Les sujets à surveiller, en un regard.
164 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 11 sujet(s) en rouge, 7 en orange.
Shopify
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis de sécurité Shopify publié pendant la période concerne la gemme shopify_app et une confusion du contexte de boutique dans certaines applications utilisant l’authentification token-exchange. La version corrective indiquée est 23.0.3.
Shopify shopify_app : confusion du contexte de boutique dans l’authentification token-exchange
Dans certaines applications utilisant shopify_app, une requête authentifiée pour une boutique pouvait fournir un paramètre shop désignant une autre boutique, et le contexte exposé par current_shopify_domain pouvait alors être erroné. Si l’application se servait de ce contexte pour l’autorisation, la sélection de jetons ou l’accès aux données d’une boutique, cela pouvait permettre des accès ou actions non autorisés.
Action recommandée : Mettre à niveau vers shopify_app 23.0.3 ou une version ultérieure et vérifier que les contrôleurs utilisent l’identité de boutique authentifiée pour les contrôles d’accès.
Wix
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun avis, correctif, signalement d’exploitation ni changement substantiel concernant Wix, daté du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu. Les résultats consultés portant sur d’autres dates ou des informations générales sur la sécurité de Wix ne répondent pas aux critères de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche dédiée sur Solocal n’a pas permis de vérifier de nouvel avis ou correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu. Les résultats pertinents repérés, notamment la clôture d’une injonction CNIL, concernent des événements antérieurs à cette période et ne constituent pas un événement de sécurité nouvellement daté dans l’intervalle demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche web dédiée n’a trouvé aucun avis Craft CMS publié pendant la période figée du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les avis Craft CMS repérés dans les résultats étaient datés des 22–23 octobre 2026, donc antérieurs à cette période; aucun item n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié un avis publié le 29 octobre 2026 concernant une vulnérabilité de permissions dans Ghost Commander File Manager, versionCode 479. Les informations consultées ne confirment ni correctif ni exploitation active.
Ghost Commander File Manager : permissions insuffisantes dans le stockage privé
Une vulnérabilité de permissions dans Ghost Commander File Manager versionCode 479 pourrait permettre à un attaquant non autorisé de lire et modifier des fichiers dans le stockage privé de l’application. Aucune version corrigée ni mesure d’atténuation n’a été confirmée dans les sources consultées.
Action recommandée : Vérifier l’exposition de la versionCode 479 et appliquer une version corrigée dès qu’elle sera publiée; aucune version corrigée n’a été confirmée dans les sources consultées.
Strapi
Recherche du sujet effectuée
Les résultats consultés n’établissent pas de nouvel avis ni de correctif concernant le produit Strapi dans la période demandée. Le candidat fourni concerne une vulnérabilité de n8n, dans son nœud d’intégration Strapi ; l’avis GitHub correspondant est daté du 2026-08-19, et le candidat ne démontre pas que la modification NVD du 2026-10-29 constitue un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée a fait ressortir un avis Directus publié le 2026-10-30, après la borne de fin de la période demandée; il est donc exclu. Aucun avis ou événement de sécurité Directus daté dans la période retenue n’a été identifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub du projet OpenCart et des sources de suivi CVE. Aucun avis ou événement OpenCart vérifié ne répond aux critères pendant la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00 ; le CVE-2026-119558 repéré est daté du 30 octobre et se situe hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Les candidats fournis concernent Cpanel::JSON::XS, un module Perl, et non le produit cPanel. Les éléments consultés indiquent que sa version 4.80 corrige ces vulnérabilités avant la période demandée; les modifications NVD du 2026-10-29 ne constituent pas, à elles seules, de nouvelles vulnérabilités cPanel. Les trois candidats concernent Cpanel::JSON::XS, une bibliothèque Perl, et non le produit cPanel demandé. Les seules dates de la période indiquées sont des mises à jour de fiches NVD; les éléments fournis ne montrent pas de changement substantiel de sécurité daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Vérification incomplète
Niveau relevé : Moyenne
Un avis GitHub daté du 29 octobre concerne Crass, et l’archive RubySec consultée répertorie également une vulnérabilité ReDoS de ruby_llm à cette date. L’entrée NVD de CVE-2024-42360 est exclue : il s’agit d’une vulnérabilité publiée en 2024 et les éléments consultés ne confirment pas de changement substantiel dans la période demandée.
Crass : déni de service par imbrication profonde de CSS
Crass peut provoquer une erreur de pile ou une consommation excessive de mémoire lorsqu’il analyse des blocs CSS profondément imbriqués. La version 1.0.7 corrige le problème en ajoutant une limite de profondeur configurable, avec une valeur par défaut prudente.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Bun
Recherche du sujet effectuée
Les avis de sécurité Bun repérés lors de la recherche sont antérieurs à la période demandée. Le candidat concerne un paquet npm malveillant qui utilise Bun comme moteur d’exécution, et non une vulnérabilité ou un avis de sécurité de Bun ; il est donc hors sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Aucun avis ou correctif de sécurité propre au runtime Deno n’a été retenu pour la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Le candidat examiné concerne i18next-http-backend, une dépendance utilisable avec Deno, et non le runtime Deno lui-même; son avis de sécurité est antérieur à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux avis de sécurité publiés le 29 octobre 2026 dans la période retenue concernent des projets Go : Daptin (CVE-2026-62160) et cert-manager (CVE-2026-62290). Les autres candidats ont été exclus car leur publication est antérieure à la période ou parce que les éléments disponibles ne démontrent pas de changement substantiel dans celle-ci.
Daptin — amplification CPU via Accept-Language
Daptin est vulnérable à une amplification de la charge CPU lorsqu’un en-tête `Accept-Language` malformé avec de nombreux séparateurs `_` est analysé par le middleware de langue. L’avis publié le 2026-10-29 concerne les versions jusqu’à 0.12.15 inclus ; aucun correctif n’est indiqué dans les éléments vérifiés.
Action recommandée : Mettre à niveau dès qu’une version corrigée est publiée ; dans l’intervalle, limiter la taille et la forme des en-têtes `Accept-Language` à l’entrée.
cert-manager — contournement de la politique du solveur DNS01 via Challenge direct
Une validation insuffisante des ressources ACME `Challenge` directes permet à un utilisateur pouvant créer ces ressources de contourner la politique de sélection du solveur DNS01 d’un `Issuer` ou `ClusterIssuer`. L’avis publié le 2026-10-29 indique que les versions 1.19 antérieures à 1.19.6 et 1.20 antérieures à 1.20.3 sont affectées.
Action recommandée : Mettre à niveau vers cert-manager 1.19.6 ou 1.20.3, selon la branche utilisée, et examiner les permissions de création des ressources `Challenge`.
Kotlin
Recherche du sujet effectuée
Aucun avis ou correctif de sécurité Kotlin daté dans la période demandée n’a été vérifié dans les sources consultées. Les avis GitHub consultés n’affichent pas d’avis publié; les résultats de vulnérabilités repérés concernaient des dates antérieures à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée sur Electron n’a identifié aucun avis de sécurité, correctif, cas d’exploitation ni changement substantiel dont la date de publication est comprise dans la période du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu. Les éléments visibles dans les sources consultées sont datés hors de cette fenêtre; les publications du 30 octobre sont postérieures à la borne de fin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée à jQuery n’a identifié, pour la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00, aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel vérifié concernant la bibliothèque jQuery elle-même. Les avis jQuery trouvés dans les sources consultées sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche dédiée n’a établi aucun nouvel avis, correctif ou événement de sécurité propre à Laravel daté du 2026-10-29 dans la période demandée. Les avis Laravel visibles dans les résultats consultés sont datés du 2026-10-19, et la communication Laravel sur les vulnérabilités PHP date du 2026-10-21 : ces événements sont antérieurs à la période. Un avis concernant Laravel MongoDB daté du 2026-10-30 est postérieur à la borne de fin et a donc été exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif de sécurité, signalement d’exploitation ni changement substantiel concernant Svelte daté de la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les avis SvelteKit repérés dans les résultats consultés portent des dates antérieures à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Vérification incomplète
Un correctif Symfony a fait l’objet d’une clarification substantielle le 29 octobre : CVE-2026-45070 est effectivement corrigée dans Symfony 5.4.55, 6.4.49, 7.4.22 et 8.1.10. Le candidat CVE-2026-54631 concerne Part-DB, et sa mise à jour NVD ne constitue pas un événement de sécurité nouveau propre à Symfony dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Flask
Recherche du sujet effectuée
Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle concernant le framework Flask n’a été identifiée pour la période demandée. Les avis Flask repérés lors de la recherche avaient des dates antérieures à cette période et n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée aux avis du projet Django et aux références CVE/NVD n’a identifié aucun avis, correctif ou événement de sécurité Django daté du 29 octobre 2026 dans la période demandée. L’archive de sécurité consultée indique des avis antérieurs, dont ceux du 6 octobre 2026, qui sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Aucun avis ou événement de sécurité vérifié concernant le projet FastAPI lui-même n’a été retenu pour la période demandée. Le candidat fourni porte sur PraisonAI : l’avis GitHub consulté concerne cette application, et non une vulnérabilité du framework FastAPI; les informations trouvées datent de juin-juillet 2026, hors de la période figée. La modification NVD indiquée dans le candidat ne suffit pas à établir un nouvel événement substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis publié le 29 octobre concerne une vulnérabilité dans le middleware Express du paquet `@eeacms/volto-chatbot`; le correctif indiqué est la version 2.0.4. Les avis Express publiés après la borne du 30 octobre et les avis antérieurs à la période n’ont pas été retenus.
@eeacms/volto-chatbot : proxy non authentifié vers l’API Danswer
Une route middleware non authentifiée de `@eeacms/volto-chatbot` relaie des requêtes vers l’API Danswer avec les identifiants de service configurés, permettant d’appeler des opérations privilégiées. Les versions jusqu’à 2.0.3 sont concernées; mettre à niveau vers 2.0.4.
Action recommandée : Mettre à niveau `@eeacms/volto-chatbot` vers 2.0.4.
