser passer des cibles localhost avec un port explicite ainsi que certaines adresses IPv6 de bouclage ou de lien local. Mettre à niveau vers 1.4.0 ; en attendant, bloquer ces destinations avant toute requête sortante.
Action recommandée : Mettre à niveau mcp-sanitizer vers 1.4.0.
systeminformation : pollution de prototype via networkStats()
Dans systeminformation avant 5.33.13, l’appel à networkStats() avec un nom d’interface contrôlé égal à __proto__ peut modifier Object.prototype sur FreeBSD, OpenBSD ou NetBSD. Mettre à niveau vers 5.33.13 et ne pas transmettre de noms d’interface non fiables.
Action recommandée : Mettre à niveau systeminformation vers 5.33.13.
@hono/node-server : contournement de middleware lors de la résolution de fichiers statiques
Dans @hono/node-server de la version 1.19.10 à la version 2.1.2, serveStatic pouvait décoder une seconde fois un chemin déjà décodé pour le routage, créant une divergence entre le chemin vérifié par les middlewares et celui résolu pour les fichiers statiques. Le problème est corrigé en version 2.1.3; l’accès décrit reste limité à la racine statique configurée.
Action recommandée : Mettre à niveau @hono/node-server vers la version 2.1.3 ou ultérieure.
i18next-http-backend : injection de paramètres dans les requêtes de traduction
Dans i18next-http-backend avant la version 4.0.4, des valeurs contrôlées de langue ou d’espace de noms pouvaient injecter des paramètres dans les requêtes de chargement de traductions lorsque le modèle les plaçait dans la chaîne de requête. Le problème, présenté comme une correction incomplète de CVE-2026-41691, est corrigé en version 4.0.4.
Action recommandée : Mettre à niveau i18next-http-backend vers la version 4.0.4 ou ultérieure.
CVE-2026-116673 : divulgation de fichier via traversée de chemin dans systeminformation
Sous Linux, `systeminformation` ne vérifie pas que le chemin construit à partir de l’argument de `networkStats(iface)` reste dans `/sys/class/net`, ce qui peut permettre une divulgation de la première ligne d’un fichier lisible par le processus Node.js. L’avis précise qu’aucun chemin d’exploitation à distance via une application consommatrice n’a été établi ; mettre à niveau vers la version corrigée.
Action recommandée : Mettre à niveau systeminformation vers 5.33.14 ou une version ultérieure.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche a identifié des publications NVD dans la période portant sur Google ADK pour Python, Ultralytics, MONAI et le SDK Python LangGraph. Les candidats concernant Asterisk et ESPHome décrivent des vulnérabilités de ces produits, et non une vulnérabilité du sujet Python retenu ; la modification de CVE-2026-62322 est antérieure à la période et aucun changement substantiel dans celle-ci n’a été établi. Aucun événement Python vérifiable comme nouveau ou substantiellement modifié pendant la période à partir des éléments fournis. Les candidats signalent des mises à jour de fiches NVD, mais ne donnent aucune preuve de changement substantiel dans ces fiches pendant la période. Les candidats concernent des fiches NVD publiées avant la période. Plusieurs portent une date de mise à jour dans la période, mais les éléments fournis ne permettent pas de déterminer si ces modifications étaient substantielles ou seulement administratives; aucune nouveauté ne peut donc être confirmée. Les candidats concernent des vulnérabilités publiées avant la période. Les éléments fournis ne documentent, pour le 28 octobre, que des mises à jour de fiches NVD sans préciser de changement substantiel ; aucun item ne peut donc être retenu pour cette période. Les sources fournies documentent des mises à jour NVD substantielles concernant le SDK MCP Python, MLflow, OpenTelemetry Python, Google ADK et ESPHome, ainsi que des avis publiés pendant la période pour Rucio et LangGraph. Les avis anciens django-s3file et mcp-sanitizer ont été exclus ; aucun résultat n’est retenu pour les autres candidats exclus. Un avis de sécurité Autobahn Python publié durant la période signale un déni de service lié à la décompression Brotli et indique la version 26.10.1 comme correctif.
Désérialisation de scorers tiers pouvant permettre l’exécution de code dans MLflow
MLflow acceptait des descendants de modules Python autorisés au lieu de vérifier une correspondance exacte lors de la désérialisation de scorers tiers. Dans les conditions décrites par la fiche, un utilisateur pouvait provoquer l’importation et l’instanciation d’une classe contrôlée, menant à l’exécution de code sur le serveur ; mettez à niveau MLflow.
Action recommandée : Mettre à niveau MLflow vers la version 3.17.0.
Ultralytics : injection de code dans parse_model
La fonction parse_model d’Ultralytics présente une injection de code liée à la validation insuffisante d’une chaîne fournie par l’utilisateur, pouvant conduire à l’exécution de code Python. Une interaction de la victime est nécessaire ; les éléments consultés ne permettent pas d’établir ici les versions affectées ni la version de correction pour cette CVE précise.
Ultralytics : injection de code dans parse_model
Une autre vulnérabilité distincte d’injection de code dans parse_model d’Ultralytics peut permettre l’exécution de code Python après qu’un utilisateur a visité une page ou ouvert un fichier malveillant. Les informations consultées ne suffisent pas à préciser les versions affectées ou le correctif propre à cette CVE.
Ultralytics : injection de code dans check_det_dataset
Une injection de code dans la fonction check_det_dataset d’Ultralytics permet l’exécution de code Python dans le contexte de l’utilisateur qui ouvre le fichier ou la page malveillante. L’avis ZDI associé indique que la version affectée est 8.4.65 ; appliquez la version corrigée ou ultérieure.
Action recommandée : Mettre à jour Ultralytics vers une version corrigée, au minimum 8.4.66.
MONAI : exécution de code via la configuration de journalisation d’un bundle
Dans MONAI, ConfigWorkflow.__init__ transmet un fichier configs/logging.conf à logging.config.fileConfig, qui peut évaluer des champs de configuration et exécuter du code Python lors du chargement d’un bundle malveillant. La version corrigée indiquée est 1.6.1 ; évitez de charger des bundles non fiables avec les versions affectées.
Action recommandée : Mettre à jour MONAI vers 1.6.1 et ne charger que des bundles de confiance.
Contournement de l’authentification du tableau de bord ESPHome Device Builder dans l’extension Home Assistant
L’extension Home Assistant d’ESPHome Device Builder exposait sur le réseau local un site d’ingress sans authentification directe, normalement protégé par le superviseur. Un appareil du réseau pouvait contourner cette protection et accéder au tableau de bord, avec des capacités d’exécution de code Python et de commandes ; mettez à niveau l’extension concernée.
Action recommandée : Mettre à niveau l’extension vers 1.0.10 ou ultérieure et limiter l’accès réseau au tableau de bord.
Rucio : contournement d’autorisation sur le point de terminaison de signature d’URL
Le point de terminaison Rucio de génération d’URL signées utilisait un compte fourni dans l’en-tête `X-Rucio-Account` pour vérifier les autorisations, plutôt que l’identité du jeton authentifié. Un détenteur d’un jeton valide pouvait ainsi obtenir des URL signées permettant des opérations sur des objets de stockage ; mettez à niveau la branche Rucio concernée.
Action recommandée : Mettre à niveau Rucio vers la version corrigée correspondant à la branche utilisée.
Le FileArtifactService de Google ADK pour Python peut exposer les artefacts d’une autre application
Le FileArtifactService de Google ADK pour Python ne cloisonnait pas correctement les chemins d’artefacts par application lorsque plusieurs applications partageaient une racine et un identifiant utilisateur. Un utilisateur pouvait alors lister, lire, écraser ou supprimer les artefacts d’une autre application ; installez une version corrigée.
Action recommandée : Mettre à niveau vers google-adk 1.39.1 ou 2.7.0 selon la branche utilisée.
Le SDK Python LangGraph peut rediriger des requêtes GET authentifiées par des identifiants non encodés
Le client de streaming v3 du SDK Python LangGraph incorporait des identifiants fournis par l’appelant dans les chemins de requêtes sans les encoder. Si ces identifiants étaient contrôlés par un attaquant, une requête GET authentifiée pouvait être redirigée vers un autre chemin du même serveur ; mettez à niveau le SDK et, pour RemoteGraph, LangGraph également.
Action recommandée : Mettre à niveau langgraph-sdk vers 0.4.6 ou ultérieur ; avec RemoteGraph, mettre aussi à niveau langgraph vers 1.2.14 ou ultérieur.
Autobahn Python : déni de service par décompression Brotli excessive
Autobahn Python présente une vulnérabilité de déni de service dans le traitement des trames WebSocket utilisant permessage-brotli : la décompression complète précède le contrôle de la taille maximale du message. Un client non authentifié peut ainsi provoquer une consommation mémoire importante, lorsque cette extension est activée.
Action recommandée : Mettre à niveau Autobahn vers 26.10.1 ou une version ultérieure.
Le SDK Python MCP peut transmettre des identifiants lors d’une redirection inter-origines
Le SDK Python MCP suivait les redirections vers une autre origine en transmettant les en-têtes d’identification personnalisés et, pour les réponses 307/308, le corps de la requête. Une personne capable d’influencer la destination d’une redirection depuis un point de terminaison de confiance pouvait ainsi recevoir ces données ; mettez à niveau le SDK vers une version corrigée.
Action recommandée : Mettre à niveau vers MCP Python SDK 1.30.0 ou 2.2.0.
La résolution de références de schéma dans le SDK MCP Python peut accéder au réseau et aux fichiers locaux
La validation des documents `outputSchema` annoncés par un serveur pouvait résoudre des références `$ref` avec le résolveur par défaut de jsonschema. Une référence vers une URL HTTP, HTTPS ou un fichier local pouvait provoquer des requêtes réseau, la lecture de fichiers locaux ou bloquer les sessions ; mettez à niveau le SDK MCP Python.
Action recommandée : Mettre à niveau vers MCP Python SDK 1.30.0 ou 2.2.0.
Le propagateur Jaeger d’OpenTelemetry Python peut subir un déni de service par valeurs de baggage volumineuses
Le JaegerPropagator d’OpenTelemetry Python traitait les valeurs `uberctx-*` reçues sans limites sur leur nombre ni leur taille. Un flux non fiable pouvait ainsi entraîner un travail CPU et des allocations mémoire inutiles, avec un risque de déni de service ; mettez à niveau le composant concerné.
Action recommandée : Mettre à niveau vers la version 1.45.0 et appliquer des limites de taille aux entrées entrantes.
Java
Recherche du sujet effectuée
Niveau relevé : Critique
Trois fiches NVD publiées le 28 octobre 2026 dans la période concernent des composants Java : NoviGest Desktop App, le MongoDB Java Driver et OpenTelemetry Java. Pour OpenTelemetry, l’avis GitHub consulté indique une version corrigée 1.67.0; les versions corrigées ou affectées des deux autres produits n’ont pas pu être établies à partir des éléments disponibles. Les autres candidats sont exclus car ils décrivent des fiches anciennes dont la seule date fournie dans la période est une mise à jour NVD, sans preuve vérifiée d’un changement substantiel pendant celle-ci. Un nouvel enregistrement NVD publié dans la période décrit une vulnérabilité critique du service Java RMI de NoviGest Desktop App. Les autres candidats fournis ne montrent pas, dans les informations disponibles, de nouvelle publication ni de changement substantiel daté dans la période. Un avis OpenTelemetry Java publié pendant la période décrit une vulnérabilité de déni de service corrigée en version 1.67.0. Debian a également publié un avis de mise à jour de sécurité pour OpenJDK 25 ; le texte fourni ne donne pas les CVE ni les versions corrigées.
NoviGest Desktop App : exécution de commandes possible via le service Java RMI sans authentification
Une faille dans le service Java RMI de NoviGest Desktop App permet à un attaquant ayant accès au réseau d’appeler des méthodes distantes sans authentification, de récupérer des identifiants sensibles et d’exécuter des requêtes SQL arbitraires. L’accès élevé du compte PostgreSQL peut ensuite permettre l’exécution de commandes sur le système, compromettant la confidentialité, l’intégrité et la disponibilité du serveur.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est identifiée auprès de l’éditeur et limiter l’accès réseau au service Java RMI en attendant.
MongoDB Java Driver : validation insuffisante de la longueur d’un document BSON brut
Un composant d’encodage BSON du MongoDB Java Driver ne vérifie pas que la longueur déclarée d’un document brut correspond à la plage d’octets fournie, ce qui peut conduire à l’ajout de contenu contrôlé par un attaquant à une commande de base de données. L’impact dépend d’une application qui accepte des octets non fiables et les utilise dans ce type de document; la fiche NVD fournie indique un score CVSS de 6,9, mais ne précise pas ici les versions affectées ni la version corrigée.
Action recommandée : Mettre à jour le MongoDB Java Driver vers la version 5.14.0 ou ultérieure.
OpenTelemetry Java : consommation CPU excessive lors de l’analyse de tracestate
OpenTelemetry Java présente une consommation CPU excessive lors de l’analyse de certains en-têtes W3C `tracestate`, pouvant entraîner un déni de service lorsque ces en-têtes atteignent le propagateur. La vulnérabilité concerne `opentelemetry-api` jusqu’à la version 1.66.0 incluse ; la mise à niveau vers la version 1.67.0 ou ultérieure est recommandée.
Action recommandée : Mettre à niveau `io.opentelemetry:opentelemetry-api` vers la version 1.67.0 ou ultérieure.
Debian DSA-6591-1 : mise à jour de sécurité pour OpenJDK 25
Debian a publié une mise à jour de sécurité pour OpenJDK 25 concernant plusieurs vulnérabilités susceptibles d’entraîner un déni de service, une sortie de sandbox, des vérifications de certificats incomplètes ou une divulgation d’informations. L’avis fourni ne précise ni les CVE concernées ni les versions corrigées ; consulter l’avis Debian pour les détails et appliquer la mise à jour de sécurité correspondante.
Action recommandée : Appliquer la mise à jour de sécurité OpenJDK 25 fournie par Debian.
TYPO3
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel TYPO3 daté du 2026-10-28 dans la période demandée. Les résultats consultés concernant des avis TYPO3 connus sont antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Vérification incomplète
La recherche dédiée a identifié des avis Drupal datés du 2026-10-28 pour Fasttoggle et Commerce Core. Les éléments d’exploitation rapportés après la borne de fin n’ont pas été retenus comme événements de la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux nouvelles vulnérabilités concernant l’extension Joomla iCagenda ont été publiées pendant la période : une XSS stockée et une injection de formule dans l’export CSV. Le fournisseur annonce leur correction dans iCagenda 4.0.17.
iCagenda — XSS stockée dans un champ personnalisé d’événement
Une vulnérabilité XSS stockée affecte le champ personnalisé d’événement de type URL dans iCagenda. Le fournisseur indique que le problème est corrigé dans iCagenda 4.0.17.
Action recommandée : Mettre à jour iCagenda vers la version 4.0.17.
iCagenda — injection de formule dans l’export CSV des inscriptions
Une injection de formule CSV affecte l’export des inscriptions dans iCagenda. Le fournisseur indique que le problème est corrigé dans iCagenda 4.0.17.
Action recommandée : Mettre à jour iCagenda vers la version 4.0.17.
Magento
Recherche du sujet effectuée
La recherche web dédiée a été effectuée. Les sources consultées ne montrent pas de nouvelle vulnérabilité, d’avis ou correctif de sécurité, d’exploitation nouvellement signalée ni de changement substantiel Magento daté dans la période demandée (du 2026-10-28T00:00:00+02:00 inclus au 2026-10-29T00:00:00+02:00 exclu). Les résultats repérés concernent des avis antérieurs ou des publications hors période; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée aux avis Adobe Commerce, aux fiches NVD/CVE et aux sources de sécurité pertinentes n’a pas établi de nouvelle vulnérabilité, de correctif, d’avis ni de changement substantiel concernant Adobe Commerce daté de la période du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. CVE-2026-48356 est un avis antérieur : la fiche NVD indique une publication le 2026-07-14 et renvoie au bulletin APSB26-73, également publié en juillet; le bulletin Adobe APSB26-153 consulté est daté du 2026-10-13, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche web ciblée sur Fooocus n’a identifié aucun avis, correctif, événement d’exploitation ni changement substantiel de sécurité daté du 2026-10-28T00:00:00+02:00 au 2026-10-29T00:00:00+02:00. Les résultats relatifs à d’autres dates ne sont pas retenus pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
29 alerte(s)FearlessCMS : scripts de débogage exposés et opérations de fichiers non protégées
FearlessCMS avant 0.1.4 expose plusieurs scripts de débogage et de test sous `admin/` sans contrôles suffisants, permettant notamment des écritures et lectures de fichiers ainsi que des XSS. Mettre à jour vers 0.1.4 et vérifier les fichier…
Source : NVD — CVE-2026-63190
Nuxt Ollama : exposition de la clé API dans la configuration publique
Nuxt Ollama expose la clé API configurée en la fusionnant dans `runtimeConfig.public.ollama`, que Nuxt sérialise dans le HTML rendu côté serveur. Toute personne pouvant charger une page peut alors récupérer la clé ; mettre à niveau vers 1.…
Source : NVD — CVE-2026-59158
Vue I18n : XSS via srcdoc malgré l’échappement des paramètres
Lorsque l’échappement des paramètres est activé, le nettoyage de Vue I18n ne neutralisait pas l’attribut `srcdoc`, ce qui pouvait permettre une XSS si des traductions étaient rendues comme HTML et que du contenu non fiable atteignait cet a…
functype-mcp-server : exécution de code via une version de paquet non contrainte
Le serveur MCP de functype avant la version 1.4.4 acceptait une chaîne de version non contrainte puis l’utilisait pour installer un paquet, avant de charger dynamiquement du code associé. Un client MCP autorisé à appeler l’outil pouvait ai…
Source : NVD — CVE-2026-59176
LangGraph : accès inter-utilisateurs au Store via l’authentification personnalisée JavaScript
Dans certaines configurations d’authentification personnalisée JavaScript ou TypeScript, les changements d’espace de noms renvoyés par le gestionnaire d’autorisation n’étaient pas appliqués aux opérations du Store. Un utilisateur authentif…
Source : GHSA-4hm6-w6qq-w73v — LangGraph JavaScript custom authentication may permit cross-user Store access
GRR : XSS réfléchie dans le paramètre `forcemaj`
GRR reflète sans échappement adéquat le paramètre `forcemaj` dans `maj.php` si les fichiers d’installation restent accessibles. Un lien spécialement construit peut déclencher du JavaScript dans le navigateur d’une victime et compromettre s…
Source : NVD — CVE-2026-58205
Highcharts : pollution de prototype lors de la construction des colonnes de séries
La construction des colonnes de séries de Highcharts utilisait directement certaines clés des objets de points, permettant à des clés spécialement formées de modifier `Object.prototype` lorsque l’attaquant contrôle les données de points. C…
Source : GitHub Advisory GHSA-gfvx-2c2g-38wq
Highcharts : pollution de prototype via les chemins series.keys
Dans Highcharts, des chemins pointés définis par `series.keys` pouvaient être suivis sans filtrer leurs segments, permettant à des données contrôlées de modifier `Object.prototype`. Les propriétés injectées sont visibles par le reste du co…
Source : GitHub Advisory GHSA-rmqc-xvr3-v46c
Highcharts : exécution de JavaScript via credits.href
Dans Highcharts, une valeur `credits.href` commençant par `javascript:` pouvait être assignée à la destination de navigation lorsque l’utilisateur cliquait sur le lien des crédits. Si une configuration de graphique contrôlée par un attaqua…
Source : GitHub Advisory GHSA-5793-x2q3-c3q7
Highcharts Dashboards : XSS dans la barre latérale du mode édition
Highcharts Dashboards versions antérieures à 4.2.3 insèrent comme HTML, plutôt que comme texte, certaines chaînes de langue de la barre latérale du mode édition. Une configuration linguistique contrôlée par un attaquant peut exécuter du sc…
Source : NVD — CVE-2026-118252
Highcharts Dashboards : XSS dans le libellé plein écran
Dans Highcharts Dashboards antérieur à 4.2.3, les libellés de langue du contrôle plein écran en mode édition sont interprétés comme du HTML. Une configuration linguistique malveillante peut déclencher l’exécution de script lorsque le contr…
Source : NVD — CVE-2026-118253
Highcharts Grid : XSS via les chaînes de langue de pagination
Highcharts Grid traitait certaines chaînes de langue de pagination comme du HTML, ce qui pouvait permettre une XSS dans l’origine de l’application lorsque des données non fiables contrôlaient la configuration. Les versions affectées sont c…
Source : GHSA-r5wg-q8fc-p6w2 — Highcharts Grid parses pagination language options as HTML
Highcharts Grid : exécution de script via le lien des crédits
Highcharts Grid versions antérieures à 3.2.0 utilisent `credits.href` sans valider le schéma de l’URL. Une configuration contrôlée par un attaquant peut fournir une URL `javascript:` dont l’activation exécute un script dans l’origine de l’…
Source : NVD — CVE-2026-118255
Happy DOM : accès SSRF via le serveur de rendu
Le serveur de rendu de Happy DOM avant 21.0.2 accepte des requêtes HTTP/2 non authentifiées et peut suivre une destination contrôlée par l’attaquant lors de la résolution du chemin. Le serveur peut ainsi accéder à des services HTTP(S) inte…
Source : NVD — CVE-2026-118659
Highcharts : URL javascript dans xlink:href des graphiques exportés
Dans Highcharts, le filtrage des attributs autorisait un `xlink:href` contenant une URL `javascript:` à subsister dans le SVG exporté, même si l’attribut n’agissait pas comme lien dans la page d’origine. Si le SVG est ensuite ouvert ou réi…
Source : GitHub Advisory GHSA-mw4f-gj5x-6xr4
Highcharts Grid Pro : injection d’attributs d’événement dans les contrôles de cellule
Dans Highcharts Grid Pro avant 3.2.0, les attributs fournis dans la configuration des cellules sont copiés sans filtrage sur des éléments input ou select. Une configuration contrôlée par un attaquant peut ainsi ajouter des gestionnaires d’…
Source : CVE-2026-116797 — NVD
Highcharts Grid : attributs d’événement injectables dans les icônes SVG
Dans Highcharts Grid avant 3.2.0, les définitions d’icônes peuvent fournir des noms d’attributs copiés sur des éléments SVG sans filtrage. Une configuration contrôlée par un attaquant peut ajouter des gestionnaires d’événements aux icônes…
Source : CVE-2026-118242 — NVD
Highcharts : injection de HTML lors du rendu déclenché par l’impression
Dans Highcharts de la version 12.0.0 jusqu’aux versions correctives, un chemin de repli peut affecter du contenu brut à innerHTML avant l’application de la liste d’autorisation. Dans Chromium, une erreur de Trusted Types pendant un gestion…
Source : CVE-2026-118244 — NVD
Highcharts Dashboards : sélection non contrôlée de chartConstructor
Dans Highcharts Dashboards avant 4.2.2, chartConstructor est utilisé comme recherche de propriété non contrôlée dans l’espace de noms Highcharts. Une configuration de tableau de bord contrôlée par un attaquant peut sélectionner une fonctio…
Source : CVE-2026-118245 — NVD
Highcharts : attributs d’événement non filtrés dans les breadcrumbs
Dans Highcharts, les options de style des breadcrumbs sont appliquées comme attributs SVG sans filtrage, dans les versions affectées. Une configuration contrôlée par un attaquant peut ajouter des gestionnaires d’événements au bouton breadc…
Source : CVE-2026-118246 — NVD
LiquidJS : contournement des limites de rendu par le filtre date
Dans LiquidJS, le filtre `date` transmettait sans borne la largeur d’un spécificateur strftime à une fonction de remplissage, contournant les limites documentées de mémoire et de rendu. Une entrée de format contrôlée peut provoquer une con…
Source : GitHub Advisory GHSA-hh27-hf48-9f5q
Vite : contournement des règles d’accès aux fichiers du serveur de développement
Dans certaines configurations de Vite, un attaquant non authentifié pouvant atteindre le serveur de développement peut contourner server.fs.deny en ajoutant des paramètres de chargement à l’URL et récupérer un fichier sensible. Le correcti…
Source : NVD — CVE-2026-118662
WebSub : réponse de vérification susceptible d’être interprétée comme du contenu actif
La recommandation WebSub ne prescrit pas de type MIME sûr ni la désactivation du MIME sniffing pour la réponse de vérification. Selon la configuration du subscriber, un challenge contrôlé par l’attaquant peut être interprété comme du HTML…
Source : NVD — CVE-2026-50571
Happy DOM : validation incorrecte des domaines de cookies
Happy DOM ne valide pas correctement certains attributs Domain des cookies et peut aussi faire correspondre des hôtes partageant un suffixe sans respecter les limites entre labels DNS. Dans des scénarios de rendu ou de prérendu côté serveu…
Source : NVD — CVE-2026-118661
Highcharts Dashboards : pollution de prototype via un identifiant DataTable
Dans Highcharts Dashboards avant 4.2.2, les cartes d’état de DataCursor sont stockées dans des objets ordinaires indexés par identifiant de DataTable, ce qui rend possible une pollution de prototype via un identifiant __proto__. Des états…
Source : CVE-2026-118243 — NVD
Highcharts DataTable : pollution de prototype lors des écritures de cellule
Les écritures de cellule de Highcharts DataTable utilisent des identifiants de colonne non fiables comme clés sans rejeter __proto__ ou constructor, dans les branches concernées. Une écriture peut modifier Object.prototype ou le constructe…
Source : CVE-2026-118247 — NVD
Highcharts Dashboards : pollution de prototype via les chemins d’options éditables
Dans le mode édition de Highcharts Dashboards avant 4.2.2, les chemins de propriété des options éditables ne rejettent pas les clés liées au prototype. Une édition contrôlée par un attaquant peut donc écrire une valeur sur Object.prototype…
Source : CVE-2026-118248 — NVD
pretix : validation insuffisante du type de réponse SSO
Dans certaines configurations SSO où pretix agit comme fournisseur d’identité pour des comptes clients, la réponse d’autorisation ne validait pas le `response_type` demandé par rapport au type de flux autorisé pour le client. L’exploitatio…
Source : NVD — CVE-2026-101274
Vue I18n : valeurs nommées non échappées si l’appel fournit aussi une liste
Avec `escapeParameter` activé, Vue I18n échappait les valeurs de liste ou les valeurs nommées, mais pas les deux lorsque l’appel fournissait les deux types simultanément. La correction échappe désormais les deux ; mettre à niveau vers 11.4…
Backend & données
58 alerte(s)NoviGest Desktop App : exécution de commandes possible via le service Java RMI sans authentification
Une faille dans le service Java RMI de NoviGest Desktop App permet à un attaquant ayant accès au réseau d’appeler des méthodes distantes sans authentification, de récupérer des identifiants sensibles et d’exécuter des requêtes SQL arbitrai…
Source : NVD — CVE-2026-112197
Désérialisation de scorers tiers pouvant permettre l’exécution de code dans MLflow
MLflow acceptait des descendants de modules Python autorisés au lieu de vérifier une correspondance exacte lors de la désérialisation de scorers tiers. Dans les conditions décrites par la fiche, un utilisateur pouvait provoquer l’importati…
Source : NVD — CVE-2026-116692
Ultralytics : injection de code dans parse_model
La fonction parse_model d’Ultralytics présente une injection de code liée à la validation insuffisante d’une chaîne fournie par l’utilisateur, pouvant conduire à l’exécution de code Python. Une interaction de la victime est nécessaire ; le…
Source : NVD — CVE-2026-118616
Ultralytics : injection de code dans parse_model
Une autre vulnérabilité distincte d’injection de code dans parse_model d’Ultralytics peut permettre l’exécution de code Python après qu’un utilisateur a visité une page ou ouvert un fichier malveillant. Les informations consultées ne suffi…
Source : NVD — CVE-2026-118618
Echo : contournement de contrôle d’accès dans le middleware Static
Le middleware Static d’Echo peut servir un fichier sous une forme de chemin encodée alors que les protections de route ou de groupe ne s’appliquent pas à cette forme. Le problème concerne le montage global décrit dans l’avis et ne permet p…
Source : GHSA-375p-5qhx-8wq4 — Echo
Django REST framework : mise à jour CISA signalant une preuve de concept pour CVE-2026-114138
Une mise à jour du 28 octobre 2026 a ajouté une évaluation CISA indiquant l’existence d’une preuve de concept pour CVE-2026-114138, une vulnérabilité de déni de service dans la négociation de contenu de Django REST framework. Un client dis…
Source : Fiche NVD CVE-2026-114138
Laravel MongoDB : contrôle incomplet des relations absentes
Dans l’intégration Laravel MongoDB, la construction d’une requête de relation peut mal traiter les identifiants sous forme de chaînes numériques lors d’une vérification d’absence de relation. Une application qui s’appuie sur cette vérifica…
Source : NVD — CVE-2026-118510
GraphQL Tools : réutilisation de paramètres d’authentification WebSocket entre requêtes
La conservation de paramètres de connexion d’une requête dans l’état de l’exécuteur WebSocket peut rejouer des valeurs d’authentification antérieures lors d’une connexion ultérieure. Si un exécuteur est partagé entre des contextes d’autori…
Source : CVE-2026-118665 — NVD
Happy DOM : requêtes SSRF déclenchées par l’analyse de HTML
Happy DOM jusqu’à la version 20.14.6 peut effectuer par défaut des requêtes HTTP vers des URL arbitraires lors de l’analyse de HTML non fiable contenant des éléments iframe ou des feuilles de style liées. Mettre à niveau vers 21.0.0 ou dés…
Source : GHSA-c8p4-j97h-3vg8
re2js : déni de service par complexité quadratique avec lookbehinds
Dans re2js de 2.2.0 à 2.8.6, l’utilisation de lookbehinds avec des API de recherche répétée peut entraîner un temps de calcul quadratique et bloquer le processus Node.js. Mettre à niveau vers 2.8.7 ; en attendant, éviter cette combinaison…