NestJS
Recherche du sujet effectuée
Pour NestJS, la recherche dédiée n’a identifié aucun nouvel avis de sécurité, correctif de sécurité, signalement d’exploitation ou changement substantiel daté du 29 octobre 2026. Les avis de sécurité NestJS visibles dans les résultats consultés sont antérieurs à cette période; les versions récentes repérées sont datées du 27 octobre et du 19 octobre 2026, et ne sont pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
La recherche dédiée a trouvé l’avis de sécurité MySQL Community Edition du 20 octobre 2026 et les notes de version MySQL 26.10.0 du même jour, donc hors de la période demandée. Aucun avis ou correctif MySQL daté du 29 octobre 2026 n’a été vérifié dans les sources consultées. Les candidats fournis concernent d’autres produits, même lorsque MySQL est cité comme base de données cible ou exemple. Aucun candidat ne documente une nouveauté admissible concernant le produit MySQL durant la période. Les trois entrées CVE-2026-101772, CVE-2026-101773 et CVE-2026-116048 indiquent des publications antérieures au début de la période et ne fournissent pas de preuve d’un changement substantiel daté de celle-ci; CVE-2026-49142 concerne OpenEMR, et non une vulnérabilité du produit MySQL.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié un avis du projet PostgreSQL Anonymizer annonçant la version 3.3 et ses correctifs de sécurité, publié le 2026-10-28, avant la période demandée. Les candidats NVD portent des dates de publication antérieures et leurs mises à jour NVD du 2026-10-29 ne suffisent pas, sans preuve d’un changement substantiel pendant la période, à établir un nouvel événement admissible. Le candidat CVE-2026-72775 concerne n8n et décrit une faille publiée en août ; aucun événement de sécurité nouveau daté dans la fenêtre n’a été vérifié pour ce candidat. L’avis CERT-FR du 29 octobre 2026 relatif à PostgreSQL Anonymizer couvre trois vulnérabilités documentées dans le lot. Les CVE concernent le contrôle des fonctions d’anonymisation, la divulgation par anon.partial()/anon.partial_email() et la persistance de statistiques après masquage statique; les éléments fournis indiquent une correction en version 3.3.0.
PostgreSQL Anonymizer : contrôle contournable de fonctions d’anonymisation
CVE-2026-110181 concerne des fonctions d’anonymisation définies avec le corps SQL standard : PostgreSQL les analyse lors de leur déclaration, alors que PostgreSQL Anonymizer ne les vérifiait qu’à l’exécution. Un utilisateur disposant du privilège TEMPORARY peut exploiter ce décalage ; la version 3.3.0 corrige le problème.
Action recommandée : Mettre à jour PostgreSQL Anonymizer vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : divulgation de valeurs par les fonctions partial
CVE-2026-110182 affecte les fonctions anon.partial() et anon.partial_email(), qui peuvent révéler la valeur entière lorsque les données sont suffisamment courtes. PostgreSQL Anonymizer 3.3.0 corrige le problème.
Action recommandée : Mettre à jour PostgreSQL Anonymizer vers la version 3.3.0 ou ultérieure.
PostgreSQL Anonymizer : statistiques des données originales visibles après masquage
CVE-2026-110183 concerne la persistance de statistiques de données d’origine après un masquage statique : elles restent visibles dans pg_stats jusqu’à l’exécution d’ANALYZE sur la table, manuellement ou par autovacuum. La correction est disponible dans PostgreSQL Anonymizer 3.3.0.
Action recommandée : Mettre à jour PostgreSQL Anonymizer vers la version 3.3.0 ou ultérieure; à défaut, exécuter ANALYZE après le masquage statique.
MongoDB
Vérification incomplète
Un avis publié pendant la période concerne le MongoDB Java Driver : CVE-2026-118581, corrigée en version 5.14.0. Les autres candidats ont été examinés et ne sont pas retenus comme nouveauté de sécurité MongoDB établie dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Redis
Recherche du sujet effectuée
Aucune vulnérabilité, publication de correctif ou autre évolution de sécurité Redis datée de la période demandée n’a été vérifiée dans les sources consultées. Les correctifs de sécurité visibles dans les résultats pour Redis 8.4.8 et d’autres versions sont datés du 26 octobre 2026, donc antérieurs à la période; les problèmes GitHub repérés le 29 octobre ne sont pas présentés comme des avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche n’a pas établi de vulnérabilité, d’avis de sécurité, d’exploitation ni de changement substantiel concernant Caddy pendant la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les deux candidats portent sur OpenReception et Ember, et non sur une vulnérabilité de Caddy.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité SvelteKit n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté de la période demandée. Les avis SvelteKit repérés dans les résultats de recherche sont antérieurs à cette période; une mise à jour de métriques CVE le 2026-10-28 ne constitue pas, à elle seule, une nouvelle faille ou un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel n’a identifié aucun avis de sécurité, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les avis Babel repérés dans les résultats de recherche sont antérieurs à cette période; les versions publiées le 2026-10-23 ne relèvent pas de la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche a repéré des avis de sécurité Elastic datés du 29 octobre 2026 concernant Elastic Cloud Enterprise (ECE), mais les éléments consultés ne permettent pas de les attribuer à Elasticsearch. Aucun nouvel avis, correctif ou événement de sécurité concernant spécifiquement Elasticsearch n’a été vérifié pour la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a trouvé une vulnérabilité RabbitMQ publiée avant la période, avec une modification NVD datée du 2026-10-29. Les sources consultées indiquent également une mise à jour CVE/SSVC à cette date; les correctifs publiés sont propres à chaque branche.
RabbitMQ : déni de service par consommation excessive de mémoire via le parseur AMQP 1.0
CVE-2026-67414 permet à un client AMQP 1.0 authentifié de provoquer une consommation excessive de mémoire en envoyant une trame contenant de nombreux tableaux à constructeur de largeur nulle. Le correctif consiste à mettre à niveau RabbitMQ vers la version corrigée de sa branche.
Action recommandée : Mettre à niveau vers la version corrigée correspondant à la branche utilisée.
Memcached
Recherche du sujet effectuée
La recherche web dédiée à Memcached n’a pas établi de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu. Les éléments retrouvés concernant Memcached étaient antérieurs à cette période; cela ne permet pas d’affirmer qu’aucun événement pertinent n’a eu lieu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Vérification incomplète
Une mise à jour datée du 2026-10-29 concerne l’avis CVE-2026-118665 de GraphQL Tools. Les deux autres candidats correspondent à des fiches publiées avant la période ; les éléments consultés ne permettent pas d’établir qu’un changement substantiel les concernant a eu lieu pendant celle-ci.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WooCommerce
Vérification incomplète
Niveau relevé : Critique
Les candidats dont la publication NVD tombe dans la période contiennent neuf avis attribuables à des extensions ou intégrations WooCommerce, ainsi qu’un avis Bricks Builder exclu du périmètre. La recherche a aussi relevé un signalement secondaire daté du 29 octobre pour WooCommerce Extra Fees, sans détails suffisants pour établir les versions affectées ou le correctif. Huit fiches NVD nouvelles concernant des extensions WooCommerce ont été publiées le 29 octobre 2026 pendant la période : six signalent un défaut d’autorisation, une une injection d’objet PHP et une une XSS non authentifiée. Deux autres candidats correspondent à des mises à jour de fiches publiées antérieurement ; les données fournies ne permettent pas d’établir si ces changements étaient substantiels. Une vulnérabilité publiée pendant la période concerne l’exposition de données privées de produits WooCommerce par le plugin Ortto pour WordPress. La version corrective indiquée est la 1.0.25. Dix fiches NVD relatives à des extensions WordPress liées à WooCommerce portent une date de publication au 2026-10-29. Elles décrivent notamment des défauts d’autorisation, une XSS, une SSRF, une falsification de notification de paiement et un contournement d’authentification ; les détails de correction ne sont fournis que pour certaines. Deux CVE concernant des extensions WooCommerce sont datées du 2026-10-29 dans les informations fournies. Elles décrivent des défauts d’autorisation ; les données disponibles ne précisent pas de version corrigée.
Bot for Telegram on WooCommerce : contournement d’authentification et prise de compte
Bot for Telegram on WooCommerce pour WordPress permettait de contourner l’authentification et de prendre le contrôle d’un compte. Un attaquant non authentifié connaissant le nom de connexion d’un utilisateur pouvait obtenir une session authentifiée, y compris pour un compte administrateur.
Action recommandée : Désactiver ou supprimer le plugin concerné jusqu’à disponibilité d’un correctif confirmé.
HANDMADE – Dropshipping for Etsy and WooCommerce : contrôle d’accès manquant
HANDMADE – Dropshipping for Etsy and WooCommerce présente une vulnérabilité de contrôle d’accès manquant. La source indique que les versions jusqu’à 1.0.10 sont affectées, mais ne précise pas les opérations accessibles ni la version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
Upsell Order Bump Offer for WooCommerce : XSS réfléchie
Upsell Order Bump Offer for WooCommerce présente une vulnérabilité de XSS réfléchie. Les versions jusqu’à 3.1.6 sont indiquées comme affectées ; la source ne fournit ni détail sur le paramètre concerné ni version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
Extra Fees Plugin for WooCommerce : injection d’objet PHP
Une injection d’objet PHP est signalée dans Extra Fees Plugin for WooCommerce jusqu’à la version 4.4.0 incluse, avec une gravité élevée (CVSS 8.8). La fiche NVD a été publiée pendant la période, mais les informations fournies ne précisent ni les conditions d’exploitation, ni la version corrigée, ni un contournement.
Action recommandée : Vérifier auprès de l’éditeur si une version corrigée est disponible et appliquer le correctif dès que possible.
GlobalPayments WooCommerce : XSS non authentifiée
Une vulnérabilité XSS non authentifiée affecte GlobalPayments WooCommerce jusqu’à la version 1.23.3 incluse, avec une gravité élevée (CVSS 7.1). La fiche NVD a été publiée pendant la période, mais les informations fournies ne précisent pas la version corrigée ni de mesure de contournement.
Action recommandée : Vérifier auprès de l’éditeur si une version corrigée est disponible et appliquer le correctif dès que possible.
PiWeb Disable payment method / Partial payment for WooCommerce : défaut d’autorisation
La vulnérabilité de l’extension PiWeb Disable payment method / Partial payment for WooCommerce permettrait à un attaquant non authentifié de modifier certains paramètres de commande et d’en consulter des données. Les versions antérieures à 1.1.10.9 sont indiquées comme affectées; mettez à jour vers une version corrigée.
Action recommandée : Mettre à jour l’extension vers la version 1.1.10.9 ou une version ultérieure.
Ortto pour WordPress : divulgation de données privées de produits
Ortto pour WordPress ne filtrait pas les données de produits WooCommerce intégrées aux pages publiques de la boutique. Un attaquant non authentifié pouvait ainsi consulter des mots de passe de produits et des métadonnées privées.
Action recommandée : Mettre à jour le plugin vers la version 1.0.25 ou ultérieure.
CVE-2026-108763 — modification des documents KYC d’un autre utilisateur
Le gestionnaire d’envoi de documents KYC de Wallet System for WooCommerce ne limite pas les modifications au compte de l’utilisateur courant. Dans les versions antérieures à 2.8.2, un utilisateur authentifié disposant de privilèges minimaux peut remplacer les documents et le statut de vérification d’un autre utilisateur, y compris un administrateur.
Action recommandée : Mettre à jour le plugin vers la version 2.8.2 ou ultérieure.
CVE-2026-88928 — Validation de signature manquante dans PAYCOMET for WooCommerce
PAYCOMET for WooCommerce avant 5.46 ne vérifie pas la signature cryptographique sur son endpoint de notification de paiement lorsque la requête concerne une opération de tokenisation. Un attaquant non authentifié peut ainsi remplacer le jeton de paiement associé à des commandes existantes et supprimer des cartes enregistrées ; mettre à jour vers la version 5.46 ou ultérieure.
Action recommandée : Mettre à jour PAYCOMET for WooCommerce vers la version 5.46 ou ultérieure.
XSS stockée dans Sequential Order Numbers for WooCommerce
Sequential Order Numbers for WooCommerce jusqu’à la version 3.6.5 incluse est vulnérable à une XSS stockée via des clés de tableau de métadonnées condition. L’exploitation requiert un compte contributeur ou supérieur; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et limiter les rôles disposant de droits de contribution.
WebToffee Product Import Export for WooCommerce : SSRF via redirection
WebToffee Product Import Export for WooCommerce présente une vulnérabilité SSRF dans la fonction de téléchargement de fichiers distants. Les versions antérieures à 2.6.8 permettent à un utilisateur disposant du rôle shop_manager de faire suivre une redirection vers une adresse interne et de récupérer la réponse comme données d’import.
Action recommandée : Mettre à jour vers la version 2.6.8 ou ultérieure.
YITH PayPal Express Checkout for WooCommerce : contrôle d’accès manquant
YITH PayPal Express Checkout for WooCommerce présente une vulnérabilité de contrôle d’accès manquant. Les versions jusqu’à 1.62.0 sont signalées comme affectées, mais la fiche fournie ne détaille pas l’action vulnérable ni la version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
Product Feed Manager : contrôle d’accès manquant
Product Feed Manager présente une vulnérabilité de contrôle d’accès manquant. Les versions jusqu’à 7.14.1 sont indiquées comme affectées, sans précision dans la source sur la fonctionnalité exposée ou sur une version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
Taxi Booking Manager for WooCommerce : contrôle d’accès manquant
Taxi Booking Manager for WooCommerce présente une vulnérabilité de contrôle d’accès manquant. Les versions jusqu’à 2.1.6 sont indiquées comme affectées ; la source fournie ne décrit pas l’action vulnérable ni la version de correction.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
Custom Price for WooCommerce : défaut d’autorisation
Une absence d’autorisation affecte Custom Price for WooCommerce jusqu’à la version 1.1.29 incluse. La fiche NVD a été publiée pendant la période et indique une gravité moyenne (CVSS 5.3) ; aucune version corrigée n’est établie par les éléments fournis.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et mettre à jour dès qu’elle est publiée.
CVE-2026-116856 : défaut d’autorisation dans Flexible Quantity for WooCommerce
CVE-2026-116856 concerne un défaut d’autorisation dans Flexible Quantity – Measurement Price Calculator for WooCommerce, permettant potentiellement à un utilisateur d’accéder à des fonctions protégées. Les versions affectées indiquées vont jusqu’à la version 2.3.24 ; aucun correctif ni moyen de contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier l’utilisation du plugin et surveiller la publication d’un correctif ; aucune version corrigée n’est indiquée dans les données fournies.
CVE-2026-54871 : défaut d’autorisation dans ShopBuilder
CVE-2026-54871 concerne un défaut d’autorisation dans ShopBuilder – Elementor WooCommerce Builder Addons, susceptible de permettre un accès non autorisé à des fonctions protégées. Les versions affectées indiquées vont jusqu’à la version 3.4.2 ; les données fournies ne précisent ni correctif ni contournement.
Action recommandée : Vérifier l’utilisation du plugin et surveiller la publication d’un correctif ; aucune version corrigée n’est indiquée dans les données fournies.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée à Simple:Press n’a trouvé aucun avis de sécurité, nouvelle vulnérabilité, exploitation ni changement substantiel daté de la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les entrées de vulnérabilité repérées dans WPScan et Patchstack sont antérieures à cette période; la page WordPress.org consultée indique une version 6.11.15 publiée en septembre 2026, également antérieure.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé quatre vulnérabilités nouvelles, publiées dans la période, dans l’API Docker de Crawl4AI : déni de service, chargement de modèle non fiable, injection JavaScript et SSRF. Les avis du projet indiquent la version 0.9.5 comme version corrective; aucune exploitation active n’a été confirmée par les éléments consultés. Aucun candidat ne documente une vulnérabilité ou un avis de sécurité concernant le produit Docker lui-même. Les mentions de Docker dans ce lot concernent des déploiements, des API ou des environnements conteneurisés de produits tiers.
Crawl4AI : déni de service via des délais non plafonnés dans l’API Docker
Dans l’API Docker de Crawl4AI, des valeurs non plafonnées dans certains champs de délai peuvent maintenir des pages navigateur occupées ou bloquer le limiteur de débit, provoquant un déni de service. La version corrigée indiquée est 0.9.5; mettre à niveau les installations concernées.
Action recommandée : Mettre à niveau Crawl4AI vers la version 0.9.5 ou ultérieure.
Crawl4AI : sélection de modèles non filtrée pouvant entraîner une exécution de code
Crawl4AI 0.9.0 à 0.9.4 ne filtre pas le champ model_name fourni dans le corps des requêtes Docker API, ce qui permet à un client authentifié de choisir le modèle Hugging Face chargé par le serveur. Selon la version de PyTorch et le modèle choisi, cela peut mener à l’exécution de code ou à l’épuisement des ressources; la vulnérabilité est corrigée en version 0.9.5.
Action recommandée : Mettre à niveau Crawl4AI vers la version 0.9.5 ou une version ultérieure.
Crawl4AI : injection JavaScript via l’API Docker
Le serveur API Docker de Crawl4AI permet à un client API authentifié d’injecter du JavaScript dans la page explorée via les champs `css_selector` ou `wait_for`. Mettre à jour vers la version 0.9.5 ou ultérieure.
Action recommandée : Mettre à jour Crawl4AI vers la version 0.9.5 ou ultérieure.
Crawl4AI : SSRF via la validation de fraîcheur du cache dans le serveur Docker
Dans le serveur Docker de Crawl4AI, des clients de l’API peuvent contourner le proxy de sortie lors de la vérification de fraîcheur du cache et amener le serveur à effectuer des requêtes vers des adresses internes. Le correctif est indiqué dans la version 0.9.5; mettre à niveau les installations concernées.
Action recommandée : Mettre à niveau Crawl4AI vers la version 0.9.5 ou ultérieure.
Kubernetes
Vérification incomplète
Un avis AWS publié le 29 octobre 2026 concerne AWS Private CA Connector for Kubernetes. Les autres candidats examinés portent sur Kubeflow Pipelines, Talos Linux, SeaweedFS et un paquet npm malveillant : ils ne concernent pas le projet Kubernetes lui-même ni un composant identifié comme Kubernetes dans le périmètre demandé.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Linux (noyau)
Vérification incomplète
Deux avis SUSE de mise à jour de sécurité du noyau Linux sont datés du 29 octobre 2026 et citent respectivement CVE-2026-72041 et CVE-2026-98366. Les détails techniques et les plages de versions affectées n’ont pas pu être établis à partir des résultats consultés.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
La recherche a confirmé l’avis Debian DSA-6596-1 du 29 octobre 2026 et son correctif WordPress pour CVE-2026-66666. Les autres candidats n’ont pas pu être suffisamment vérifiés dans les sources consultées pour être retenus ou exclus avec assurance.
Debian corrige CVE-2026-66666 dans WordPress
Debian a publié le 29 octobre 2026 une mise à jour de WordPress corrigeant CVE-2026-66666. L’avis Debian attribue à cette faille un ensemble de conséquences possibles comprenant notamment déni de service, XSS, injection SQL, divulgation d’informations, élévation de privilèges ou exécution de code à distance ; il recommande de mettre à niveau les paquets concernés.
Action recommandée : Mettre à niveau le paquet Debian wordpress vers 6.8.12+dfsg1-0+deb13u1 ou une version corrigée.
Alpine Linux
Recherche du sujet effectuée
La recherche dédiée sur Alpine Linux n’a pas permis de vérifier de vulnérabilité, de correctif ou d’avis de sécurité nouvellement daté dans la période du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu. L’avis du projet Alpine Linux relatif à une tentative d’exploitation de GitLab est daté du 2026-10-28, donc hors période; la page de réouverture est datée du 2026-10-30, également hors période. L’avis ZDI du 2026-10-28 concerne un produit Alpine iLX-F511, et non Alpine Linux.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Vérification incomplète
La recherche dédiée a repéré un avis Red Hat httpd publié dans la période et deux CVE explicitement associées dans la source consultée. Les éléments disponibles ne permettent pas de confirmer leurs versions affectées, leurs correctifs précis ni leurs impacts propres; les autres CVE éventuellement couvertes par l’avis ne sont pas inventoriées ici faute de détail vérifiable.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Recherche du sujet effectuée
La recherche dédiée a repéré des avis nginx publiés avant la période figée, notamment l’avis amont et l’avis Ubuntu datés du 2026-10-26. Aucun nouvel avis, correctif ou changement substantiel daté du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00 n’a été vérifié; les candidats fournis sont vides.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
La recherche dédiée a relevé un signalement d’exploitation daté du 29 octobre 2026 pour chacune des deux vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619. Le projet PHP publie comme versions correctives 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; le NHS recommande de migrer les branches 8.1 et antérieures, non prises en charge. Aucune vulnérabilité portant sur PHP lui-même (PHP ou php-fpm) n’a été établie à partir de ce lot. Les candidats concernent des applications ou extensions tierces ; la mention de PHP, de code PHP ou d’une injection d’objet PHP ne suffit pas à les rattacher au sujet demandé. Les candidats fournis concernent des extensions WordPress (dont les descriptions mentionnent une injection d’objets PHP), et non le langage ou le runtime PHP lui-même. Aucun élément retenu pour le sujet demandé. Aucun candidat ne concerne le produit PHP ou PHP-FPM : les descriptions portent sur des extensions WordPress distinctes, même si elles mentionnent une injection d’objets PHP. Aucun candidat ne documente une vulnérabilité de PHP ou de PHP-FPM eux-mêmes : les titres désignent des produits nommés Legal Stone, Le Truffe, Marcell, Meals & Wheels, Mission, Motorix, Muzicon, Nuts, Orpheus et Filmax. Ils sont donc hors du sujet demandé, même si les descriptions mentionnent une injection d’objets PHP. Aucun candidat ne concerne le produit PHP lui-même : les titres désignent des produits tiers dans lesquels une vulnérabilité d’injection d’objets PHP est signalée. Ils sont donc hors du sujet demandé. Aucun candidat du lot ne documente une vulnérabilité du langage ou du runtime PHP répondant au sujet demandé pendant la période. Le candidat publié dans la période concerne PHPUnit, un outil distinct ; les autres sont des modifications de fiches NVD ou concernent d’autres produits. Aucu…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WordPress
Vérification incomplète
Niveau relevé : Critique
La recherche web dédiée a été effectuée pour WordPress, en consultant les résultats disponibles de bases spécialisées et en recoupant les candidats avec leurs fiches NVD fournies. Dix vulnérabilités ont une date de publication située dans la période demandée; les mises à jour administratives ultérieures des fiches ne sont pas présentées comme de nouveaux événements. Les éléments fournis ne permettent pas d’établir une exploitation active ni, pour la plupart, une version corrigée. Dix nouvelles fiches NVD concernant des extensions WordPress ont été publiées dans la période demandée. Elles décrivent des XSS, une injection d’objet PHP, des défauts de contrôle d’accès, une exposition de secret et une inscription non autorisée; les versions corrigées sont indiquées lorsqu’elles figurent dans les données fournies. Les candidats fournis correspondent à onze fiches NVD publiées le 29 octobre 2026 concernant des vulnérabilités de modules WordPress. Les résumés fournis indiquent des versions corrigées pour chacun des modules concernés ; aucune information sur une exploitation active n’est établie par ces éléments. Les fiches NVD fournies annoncent, le 29 octobre 2026, dix vulnérabilités dans des extensions WordPress. Elles concernent notamment des suppressions non autorisées, une injection de template côté serveur, des contrôles d’accès insuffisants, une XSS, une injection SQL et le traitement de notifications de paiement ; l’exploitation active n’est pas établie par les éléments fournis. Les candidats fournis décrivent dix vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 2026-10-29. Elles concernent des injections d’en-têtes de courriel et des XSS, avec des conditions d’exploitation et des plages de versions propres à chaque plugin. Dix fiches NVD rel…
WordPress Core : exécution de code à distance pendant une mise à jour
Une vulnérabilité de WordPress Core permet une exécution de code à distance sans authentification pendant une fenêtre très brève, lorsqu’une mise à jour complète du cœur est en cours. Wordfence rapporte des tentatives d’exploitation et recommande de vérifier que le site a installé la version corrigée correspondant à sa branche.