Source : GHSA-gg6h-894w-4m9c
decode-uri-component : consommation CPU quadratique sur une entrée malformée
Dans decode-uri-component avant la version 0.5.1, une entrée malformée comportant de nombreux segments encodés distincts pouvait provoquer un coût de traitement quadratique dans la fonction de décodage de repli. Cela pouvait bloquer la bou…
Source : NVD — CVE-2026-118664
Ultralytics : injection de code dans check_det_dataset
Une injection de code dans la fonction check_det_dataset d’Ultralytics permet l’exécution de code Python dans le contexte de l’utilisateur qui ouvre le fichier ou la page malveillante. L’avis ZDI associé indique que la version affectée est…
Source : NVD — CVE-2026-118614
MONAI : exécution de code via la configuration de journalisation d’un bundle
Dans MONAI, ConfigWorkflow.__init__ transmet un fichier configs/logging.conf à logging.config.fileConfig, qui peut évaluer des champs de configuration et exécuter du code Python lors du chargement d’un bundle malveillant. La version corrig…
Source : NVD — CVE-2026-118683
mcp-sanitizer : validation insuffisante des chemins de répertoires personnels
Dans mcp-sanitizer avant 1.4.0, le contrôle de chemins autorise des chemins absolus sous /home/ et /Users/, ce qui peut exposer des fichiers sensibles si une application utilise ensuite le chemin pour des opérations de fichiers. Mettre à n…
Source : GHSA-7w82-6f9j-v9jp
mcp-sanitizer : contournement SSRF de la validation d’URL
Dans mcp-sanitizer avant 1.4.0, la validation d’URL peut laisser passer des cibles localhost avec un port explicite ainsi que certaines adresses IPv6 de bouclage ou de lien local. Mettre à niveau vers 1.4.0 ; en attendant, bloquer ces dest…
Source : GHSA-4mfg-r38w-w8fg
Contournement de l’authentification du tableau de bord ESPHome Device Builder dans l’extension Home Assistant
L’extension Home Assistant d’ESPHome Device Builder exposait sur le réseau local un site d’ingress sans authentification directe, normalement protégé par le superviseur. Un appareil du réseau pouvait contourner cette protection et accéder…
Source : NVD — CVE-2026-59177
Rucio : contournement d’autorisation sur le point de terminaison de signature d’URL
Le point de terminaison Rucio de génération d’URL signées utilisait un compte fourni dans l’en-tête `X-Rucio-Account` pour vérifier les autorisations, plutôt que l’identité du jeton authentifié. Un détenteur d’un jeton valide pouvait ainsi…
Crass — contournement possible d’assainisseurs CSS (CVE-2026-116695)
Crass avant 1.0.8 peut mal terminer l’analyse d’un jeton d’URL CSS invalide, ce qui permet à du CSS qui aurait dû être écarté de passer un assainisseur qui utilise la bibliothèque. Selon le contexte, cela peut permettre du UI redress, le c…
Source : NVD — CVE-2026-116695
Echo : transmission d’un X-Real-IP falsifié au serveur amont
Le proxy Echo peut transmettre tel quel au serveur amont un en-tête X-Real-IP fourni par le client lorsque IPExtractor n’est pas configuré. Cela peut fausser les contrôles d’accès fondés sur l’adresse IP, la limitation de débit et les jour…
Source : GHSA-99jh-6h7p-pp36 — Echo
Echo : contournement de la protection CSRF par réécriture de méthode
Dans Echo, MethodOverride peut transformer une requête POST en méthode sûre, notamment GET, avant que le middleware CSRF ne l’évalue. Si l’ordre des middlewares permet cette séquence, un gestionnaire modifiant l’état peut être atteint sans…
Source : GHSA-r7w9-592q-9vg4 — Echo
Echo : contournement du limiteur de débit par falsification d’adresse IP
Avec la configuration par défaut d’Echo, RealIP peut faire confiance à un X-Forwarded-For fourni par le client lorsque IPExtractor n’est pas défini. Le limiteur de débit par défaut utilise cette valeur comme identifiant, ce qui permet de c…
Source : GHSA-246p-cpwv-v3jq — Echo
Echo : XSS réfléchie via le callback JSONP
Les méthodes `Context.JSONP` et `Context.JSONPBlob` du framework Echo concaténaient le callback fourni sans validation, permettant une XSS réfléchie si une application transmettait une valeur contrôlée par l’utilisateur. Les branches conce…
Source : GitHub Advisory GHSA-h9g5-28mm-hx3g
Echo : injection de schéma dans les redirections WWW
Les middlewares WWWRedirect et NonWWWRedirect peuvent utiliser sans validation une valeur X-Forwarded-Proto (ou un en-tête équivalent) pour construire la cible de redirection. Un client peut alors injecter un schéma arbitraire dans l’en-tê…
Source : GHSA-23wf-92cp-8pcj — Echo
Echo : contournement de sanitizeURI et redirection ouverte
La vérification sanitizeURI d’Echo peut être contournée par un caractère de contrôle placé avant une paire de séparateurs dans une cible de redirection. Un navigateur peut normaliser cette valeur et interpréter la redirection comme une URL…
Source : GHSA-v753-g4cw-jm48 — Echo
Echo : double décodage de chemin dans le middleware Static
Le middleware Static d’Echo effectuait un décodage supplémentaire d’un chemin déjà décodé par net/http, permettant de reconstruire des séparateurs encodés et de contourner des protections de routes dans certaines configurations. Les élémen…
Source : GHSA-xwq5-6cqp-vx96 — Echo
Echo : contournement des protections de route via le middleware de fichiers statiques
Echo ne vérifie pas suffisamment les chemins encodés lors du service de fichiers statiques, ce qui peut permettre de contourner des protections de route et de lire des fichiers censés être protégés. Les versions antérieures à 5.4.0 de la b…
Echo : contournement de la redirection HTTPS et de HSTS par des en-têtes transférés
Echo fait confiance à des en-têtes de schéma transmis par le client sans vérifier leur provenance, ce qui peut neutraliser la redirection HTTPS et empêcher l’ajout de l’en-tête HSTS. Les versions antérieures à 5.4.0 de la branche v5 et à 4…
Go JOSE : panic lors du traitement CBC-HMAC
Le déchiffrement de données non fiables avec les modes CBC-HMAC concernés peut provoquer un panic et interrompre l’application. L’avis indique comme affectés go-jose/v4 avant 4.1.5 et go-jose/v3 jusqu’à 3.0.5 inclus; aucun correctif v3 n’e…
Source : GHSA-4w3g-jfj2-cw2q — Go JOSE: Panic during CBC-HMAC processing
Go JOSE : déni de service par structures JSON profondément imbriquées
Le parsing de structures JSON profondément imbriquées avec go-jose peut dépasser la limite de pile de Go et faire planter l’application. L’avis indique comme affectés go-jose/v4 avant 4.1.5 et go-jose/v3 jusqu’à 3.0.5 inclus; aucun correct…
Source : GHSA-vvm8-gf78-28g4 — Go JOSE: Panics in JSON parsing
MySqlConnector : divulgation du mot de passe en mode TLS sans CA configurée
MySqlConnector peut transmettre le mot de passe de la base en clair à un intermédiaire malveillant avant de vérifier le certificat TLS, dans certaines configurations sans autorité de certification configurée. Le correctif est disponible en…
Source : GHSA-473q-m89c-ghf8 — MySqlConnector
PostgreSQL Anonymizer : données de sous-requête non masquées
PostgreSQL Anonymizer ne masque pas les données renvoyées par une sous-requête dans une règle. Les données concernées peuvent donc rester visibles malgré la règle d’anonymisation.
Source : NVD — CVE-2026-105620
PostgreSQL Anonymizer : contrôle insuffisant de fonctions d’anonymisation SQL
Une vulnérabilité touche les fonctions d’anonymisation définies avec des corps de fonction conformes au standard SQL. Un utilisateur disposant du privilège TEMPORARY peut exploiter le décalage entre l’analyse de ces fonctions par PostgreSQ…
Source : NVD — CVE-2026-110181
PostgreSQL Anonymizer : divulgation possible de données par les fonctions partial
Les fonctions anon.partial() et anon.partial_email() peuvent révéler la valeur complète de certaines données lorsque celles-ci sont suffisamment courtes. Cela peut compromettre l’anonymisation attendue par les utilisateurs de ces fonctions.
Source : NVD — CVE-2026-110182
PostgreSQL Anonymizer : persistance de statistiques après masquage statique
Après un masquage statique, des statistiques portant sur les données d’origine peuvent rester visibles dans pg_stats jusqu’à l’exécution d’une opération ANALYZE sur la table. Ces statistiques peuvent donc divulguer des informations sur les…
Source : NVD — CVE-2026-110183
PostgreSQL Anonymizer : épuisement mémoire via fonctions factices
Les fonctions factices fondées sur des plages ne limitaient pas la taille de celles-ci, ce qui pouvait épuiser la mémoire d’un processus PostgreSQL et provoquer un arrêt par manque de mémoire. PostgreSQL Anonymizer 3.3.0 corrige le défaut;…
Source : CVE-2026-105613 — NVD
PostgreSQL Anonymizer : déni de service dans `anon.image_blur()`
La fonction `anon.image_blur()` ne vérifiait pas les dimensions déclarées de l’image, permettant de demander une allocation mémoire disproportionnée à partir d’une petite image. PostgreSQL Anonymizer 3.3.0 corrige le défaut; mettez à nivea…
Source : CVE-2026-105614 — NVD
PostgreSQL Anonymizer : exposition du sel dans les paramètres de rôle
Des paramètres secrets de PostgreSQL Anonymizer pouvaient être visibles dans `pg_db_role_setting` ou `pg_roles` lorsqu’ils étaient définis au niveau d’une base ou d’un rôle. La version 3.3.0 corrige le problème; mettez à niveau l’extension…
Source : CVE-2026-105616 — NVD
PostgreSQL Anonymizer : des plans préparés pouvaient contourner le masquage
Les plans préparés n’étaient pas invalidés après l’ajout d’une règle ou une modification de rôle; une session utilisant un tel plan pouvait continuer à lire des données non masquées. PostgreSQL Anonymizer 3.3.0 corrige le problème; mettez…
Source : CVE-2026-105617 — NVD
PostgreSQL Anonymizer : masquage contourné via les tables parentes
Le masquage appliqué aux partitions et tables héritées ne s’appliquait pas correctement lorsque les données étaient interrogées par la table parente. PostgreSQL Anonymizer 3.3.0 corrige le défaut; mettez à niveau l’extension.
Source : CVE-2026-105618 — NVD
PostgreSQL Anonymizer : défaut de masquage via une vue `security_invoker`
Les règles de masquage n’étaient pas appliquées aux données consultées via une vue `security_invoker`, ce qui pouvait exposer des données non masquées. PostgreSQL Anonymizer 3.3.0 corrige le problème; mettez à niveau l’extension.
Source : CVE-2026-105619 — NVD
MongoDB Java Driver : validation insuffisante de la longueur d’un document BSON brut
Un composant d’encodage BSON du MongoDB Java Driver ne vérifie pas que la longueur déclarée d’un document brut correspond à la plage d’octets fournie, ce qui peut conduire à l’ajout de contenu contrôlé par un attaquant à une commande de ba…
Source : NVD — CVE-2026-118581
GraphQL Tools : résultats d’abonnements WebSocket transmis au mauvais appelant
Lors d’abonnements simultanés partageant le même exécuteur, le gestionnaire WebSocket peut transmettre les résultats d’un abonnement au mauvais appelant. Cela peut exposer des données auxquelles l’autre abonnement a accès et interrompre la…
Source : CVE-2026-118666 — NVD
systeminformation : pollution de prototype via networkStats()
Dans systeminformation avant 5.33.13, l’appel à networkStats() avec un nom d’interface contrôlé égal à __proto__ peut modifier Object.prototype sur FreeBSD, OpenBSD ou NetBSD. Mettre à niveau vers 5.33.13 et ne pas transmettre de noms d’in…
Source : GHSA-7648-jmwf-vw7j
@hono/node-server : contournement de middleware lors de la résolution de fichiers statiques
Dans @hono/node-server de la version 1.19.10 à la version 2.1.2, serveStatic pouvait décoder une seconde fois un chemin déjà décodé pour le routage, créant une divergence entre le chemin vérifié par les middlewares et celui résolu pour les…
Source : NVD — CVE-2026-118663
Le FileArtifactService de Google ADK pour Python peut exposer les artefacts d’une autre application
Le FileArtifactService de Google ADK pour Python ne cloisonnait pas correctement les chemins d’artefacts par application lorsque plusieurs applications partageaient une racine et un identifiant utilisateur. Un utilisateur pouvait alors lis…
Source : NVD — CVE-2026-115522
Le SDK Python LangGraph peut rediriger des requêtes GET authentifiées par des identifiants non encodés
Le client de streaming v3 du SDK Python LangGraph incorporait des identifiants fournis par l’appelant dans les chemins de requêtes sans les encoder. Si ces identifiants étaient contrôlés par un attaquant, une requête GET authentifiée pouva…
Autobahn Python : déni de service par décompression Brotli excessive
Autobahn Python présente une vulnérabilité de déni de service dans le traitement des trames WebSocket utilisant permessage-brotli : la décompression complète précède le contrôle de la taille maximale du message. Un client non authentifié p…
OpenTelemetry Java : consommation CPU excessive lors de l’analyse de tracestate
OpenTelemetry Java présente une consommation CPU excessive lors de l’analyse de certains en-têtes W3C `tracestate`, pouvant entraîner un déni de service lorsque ces en-têtes atteignent le propagateur. La vulnérabilité concerne `opentelemet…
Source : GHSA-ccrj-gw8r-854m — opentelemetry-java: Quadratic CPU consumption in W3C tracestate parsing
Le SDK Python MCP peut transmettre des identifiants lors d’une redirection inter-origines
Le SDK Python MCP suivait les redirections vers une autre origine en transmettant les en-têtes d’identification personnalisés et, pour les réponses 307/308, le corps de la requête. Une personne capable d’influencer la destination d’une red…
Source : NVD — CVE-2026-116685
La résolution de références de schéma dans le SDK MCP Python peut accéder au réseau et aux fichiers locaux
La validation des documents `outputSchema` annoncés par un serveur pouvait résoudre des références `$ref` avec le résolveur par défaut de jsonschema. Une référence vers une URL HTTP, HTTPS ou un fichier local pouvait provoquer des requêtes…
Source : NVD — CVE-2026-116686
Le propagateur Jaeger d’OpenTelemetry Python peut subir un déni de service par valeurs de baggage volumineuses
Le JaegerPropagator d’OpenTelemetry Python traitait les valeurs `uberctx-*` reçues sans limites sur leur nombre ni leur taille. Un flux non fiable pouvait ainsi entraîner un travail CPU et des allocations mémoire inutiles, avec un risque d…
Source : NVD — CVE-2026-116694
Caddy : des en-têtes hop-by-hop peuvent être transmis lors d’un upgrade WebSocket
Dans certaines réponses d’upgrade WebSocket (HTTP 101), le reverse proxy Caddy peut transmettre au client des en-têtes hop-by-hop provenant de l’upstream au lieu de les supprimer. Cela peut permettre notamment l’injection d’en-têtes dans l…
PostgreSQL Anonymizer : contournement de la restriction read-only
Une CTE modifiant des données pouvait contourner la restriction de lecture seule appliquée aux rôles masqués. PostgreSQL Anonymizer 3.3.0 corrige le problème; mettez à niveau l’extension.