Action recommandée : Mettre à jour WordPress vers la version corrigée correspondant à la branche utilisée et confirmer que la mise à jour s’est achevée.
Bot for Telegram on WooCommerce : contournement d’authentification et prise de compte
Bot for Telegram on WooCommerce pour WordPress permettait de contourner l’authentification et de prendre le contrôle d’un compte. Un attaquant non authentifié connaissant le nom de connexion d’un utilisateur pouvait obtenir une session authentifiée, y compris pour un compte administrateur.
Action recommandée : Désactiver ou supprimer le plugin concerné jusqu’à disponibilité d’un correctif confirmé.
GEO my WordPress : injection d’objets PHP sans authentification
GEO my WordPress présente une injection d’objets PHP accessible sans authentification. Les versions affectées vont jusqu’à 4.5.5.3 incluse ; les éléments fournis ne précisent pas de version corrigée.
Action recommandée : Vérifier la version installée et appliquer un correctif dès qu’il est disponible.
CVE-2026-103693 — injection d’objet PHP dans Frontend Dashboard et ProfileGrid
Les plugins Frontend Dashboard et ProfileGrid permettent à un utilisateur non authentifié de stocker un objet PHP sérialisé dans les métadonnées d’un utilisateur, ensuite désérialisé lors de l’affichage d’un profil public. Les versions de Frontend Dashboard antérieures à 3.0.5 et celles de ProfileGrid antérieures à 6.0.0.5 sont concernées.
Action recommandée : Mettre à jour Frontend Dashboard vers 3.0.5 ou ultérieur et ProfileGrid vers 6.0.0.5 ou ultérieur.
LogixFast Auth : réinitialisation de mot de passe par envoi du code à une adresse arbitraire
LogixFast Auth avant la version 1.0.4 envoie le code à usage unique de réinitialisation du mot de passe à l’adresse fournie dans la requête, au lieu de l’adresse associée au compte. Un attaquant non authentifié peut ainsi réinitialiser le mot de passe d’un utilisateur, y compris d’un administrateur, et prendre le contrôle du compte ; mettez le plugin à jour vers la version 1.0.4 ou ultérieure.
Action recommandée : Mettre à jour LogixFast Auth vers la version 1.0.4 ou ultérieure.
Automated Import Products to Cart : lecture et suppression de fichiers arbitraires
Automated Import Products to Cart avant la version 1.0.4 n’assainit pas un chemin de fichier fourni par l’utilisateur avant de lire et supprimer des fichiers. Des utilisateurs disposant de faibles privilèges, comme les abonnés, peuvent lire des fichiers arbitraires, notamment ceux contenant les identifiants de la base de données, et supprimer des fichiers sur le serveur ; mettez le plugin à jour vers la version 1.0.4 ou ultérieure.
Action recommandée : Mettre à jour Automated Import Products to Cart vers la version 1.0.4 ou ultérieure.
Chat AI with Dispatcher : téléversement de fichiers arbitraires sans authentification
Chat AI with Dispatcher avant la version 2.4 se fie uniquement au type de contenu fourni par le client pour valider les fichiers téléversés, ce qui peut être contourné. Un attaquant non authentifié peut téléverser des fichiers arbitraires, y compris du PHP, avec un risque d’exécution de code à distance ; mettez le plugin à jour vers la version 2.4 ou ultérieure.
Action recommandée : Mettre à jour Chat AI with Dispatcher vers la version 2.4 ou ultérieure.
Bricks Builder : exposition de contenus restreints par contrôle d’accès défaillant
Bricks Builder jusqu’à la version 2.4.3 présente un contrôle d’accès défaillant sur l’endpoint REST `query_result`, permettant à un utilisateur non authentifié d’accéder à des contenus de publications restreintes et à des données de coupons WooCommerce. Mettre à jour vers une version corrigée dès qu’elle est disponible; la version corrigée n’est pas établie par les sources consultées.
Action recommandée : Mettre à jour Bricks Builder vers une version corrigée dès sa disponibilité; vérifier les données privées et coupons exposés.
Wild Apricot Login : usurpation de compte par association SSO fondée sur l’e-mail
Wild Apricot Login pour WordPress pouvait associer une connexion SSO à un compte existant sur la seule correspondance d’adresse e-mail, sans preuve que l’utilisateur contrôlait ce compte. Un utilisateur WildApricot pouvant faire correspondre son adresse à celle d’un administrateur WordPress pouvait ainsi obtenir une session pour ce compte, sous les conditions décrites pour les réseaux Multisite concernés.
Action recommandée : Désactiver le plugin jusqu’à disponibilité d’un correctif confirmé et vérifier les comptes liés au SSO.
SendPress Newsletters : injection SQL via subscriberid
SendPress Newsletters pour WordPress était vulnérable à une injection SQL via le paramètre subscriberid. Un attaquant non authentifié pouvait exploiter le nonce accessible sur une page publique utilisant le formulaire de gestion pour extraire des informations sensibles de la base de données.
Action recommandée : Désactiver ou supprimer le plugin concerné jusqu’à disponibilité d’un correctif confirmé.
Social Web Suite : injection SQL dans exclude_posts
Social Web Suite – Social Media Auto Post, Social Media Auto Publish pour WordPress était vulnérable à une injection SQL via le paramètre exclude_posts. Le contrôle HMAC pouvait être contourné sur une installation fraîchement activée dont la clé secrète n’avait pas encore été générée, permettant à un attaquant non authentifié d’extraire des données sensibles de la base.
Action recommandée : Désactiver ou supprimer le plugin concerné jusqu’à disponibilité d’un correctif confirmé.
CVE-2026-96228 — contournement d’authentification dans SSL Wireless SMS Notification
Une faille d’authentification du plugin SSL Wireless SMS Notification for WordPress permet à un attaquant non authentifié de prendre le contrôle d’un compte associé à un numéro de téléphone connu. Le défaut concerne toutes les versions jusqu’à 3.8.1 incluse ; aucune version corrigée n’est indiquée dans les éléments fournis.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; en attendant, désactiver la connexion par SMS si possible.
CVE-2026-96666 — XSS stockée dans Schema App Structured Data
Le plugin Schema App Structured Data présente une faille de XSS stockée via le contenu des commentaires. L’exploitation requiert l’activation de l’option « Remove Microdata » et l’approbation du commentaire malveillant par un administrateur ; les versions jusqu’à 2.3.2 incluse sont concernées.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible ; dans l’intervalle, désactiver « Remove Microdata » et modérer les commentaires.
CVE-2026-96669 — XSS stockée dans Food Store
Le plugin Food Store – Online Food Delivery & Pickup est affecté par une XSS stockée amorcée depuis le paramètre public « type » de la page de commande. Les versions jusqu’à 1.5.5 incluse sont concernées ; la valeur est conservée dans les métadonnées de commande puis affichée sans échappement dans l’administration.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible ; limiter l’accès à l’administration et examiner les commandes suspectes.
CVE-2026-96741 — XSS stockée dans DSGVO All in one for WP
Le plugin DSGVO All in one for WP présente une XSS stockée déclenchée par un commentaire, sous certaines configurations. Les versions jusqu’à 5.0 incluse sont concernées ; l’exploitation nécessite l’activation de l’intégration Google Tag Manager et de l’option bêta de remplacement automatique, ainsi que l’approbation du commentaire.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible ; désactiver les options d’intégration concernées si elles ne sont pas nécessaires.
XSS stockée dans Mapster WP Maps
Mapster WP Maps jusqu’à la version 2.0.5 incluse est vulnérable à une XSS stockée exploitable sans authentification via sa route REST save-mapmaker. Un attaquant peut enregistrer une valeur de configuration qui est ensuite insérée sans échappement dans un attribut de style; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et contrôler les cartes et configurations enregistrées par des tiers.
Défaut d’autorisation dans GEO my WordPress
GEO my WordPress présente une vulnérabilité d’autorisation manquante affectant les versions jusqu’à 4.5.5.5 incluse. La fiche signale un contrôle d’accès incorrectement configuré, mais ne précise pas les opérations accessibles ni l’impact concret.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour GEO my WordPress.
Injection SQL aveugle dans le thème Newsmatic
Le thème Newsmatic est vulnérable à une injection SQL aveugle via le paramètre « slug » dans toutes les versions jusqu’à 1.5.0 incluse. Un attaquant non authentifié peut exploiter la requête insuffisamment préparée afin d’extraire des informations sensibles de la base de données.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour le thème Newsmatic.
XSS stockée dans NewsmanApp
NewsmanApp est affecté par une XSS stockée non authentifiée via les paramètres « billing_first_name » et « billing_last_name », jusqu’à la version 3.7.29 incluse. L’exploitation est conditionnée à l’activation de la fonction Newsman Remarketing et à la configuration d’un identifiant Remarketing non vide.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour NewsmanApp; vérifier la configuration de la fonction Remarketing.
XSS stockée dans NEX-Forms
NEX-Forms – Ultimate Forms Plugin est affecté par une XSS stockée non authentifiée via le paramètre « type », dans toutes les versions jusqu’à 9.3.2 incluse. Un attaquant peut injecter des scripts qui s’exécutent lorsque des utilisateurs consultent une page affectée.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour NEX-Forms.
Bricks Theme : divulgation de contenus non publiés
Le thème Bricks permet à un visiteur non authentifié de consulter le contenu de pages brouillon ou non publiées via son endpoint REST load_popup_content, faute de contrôles d’état et de capacité. Les versions 2.4 et antérieures sont concernées ; aucune version corrigée n’est indiquée dans les éléments fournis.
Action recommandée : Mettre à jour Bricks Theme dès qu’une version corrigée est disponible et limiter l’accès aux contenus confidentiels non publiés.
Ortto pour WordPress : modification non authentifiée de la configuration
Ortto pour WordPress ne vérifiait pas l’authenticité des demandes de mise à jour de configuration et s’appuyait sur un secret exposé dans le HTML public. Un attaquant non authentifié pouvait modifier la configuration pour faire servir des scripts arbitraires.
Action recommandée : Mettre à jour le plugin vers la version 1.0.25 ou ultérieure.
Plugins WordPress 2FA : validation d’un code pour le mauvais compte
Two Factor Authentication avant 1.17.0 et All-In-One Security (AIOS) avant 5.5.0 ne lient pas le compte dont le code à deux facteurs est vérifié au compte en cours d’authentification. Un attaquant connaissant le mot de passe de la victime et disposant de son propre compte avec 2FA peut utiliser son propre code pour satisfaire la vérification de la victime ; mettez à jour le ou les plugins concernés.
Action recommandée : Mettre à jour Two Factor Authentication vers 1.17.0 ou ultérieure et AIOS vers 5.5.0 ou ultérieure, selon les plugins installés.
CVE-2026-115301 — Injection de template côté serveur dans Contact Form by Supsystic
Contact Form by Supsystic avant 1.11.1 ne cloisonne pas le moteur de templates utilisé pour rendre les formulaires, permettant à un administrateur de faire exécuter du code de template côté serveur. Le contenu injecté étant exécuté lors du chargement d’une page comportant le formulaire, un visiteur peut alors provoquer la divulgation de secrets serveur ; mettre à jour vers la version 1.11.1 ou ultérieure.
Action recommandée : Mettre à jour Contact Form by Supsystic vers la version 1.11.1 ou ultérieure.
CVE-2026-86794 — XSS stockée dans Community Events
Community Events avant 1.6.0 ne vérifie pas l’autorisation ni le nonce lors du traitement des événements soumis publiquement et n’échappe pas plusieurs valeurs avant leur affichage. Un attaquant non authentifié peut injecter des scripts exécutés dans le navigateur d’un administrateur examinant la soumission ; mettre à jour vers la version 1.6.0 ou ultérieure.
Action recommandée : Mettre à jour Community Events vers la version 1.6.0 ou ultérieure.
Injection SQL dans vTables
Une injection SQL non authentifiée affecte vTables avant la version 0.3 et peut permettre l’extraction de données de la base. Mettre à jour vers la version 0.3 ou ultérieure.
Action recommandée : Mettre à jour vTables vers la version 0.3 ou ultérieure.
Ortto pour WordPress : divulgation de données privées de produits
Ortto pour WordPress ne filtrait pas les données de produits WooCommerce intégrées aux pages publiques de la boutique. Un attaquant non authentifié pouvait ainsi consulter des mots de passe de produits et des métadonnées privées.
Action recommandée : Mettre à jour le plugin vers la version 1.0.25 ou ultérieure.
CVE-2026-108763 — modification des documents KYC d’un autre utilisateur
Le gestionnaire d’envoi de documents KYC de Wallet System for WooCommerce ne limite pas les modifications au compte de l’utilisateur courant. Dans les versions antérieures à 2.8.2, un utilisateur authentifié disposant de privilèges minimaux peut remplacer les documents et le statut de vérification d’un autre utilisateur, y compris un administrateur.
Action recommandée : Mettre à jour le plugin vers la version 2.8.2 ou ultérieure.
CVE-2026-88928 — Validation de signature manquante dans PAYCOMET for WooCommerce
PAYCOMET for WooCommerce avant 5.46 ne vérifie pas la signature cryptographique sur son endpoint de notification de paiement lorsque la requête concerne une opération de tokenisation. Un attaquant non authentifié peut ainsi remplacer le jeton de paiement associé à des commandes existantes et supprimer des cartes enregistrées ; mettre à jour vers la version 5.46 ou ultérieure.
Action recommandée : Mettre à jour PAYCOMET for WooCommerce vers la version 5.46 ou ultérieure.
XSS stockée dans Sequential Order Numbers for WooCommerce
Sequential Order Numbers for WooCommerce jusqu’à la version 3.6.5 incluse est vulnérable à une XSS stockée via des clés de tableau de métadonnées condition. L’exploitation requiert un compte contributeur ou supérieur; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et limiter les rôles disposant de droits de contribution.
XSS persistante dans le plugin Ortto pour WordPress
Le plugin Ortto pour WordPress stockait des paramètres sans les échapper sur sa page de réglages, ce qui pouvait permettre une XSS persistante dans la session d’un administrateur. Le risque concerne les versions antérieures à 1.0.25 ; mettre à jour vers la version 1.0.25 ou ultérieure.
Action recommandée : Mettre à jour le plugin Ortto vers la version 1.0.25 ou ultérieure.
Hide Price Until Login : création de compte malgré la désactivation des inscriptions
Hide Price Until Login avant la version 1.1.2 ne contrôle pas correctement un gestionnaire d’inscription invité et ignore le réglage WordPress désactivant les inscriptions. Un attaquant peut ainsi créer un compte et obtenir une session connectée ; mettez le plugin à jour vers la version 1.1.2 ou ultérieure.
Action recommandée : Mettre à jour Hide Price Until Login vers la version 1.1.2 ou ultérieure.
Enable SVG, WebP, and ICO Upload : assainissement incomplet des SVG téléversés
Enable SVG, WebP, and ICO Upload avant la version 1.1.6 ne nettoie pas les fichiers téléversés qu’il ne reconnaît pas comme SVG, même s’il les stocke et les sert ensuite comme des images SVG. Des utilisateurs disposant du rôle Auteur ou supérieur peuvent exploiter cette faiblesse pour une attaque XSS stockée ; mettez le plugin à jour vers la version 1.1.6 ou ultérieure.
Action recommandée : Mettre à jour Enable SVG, WebP, and ICO Upload vers la version 1.1.6 ou ultérieure.
Contournement de l’assainissement SVG permettant une XSS
Le plugin WordPress Enable SVG, WebP, and ICO Upload ne bloquait pas certains éléments d’animation SVG capables de modifier une cible de lien vers une URI javascript:, contournant l’assainissement et permettant une XSS stockée. Le risque concerne les utilisateurs ayant au moins le rôle d’auteur et les navigateurs WebKit; mettre à jour vers la version 1.1.6 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.1.6 ou ultérieure.
WP Photo Album Plus : suppression de commentaires par requête intersite
WP Photo Album Plus avant la version 9.3.04.004 ne vérifie ni l’origine ni un jeton de sécurité pour une requête de gestion des commentaires. Un attaquant peut faire supprimer des commentaires photo en incitant un utilisateur connecté autorisé à modérer les commentaires à charger une page piégée ; mettez le plugin à jour vers la version 9.3.04.004 ou ultérieure.
Action recommandée : Mettre à jour WP Photo Album Plus vers la version 9.3.04.004 ou ultérieure.
GeoDirectory : divulgation de contenus d’annonces protégées
GeoDirectory avant la version 2.8.197 ne respecte pas la protection par mot de passe d’un article lors du rendu d’une annonce. Un visiteur non authentifié peut ainsi consulter le contenu et les champs personnalisés d’annonces publiées protégées par mot de passe ; mettez le plugin à jour vers la version 2.8.197 ou ultérieure.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.197 ou ultérieure.
Photo Engine : modification non autorisée de contenus via l’API REST
Photo Engine (Media Organizer & Lightroom) jusqu’à la version 6.5.8 incluse contrôle insuffisamment les autorisations sur une route REST API de mise à jour des articles. Des attaquants authentifiés disposant au minimum du rôle Auteur peuvent modifier des champs d’articles, pages et pièces jointes arbitraires ; mettez le plugin à jour vers la version 6.6.0 ou ultérieure.
Action recommandée : Mettre à jour Photo Engine (Media Organizer & Lightroom) vers la version 6.6.0 ou ultérieure.
Recipe Card Blocks Lite : divulgation de publications non publiées
Recipe Card Blocks Lite, avant 3.6.4, ne vérifie pas les autorisations avant de rendre des publications via sa fonction d’impression de recettes. Un visiteur non authentifié peut ainsi divulguer le titre, l’identifiant et le contenu de publications non publiées contenant un bloc de recette ; mettre à jour le module.
Action recommandée : Mettre à jour vers la version 3.6.4 ou ultérieure.
Contact Form by Supsystic : modification CSRF des paramètres de messagerie
Contact Form by Supsystic, avant 1.11.1, ne vérifie pas de nonce CSRF lors de l’enregistrement des paramètres de messagerie. Un attaquant peut tromper un administrateur connecté afin de modifier la configuration du courrier sortant, notamment le serveur SMTP, ses identifiants et le destinataire des notifications ; mettre à jour le module.
Action recommandée : Mettre à jour vers la version 1.11.1 ou ultérieure.
CVE-2026-115300 — Suppression CSRF de soumissions et statistiques dans Contact Form by Supsystic
Le plugin Contact Form by Supsystic avant 1.11.1 ne vérifie ni jeton CSRF ni origine de la requête pour deux actions réservées à l’administration, ce qui peut permettre de supprimer en masse les soumissions et statistiques d’un formulaire. Mettre à jour vers la version 1.11.1 ou ultérieure.
Action recommandée : Mettre à jour Contact Form by Supsystic vers la version 1.11.1 ou ultérieure.
CVE-2026-115302 — Suppression non autorisée de statistiques dans Contact Form by Supsystic
Contact Form by Supsystic avant 1.11.1 n’impose pas de contrôle d’accès sur une action AJAX qui supprime des entrées de statistiques. Un attaquant non authentifié peut donc effacer des entrées arbitraires ; mettre à jour vers la version 1.11.1 ou ultérieure.
Action recommandée : Mettre à jour Contact Form by Supsystic vers la version 1.11.1 ou ultérieure.