Source : CVE-2026-105612 — NVD
PostgreSQL Anonymizer : divulgation via les statistiques de table
Des rôles masqués ayant le privilège SELECT pouvaient consulter des statistiques optimisées de tables, notamment des histogrammes et valeurs les plus fréquentes, et ainsi déduire une partie des données. PostgreSQL Anonymizer 3.3.0 corrige…
Source : CVE-2026-105615 — NVD
i18next-http-backend : injection de paramètres dans les requêtes de traduction
Dans i18next-http-backend avant la version 4.0.4, des valeurs contrôlées de langue ou d’espace de noms pouvaient injecter des paramètres dans les requêtes de chargement de traductions lorsque le modèle les plaçait dans la chaîne de requête…
Source : NVD — CVE-2026-118258
CVE-2026-116673 : divulgation de fichier via traversée de chemin dans systeminformation
Sous Linux, `systeminformation` ne vérifie pas que le chemin construit à partir de l’argument de `networkStats(iface)` reste dans `/sys/class/net`, ce qui peut permettre une divulgation de la première ligne d’un fichier lisible par le proc…
Source : GHSA-4vjg-vx72-qq4g — systeminformation has path traversal in Linux networkStats()
Déni de service dans rybakit/msgpack sur PHP 32 bits
Un débordement d’entier dans `MessagePack\BufferUnpacker` de `rybakit/msgpack` peut provoquer un déni de service lorsque l’application utilise PHP 32 bits et traite une entrée MessagePack spécialement conçue. Les versions antérieures à 0.1…
Source : NVD — CVE-2026-106971
Debian DSA-6591-1 : mise à jour de sécurité pour OpenJDK 25
Debian a publié une mise à jour de sécurité pour OpenJDK 25 concernant plusieurs vulnérabilités susceptibles d’entraîner un déni de service, une sortie de sandbox, des vérifications de certificats incomplètes ou une divulgation d’informati…
CMS & e-commerce
110 alerte(s)Wordfence signale des tentatives PHP2Shell, sans compromission WordPress confirmée
Wordfence rapporte que, au 2026-10-28, il n’a connaissance d’aucun site WordPress compromis par PHP2Shell, tout en observant des tentatives de balayage et d’exploitation visant des serveurs PHP. Cette mise à jour ne confirme pas de comprom…
Source : CISA KEV
Wordfence : aucune compromission WordPress PHP2Shell confirmée au 28 octobre
Wordfence indique qu’au 2026-10-28 il n’a connaissance d’aucun site WordPress compromis par PHP2Shell, malgré des requêtes associées à des tentatives de balayage et d’exploitation. La mise à jour recommande de corriger PHP et de le redémar…
Source : CISA KEV
Jupiter X Core : contournement d’authentification via Twitter/X
Le plugin Jupiter X Core est vulnérable à un contournement d’authentification via la connexion sociale Twitter/X. Les versions jusqu’à 4.61.0 inclus sont concernées ; la fiche NVD a été publiée pendant la période, mais le correctif n’est p…
Source : NVD — CVE-2026-106013
Pie Register Premium : téléversement de fichiers dangereux sans authentification
Pie Register Premium présente un téléversement de fichiers de types dangereux sans authentification. Toutes les versions jusqu’à 3.8.4.0 inclus sont signalées comme concernées ; la fiche indique qu’un fichier exécutable téléversé pourrait…
Source : NVD — CVE-2026-84999
CVE-2026-109218 — Téléversement arbitraire de fichiers dans Contact Manager
Contact Manager est vulnérable à l’envoi arbitraire de fichiers jusqu’à la version 9.1.2 incluse, en raison d’un contournement de la vérification des extensions; un attaquant non authentifié peut téléverser un fichier potentiellement exécu…
Source : NVD — CVE-2026-109218
Checkout Files Upload for WooCommerce : téléversement de fichiers arbitraires
CVE-2026-103688 affecte Checkout Files Upload for WooCommerce avant la version 2.4.0 lorsque le réglage des types de fichiers acceptés est laissé vide. Des utilisateurs non authentifiés peuvent alors téléverser des fichiers arbitraires, y…
Source : NVD — CVE-2026-103688
Lecture de fichiers arbitraires dans Lumise
Product Designer for WooCommerce (Lumise) jusqu’à la version 2.1.2 permet la lecture de fichiers arbitraires du serveur par traversée de répertoires. L’exploitation ne nécessite pas d’authentification, le nonce requis étant accessible aux…
Source : NVD — CVE-2026-15323
Prime Slider : XSS persistante accessible sans authentification
Prime Slider jusqu’à la version 4.7.2 incluse permet une XSS persistante sans authentification via le paramètre comment. La source ne précise pas de version corrigée ; mettre à jour dès qu’un correctif est disponible et examiner les commen…
Source : NVD — CVE-2026-111111
Filter Everything : désérialisation de données non fiables
Filter Everything — WordPress & WooCommerce Filters présente une vulnérabilité de désérialisation de données non fiables pouvant conduire à une injection d’objets. La fiche NVD indique que les versions concernées vont jusqu’à 1.9.7 inclus…
Source : NVD — CVE-2026-116390
AI Marketing Expert : XSS stockée déclenchable sans authentification
Le plugin AI Marketing Expert permet une XSS stockée via le paramètre `name` lorsque le module chatbot est actif et qu’au moins un bot est configuré. L’attaque décrite ne requiert pas d’authentification et peut faire exécuter le script inj…
Source : NVD — CVE-2026-109999
Affiliate-toolkit : XSS stockée dans l’URL produit
Affiliate-toolkit présente une XSS stockée via « atkp_product_producturl ». Les versions jusqu’à 3.9.2 inclus sont concernées ; la fiche indique que l’exploitation peut être non authentifiée si une option de chargement AJAX pertinente est…
Source : NVD — CVE-2026-111314
AMP for WP : XSS stockée via un attribut de shortcode
AMP for WP présente une XSS stockée liée à un attribut de shortcode « headline-* ». Les versions jusqu’à 1.1.17 inclus sont concernées ; la fiche décrit une voie où un utilisateur de niveau Abonné peut stocker le shortcode dans sa biograph…
Source : NVD — CVE-2026-97019
Téléversement de fichiers arbitraires dans affiliate-toolkit
Le plugin affiliate-toolkit présente une vulnérabilité de téléversement de fichiers arbitraires via `upload_image` ; un compte disposant au moins du rôle de contributeur peut potentiellement téléverser un fichier exécutable. L’exploitation…
Source : NVD — CVE-2026-111255
CVE-2026-116613 — Divulgation d’informations dans Animated Text Block
Le shortcode « animated-text » du plugin Animated Text Block peut divulguer le contenu rendu d’articles auxquels l’utilisateur ne devrait pas avoir accès. Le défaut concerne les versions jusqu’à 1.2.6 et peut être exploité par un utilisate…
Source : NVD — CVE-2026-116613
CVE-2026-1928 — Injection d’objets PHP dans Rank Math SEO
Rank Math SEO est vulnérable à une injection d’objets PHP via la désérialisation d’une entrée non fiable dans un point de terminaison REST. Un utilisateur authentifié de niveau Contributor ou supérieur peut, en présence de la chaîne POP me…
Source : NVD — CVE-2026-1928
CVE-2026-109381 — Élévation de privilèges dans Mage Eventpress
Mage Eventpress permet une élévation de privilèges jusqu’à la version 5.7.8 incluse : un utilisateur authentifié ayant au moins les droits Shop Manager peut obtenir des privilèges d’administrateur en exploitant une vérification insuffisant…
Source : NVD — CVE-2026-109381
CVE-2026-109384 — Téléversement arbitraire de fichiers dans IvyForms
IvyForms est vulnérable au téléversement arbitraire de fichiers jusqu’à la version 1.5.1 incluse, du fait d’une validation insuffisante des extensions et du contournement des contrôles natifs de WordPress. Un utilisateur authentifié dispos…
Source : NVD — CVE-2026-109384
MxChat : XSS persistante accessible sans authentification
MxChat jusqu’à la version 3.2.25 incluse permet à un visiteur non authentifié d’enregistrer un contenu provoquant une XSS persistante dans la page Transcripts. Le code malveillant peut s’exécuter lorsque l’administrateur consulte cette pag…
Source : NVD — CVE-2026-110662
VikRentCar : CSRF pouvant mener à l’exécution de code à distance
VikRentCar jusqu’à la version 1.4.8 incluse présente une faille CSRF qui peut permettre l’écriture de code PHP dans des fichiers de modèles exécutables. L’attaque requiert qu’un administrateur effectue une action forgée ; la source ne préc…
Source : NVD — CVE-2026-111120
MemberPress : CSRF pouvant mener à une prise de contrôle de compte
MemberPress présente une faille CSRF dans l’enregistrement des champs de profil : l’absence du nonce peut contourner la vérification. Jusqu’à la version 1.14.1 incluse, une requête forgée peut changer l’adresse électronique d’un utilisateu…
Source : NVD — CVE-2026-92797
Menu Cart for WooCommerce : XSS stockée dans le panneau du panier
CVE-2026-105972 concerne Menu Cart for WooCommerce pour WordPress avant la version 3.2.1. Des données de variation d’article du panier ne sont pas échappées dans le panneau coulissant, ce qui permet à un utilisateur non authentifié d’y sto…
Source : NVD — CVE-2026-105972
Persian WooCommerce SMS : XSS réfléchie visant un utilisateur privilégié
L’extension Persian WooCommerce SMS ne neutralisait pas un paramètre avant de le refléter dans un attribut HTML. Cela pouvait entraîner une XSS réfléchie dans le navigateur d’un utilisateur privilégié connecté, si celui-ci était amené à so…
Source : NVD — CVE-2026-111021
GoSMTP : autorisation insuffisante sur la configuration SMTP
GoSMTP avant 1.2.5 n’effectue pas un contrôle d’autorisation suffisant sur la page de configuration SMTP. Un utilisateur ayant un rôle délégué inférieur à administrateur peut modifier l’envoi des courriels et provoquer une prise de contrôl…
Source : NVD — CVE-2026-111577
iCagenda — XSS stockée dans un champ personnalisé d’événement
Une vulnérabilité XSS stockée affecte le champ personnalisé d’événement de type URL dans iCagenda. Le fournisseur indique que le problème est corrigé dans iCagenda 4.0.17.
Source : NVD — CVE-2026-102790
Falsification de notifications de paiement dans UniPAY for WooCommerce
Le plugin UniPAY Payment Gateway for WooCommerce ne vérifie pas correctement l’authenticité des notifications de paiement lorsque le secret marchand est vide par défaut. Un attaquant non authentifié peut alors falsifier une notification et…
Source : NVD — CVE-2026-103331
Casso Flow : notifications de paiement falsifiables
CVE-2026-103382 concerne Casso Flow pour WordPress avant la version 4.2.0 : sur une installation par défaut, le jeton de vérification des notifications de virement est vide. Un attaquant non authentifié peut ainsi falsifier une notificatio…
Source : NVD — CVE-2026-103382
Customer Email Verification for WooCommerce : contournement de vérification et d’authentification
Customer Email Verification for WooCommerce présente un contournement de vérification d’adresse électronique reposant sur un jeton prévisible, qui peut permettre à un attaquant non authentifié de se connecter comme un client WooCommerce ou…
Source : NVD — CVE-2026-109236
PayPlug for WooCommerce : accès à la clé et annulation de commandes invitées
PayPlug for WooCommerce (Official) ne vérifie pas que la personne à l’origine d’une demande de paiement possède la commande WooCommerce visée. Un utilisateur non authentifié peut divulguer la clé de commande d’un autre client et annuler sa…
Source : NVD — CVE-2026-110292
PayPlug for WooCommerce : accès non autorisé aux commandes
La fiche NVD publiée le 28 octobre décrit plusieurs actions AJAX non authentifiées de PayPlug for WooCommerce qui n’effectuent aucun contrôle de capacité ni de propriété sur l’identifiant de commande fourni. Un attaquant non authentifié pe…
Source : CVE-2026-113813 — NVD
CVE-2026-109978 — XSS stockée dans Cozy Blocks (productRating)
Cozy Blocks est également vulnérable à une XSS stockée via le paramètre productRating.iconColor jusqu’à la version 2.2.27 incluse. Le chemin vulnérable nécessite l’option productRating activée et un produit WooCommerce avec une note non nu…
Source : NVD — CVE-2026-109978
Product Addons for WooCommerce : XSS persistante
Product Addons for WooCommerce – Product Options with Custom Fields jusqu’à la version 3.1.8 incluse permet à un utilisateur authentifié ayant au moins le rôle Shop Manager d’injecter du JavaScript persistant. Le code s’exécute lorsqu’un u…
Source : NVD — CVE-2026-109988
Travelly : divulgation de publications par contournement d’autorisation
Travelly jusqu’à la version 2.3.6 incluse ne vérifie pas correctement les autorisations lors de la duplication de publications. Un utilisateur authentifié ayant au moins le rôle Contributeur peut copier dans ses brouillons le contenu et le…
Source : NVD — CVE-2026-111213
WoowBot : contournement d’autorisation et consommation de crédits API
Le plugin AI ChatBot for WooCommerce – WoowBot est vulnérable à un contournement d’autorisation permettant à un utilisateur authentifié de déclencher des synchronisations RAG et de consommer les crédits API payants du site. Les versions ju…
Source : NVD — CVE-2026-111372
PayPal Brasil para WooCommerce : contournement d’autorisation
Le module PayPal Brasil para WooCommerce permet à des attaquants non authentifiés de modifier les réglages de la passerelle BCDC, notamment de la désactiver et de la retirer du paiement. Les versions concernées vont jusqu’à 1.7.8 incluse ;…
Source : NVD — CVE-2026-76058
Waitlist Woocommerce : XSS stockée via un shortcode
Waitlist Woocommerce permet à des utilisateurs authentifiés ayant le rôle Contributor ou supérieur d’introduire du contenu JavaScript persistant via l’attribut `type` d’un shortcode. Les versions jusqu’à 2.9.1 incluse sont concernées ; auc…
Source : NVD — CVE-2026-77188
BitPay Gateway for WooCommerce : commandes marquées payées à tort
BitPay Gateway for WooCommerce ne lie pas correctement la confirmation de transaction à la commande ni ne vérifie le montant confirmé. Les versions jusqu’à 4.1.3 incluses sont concernées et un attaquant non authentifié disposant d’une tran…
Source : NVD — CVE-2026-103313
XSS stockée dans le plugin WordPress Ultimate Member
Le plugin Ultimate Member est vulnérable à une XSS stockée via le paramètre `user_url` ; l’exploitation requiert un compte authentifié disposant au moins du rôle d’abonné et l’interaction d’un visiteur avec le lien du profil. Les versions…
Source : NVD — CVE-2026-107625
AI Engine : suppression non autorisée de fichiers média
AI Engine présente une faille de suppression de fichiers média liée à une validation insuffisante des chemins. Les versions jusqu’à 3.8.4 inclus sont concernées ; l’exploitation nécessite le réglage Public API activé et dépend de l’exécuti…
Source : NVD — CVE-2026-107745
All-in-One Video Gallery : XSS stockée via le code d’intégration
All-in-One Video Gallery présente une XSS stockée liée au champ « custom_fields[embedcode] ». Les versions jusqu’à 4.9.7 inclus sont concernées ; la fiche indique une exploitation possible via XML-RPC par un utilisateur authentifié disposa…
Source : NVD — CVE-2026-109209
All-in-One Video Gallery : XSS stockée via more_link
All-in-One Video Gallery présente une XSS stockée via le paramètre « more_link ». Les versions jusqu’à 4.9.7 inclus sont concernées ; la fiche indique que des utilisateurs authentifiés ayant au moins le rôle Contributeur peuvent injecter u…
Source : NVD — CVE-2026-109974
CVE-2026-111727 — XSS stockée dans Appointment Booking Calendar
Une XSS stockée affecte Appointment Booking Calendar via le paramètre « vs_text_submitbtn » : un attaquant authentifié peut injecter du script, sous réserve notamment d’être désigné propriétaire d’un calendrier. Mettre à jour au-delà de la…
Source : NVD — CVE-2026-111727
Payconiq pour WordPress : accès non autorisé aux données de commandes
CVE-2026-103372 affecte le plugin Payconiq pour WordPress jusqu’à la version 1.0.4 : un utilisateur non authentifié peut obtenir la clé de commande d’une commande payée et, pour certaines commandes récentes invitées, consulter des données…
Source : NVD — CVE-2026-103372
Thrive Automator : injection SQL accessible aux éditeurs
CVE-2026-104694 touche Thrive Automator pour WordPress avant la version 11.2. Un attaquant authentifié disposant d’un accès de niveau éditeur peut exploiter une injection SQL aveugle, car une clé de tableau n’est pas correctement assainie…
Source : NVD — CVE-2026-104694
Booking Package : envoi abusif de courriels de vérification
CVE-2026-105997 affecte Booking Package pour WordPress avant la version 1.7.33. Des utilisateurs non authentifiés peuvent déclencher l’envoi de courriels contenant des codes de vérification à des destinataires arbitraires, car le destinata…
Source : NVD — CVE-2026-105997
Court Reservation : suppression non autorisée de défis de tournoi
CVE-2026-106002 touche Court Reservation pour WordPress avant la version 1.12.4. Une action de gestion des défis ne vérifie ni les autorisations ni le nonce, ce qui permet à un utilisateur non authentifié de supprimer des défis de tournoi…
Source : NVD — CVE-2026-106002
Court Reservation : modification non autorisée des types de réservation
CVE-2026-106003 affecte Court Reservation pour WordPress avant la version 1.12.4. Une action AJAX ne comporte aucune validation d’autorisation, d’authentification ou de nonce, permettant à un utilisateur non authentifié d’ajouter ou de sup…
Source : NVD — CVE-2026-106003
Royal Addons for Elementor : ajout non autorisé de contacts à Mailchimp
CVE-2026-107097 affecte Royal Addons for Elementor pour WordPress avant la version 1.7.1070. En l’absence de vérification d’autorisation, un attaquant non authentifié peut utiliser les identifiants Mailchimp enregistrés par le propriétaire…
Source : NVD — CVE-2026-107097
Royal Addons for Elementor : XSS via le réglage de taille du widget de carte
Royal Addons for Elementor échappe insuffisamment un réglage de taille du widget cartographique avant son insertion dans un attribut HTML. Un contributeur ou un utilisateur de rôle supérieur peut ainsi injecter du JavaScript exécuté par le…
Source : NVD — CVE-2026-107098
Royal Addons for Elementor : divulgation de contenus non publics
Une action AJAX non authentifiée de Royal Addons for Elementor ne vérifie pas que le contenu demandé est publiquement visible et se fie uniquement au statut de publication. Elle peut exposer le contenu de types de publications non publics,…
Source : NVD — CVE-2026-107100
Page Builder by SiteOrigin : XSS persistante dans l’interface du constructeur
Page Builder by SiteOrigin ne nettoie ni n’échappe une propriété de widget avant son stockage et son affichage dans l’interface du constructeur, permettant une XSS persistante. Un utilisateur ayant le rôle Contributeur ou supérieur peut vi…
Source : NVD — CVE-2026-110506
Essential Addons for Elementor : exposition de contenus non publics et de métadonnées
Dans Essential Addons for Elementor, une requête non authentifiée vers le point de pagination pouvait spécifier un type de publication ou une requête de métadonnées non restreints. Cela pouvait exposer des contenus de types non publics et…
Source : NVD — CVE-2026-110509
Copy Anything to Clipboard : XSS stockée via un attribut de shortcode
Copy Anything to Clipboard ne neutralisait pas correctement un attribut de shortcode avant son stockage et sa réinsertion dans la page par un script côté client. Un utilisateur ayant le rôle contributeur ou supérieur pouvait ainsi provoque…
Source : NVD — CVE-2026-110524
WPOrLogin : modification non autorisée des URL de connexion
WPOrLogin ne vérifiait ni les capacités de l’utilisateur ni la validité d’un nonce avant de modifier les réglages de l’URL de connexion masquée. Un attaquant non authentifié pouvait réassigner les chemins de connexion, d’inscription et de…
Source : NVD — CVE-2026-110691
Welcart e-Commerce : injection SQL via un paramètre
Dans Welcart e-Commerce avant 2.12.6, un paramètre insuffisamment assaini permet une injection SQL à des utilisateurs ayant le rôle Éditeur ou supérieur. Mettre à jour vers la version 2.12.6 ou ultérieure.