CVE-2026-78395 — Contournement de l’exigence de connexion dans Link Library
Link Library avant 7.10.0 ne recontrôle pas l’exigence de connexion propre à une bibliothèque lors de la soumission d’un lien depuis l’interface publique. Un utilisateur non authentifié peut ainsi soumettre un lien à une bibliothèque protégée en réutilisant un jeton obtenu depuis une autre bibliothèque ; mettre à jour vers la version 7.10.0 ou ultérieure.
Action recommandée : Mettre à jour Link Library vers la version 7.10.0 ou ultérieure.
CVE-2026-78396 — Divulgation de coordonnées dans Link Library
Link Library avant 7.10.0 ne vérifie pas qu’un lien demandé appartient à l’ensemble de paramètres dont le modèle est utilisé pour l’afficher. Cette incohérence permet à un utilisateur non authentifié de consulter des coordonnées que la configuration ne prévoit pas d’afficher ; mettre à jour vers la version 7.10.0 ou ultérieure.
Action recommandée : Mettre à jour Link Library vers la version 7.10.0 ou ultérieure.
XSS stockée dans Password Protected
Password Protected jusqu’à la version 2.8.4 incluse présente une XSS stockée dans le traitement du paramètre purchased_plan du SDK Freemius. Un utilisateur authentifié ayant au moins le rôle d’abonné peut injecter un script qui s’exécute lorsqu’un administrateur consulte une page d’administration; mettre à jour le plugin dès qu’un correctif est disponible.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour le plugin; limiter les comptes authentifiés aux rôles nécessaires.
XSS stockée dans Extensions for Leaflet Map
Extensions for Leaflet Map jusqu’à la version 5.4 incluse est exposé à une XSS stockée basée sur le DOM via feature.properties[]. L’exploitation nécessite une carte publique configurée avec une combinaison précise de shortcodes et une source GeoJSON contrôlée par l’attaquant; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et vérifier les sources GeoJSON utilisées par les cartes publiques.
XSS réfléchie dans Media Library Assistant
Media Library Assistant jusqu’à la version 3.42 incluse présente une XSS réfléchie via le paramètre search-string. L’exploitation requiert une galerie publique avec une configuration particulière de pagination et de lien, ainsi qu’une interaction de la victime; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et examiner les galeries publiques utilisant les paramètres décrits.
XSS basée sur le DOM dans Greenshift
Greenshift – animation and page builder blocks jusqu’à la version 13.2.1 incluse présente une XSS stockée basée sur le DOM liée au paramètre comment. La vulnérabilité ne se manifeste que dans une configuration particulière de blocs Text Animated et Latest Comments; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et examiner les pages utilisant cette combinaison de blocs.
XSS basée sur le DOM dans Greenshift via Split Text
Greenshift – animation and page builder blocks jusqu’à la version 13.2.1 incluse présente une seconde XSS stockée basée sur le DOM liée au contenu des commentaires. Elle concerne les pages où un bloc Advanced HTML Element avec animation Split Text englobe un bloc Latest Comments affichant les extraits; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et examiner les pages utilisant ces blocs et réglages.
XSS stockée dans LiteSpeed Cache
LiteSpeed Cache jusqu’à la version 7.9.1 incluse présente une XSS stockée via bbp_reply_content, dans une configuration utilisant les images de viewport et bbPress. Un utilisateur authentifié ayant au moins le rôle d’abonné peut injecter du contenu scripté; mettre à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et vérifier la configuration Viewport Images ainsi que les permissions bbPress.
CVE-2026-110707 — XSS stockée dans RSS Aggregator by Feedzy
Un flux contrôlé par un attaquant peut fournir un élément media:group/media:description insuffisamment assaini et provoquer une XSS stockée après importation. Le plugin est concerné jusqu’à la version 5.2.12 incluse.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et n’importer que des flux de confiance.
CVE-2026-111318 — XSS DOM stockée dans HT Mega Addons for Elementor
Dans une configuration incluant notamment un éditeur riche co-installé, un lien stocké dans la navigation d’un onglet peut conduire à une XSS DOM. Les versions de HT Mega Addons for Elementor jusqu’à 3.2.7 inclus sont concernées.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et examiner les intégrations de commentaires et widgets concernées.
XSS stockée dans LiteSpeed Cache pour WordPress
LiteSpeed Cache pour WordPress est affecté par une XSS stockée non authentifiée via le paramètre « comment », dans les versions jusqu’à 7.9.1 incluse. L’exploitation nécessite que l’option HTML Minify soit activée et qu’un plugin associé rende le commentaire dans un contexte de texte brut, par exemple un bloc JSON-LD.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour le plugin; examiner l’activation de HTML Minify et le rendu des commentaires par les plugins associés.
Injection SQL dans JoomSport
JoomSport est vulnérable à une injection SQL via le paramètre « team_id » jusqu’à la version 5.7.11 incluse. Un attaquant authentifié disposant au moins du rôle contributeur peut extraire des informations de la base lorsque la saison concernée n’a pas de terme de tournoi associé, situation indiquée comme état par défaut des nouvelles saisons.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour JoomSport; limiter les comptes contributeur aux personnes de confiance.
XSS réfléchie dans Everest Forms
Everest Forms est vulnérable à une XSS réfléchie via le paramètre « evf_toast_type » dans toutes les versions jusqu’à 3.6.2 incluse. Une attaque non authentifiée peut exécuter du script si la victime est amenée à effectuer une action telle que cliquer sur un lien, avec un paramètre « evf_toast » décodable par atob().
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour Everest Forms.
Exposition de données sensibles dans Everest Forms
Everest Forms expose des métadonnées d’articles sensibles dans toutes les versions jusqu’à 3.6.2 incluse, notamment des clés de licence, jetons API et identifiants de services. Un attaquant non authentifié peut les obtenir par les courriels de notification de soumission ou les entrées stockées; le nonce de soumission est publiquement accessible ou peut être obtenu anonymement.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour Everest Forms; faire renouveler les secrets qui auraient pu être exposés.
XSS stockée via un champ Meta Box
Meta Box est affecté par une XSS stockée via le paramètre « profile_background[] » dans les versions jusqu’à 5.15.2 incluse. L’exploitation requiert un plugin ou thème consommateur qui expose ce champ à des utilisateurs de faible privilège et restitue sa valeur selon le motif indiqué; le niveau minimal effectif dépend des permissions configurées par ce consommateur.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour Meta Box; contrôler les champs exposés et leur rendu par les thèmes et extensions consommateurs.
Exposition de données de formulaires dans MW WP Form
MW WP Form expose des données personnelles des demandes envoyées via des formulaires dans toutes les versions jusqu’à 5.1.7 incluse. Un attaquant non authentifié peut énumérer des identifiants d’articles et récupérer des noms, adresses électroniques et messages si le paramètre de chaîne de requête du formulaire est activé.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour MW WP Form; désactiver le réglage querystring lorsqu’il n’est pas nécessaire.
Page Restriction WordPress : défaut de contrôle d’accès
La vulnérabilité d’autorisation manquante dans Page Restriction WordPress permet de contourner les contrôles d’accès configurés. Les versions affectées vont jusqu’à 1.6.1 incluse ; aucune version corrigée n’est précisée dans les éléments fournis.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible et vérifier les restrictions d’accès configurées.
MasterStudy LMS : traversée de répertoires et import de contenus
Dans MasterStudy LMS, un utilisateur authentifié de niveau Subscriber peut exploiter un défaut de traversée de répertoires pour importer un fichier WXR accessible et publier les contenus qu’il contient. Les versions antérieures à 3.7.50 sont affectées ; mettre à jour vers la version 3.7.50 ou ultérieure.
Action recommandée : Mettre à jour MasterStudy LMS vers la version 3.7.50 ou ultérieure.
MasterStudy LMS : autorisation manquante sur l’envoi de courriel de test
Dans MasterStudy LMS, un utilisateur authentifié, y compris un Subscriber, peut déclencher l’action d’envoi de courriel de test sans contrôle de capacité ni de nonce. Cela peut provoquer une erreur PHP fatale et, si l’affichage des erreurs est activé, révéler le chemin absolu du module ; les versions antérieures à 3.7.50 sont concernées.
Action recommandée : Mettre à jour MasterStudy LMS vers la version 3.7.50 ou ultérieure et désactiver l’affichage des erreurs PHP côté public.
XSS stockée dans les réglages de LetterPress
LetterPress ne nettoie ni n’échappe certaines options, ce qui permet à des utilisateurs privilégiés, notamment des administrateurs, d’effectuer une XSS stockée. Le problème peut persister même lorsque la capacité `unfiltered_html` est désactivée, par exemple dans une configuration multisite.
Action recommandée : Mettre à jour LetterPress vers la version 2.4.0 ou ultérieure.
XSS dans le formulaire public du plugin Appointment Booking
Le plugin Appointment Booking pour WordPress n’échappait pas certains contenus de configuration des étapes du formulaire avant leur affichage public, permettant une XSS. Un utilisateur privilégié peut faire exécuter du JavaScript dans le navigateur des visiteurs; mettre à jour vers la version 5.7.6 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 5.7.6 ou ultérieure.
CVE-2026-108685 — modification non autorisée du profil dans WP Post Author
Le plugin WP Post Author ne vérifie pas correctement qu’un compte a été créé avant de mettre à jour son profil lors d’une inscription depuis le front-end. Un utilisateur non authentifié peut modifier le nom affiché, le surnom et le site web du premier compte utilisateur, généralement celui de l’administrateur, lorsque le formulaire d’inscription déclare l’un de ces champs.
Action recommandée : Mettre à jour le plugin vers la version 4.2.0 ou ultérieure.
CVE-2026-108686 — divulgation de la clé reCAPTCHA dans WP Post Author
Le plugin WP Post Author renvoie aux visiteurs des réglages d’intégration qui ne devraient pas leur être accessibles. Dans les versions antérieures à 4.2.0, un utilisateur non authentifié peut ainsi obtenir la clé secrète reCAPTCHA enregistrée.
Action recommandée : Mettre à jour le plugin vers la version 4.2.0 ou ultérieure et renouveler la clé reCAPTCHA si elle a pu être exposée.
CVE-2026-85007 — Contrôle d’accès insuffisant aux préréglages de Video Player for YouTube
Video Player for YouTube avant 2.1.4 ne vérifie pas les capacités de l’utilisateur sur son gestionnaire AJAX de préréglages du lecteur. Les utilisateurs ayant le rôle Contributeur ou supérieur peuvent lire cette configuration globale et, avant la version 2.1.1, également la modifier ou la supprimer ; mettre à jour vers la version 2.1.4 ou ultérieure.
Action recommandée : Mettre à jour Video Player for YouTube vers la version 2.1.4 ou ultérieure.