Source : NVD — CVE-2026-111027
Welcart e-Commerce : redirection vers un site externe
Welcart e-Commerce avant 2.12.6 ne valide pas une URL fournie par l’utilisateur avant de l’utiliser dans une redirection. Un attaquant non authentifié peut rediriger les visiteurs vers un site externe arbitraire; mettre à jour vers la vers…
Source : NVD — CVE-2026-111031
Royal MCP : divulgation de contenus non publics
Royal MCP avant 1.5.10 ne vérifie pas les permissions au niveau de l’objet ni le type de contenu dans l’un de ses outils de recherche. Un utilisateur authentifié, par exemple un abonné, peut accéder au titre et au contenu d’entrées non pub…
Source : NVD — CVE-2026-111960
MP3 Audio Player : injection JavaScript via un attribut de shortcode
Le plugin WordPress MP3 Audio Player avant la version 5.16 ne neutralise pas un attribut de shortcode avant son insertion dans un attribut HTML, ce qui permet une injection JavaScript stockée par un utilisateur disposant au minimum du rôle…
Source : NVD — CVE-2026-111967
Media Library Assistant : actions groupées vulnérables au CSRF
Media Library Assistant avant 3.42 vérifie de manière incomplète le nonce CSRF dans le gestionnaire d’actions groupées de la médiathèque. Une requête forgée omettant le champ nonce peut faire mettre à la corbeille ou supprimer des pièces j…
Source : NVD — CVE-2026-113485
Media Library Assistant : vidage de corbeille vulnérable au CSRF
Media Library Assistant avant 3.42 ne vérifie pas le nonce CSRF pour l’action de vidage de la corbeille. Une requête forgée peut faire supprimer définitivement toutes les pièces jointes à la corbeille par un utilisateur connecté ayant le r…
Source : NVD — CVE-2026-113486
GeoDirectory : XSS stocké via le lien d’un badge
GeoDirectory avant 2.8.196 n’assainit ni n’échappe correctement le lien d’un badge de publication avant de l’afficher dans une annonce. Un utilisateur ayant le rôle Contributeur ou supérieur peut injecter du JavaScript stocké qui s’exécute…
Source : NVD — CVE-2026-113487
GeoDirectory : XSS stockée via un shortcode de badge
GeoDirectory avant la version 2.8.196 n’échappe pas correctement un attribut de shortcode de badge avant son insertion dans un gestionnaire d’événement JavaScript. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi créer du c…
Source : NVD — CVE-2026-113488
Customer Engagement System : injection SQL dans les règles de visibilité
La fiche NVD publiée le 28 octobre décrit une injection SQL dans la construction des requêtes enregistrant les règles de visibilité des pages et catégories d’une fenêtre popup. Un administrateur authentifié peut injecter du SQL et lire la…
Source : CVE-2026-115224 — NVD
Customer Engagement System : requêtes serveur vers des hôtes internes
La fiche NVD publiée le 28 octobre indique que la fonction de recherche de groupes d’intérêt MailChimp de Customer Engagement System ne restreint pas l’accès et ne valide pas la clé API fournie. Un utilisateur non authentifié peut provoque…
Source : CVE-2026-115225 — NVD
WP Roster : suppression non authentifiée de comptes utilisateurs
La fiche NVD publiée le 28 octobre signale qu’une action AJAX de WP Roster ne contrôle ni les capacités ni le nonce. Un attaquant non authentifié peut supprimer les comptes WordPress des membres du roster ; mettre à jour WP Roster vers la…
Source : CVE-2026-115255 — NVD
Injection SQL dans Recipe Card Blocks Lite
Recipe Card Blocks Lite antérieure à 3.6.4 ne neutralise pas un attribut de bloc ou de shortcode avant son insertion dans une requête SQL, permettant une injection SQL. L’attaque requiert un compte ayant au moins le rôle Contributor ; mett…
Source : NVD — CVE-2026-115281
XSS stockée dans Postie
Postie jusqu’à la version 1.9.87 permet une injection de script persistante via les URL auto-liées dans le corps des courriels traités. Le point d’accès de récupération des courriels est accessible sans authentification ; mettre à jour ver…
Source : NVD — CVE-2026-100175
XSS stockée dans Awesome Support
Awesome Support jusqu’à la version 6.4.1 présente une XSS stockée via le paramètre wpas_files, due à un assainissement et un échappement insuffisants. L’exploitation requiert un compte authentifié avec un accès de niveau personnalisé ou su…
Source : NVD — CVE-2026-103370
XSS stockée dans If-So Dynamic Content via le paramètre url
If-So Dynamic Content jusqu’à la version 1.10.2 présente une XSS stockée via le paramètre url. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter un script qui s’exécute dans le navigateur d’un administrateur lor…
Source : NVD — CVE-2026-103996
XSS stockée dans Avada Builder
Avada (Fusion) Builder jusqu’à la version 3.16.2 permet une XSS stockée via les paramètres tab_index et empty_notice. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts persistants ; mettre à jour ver…
Source : NVD — CVE-2026-104729
XSS stockée dans If-So Dynamic Content via l’attribut conversion
If-So Dynamic Content jusqu’à la version 1.10.2 présente une seconde XSS stockée, cette fois via l’attribut de shortcode conversion. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts dans des pages ;…
Source : NVD — CVE-2026-104740
Traversée de répertoires dans Tainacan
Tainacan jusqu’à la version 1.3.0 permet à un utilisateur authentifié disposant au moins du rôle Editor de lire des fichiers arbitraires via une traversée de répertoires. Le chemin d’import empoisonné est conservé en base puis lu par un en…
Source : NVD — CVE-2026-104743
XSS stockée dans Hustle
Hustle jusqu’à la version 7.8.14.3 présente une XSS stockée via le paramètre content[title]. L’exploitation requiert un compte authentifié auquel un administrateur a explicitement accordé la capacité de créer et modifier des modules ; mett…
Source : NVD — CVE-2026-107710
XSS stockée dans easy.jobs
easy.jobs jusqu’à la version 2.8.2 présente une XSS stockée via l’attribut icon du bloc Gutenberg easyjobs/job-list. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts dans les pages concernées ; mett…
Source : NVD — CVE-2026-108366
CVE-2026-109370 — XSS DOM stockée dans Document Embedder
Document Embedder est vulnérable à une XSS DOM stockée jusqu’à la version 2.4.0 incluse; un utilisateur authentifié ayant au moins le rôle Contributor peut injecter un script qui s’exécute lorsqu’un visiteur clique sur le bouton de télécha…
Source : NVD — CVE-2026-109370
UiChemy : XSS stockée dans un lien de composant
UiChemy permet une XSS stockée via un lien `slot_{N}_link` insuffisamment assaini dans les versions jusqu’à 5.3.0 incluse. L’exécution du lien JavaScript nécessite qu’un utilisateur privilégié clique dessus en examinant ou prévisualisant l…
Source : NVD — CVE-2026-109385
CVE-2026-109590 — XSS stockée dans Tour Booking Manager
Tour Booking Manager est vulnérable à une XSS stockée dans les attributs width, height et zoom du shortcode [ttbm-hotel-map] jusqu’à la version 2.3.6 incluse. Un utilisateur authentifié ayant au moins le rôle Contributor peut injecter du s…
Source : NVD — CVE-2026-109590
CVE-2026-109972 — XSS stockée dans s2Member
s2Member est associé à une vulnérabilité de XSS stockée selon la fiche NVD publiée pendant la période. Toutefois, le texte fourni est tronqué avant de préciser les versions touchées, les conditions d’exploitation et les détails d’impact; c…
Source : NVD — CVE-2026-109972
CVE-2026-109975 — XSS stockée dans Cozy Blocks (attributs de bloc)
Cozy Blocks est vulnérable à une XSS stockée via des attributs de bloc jusqu’à la version 2.2.27 incluse, selon la fiche fournie. Le candidat précise que wp_kses_post ne neutralise pas le vecteur décrit, mais son texte est tronqué; aucun c…
Source : NVD — CVE-2026-109975
CVE-2026-109979 — Divulgation de titres de publications dans Related Posts for WordPress
Related Posts for WordPress expose les titres de publications non publiques jusqu’à la version 3.0.0 incluse. Un utilisateur authentifié ayant au moins le rôle Contributor peut lier un identifiant de publication arbitraire à un brouillon q…
Source : NVD — CVE-2026-109979
Related Posts for WordPress : exposition d’informations sur les articles privés
La version 3.0.0 et les versions antérieures de Related Posts for WordPress exposent les titres et dates de publication de tous les articles privés à des utilisateurs authentifiés ayant au moins le rôle Contributeur. La fiche ne précise pa…
Source : NVD — CVE-2026-109980
Rich Showcase for Google Reviews : divulgation d’un secret d’authentification
Rich Showcase for Google Reviews jusqu’à la version 7.1.6 incluse vérifie insuffisamment les autorisations, permettant à un utilisateur authentifié ayant au moins le rôle Contributeur d’obtenir le secret grw_auth_code du site. Ce secret pe…
Source : NVD — CVE-2026-110020
Mang Board : XSS persistante via le paramètre align
Mang Board jusqu’à la version 2.4.5 incluse présente une XSS persistante exploitable par un utilisateur authentifié ayant au moins le rôle Contributeur. La source ne mentionne pas de version corrigée ; mettre le plugin à jour dès qu’un cor…
Source : NVD — CVE-2026-110071
Bit Flows : inclusion de fichier local pouvant mener à l’exécution de code
Bit Flows jusqu’à la version 1.31.0 incluse est vulnérable à une inclusion de fichier local pouvant mener à l’exécution de code PHP. L’exploitation exige une configuration particulière de flux webhook sans secret bearer ni liste d’adresses…
Source : NVD — CVE-2026-110185
DesignSetGo : XSS persistante lors de la conversion des blocs
DesignSetGo jusqu’à la version 2.11.0 incluse présente une XSS persistante déclenchable par un utilisateur authentifié ayant au moins le rôle Contributeur. L’exploitation nécessite qu’un administrateur lance la migration « Scan & Convert B…
Source : NVD — CVE-2026-111068
Beyondseo : gestion non autorisée des redirections
Beyondseo accorde aux comptes Contributor des capacités de gestion des redirections et ses routes REST permettent de créer, modifier ou supprimer des redirections à l’échelle du site. Les versions jusqu’à 1.3.6 incluse sont concernées ; au…
Source : NVD — CVE-2026-76780
Post Snippets : XSS stockée dans les attributs de shortcode
Post Snippets permet à des utilisateurs authentifiés de niveau Contributor ou supérieur d’injecter du JavaScript persistant dans les attributs de shortcode, lorsque les shortcodes de snippets sont activés. Les versions jusqu’à 4.2.4 inclus…
Source : NVD — CVE-2026-77871
Multi-Step Forms for Contact Form 7 : XSS réfléchie
Multi-Step Forms for Contact Form 7 présente une XSS réfléchie via le paramètre `l10n_print_after` dans les configurations comportant au moins un formulaire avec la balise `[multistep]`. Les versions jusqu’à 4.7 incluse sont concernées sel…
Source : NVD — CVE-2026-92098
Echo Knowledge Base : XSS réfléchie dans l’aperçu frontal
Echo Knowledge Base comporte une XSS réfléchie liée à des valeurs de configuration insérées sans échappement dans une feuille de style lors de l’aperçu frontal. La fiche indique les versions jusqu’à 17.214.0 incluse ; l’attaque nécessite é…
Source : NVD — CVE-2026-101935
Enable Media Replace : modification non autorisée de publications
Enable Media Replace ne vérifie pas les droits sur chaque publication affectée lors du remplacement d’un média, ce qui permet à un utilisateur authentifié de niveau Author ou supérieur de modifier le contenu de publications qu’il ne peut n…
Source : NVD — CVE-2026-85655
Sadad QA Payment : falsification de notifications de paiement
Sadad QA Payment ne valide pas correctement l’authenticité des notifications de paiement ; le secret marchand étant vide par défaut et les autres données signées contrôlables, une confirmation peut être falsifiée. Les versions jusqu’à 1.28…
Source : NVD — CVE-2026-103330
WP Visitor Statistics : injection SQL via les attributs d’un shortcode
Le plugin WP Visitor Statistics (Real Time Traffic) présente une injection SQL exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Les versions jusqu’à 8.8 inclus sont concernées ; le contenu fourni ne précise n…
Source : NVD — CVE-2026-116609
Clean Login : autorisation manquante lors de l’enregistrement de contenus
Le plugin Clean Login ne vérifie pas correctement les autorisations lors de l’enregistrement de certains contenus, ce qui permet à un utilisateur authentifié de niveau Contributeur ou supérieur de modifier des options du plugin. Les versio…
Source : NVD — CVE-2026-116610
VikRentCar : script intersites persistant via className
Le plugin VikRentCar est vulnérable à une injection de scripts persistante via le paramètre className, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Toutes les versions jusqu’à 1.4.10 inclus sont concernée…
Source : NVD — CVE-2026-116749
VikRentCar : injection SQL aveugle via catid
Le plugin VikRentCar présente également une injection SQL aveugle via le paramètre catid, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Toutes les versions jusqu’à 1.4.10 inclus sont concernées ; aucun cor…
Source : NVD — CVE-2026-116750
CMB2 : script intersites persistant dans un formulaire frontal configurable
Le plugin CMB2 présente une vulnérabilité de script intersites persistant liée à un champ WYSIWYG dans un groupe répétable, dans une configuration particulière du formulaire frontal. Toutes les versions jusqu’à 2.13.4 inclus sont concernée…
Source : NVD — CVE-2026-116761
If-So Dynamic Content : script intersites persistant
Le plugin If-So Dynamic Content est vulnérable à un script intersites persistant via des champs du paramètre repeater, notamment version_uid. Les versions jusqu’à 1.10.2 inclus sont concernées ; les éléments fournis ne précisent pas de ver…
Source : NVD — CVE-2026-118164
Hustle : script intersites persistant dans le libellé d’appel à l’action
Le plugin Hustle est vulnérable à un script intersites persistant via le paramètre content[cta_label], dans les versions jusqu’à 7.8.14.3 inclus. L’exploitation requiert la capacité hustle_edit_module, attribuée par défaut aux administrate…
Source : NVD — CVE-2026-118169
ACF Extended : accès non autorisé à des données via des gestionnaires AJAX
Advanced Custom Fields: Extended expose des gestionnaires AJAX accessibles sans authentification qui ne vérifient pas correctement les capacités de l’utilisateur. Jusqu’à la version 0.9.2.7 incluse, un attaquant non authentifié peut notamm…
Source : NVD — CVE-2026-2839
WP Inventory Manager : injection SQL temporelle via un shortcode
WP Inventory Manager est vulnérable à une injection SQL temporelle via l’attribut sort_order du shortcode wpinventory_categories, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Les versions jusqu’à 2.5.5 in…
Source : NVD — CVE-2026-76005
Royal Elementor Addons : validation insuffisante des destinataires de courriels
Royal Elementor Addons ne valide pas les valeurs de champs soumises avant de les utiliser dans les destinataires des courriels de notification de formulaire. Si un champ destinataire reprend une valeur soumise, un attaquant non authentifié…
Source : NVD — CVE-2026-106648
Essential Addons for Elementor : contournement de l’approbation des inscriptions
Essential Addons for Elementor n’applique pas l’exigence d’approbation par un administrateur aux comptes créés par le parcours d’inscription utilisant un mot de passe à usage unique envoyé par courriel. Lorsque les deux fonctions sont acti…
Source : NVD — CVE-2026-110508
Smart Popup by Supsystic : injection de modèle côté serveur
Smart Popup by Supsystic ne bloque pas certains contenus d’injection de modèle stockés dans un bloc de texte de popup, puis évalués par le moteur de modèles. Un administrateur authentifié peut ainsi exécuter des expressions de modèle côté…
Source : NVD — CVE-2026-115223
Ninja Forms : validation incomplète pouvant entraîner une injection CSV
Ninja Forms ne valide pas suffisamment côté serveur certaines valeurs soumises dans des champs de type cases à cocher, listes à choix multiples, listes d’images, pays et état. Un attaquant non authentifié peut soumettre des valeurs de form…
Source : NVD — CVE-2026-67187
iCagenda — injection de formule dans l’export CSV des inscriptions
Une injection de formule CSV affecte l’export des inscriptions dans iCagenda. Le fournisseur indique que le problème est corrigé dans iCagenda 4.0.17.