Injection d’en-têtes de courriel dans Contact Form by Supsystic
Contact Form by Supsystic avant 1.11.1 ne neutralise pas les caractères CR/LF et ne revalide pas certains champs avant leur insertion dans des en-têtes de courriel. Un utilisateur non authentifié peut ainsi ajouter des destinataires, notamment en Cc ou Bcc; mettre à jour vers la version 1.11.1.
Action recommandée : Mettre à jour vers Contact Form by Supsystic 1.11.1 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
Recherche web dédiée effectuée sur les avis PrestaShop, les modules et thèmes, les incidents et les correctifs. Aucun événement de sécurité vérifiable daté du 2026-10-29 dans la période indiquée n’a été identifié. Une entrée d’agrégateur concernant une injection CSV dans ps_emailsubscription est datée du 2026-10-28, donc hors période; faute d’avis primaire consulté confirmant un événement le 29, elle n’est pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a pas identifié de vulnérabilité, correctif ou avis de sécurité dont la date de publication ou de changement substantiel soit vérifiable dans la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les avis et changements repérés dans les résultats consultés étaient antérieurs à cette période; cela ne permet pas de conclure à l’absence de toute nouveauté sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée sur CloudPanel n’a pas permis de vérifier de nouvel avis, correctif, événement d’exploitation ni mise à jour substantielle daté du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les éléments repérés sur GitHub concernant une vulnérabilité Nginx sont datés du 2026-11-01, et les discussions relatives aux CVE PHP mentionnées dans les résultats sont antérieures à la période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée sur Uptime Kuma n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-10-29 dans la période demandée. L’avis GitHub GHSA-86ch-2247-gr56 est daté du 2026-10-31, après la borne de fin, et a donc été exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
Aucun événement admissible concernant MariaDB ou MariaDB Connector/J n’a été vérifié dans la période demandée. Les fiches NVD fournies pour MariaDB Connector/J ont une date de publication hors période : 2026-10-29T21:17Z, soit après la borne de fin fixée à 2026-10-30T00:00:00+02:00 (2026-10-29T22:00:00Z). La fiche AVideo concerne une vulnérabilité de cette plateforme, et non du produit MariaDB; sa mise à jour NVD ne la rend pas admissible au sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche web dédiée sur phpMyAdmin n’a pas permis de vérifier de nouveauté datée du 2026-10-29 dans la période demandée. Les résultats repérés concernant plusieurs vulnérabilités phpMyAdmin sont datés du 2026-10-30, après la borne de fin, et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche a confirmé la sortie de pgAdmin 4 v9.19 le 2026-10-29. Les informations consultées ne permettent pas d’établir, dans la période demandée, un avis ou un correctif de sécurité attribuable à une vulnérabilité précise; les signalements détaillés trouvés sont datés après la borne de fin et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis, de correctif de sécurité, d’exploitation ni de changement substantiel concernant Virtualmin daté de la période demandée. Le changelog du projet mentionne une version de Virtualmin Podman publiée le 2026-10-28, mais ne la présente pas comme un événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité Webmin et les résultats concernant CVE/NVD, GitHub et d’autres sources. Les avis Webmin visibles portent sur des événements antérieurs au 29 octobre 2026; aucun élément répondant aux critères de la période figée n’a été identifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié quatre vulnérabilités Nuxt publiées le 29 octobre 2026 et un enrichissement CISA ADP intervenu ce jour-là pour une vulnérabilité Vue I18n publiée antérieurement. Les avis Nuxt indiquent la version 4.6.3 comme correctif ; Vue I18n indique 11.4.14 et 12.0.0-alpha.5.
Vue I18n : enrichissement de sécurité concernant le contournement XSS via srcdoc
Dans Vue I18n, la protection escapeParameter ne neutralise pas l’attribut srcdoc lorsque des traductions sont rendues comme HTML avec v-html, ce qui peut permettre l’exécution de script dans le contexte de même origine. Le changement substantiel retenu dans la période est l’enrichissement CISA ADP de la fiche le 2026-10-29 ; l’avis initial avait été publié avant cette période.
Action recommandée : Mettre à jour vers Vue I18n 11.4.14 ou 12.0.0-alpha.5 selon la branche ; migrer les installations affectées en version 9 ou 10 vers une branche maintenue.
Nuxt : lecture de fichiers locaux via les rapports d’erreur du serveur de développement
Un client pouvant joindre le serveur de développement Nuxt peut provoquer la lecture et la divulgation d’un fichier local via le canal d’erreur client. Sont concernés Nuxt 4.6.0 à 4.6.2 ; Nuxt 3 et les builds de production ne sont pas concernés.
Action recommandée : Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure et éviter d’exposer le serveur de développement.
Nuxt : exposition de la configuration privée dans le bundle de développement Nitro
Le serveur de développement Nuxt peut exposer le bundle de développement Nitro contenant des valeurs privées de runtimeConfig intégrées à la compilation. Les versions Nuxt 3.0.0 à 4.6.2 sont concernées ; les builds de production et Nitro 3 ne le sont pas.
Action recommandée : Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure et limiter l’accès au serveur de développement.
Nuxt : contournement de contrôles de chemin par segments point
Dans Nuxt 4.6.0 à 4.6.2, un chemin avec segments point encodés ou littéraux peut contourner des vérifications de middleware et des règles de route avant le rendu d’une page. Une page et ses données rendues côté serveur peuvent ainsi être accessibles sans les contrôles ou en-têtes prévus pour ce chemin.
Action recommandée : Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure et contrôler les protections des pages sensibles.
Nuxt : exposition de l’appSecret du serveur de développement
Le serveur de développement Nuxt peut exposer son appSecret généré, permettant à un client qui atteint ce serveur de dériver des secrets et de fabriquer des cookies de session acceptés par ce serveur. Sont concernés Nuxt 4.6.0 à 4.6.2 ; les builds de production et les serveurs configurés avec un appSecret explicite ne sont pas concernés.
Action recommandée : Mettre à jour Nuxt vers la version 4.6.3 ou ultérieure, configurer explicitement appSecret et limiter l’accès au serveur de développement.
Vite
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a identifié une mise à jour d’avis concernant Vite, datée du 29 octobre dans la période figée : CVE-2026-118662, contournement de server.fs.deny dans Vite 6.4.4, corrigé en 6.4.5. Les trois candidats Nuxt sont hors sujet; leurs dates de publication NVD en UTC correspondent au 29 octobre après minuit au fuseau +02:00? Pour la borne demandée, 21:17Z correspond à 23:17+02:00 le 29 octobre, donc ces candidats sont dans la période temporelle mais exclus car concernent Nuxt, pas Vite.
Vite : contournement de server.fs.deny avec des paramètres de requête
Dans Vite 6.4.4, des paramètres de requête comme ?raw ou ?import&raw peuvent contourner server.fs.deny et permettre de récupérer des fichiers que cette règle devrait bloquer. Le risque concerne les serveurs de développement exposés au réseau et les fichiers situés dans les répertoires autorisés; la correction est Vite 6.4.5.
Action recommandée : Mettre à niveau Vite 6.4.4 vers la version corrigée 6.4.5 ou une version ultérieure; éviter d’exposer le serveur de développement au réseau.
Nuxt
Vérification incomplète
Quatre CVE Nuxt distinctes ont une date de publication NVD dans la période demandée: CVE-2026-119198, CVE-2026-119199, CVE-2026-119200 et CVE-2026-119201. Les avis du projet consultés les référencent comme publiés le 27 octobre; la date retenue ici pour leur inclusion est leur publication NVD le 29 octobre, pendant la fenêtre fixée. CVE-2026-59158 concerne Nuxt Ollama, avait été publiée avant la période et les éléments consultés ne démontrent pas de changement substantiel le 29 octobre.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Next.js
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Next.js n’a identifié aucun nouvel avis, correctif, cas d’exploitation ou changement substantiel daté du 29 octobre 2026. Les résultats trouvés renvoient à des avis antérieurs à la période, notamment ceux publiés les 14 et 30 septembre 2026; une modification Red Hat datée du 29 octobre concerne un avis initialement publié le 2 octobre et ne constitue pas une nouvelle faille ni un changement de sécurité établi dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Aucun avis, correctif, événement d’exploitation ou changement substantiel concernant le projet React n’a été vérifié pour la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les avis React consultés étaient antérieurs à cette période; les deux candidats ont été écartés car ils ne décrivent pas une vulnérabilité de React.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche a identifié CVE-2026-101897, publiée avant la période indiquée. Le candidat signale une modification de la fiche NVD le 2026-10-29, mais les éléments consultés ne permettent pas d’établir qu’il s’agissait d’un changement substantiel plutôt que d’une mise à jour administrative; aucun item n’est donc retenu pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche a repéré trois avis de sécurité Astro publiés le 2026-10-28, donc avant la période demandée. Aucun candidat n’ayant été fourni, aucun item ne correspond à la fenêtre du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche dédiée aux avis du projet TypeScript, aux avis GitHub et aux résultats NVD disponibles n’a pas permis de vérifier de nouveauté, de correctif ou de changement substantiel concernant TypeScript dans la période demandée. Les candidats examinés ne satisfont pas aux critères de date ou de preuve de changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a recensé dix avis publiés dans la période, portant sur des XSS affectant AVideo-Encoder, des extensions WordPress, ICTBroadcast, SABBATIC et une exposition d’informations d’autorisation dans du JavaScript du site Foxit. Les correctifs sont indiqués uniquement lorsque les éléments consultés en fournissent un; aucune exploitation active n’est établie par les éléments examinés. Onze vulnérabilités liées à des logiciels JavaScript ont une fiche NVD publiée le 29 octobre 2026 dans la période demandée. Les informations fournies indiquent des correctifs pour Crawl4AI, Zimbra, sigstore-js, minimatch, SD-JWT JS, joi et node-forge. Neuf vulnérabilités distinctes de node-forge ont été publiées dans la période retenue. Elles concernent le traitement HTTP des cookies, TLS, PEM, certificats, RSA et PKCS#12 ; les éléments fournis indiquent la version 1.4.1 comme correctif pour chacune. Deux vulnérabilités nouvelles de node-forge ont été publiées par le NVD pendant la période : une validation incorrecte de certificats et un risque de déni de service au décodage ASN.1. Les autres candidats sont des mises à jour de fiches NVD dont la date de modification seule ne démontre pas un changement substantiel pendant la période; ils sont exclus. Aucun élément du lot ne démontre une nouveauté, un correctif, un avis de sécurité, une exploitation ou un changement substantiel concernant JavaScript pendant la période demandée. Les dates de mise à jour NVD, sans détail sur la nature des changements, ne suffisent pas à établir un événement admissible. Aucun changement substantiel daté de la période n’est vérifiable à partir des éléments fournis : ceux-ci indiquent des mises à jour de fiches NVD, mais ne documentent pas ce qui a changé. Cela ne permet pas de conclure qu’aucune nouveauté n…
GHSA-4g45-28rv-vq9q : code malveillant dans @testsecuiitytestme/cache-helper
Un avis signale du code malveillant dans le paquet npm @testsecuiitytestme/cache-helper, qui exécute un module natif lors de l’installation et peut lancer une charge utile détachée. L’analyse rapportée décrit notamment la collecte de secrets de développement et des mécanismes de propagation; les versions 1.0.1 à 1.0.7 sont indiquées comme affectées, sans version corrigée précisée.