Source : NVD — CVE-2026-102799
Royal Addons for Elementor : détournement de la destination des formulaires
CVE-2026-106647 concerne Royal Addons for Elementor avant la version 1.7.1070. Un utilisateur ayant le rôle Auteur ou supérieur peut remplacer la configuration de livraison de courriels d’un formulaire appartenant à un autre utilisateur et…
Source : NVD — CVE-2026-106647
Page Builder by SiteOrigin : lecture de publications non publiques via Post Loop
Le widget Post Loop de Page Builder by SiteOrigin ne restreint pas les arguments de requête et ne limite pas les résultats aux publications que l’utilisateur est autorisé à lire. Un utilisateur ayant le rôle Contributeur ou supérieur peut…
Source : NVD — CVE-2026-110507
Welcart e-Commerce : contrôle d’accès insuffisant aux données SKU
Welcart e-Commerce avant 2.12.6 contrôle les permissions sans les rattacher au produit visé lors de changements de SKU. Tout utilisateur authentifié disposant au moins du rôle Auteur peut consulter ou modifier les données SKU d’autres prod…
Source : NVD — CVE-2026-111032
Royal MCP : accès et publication de pages sans autorisation adéquate
Royal MCP avant 1.5.10 ne vérifie pas les permissions portant sur la page demandée avant de la dupliquer. Un utilisateur ayant le niveau Contributeur peut lire le contenu complet de pages privées ou en brouillon et les publier sans permiss…
Source : NVD — CVE-2026-111961
GeoDirectory : divulgation de listings non publics
La fiche NVD publiée le 28 octobre signale que GeoDirectory ne vérifie ni le statut ni la propriété d’un listing référencé dans certains shortcodes de champ. Un utilisateur ayant au moins le rôle Contributor peut ainsi consulter le contenu…
Source : CVE-2026-113494 — NVD
WordPress 7.1.4 corrige plusieurs problèmes de sécurité
WordPress a publié la version 7.1.4 comme mise à jour de sécurité, corrigeant plusieurs problèmes du cœur, dont des XSS stockées, un risque d’exécution de code à distance pendant la mise à niveau et des problèmes de contrôle d’accès. Mette…
Source : WordPress 7.1.4
Systèmes & serveurs
120 alerte(s)CISA ajoute CVE-2026-46300 du noyau Linux au catalogue KEV
CISA a ajouté CVE-2026-46300 au catalogue KEV le 2026-10-28 et signale son exploitation connue. La vulnérabilité du noyau Linux concerne une initialisation manquante pouvant permettre la modification involontaire de données adossées au cac…
Source : CISA KEV
Linux : débordement de tas lors de la définition d’une ACL CIFS
Une validation insuffisante de la taille d’une ACL CIFS pouvait provoquer un débordement de tas lors de sa conversion au format réseau. Le correctif vérifie la taille nécessaire et sa compatibilité avec la limite de longueur du paquet.
Source : NVD — CVE-2026-99110
Linux : perte de données possible lors d’O_TRUNC concurrent sur CIFS
Lors d’un O_TRUNC concurrent avec des écritures tamponnées, le client CIFS pouvait perdre des pages salies entre le vidage des pages et la troncature locale. Le correctif verrouille la séquence de vidage, de troncature et de redimensionnem…
Source : NVD — CVE-2026-99111
Linux : lecture hors limites dans cls_flower
Dans cls_flower, un pointeur de masque avancé pouvait être utilisé sans validation, entraînant une lecture hors limites lors de l’analyse des options de tunnel. Le correctif rejette le filtre lorsque le pointeur obtenu est invalide, sauf d…
Source : NVD — CVE-2026-99112
Linux : divulgation possible de données résiduelles par ksmbd
ksmbd pouvait renvoyer des octets résiduels dans une réponse composée, car une structure FS_OBJECT_ID_INFORMATION n’était pas entièrement initialisée. Le correctif met la structure à zéro avant de la remplir.
Source : NVD — CVE-2026-99113
Linux : indicateurs non initialisés dans une réponse de ksmbd
ksmbd ne renseignait pas les indicateurs FileSystemControlFlags dans une réponse FS_CONTROL_INFORMATION. Dans une requête composée, cette omission pouvait exposer des données résiduelles; le correctif indique qu’aucun indicateur de contrôl…
Source : NVD — CVE-2026-99114
Linux : champ FileSysIdentifier non renseigné par ksmbd
ksmbd ne renseignait pas le champ FileSysIdentifier dans une réponse FS_POSIX_INFORMATION. Le correctif le remplit avec l’identifiant du système de fichiers renvoyé par statfs().
Source : NVD — CVE-2026-99115
Linux : use-after-free lié à l’association PSP lors du clonage de sockets
Lors de la duplication de sockets, l’association PSP du socket parent pouvait être copiée sans référence appropriée, puis libérée alors que des sockets TIME_WAIT l’utilisaient encore. Le correctif empêche l’héritage de cette association pa…
Source : NVD — CVE-2026-99116
Linux : pointeur de port invalide lors du retrait de groupes multicast
Lors de la suppression d’un port de pont réseau, le parcours des groupes multicast pouvait s’interrompre prématurément et laisser des groupes avec un pointeur de port invalide. Le correctif préserve le chaînage nécessaire au parcours et ig…
Source : NVD — CVE-2026-99117
Linux : validation renforcée du micrologiciel DMC d’i915
L’analyse du micrologiciel DMC d’i915 ne vérifiait pas certains calculs de taille et acceptait des charges utiles vides ou sans entrées MMIO. Le correctif contrôle le débordement arithmétique et rejette ces en-têtes malformés.
Source : NVD — CVE-2026-99118
Linux : correction de la validation des BO AMDGPU pour les files utilisateur
Le code AMDGPU destiné aux files utilisateur ne parcourait pas correctement certaines listes d’objets mémoire évincés, et une référence à un objet BO manquait avant son verrouillage. Le correctif valide les BO concernés et ajoute la référe…
Source : NVD — CVE-2026-99119
Linux — validation insuffisante des longueurs d’enregistrements du micrologiciel p54
Le parseur du micrologiciel p54 pouvait lire au-delà d’enregistrements mal formés dont la longueur ne couvrait pas les champs consultés. Le correctif valide les longueurs et les valeurs du descripteur avant de mettre à jour l’état du pilot…
Source : NVD — CVE-2026-99100
Linux : correction d’un défaut de redimensionnement d’attributs NTFS
Une erreur dans `ntfs_new_attr_flags()` pouvait faire redimensionner l’enregistrement d’un attribut avant le déplacement de sa charge utile, entraînant la persistance de données de mapping pairs mal formées. Le correctif déplace la charge…
Source : NVD — CVE-2026-99101
Linux : synchronisation du redimensionnement de fichiers NTFS
`ntfs_setattr_size()` modifiait la taille et redimensionnait l’attribut sur disque sans verrou exclusif `invalidate_lock`, ce qui pouvait provoquer une erreur SIGBUS lors d’une faute de page concurrente. Le correctif protège l’opération de…
Source : NVD — CVE-2026-99102
Linux — utilisation après libération dans la durée de vie des pools workqueue
Un pwq vide pouvait rester dans pending_pwqs alors que sa référence au worker_pool était libérée. Le traitement ultérieur de cette liste pouvait alors tenter de verrouiller un pool déjà libéré, entraînant une utilisation après libération.
Source : NVD — CVE-2026-99103
Linux sched_ext : correction de réservations de dispatch lors du contournement
La propagation des opérations de contournement dans `sched_ext` ne gérait pas correctement les réservations de dispatch des ordonnanceurs descendants, ce qui pouvait laisser des tâches sans consommateur ou provoquer un avertissement noyau.…
Source : NVD — CVE-2026-99104
Linux — tâche bloquée dans la file locale avec certains ordonnanceurs sched_ext
Avec SCX_OPS_ENQ_LAST, certains chemins plaçaient une tâche dans la file locale du processeur sans provoquer de nouvelle planification. Le processeur pouvait alors rester inactif avec la tâche en attente jusqu’à un réveil ultérieur ou au d…
Source : NVD — CVE-2026-99105
Linux — fuite de ressources userptr dans le chemin d’erreur amdgpu
Certaines erreurs après l’allocation des plages HMM dans amdgpu_cs_parser_bos() ne libéraient pas les plages associées aux entrées userptr. Les échecs répétés pouvaient donc laisser des plages, leurs tableaux hmm_pfns et des références aux…
Source : NVD — CVE-2026-99106
Linux NTFS : correction du pointeur MFT utilisé pour redimensionner un attribut
`ntfs_new_attr_flags()` transmettait à `ntfs_attr_record_resize()` le pointeur de l’enregistrement MFT de base au lieu de celui de l’enregistrement d’extension contenant l’attribut. Le correctif transmet le bon pointeur; les versions affec…
Source : NVD — CVE-2026-99107
Linux : risque de perte de données lors de FITRIM sur NTFS
Une erreur d’alignement dans FITRIM pouvait étendre une commande discard au-delà d’une zone libre NTFS et effacer des clusters alloués. Le correctif aligne la fin absolue de la zone et ignore celles qui ne contiennent aucune unité discard…
Source : NVD — CVE-2026-99108
Linux : écriture hors limites dans le client SMB lors de SetEA
Le client SMB du noyau copiait une valeur d’attribut étendu sans vérifier au préalable que la requête assemblée tenait dans le tampon, ce qui pouvait provoquer une écriture hors limites. Le correctif contrôle la taille totale avant la copi…
Source : NVD — CVE-2026-99109
Linux KVM : accès hors limites possible avec le bit SS dans un code #NPF
KVM x86 pouvait effectuer un accès hors limites lorsqu’un code d’erreur de défaut de page imbriquée contenait le bit SS inattendu. Le correctif filtre les bits inconnus lors du contrôle des permissions tout en conservant le bit SS dans le…
Source : NVD — CVE-2026-99120
Linux IPv4 : éviter une division par zéro dans fib_rebalance
Une modification concurrente du paramètre ignore_routes_with_linkdown peut faire calculer à fib_rebalance() un poids total nul avant qu’une seconde passe ne trouve un prochain saut admissible, entraînant une division par zéro. Le correctif…
Source : NVD — CVE-2026-99121
Linux vsock/VMCI : validation manquante de la source des paquets
Le transport VMCI de vsock pouvait sélectionner un socket connecté à partir de sa seule destination, sans vérifier que le paquet provenait bien du pair attendu. Le correctif contrôle la source après verrouillage du socket, dans les chemins…
Source : NVD — CVE-2026-99122
Linux vsock/virtio : validation de la source des paquets reçus
Dans le transport virtio de vsock, la recherche de socket par destination seule pouvait accepter des paquets d’une source autre que le pair enregistré. Le défaut pouvait permettre à un processus sans capacités particulières d’injecter des…
Source : NVD — CVE-2026-99123
Linux s390/pci : empêcher la fuite de données non initialisées dans un rapport SCLP
La fonction report_error_write() vérifiait la taille minimale de l’en-tête, mais pas que le tampon fourni contenait toute la longueur de rapport déclarée. Un tampon trop court pouvait ainsi provoquer une lecture hors limites et inclure dan…
Source : NVD — CVE-2026-99124
Linux s390 : gestion des appels répétés d’arrêt du PMU
Sur s390, plusieurs appels rapprochés au callback d’arrêt du PMU pouvaient survenir lors de la limitation d’échantillonnage suivie de la terminaison d’une tâche. Le correctif rend l’arrêt idempotent, réinitialise l’état lors du démarrage e…
Source : NVD — CVE-2026-99125
Linux s390/ctcm : prévenir un déréférencement nul lors de la validation XID
Dans le pilote s390/ctcm, le chemin de validation XID pouvait déréférencer un pointeur nul lorsque le XID du pair était absent ou que l’appariement des canaux lecture/écriture était incohérent. Le correctif écrit le drapeau d’erreur dans p…
Source : NVD — CVE-2026-99126
Linux page_pool : préserver l’alignement des fragments de taille impaire
Des demandes de fragments de taille impaire pouvaient désaligner les allocations successives du page pool partagé. Dans un scénario XDP générique, ce désalignement pouvait placer skb_shared_info de façon à provoquer un verrou fractionné fa…
Source : NVD — CVE-2026-99127
Linux SCTP : valider la longueur des blocs dans le parseur d’entrée
Le parseur SCTP en file d’entrée acceptait des blocs dont la longueur déclarée était inférieure à l’en-tête générique de quatre octets. Avec certaines options SCTP-AUTH et ASCONF activées, un pair distant pouvait provoquer le retrait répét…
Source : NVD — CVE-2026-99128
Linux SELinux : correction des contrôles de permission des jetons BPF
Les contrôles SELinux des jetons BPF effectuaient des recherches répétées du SID du créateur de bpffs via le descripteur de fichier fourni. Le correctif utilise le chemin résolu ou le jeton lui-même selon l’opération, afin d’éviter notamme…
Source : NVD — CVE-2026-99129
Linux : boucle infinie à la sortie d’un thread avec io_uring
Une boucle de sortie dans io_uring peut faire tourner un thread sans fin lorsqu’un anneau désactivé est activé par un autre thread et conserve du travail local en attente. Le correctif évite d’attendre que le thread exécute un travail qu’i…
Source : NVD — CVE-2026-99130
Linux XFS : contournement possible des quotas de groupe
Une vérification incorrecte des capacités dans XFS peut permettre de contourner les contrôles de quota de groupe lors d’un changement de GID, notamment via un client NFS. Le correctif remplace la vérification concernée par ns_capable_noaud…
Source : NVD — CVE-2026-99131
Linux XFS : risque d’interblocage pendant la synchronisation des métadonnées
Dans XFS, xfs_sync_sb_buf() conservait des verrous de buffers pendant la validation synchrone d’une transaction, ce qui pouvait provoquer un interblocage lors d’un arrêt du système de fichiers. Le correctif libère les verrous lors de la va…
Source : NVD — CVE-2026-99132
Linux AF_IUCV : déconnexion intempestive et gestion incorrecte des crédits
La réception de messages sur une socket AF_IUCV pouvait envoyer une mise à jour de fenêtre réservée au transport HiperSockets même avec un transport classique, entraînant une déconnexion intempestive. Le chemin concerné comportait aussi un…
Source : NVD — CVE-2026-99133
Linux mac802154 : course pouvant provoquer un déréférencement NULL
Dans mac802154, une course entre le traitement d’une réponse d’association et le nettoyage pouvait provoquer un déréférencement NULL ou l’utilisation d’un objet libéré. Une réponse concurrente pouvait aussi rendre incohérents le statut et…
Source : NVD — CVE-2026-99134
Linux dm-integrity : boucle infinie lors d’un discard
Dans dm-integrity, le traitement d’un discard pouvait boucler indéfiniment lorsque l’allocation mémoire échouait et que la taille de tag dépassait la taille de hachage maximale. Le correctif utilise la taille réelle du tampon sur pile pour…
Source : NVD — CVE-2026-99135
Linux dm-crypt : statut d’erreur d’E/S périmé en cas de course
Une course dans dm-crypt permettait à crypt_dec_pending de lire un statut d’erreur avant qu’un autre contexte ne le mette à jour, puis de terminer l’E/S avec ce statut périmé. Une lecture ou écriture en échec pouvait ainsi être signalée co…
Source : NVD — CVE-2026-99136
Linux CIFS : incohérence de taille lors d’une troncature sans handle en cache
Le client CIFS pouvait mettre localement la taille d’un fichier à zéro avant qu’une ouverture O_TRUNC réussisse lorsque aucun handle inscriptible n’était disponible. Le correctif ne redimensionne le fichier qu’après un succès serveur et pu…
Source : NVD — CVE-2026-99137
Linux TCP : utilisation après libération dans TCP_CC_INFO
Dans do_tcp_getsockopt(TCP_CC_INFO), le noyau pouvait déréférencer un pointeur vers des opérations de contrôle de congestion BPF après sa libération concurrente. Le correctif protège le chargement du pointeur et l’appel à get_info par une…
Source : NVD — CVE-2026-99138
Linux TCP : utilisation après libération dans TCP_CONGESTION
Dans do_tcp_getsockopt(TCP_CONGESTION), le noyau lisait le nom des opérations de contrôle de congestion sans protection RCU, alors que leur mémoire BPF pouvait être libérée concurremment. Le correctif protège l’accès, copie le nom dans un…
Source : NVD — CVE-2026-99139
Linux : horodatage des déclencheurs hist sur événements tamponnés
Un défaut de concurrence dans le traçage pouvait déclencher un avertissement et enregistrer un horodatage incorrect lorsqu’un déclencheur hist était ajouté pendant le traitement d’un événement tamponné. Le correctif utilise l’API d’horodat…
Source : NVD — CVE-2026-99140
Linux : plantage possible lors d’un changement de traceur
Un changement de traceur sans indicateurs pouvait laisser `current_trace_flags` à NULL et provoquer un plantage lors de l’affichage d’entrées function_graph. Le correctif utilise un ensemble d’indicateurs vide dans ce cas, y compris lors d…
Source : NVD — CVE-2026-99141
Linux : dépassement possible de la pile d’opérateurs du parseur de prédicats
Une vérification insuffisante de la capacité de la pile d’opérateurs dans le parseur de prédicats pouvait autoriser une écriture au-delà de la pile allouée. Le correctif rejette l’empilement lorsque le sommet atteint la dernière entrée dis…
Source : NVD — CVE-2026-99142
Linux : dépassement de capacité lors de l’analyse des prédicats de traçage
Le parseur de prédicats confondait la limite de prédicats analysés avec la taille d’allocation après avoir réservé des entrées terminales. Lorsque davantage de prédicats étaient analysés que prévu, des accès pouvaient dépasser la mémoire a…
Source : NVD — CVE-2026-99143
Linux sched_ext : use-after-free lors d’une réinsertion différée
Une réinsertion différée pouvait accéder à une file DSQ utilisateur déjà libérée, entraînant une use-after-free. Le correctif annule les demandes en attente avant la période de grâce RCU et empêche les nouvelles demandes visant une file in…
Source : NVD — CVE-2026-99144
Linux drm/xe : correction des compteurs de pages pour les objets épinglés
Le pilote drm/xe modifiait sans condition les compteurs de pages récupérables lorsque l’état purgeable d’un objet mémoire épinglé changeait. Le correctif ne modifie que l’état de purgeabilité pour les objets épinglés et laisse la comptabil…
Source : NVD — CVE-2026-99145
Linux i915 : validation de l’adresse de chargement DMC
Pour certains firmwares DMC de version d’en-tête 3, l’adresse de chargement du firmware n’était pas validée avant son utilisation. Le correctif ajoute une vérification de sa plage de validité.
Source : NVD — CVE-2026-99146
Linux DRM : gestion incorrecte d’un objet préverrouillé dans DRM exec
Dans DRM exec, un objet verrouillé par anticipation après une contention pouvait être ajouté trop tôt à la liste des objets explicitement verrouillés. S’il n’était jamais référencé à nouveau par le pilote, un emplacement de fence pouvait m…
Source : NVD — CVE-2026-99147
Linux amdgpu : conservation de la clôture d’éviction jusqu’à la dernière référence
Le pilote amdgpu détachait la clôture d’éviction d’un objet GEM dès la fermeture de n’importe quel handle, même si d’autres références et mappings subsistaient. Le correctif conserve la clôture jusqu’à la disparition de la dernière référen…
Source : NVD — CVE-2026-99148
Linux amdgpu : fuite de ressources en cas d’échec ENOMEM de l’ioctl userptr
En cas d’échec d’allocation de plage HMM, l’ioctl userptr d’amdgpu retournait `-ENOMEM` sans libérer l’objet GEM ni ses ressources associées. Le correctif passe par la routine de libération de l’objet sur ce chemin d’erreur.
Source : NVD — CVE-2026-99149
Linux : double libération d’une référence Runtime PM dans AMDGPU
Le noyau Linux pouvait libérer deux fois une référence Runtime PM dans `amdgpu_debugfs_gpr_read()` lorsque la copie des registres vers l’espace utilisateur échouait, ce qui pouvait provoquer un sous-compte ou retirer la référence détenue p…
Source : NVD — CVE-2026-99150
Linux AMD Display : protection contre un déréférencement NULL du sink USB4
Dans le pilote AMD Display, des fonctions de gestion de bande passante USB4 s’appuyaient sur des assertions pour vérifier la présence de `stream->sink`; celles-ci peuvent être désactivées en production. Le correctif ajoute des vérification…
Source : NVD — CVE-2026-99151
Linux : validation insuffisante de tâches iSCSI (CVE-2026-99152)
Une réponse de gestion iSCSI malformée peut nommer une tâche qui n’est pas en cours et provoquer un déréférencement de pointeur nul dans le noyau. Le suivi Debian consulté indique que les versions Debian listées restent vulnérables et que…
Source : NVD — CVE-2026-99152
Linux : validation de l’ITT dans les PDU Reject iSCSI (CVE-2026-99153)
Un PDU Reject iSCSI peut contenir un ITT réfléchi non validé, conduisant à la complétion incorrecte d’une tâche, à un déréférencement nul ou à une corruption du traitement d’une commande SCSI. Le suivi Debian consulté indique les versions…
Source : NVD — CVE-2026-99153
Linux : index de tâche négatif accepté dans libiscsi
Des recherches de tâches libiscsi pouvaient accepter un index négatif fourni par le transport, car elles ne contrôlaient que la borne supérieure. Le pilote be2iscsi pouvait transmettre une valeur issue de l’ITT du PDU; le correctif rejette…
Source : NVD — CVE-2026-99154
Linux : déréférencement nul dans le frontend SCSI Xen
Le frontend SCSI Xen vérifiait qu’un identifiant de requête reçu du backend était dans les limites, mais déréférençait son entrée shadow sans vérifier qu’elle était renseignée. Une réponse malveillante ou erronée visant une requête absente…
Source : NVD — CVE-2026-99155
Linux : course d’utilisation après libération dans le pilote SCSI tape
Une course entre `st_remove()` et `st_open()` pouvait laisser dans l’IDR une entrée pointant vers un objet scsi_tape déjà libéré. Le correctif retire l’entrée de l’IDR avant de libérer la référence, sous le verrou prévu, afin que les ouver…
Source : NVD — CVE-2026-99156
Linux : débordement du tampon de réponse BSG pour UFS RPMB
Le tampon de réponse alloué par bsg-lib était trop petit pour certaines réponses UFS Advanced RPMB contenant un EHS de 64 octets, entraînant une écriture de huit octets au-delà de sa fin. Le correctif permet aux transports de fournir leur…
Source : NVD — CVE-2026-99157
Linux : faux avertissement dans le lecteur mmap du ring buffer
Dans le lecteur mmap du ring buffer, une course normale avec un écrivain encore en train de valider des événements pouvait faire retourner NULL à `rb_get_reader_page()`, résultat ensuite signalé à tort comme une erreur. Le correctif traite…
Source : NVD — CVE-2026-99158
Linux : base incorrecte du tableau de sous-tampons du ring buffer persistant
Sur un ring buffer persistant, le calcul d’index des sous-tampons pouvait être décalé d’un sous-tampon, laissant notamment `subbuf_ids[0]` nul et produisant des indices de métadonnées invalides. Cela pouvait provoquer un déréférencement nu…
Source : NVD — CVE-2026-99159
Linux — déréférencement nul lors de la lecture de buffer_meta
Une lecture de `buffer_meta` pour un CPU jamais démarré pouvait déréférencer un pointeur nul dans le noyau. Le correctif fait échouer l’ouverture avec `-ENODEV` lorsque ce CPU ne possède pas de tampon.
Source : NVD — CVE-2026-99160
Linux — fuite de référence d’horloge dans le pilote I²C MediaTek WMT
Le pilote I²C `viai2c-wmt` ne libérait pas la référence d’horloge acquise lors de son initialisation, notamment après une erreur ou le déchargement du module. Le correctif remplace cette acquisition par `devm_clk_get()`, qui gère automatiq…
Source : NVD — CVE-2026-99161
Linux GPIO : correction d’une use-after-free lors de l’ajout de proxies partagés
Une table de recherche GPIO pouvait rester en vie après l’objet kobject dont le nom fournissait la valeur de `lookup->dev_id`, créant un risque d’utilisation après libération. Le correctif duplique la chaîne afin que sa durée de vie soit i…
Source : NVD — CVE-2026-99162
Linux — validation incorrecte des champs de pile des histogrammes de traçage
La validation des champs d’événements synthétiques de traçage pouvait accepter un champ scalaire là où une pile était attendue, puis interpréter sa valeur comme un pointeur de pile du noyau. Le correctif propage les indicateurs de pile néc…
Source : NVD — CVE-2026-99163
Linux SPI i.MX : correction d’un débordement lié aux tampons DMA
Le pilote SPI i.MX allouait des tampons DMA plus courts que la longueur arrondie utilisée par les opérations de mapping et de synchronisation, permettant des accès au-delà de l’allocation. Le correctif dimensionne les tampons et la synchro…
Source : NVD — CVE-2026-99164
Linux — déréférencement nul dans le chemin d’envoi SCTP
Dans le chemin d’envoi SCTP, une attente libérant le verrou de socket pouvait rendre invalide le flux sélectionné avant la reprise, provoquant un déréférencement nul. Le correctif revérifie après ces attentes que le flux est valide et que…
Source : NVD — CVE-2026-99165
Linux — déréférencement d’un transport non initialisé dans RDS/RDMA
Le gestionnaire d’événements RDMA de RDS pouvait utiliser un transport non initialisé pour des événements provenant d’un périphérique non InfiniBand, avec un risque de plantage du noyau. Le correctif initialise explicitement le transport I…
Source : NVD — CVE-2026-99166
Linux — utilisation après libération dans la gestion des actions réseau
Dans le sous-système de planification réseau, une course entre la décrémentation du compteur de références et celle du compteur de liaisons pouvait conduire à accéder à une action déjà libérée. Le correctif protège les mises à jour des com…
Source : NVD — CVE-2026-99167
Linux mshv_vtl : vérification de la page de registres par CPU
Dans mshv_vtl, un indicateur global pouvait signaler la présence d’une page de registres alors que celle du CPU demandé n’avait pas été configurée. Un défaut de page utilisateur pouvait alors atteindre `get_page(NULL)`; le correctif vérifi…
Source : NVD — CVE-2026-99168
Linux — confusion lors de la réutilisation d’espace mémoire pour les futex partagés
La réutilisation d’une adresse de mémoire de processus pouvait permettre à des attentes sur un futex partagé de consommer des réveils destinés à un nouvel espace mémoire. Le correctif identifie chaque espace mémoire avec un identifiant uni…
Source : NVD — CVE-2026-99169
Linux : contournement d’un montage verrouillé via copy_tree()
Une incohérence dans `copy_tree()` pouvait permettre à un processus root dans son espace utilisateur de retirer la couverture d’un montage verrouillé, exposant le fichier sous-jacent. Le correctif empêche de laisser de côté ou de déplacer…
Source : NVD — CVE-2026-99170
Linux ntfs3 : utilisation après libération lors d’une recherche de chemin
La fiche NVD publiée le 28 octobre décrit une utilisation après libération dans le système de fichiers ntfs3 lorsque l’option de montage « nocase » est utilisée. Une recherche de chemin concurrente avec la disparition du dernier montage po…
Source : NVD — CVE-2026-99171
Linux : fuite du montage mqueue lors d’un échec d’initialisation IPC
Lorsqu’une initialisation d’espace de noms IPC échouait après la création du montage mqueue, un simple `mntput()` ne détruisait pas ce montage à longue durée de vie. Le correctif utilise `kern_unmount()` pour libérer correctement le montag…
Source : NVD — CVE-2026-99172
Linux eventfs : utilisation après libération lors d’un parcours de chemin
La fiche NVD publiée le 28 octobre décrit une utilisation après libération dans eventfs : un parcours de chemin RCU pouvait lire un eventfs_inode déjà libéré. Le correctif attend à la fois la période de grâce SRCU nécessaire aux itérateurs…
Source : NVD — CVE-2026-99173
Linux ext4 : accès à des données de superbloc libérées
La fiche NVD publiée le 28 octobre décrit une course dans ext4 : un parcours RCU suivant un lien symbolique pouvait accéder au superbloc privé ou aux compteurs de statut d’extent après leur libération. Le correctif conserve ces données jus…
Source : NVD — CVE-2026-99174
Linux fsnotify : course lors de la destruction des marques
La fiche NVD publiée le 28 octobre décrit une course dans fsnotify pendant la destruction des marques : l’ajout concurrent d’une marque pouvait faire manquer un élément lors du parcours et détacher le connecteur de l’objet. Un accès non pr…
Source : NVD — CVE-2026-99175
Linux KVM nVMX : pointeur MMU incorrect après échec de chargement L2
La fiche NVD publiée le 28 octobre décrit un défaut de restauration de l’état MMU dans KVM nVMX lorsque le chargement de l’état L2 échoue hors d’une entrée de VM. Le vCPU pouvait continuer à utiliser la MMU imbriquée alors que l’état assoc…
Source : NVD — CVE-2026-99176
Linux KVM SEV : verrouillage lors du marquage des pages comme modifiées
Dans `sev_gmem_post_populate()`, le noyau pouvait appeler `set_page_dirty()` sans détenir le verrou requis pour garantir que le mapping de la page reste valide. Le correctif remplace cet appel par `set_page_dirty_lock()`.
Source : NVD — CVE-2026-99177
Linux KVM : course sur les indicateurs de faute de page asynchrone en contexte NMI
La fiche NVD publiée le 28 octobre décrit une course entre une faute de page asynchrone KVM et une faute de page survenant en contexte NMI : le gestionnaire de la faute imbriquée pouvait consommer les indicateurs de la faute asynchrone int…
Source : NVD — CVE-2026-99178
Linux watch_queue : course lors de la publication du pool de notifications
La fiche NVD publiée le 28 octobre décrit une course de publication du pool de notes dans watch_queue : un producteur de notification pouvait observer un nombre de notes non nul avant que le tableau de notes soit visible, puis déréférencer…
Source : NVD — CVE-2026-99179
Linux : utilisation après libération de la table Unicode lors d’une recherche de chemin
Une recherche de chemin en mode RCU peut continuer à utiliser la table Unicode après sa libération lors du démontage d’un système de fichiers sensible à la casse, provoquant une utilisation après libération. Le correctif retarde cette libé…
Source : NVD — CVE-2026-99180
Linux autofs : un échec de notification peut fermer le tube de remplacement
Lorsqu’une écriture de notification sur un ancien tube autofs échoue après le remplacement de celui-ci, le noyau peut faire passer à tort le superbloc en mode catatonic et fermer le nouveau tube. Le correctif n’effectue cette transition qu…
Source : NVD — CVE-2026-99181
Linux ASoC SOF : décalage hors limites pour une capture ALH agrégée
Dans le pilote SOF, si le nombre de canaux est inférieur au nombre de périphériques ALH agrégés, le calcul de l’étape peut donner zéro et provoquer un décalage hors limites dans GENMASK(). Le correctif traite ce cas en appliquant le même m…
Source : NVD — CVE-2026-99182
Linux Rocket : recherche incomplète des cœurs après retrait
Après le retrait d’un cœur Rocket qui n’était pas le dernier, la recherche pouvait ignorer des cœurs encore actifs et retourner un pointeur nul. Le correctif fait rechercher le scheduler dans tous les emplacements de cœur alloués; il ne re…
Source : NVD — CVE-2026-99183
Linux Rocket : dépassement de tableau après retrait et rattachement de cœurs
Le retrait séquentiel de cœurs Rocket pouvait laisser un cœur introuvable, empêcher la finalisation du périphérique et conserver un compteur obsolète. Un nouveau rattachement pouvait alors écrire au-delà du tableau alloué; le correctif mém…
Source : NVD — CVE-2026-99184
Linux FireWire : condition de course dans les transactions fractionnées
Une réponse et le callback d’expiration pouvaient traiter simultanément la même transaction FireWire fractionnée après une régression dans la gestion du temporisateur. Le correctif laisse le callback retirer l’entrée lorsque `timer_delete(…
Source : NVD — CVE-2026-99185
Linux x86 : blocage du noyau via l’évaluation des préfixes d’instruction
Une variable d’itération masquait l’index de segment dans l’évaluation d’instructions x86, ce qui ignorait les overrides FS/GS et pouvait faire boucler le traitement d’un préfixe CS. Avec l’émulation UMIP, un utilisateur pouvait bloquer de…
Source : NVD — CVE-2026-99186
Linux perf : des événements PMU peuvent rester dans le contexte source lors du retrait à chaud d’un CPU
Lors du retrait d’un PMU, la suppression d’un groupe du parcours de l’arbre pouvait interrompre prématurément l’itération et laisser d’autres groupes dans le contexte source. Lors du retrait à chaud d’un CPU, des événements pouvaient alors…
Source : NVD — CVE-2026-99187
Linux stmmac : tempête d’interruptions RGMII à la reprise
Après la reprise du contrôleur Ethernet, un statut d’interruption RGMII resté en attente pouvait provoquer une tempête d’interruptions. Selon la source, cela pouvait affamer le thread de reprise et aboutir à un soft lockup, un redémarrage…
Source : NVD — CVE-2026-99188
Linux GPIO mxc : course lors de l’installation du gestionnaire IRQ
Le pilote GPIO mxc installait le gestionnaire d’interruptions chaîné avant que le domaine IRQ, la puce générique et l’entrée de liste du port soient prêts. Une interruption pendant cette fenêtre, ou un échec ultérieur de la sonde, pouvait…
Source : NVD — CVE-2026-99189
Linux : fuite mémoire sur un chemin d’erreur de gpiolib
Une erreur de `gpiod_set_array_value_complex()` pouvait provoquer une fuite mémoire lorsque `gpiochip_set_multiple()` échouait. Le correctif reporte le retour d’erreur après la libération des bitmaps concernés.
Source : NVD — CVE-2026-99190
Linux : longueur IPv6 incorrecte après modification d’une étiquette CALIPSO
La modification d’un paquet IPv6 BIG TCP portant une étiquette CALIPSO pouvait corrompre `payload_len`, notamment en cas de dépassement de `IPV6_MAXPLEN`. Le correctif recalcule cette longueur à partir de la taille du paquet avec `ipv6_set…
Source : NVD — CVE-2026-99191
Linux : blocage possible de la file d’émission dans bcmgenet
Le pilote bcmgenet pouvait réutiliser un skb partagé et écraser des informations de son control block, empêchant la comptabilisation correcte des octets transmis. Cela pouvait bloquer la file d’émission jusqu’à une réinitialisation par le…
Source : NVD — CVE-2026-99192
Linux TI icssm-prueth : déréférencement nul pendant la sonde
Le pilote TI icssm-prueth attachait le PHY avant d’avoir affecté `netdev_ops`; avec `CONFIG_NET_SHAPER`, ce chemin pouvait déréférencer un pointeur nul pendant la sonde. Le correctif affecte les opérations réseau avant l’attachement du PHY.
Source : NVD — CVE-2026-99193
Linux : déréférencement NULL dans le pilote Ethernet Aeroflex
Dans le pilote Ethernet Aeroflex, l’attachement du PHY pouvait précéder l’affectation de `netdev_ops` et provoquer un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement…
Source : NVD — CVE-2026-99194
Linux : déréférencement NULL dans le pilote ethoc
Dans le pilote Ethernet ethoc, l’attachement du PHY pouvait survenir avant l’affectation de `netdev_ops`, entraînant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachemen…
Source : NVD — CVE-2026-99195
Linux : déréférencement NULL dans le pilote au1000
Dans le pilote Ethernet au1000, l’attachement du PHY pouvait précéder l’affectation de `netdev_ops` et provoquer un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du…
Source : NVD — CVE-2026-99196
Linux : déréférencement NULL dans le pilote mv643xx
Dans le pilote Ethernet mv643xx, le PHY pouvait être connecté avant l’affectation de `netdev_ops`, causant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ;…
Source : NVD — CVE-2026-99197
Linux : déréférencement NULL dans le pilote Actions Owl
Dans le pilote Ethernet Actions Owl, l’initialisation du PHY pouvait précéder l’affectation de `netdev_ops`, provoquant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attache…
Source : NVD — CVE-2026-99198
Linux : déréférencement NULL dans le pilote hip04_eth
Dans le pilote hip04_eth, le PHY pouvait être connecté avant l’affectation de `netdev_ops`, causant un déréférencement NULL au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev_ops` avant l’attachement du PHY ; les ve…
Source : NVD — CVE-2026-99199
Linux : panic du noyau possible dans le pilote hisi_femac
Dans le pilote hisi_femac, la connexion du PHY pouvait précéder l’affectation de `netdev_ops`, entraînant un déréférencement NULL et pouvant faire paniquer le noyau au démarrage avec `CONFIG_NET_SHAPER` activé. Le correctif affecte `netdev…
Source : NVD — CVE-2026-99200
Linux : risque de fuite d’adresse noyau via le hachage netlink
Un utilisateur non privilégié peut exploiter l’ordre des buckets de la table netlink exposé par `/proc/net/netlink` et les diagnostics de sockets pour tenter de retrouver des bits de l’adresse de `init_net`. Le correctif remplace le pointe…
Source : NVD — CVE-2026-99201
Linux : interblocage possible lors de la reprise d’un hôte SAS
Lors de la reprise d’un hôte SAS, une commande SMP concernant certains disques SATA reliés à un expandeur peut provoquer un interblocage entre la reprise runtime PM et le vidage du travail SAS. Le correctif évite de demander une reprise sy…
Source : NVD — CVE-2026-99202
Linux : use-after-free possible dans la gestion fasync des pipes
Une configuration concurrente de l’activation asynchrone (`fasync`) sur un FIFO ouvert en lecture-écriture peut supprimer une inscription préexistante après l’échec d’une allocation. Une notification ultérieure peut alors accéder à une mém…
Source : NVD — CVE-2026-99203
Linux : utilisation après libération lors de lectures debugfs OCFS2 (CVE-2026-99204)
Une lecture concurrente de l’état de récupération OCFS2 via debugfs peut accéder à des enregistrements libérés, causant une utilisation de mémoire après libération. Le suivi consulté confirme l’existence de l’avis CVE mais ne fournit pas i…
Source : NVD — CVE-2026-99204
Linux : tâche exécutable ignorée après un changement de classe d’ordonnancement
Une course lors du changement de classe d’ordonnancement d’une tâche déjà mise en file pouvait laisser le processeur inactif alors qu’une tâche restait exécutable. Le correctif appelle `wakeup_preempt()` pour les tâches en file afin de réé…
Source : NVD — CVE-2026-99205
Linux : double libération possible lors d’une mise à jour de l’authentification iSCSI
Des mises à jour concurrentes du paramètre `AuthMethod` de découverte iSCSI via configfs peuvent libérer deux fois la même valeur. Le correctif protège la recherche et le remplacement par le verrou d’accès du TPG de découverte ; les versio…
Source : NVD — CVE-2026-99206
Linux SCSI target : risque de blocage lié au verrou des commandes différées
Dans le sous-système SCSI target, une prise de verrou sans désactivation des interruptions pouvait provoquer un blocage lorsque certaines complétions de commandes survenaient en contexte d’interruption. Le correctif utilise `spin_lock_irq(…
Source : NVD — CVE-2026-99207
Linux Xe : exposition possible de données résiduelles via les tampons OA
Les tampons OA du pilote graphique Xe n’étaient pas nécessairement initialisés à zéro à l’allocation et pouvaient contenir des données de pages précédemment libérées. Comme ces tampons sont accessibles par mmap et que certains flux ne pass…
Source : NVD — CVE-2026-99208
Linux : déréférencement NULL dans l’éviction des BO du pilote DRM Xe
Une BO du pilote DRM Xe dépourvue de ressource pouvait provoquer un déréférencement NULL lors de son éviction, notamment après la libération de la ressource d’un dma-buf importé. Le correctif évite l’éviction dans ce cas; aucune version co…
Source : NVD — CVE-2026-99209
Linux : pointeur d’erreur conservé après un échec d’initialisation Rocket
Lorsqu’une initialisation de périphérique Rocket échouait, le pointeur global rdev pouvait conserver un pointeur d’erreur et être interprété plus tard comme un périphérique déjà initialisé. Le correctif efface rdev et préserve le code d’er…
Source : NVD — CVE-2026-99210
Linux : divulgation de données via des filtres de socket Netlink
Les filtres de socket Netlink pouvaient lire des données situées avant le message initialisé lorsque les en-têtes du skb n’étaient pas réinitialisés. Un utilisateur non privilégié disposant d’un socket NETLINK_RDMA et d’un filtre adapté po…
Source : NVD — CVE-2026-99211
Linux : gestion incorrecte de l’identifiant RDMA lors d’un échec RDS
En cas d’échec synchrone de résolution d’itinéraire RDMA, le gestionnaire d’événement pouvait détruire un identifiant de connexion que RDS conservait encore. La connexion pouvait ensuite utiliser cet identifiant libéré lors de son arrêt, a…
Source : NVD — CVE-2026-99212
Linux : corruption mémoire possible lors d’une course dans vsock
Une transition de TCP_ESTABLISHED vers TCP_CLOSING pouvait entrer en course avec la boucle de connexion vsock. La réinitialisation d’un socket encore présent dans connected_table pouvait conduire à une corruption mémoire et à un plantage d…
Source : NVD — CVE-2026-99213
Linux : avertissement noyau possible lors de la préparation audio HDMI VC4
Le gestionnaire HPD pouvait déclencher l’audio avant le rétablissement vidéo, alors que la Packet RAM HDMI était désactivée. L’écriture de l’infoframe audio pouvait alors produire un avertissement du noyau.
Source : NVD — CVE-2026-99214
Linux : risque d’utilisation après libération lors de la désinscription d’une alimentation
La désinscription d’une alimentation pouvait se terminer alors qu’un callback était encore en cours, laissant le pilote libérer des données que le callback pouvait ensuite utiliser. Le correctif synchronise les callbacks external_power_cha…
Source : NVD — CVE-2026-99215
Linux : déchargement VMBus omis sur certains chemins d’erreur
Sur certains chemins d’erreur ou de sortie, le code marquait la connexion VMBus comme déconnectée avant l’appel à vmbus_disconnect(). Le déchargement pouvait alors être ignoré, laissant la connexion active et permettant à l’hôte Hyper-V de…
Source : NVD — CVE-2026-99216
Debian : mise à jour de sécurité Chromium (DSA-6592-1)
Debian a publié DSA-6592-1 pour Chromium, couvrant des problèmes pouvant permettre l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. L’avis recommande la mise à niveau; les vulnérabilités étant groupées…
Debian : mise à jour de sécurité Firefox ESR (DSA-6590-1)
Debian a publié DSA-6590-1 pour Firefox ESR, couvrant plusieurs problèmes susceptibles d’entraîner exécution de code, échappement de bac à sable, contournement de la politique de même origine, élévation de privilèges, divulgation d’informa…
Cloud & DevOps
1 alerte(s)Avis CERT-FR : multiples vulnérabilités dans Docker Desktop
Le CERT-FR signale de multiples vulnérabilités dans Docker Desktop susceptibles de porter atteinte à la confidentialité des données et de contourner la politique de sécurité. L’avis fourni ne précise ni les CVE concernées, ni les versions…
Source : Multiples vulnérabilités dans Docker Desktop (28 octobre 2026)