Action recommandée : Éviter d’installer ces versions; si elles ont été installées, isoler l’environnement concerné et traiter les secrets qui y étaient accessibles comme potentiellement compromis.
Exposition d’informations d’autorisation dans du JavaScript du site Foxit
Du code JavaScript sur le site officiel de Foxit exposait des informations d’autorisation tierces, susceptibles d’être obtenues ou utilisées abusivement par des personnes non autorisées. Le candidat ne fournit ni versions concernées ni correctif; aucune version corrigée n’est donc indiquée ici.
sigstore-js : divulgation d’identifiants lors d’un téléversement d’artefact
Dans sigstore-js, un serveur de registre malveillant ou compromis peut fournir une URL d’envoi externe et recevoir des identifiants d’authentification du registre lors d’un téléversement d’artefact. Mettre à jour vers la version 0.7.2, qui limite l’envoi des identifiants à l’origine du registre.
Action recommandée : Mettre à jour sigstore-js vers la version 0.7.2 ou ultérieure.
SD-JWT JS : divulgations altérées ignorées silencieusement
Le décodeur SD-JWT peut ignorer silencieusement une divulgation altérée et renvoyer un ensemble réduit de revendications comme si le traitement avait réussi. La correction indiquée est dans `@sd-jwt/core` 0.20.0 ; aucune version corrigée du paquet autonome `@sd-jwt/decode` n’est identifiée dans les informations fournies.
Action recommandée : Mettre à jour `@sd-jwt/core` vers la version 0.20.0 ou ultérieure et vérifier le traitement des revendications absentes dans les décisions d’autorisation.
joi : déni de service lors de la validation d’e-mails multiples
Une expression régulière utilisée pour séparer plusieurs adresses e-mail peut entraîner un traitement quadratique lorsqu’une longue séquence d’espaces ne contient pas de séparateur. Une requête spécialement construite peut alors bloquer la boucle d’événements Node.js.
Action recommandée : Mettre à niveau vers joi 17.13.9 ou 18.3.1, selon la branche utilisée, et appliquer une limite effective aux entrées non fiables.
node-forge : validation incorrecte d’extensions de certificats
Une validation incorrecte d’extensions de certificats dépréciées peut faire accepter un certificat comme autorité de certification et permettre l’usurpation de serveurs ou de clients. Le risque dépend notamment de la capacité d’une autorité de certification approuvée à émettre un certificat contenant l’extension malveillante; la version corrigée est node-forge 1.4.1.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure et vérifier les chaînes de certificats traitées par l’application.
node-forge : consommation excessive de ressources lors du décodage ASN.1
Le décodage de BIT STRING ASN.1 imbriqués ne respectait pas toujours la limite maxDepth et conservait des copies récursives, ce qui pouvait entraîner une consommation excessive de processeur et une croissance quadratique de la mémoire. Le défaut affecte node-forge avant 1.4.1 et est corrigé dans la version 1.4.1.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure.
node-forge : consommation excessive de CPU dans le décodage PEM
Dans node-forge avant 1.4.1, des expressions régulières de `pem.decode()` pouvaient consommer un temps CPU excessif sur un message PEM malformé et long. Un attaquant non authentifié pouvant fournir une entrée PEM à un analyseur concerné pouvait provoquer un déni de service ; mettre à niveau vers la version 1.4.1 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; limiter les entrées PEM non fiables en attendant la mise à niveau.
node-forge : contournement de vérifications d’intégrité PKCS#12
Dans node-forge avant 1.4.1, un nombre d’itérations PKCS#12 nul ou négatif pouvait entraîner la génération d’une clé constante indépendante du mot de passe et du sel. Des données PKCS#12 forgées pouvaient ainsi contourner les contrôles d’intégrité par mot de passe et rendre prévisibles certaines clés de chiffrement ; mettre à niveau vers la version 1.4.1 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; traiter avec prudence les fichiers PKCS#12 provenant de sources non fiables.
node-forge : épuisement de pile lors du traitement d’enregistrements TLS
Dans node-forge avant 1.4.1, le traitement récursif des enregistrements TLS pouvait épuiser la pile JavaScript lorsqu’un pair envoyait de nombreux petits enregistrements dans un seul bloc d’entrée. Une exception non interceptée pouvait interrompre la connexion ou le processus ; mettre à niveau vers 1.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure.
node-forge : exception lors du traitement d’un handshake TLS fragmenté
Dans node-forge avant 1.4.1, un autre type d’enregistrement TLS intercalé pendant un message de handshake fragmenté pouvait faire poursuivre le traitement dans un état invalide et déclencher une exception TypeError. Un pair distant pouvait ainsi faire échouer la connexion ou le processus ; mettre à niveau vers 1.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure.
CVE-2026-9086 : contournement de validation d’URI et XSS dans Keycloak
Keycloak est vulnérable à une XSS lorsque la validation d’URI de redirection peut être contournée avec un schéma javascript: ou data: dont la casse est spécialement choisie. L’exploitation décrite requiert des privilèges d’administration, notamment manage-client, ou un accès aux points de terminaison d’enregistrement de clients, et peut conduire à l’exécution de code dans l’origine Keycloak lorsqu’une victime suit le lien forgé.
Action recommandée : Mettre à niveau Keycloak vers la version 26.6.4 ou ultérieure corrigée.
Crawl4AI : injection JavaScript via l’API Docker
Le serveur API Docker de Crawl4AI permet à un client API authentifié d’injecter du JavaScript dans la page explorée via les champs `css_selector` ou `wait_for`. Mettre à jour vers la version 0.9.5 ou ultérieure.
Action recommandée : Mettre à jour Crawl4AI vers la version 0.9.5 ou ultérieure.
XSS persistante dans le plugin Ortto pour WordPress
Le plugin Ortto pour WordPress stockait des paramètres sans les échapper sur sa page de réglages, ce qui pouvait permettre une XSS persistante dans la session d’un administrateur. Le risque concerne les versions antérieures à 1.0.25 ; mettre à jour vers la version 1.0.25 ou ultérieure.
Action recommandée : Mettre à jour le plugin Ortto vers la version 1.0.25 ou ultérieure.
Contournement de l’assainissement SVG permettant une XSS
Le plugin WordPress Enable SVG, WebP, and ICO Upload ne bloquait pas certains éléments d’animation SVG capables de modifier une cible de lien vers une URI javascript:, contournant l’assainissement et permettant une XSS stockée. Le risque concerne les utilisateurs ayant au moins le rôle d’auteur et les navigateurs WebKit; mettre à jour vers la version 1.1.6 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.1.6 ou ultérieure.
XSS réfléchie dans l’interface de connexion d’AVideo-Encoder
AVideo-Encoder présente une XSS réfléchie dans l’interface de connexion anonyme, par absence d’encodage de valeurs injectées dans le HTML et le JavaScript. Une victime qui ouvre un lien préparé peut subir l’exécution de JavaScript dans l’origine de l’encodeur; mettre à jour vers 8.1.0 ou une version ultérieure.
Action recommandée : Mettre à jour AVideo-Encoder vers la version 8.1.0 ou ultérieure.
XSS réfléchie dans l’environnement de démonstration ICTBroadcast
Une XSS réfléchie affecte l’endpoint login.php de l’environnement de démonstration ICTBroadcast: le paramètre editForm[extension_username] est renvoyé sans filtrage approprié. Une victime visitant une URL forgée peut déclencher l’exécution de JavaScript; le candidat ne précise pas de version corrigée.
XSS stockée dans l’endpoint /usuario de SABBATIC
SABBATIC présente une XSS stockée impliquant le paramètre nombre de l’endpoint /usuario. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page, mais ne précise ni versions affectées ni correctif.
XSS stockée dans l’endpoint /categorías de SABBATIC
SABBATIC présente une XSS stockée impliquant les paramètres titulo_es et add_etiquetas de l’endpoint /categorías. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page; versions affectées et correctif ne sont pas précisés.
XSS stockée dans l’endpoint /empresa de SABBATIC
SABBATIC présente une XSS stockée impliquant le paramètre companyName de l’endpoint /empresa. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page, sans préciser les versions concernées ni le correctif.
XSS stockée dans l’endpoint /mis-gastos de SABBATIC
SABBATIC présente une XSS stockée impliquant le paramètre observaciones de l’endpoint /mis-gastos. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page, mais ne précise ni versions affectées ni correctif.
Zimbra : XSS via l’en-tête Content-Location d’une pièce jointe
Zimbra ne neutralise pas correctement l’en-tête MIME `Content-Location` d’une pièce jointe, ce qui peut permettre une XSS stockée via une URI `javascript:`. Un attaquant distant non authentifié peut envoyer un courriel piégé ; mettre à jour vers Zimbra 10.1.21 ou ultérieur.
Action recommandée : Mettre à jour Zimbra vers la version 10.1.21 ou ultérieure.
CVE-2026-66912 : XSS persistante dans Zimbra Classic UI
Zimbra Classic UI présente une XSS persistante via l’en-tête From d’un courriel lors de la rédaction d’une réponse HTML, lorsque les en-têtes de réponse sont désactivés. Un attaquant distant peut ainsi exécuter du JavaScript dans le navigateur d’une victime qui ouvre le message et répond dans ces conditions.
Action recommandée : Mettre à niveau vers Zimbra 10.1.21 ou une version ultérieure corrigée.
minimatch : consommation excessive de ressources lors de la compilation de motifs
Dans minimatch, certains motifs glob malveillants peuvent provoquer une consommation excessive de CPU et de mémoire lors de leur compilation, avec les niveaux d’optimisation 2 ou supérieurs. Mettre à jour vers la version 11.0.1 ou ultérieure.
Action recommandée : Mettre à jour minimatch vers la version 11.0.1 ou ultérieure.
node-forge : altération de propriétés héritées via le client HTTP
Dans node-forge avant 1.4.1, le client HTTP stockait les noms et chemins de cookies dans des objets JavaScript ordinaires, ce qui pouvait permettre à un serveur malveillant de modifier des propriétés héritées comme `Object.prototype`. Les applications qui utilisent `forge.http` directement ou via `forge.xhr` sont concernées ; mettre à niveau vers 1.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; les applications n’utilisant pas forge.http ne sont pas concernées.
node-forge : exception lors d’un certificat TLS serveur absent
Dans node-forge avant 1.4.1, le client TLS vérifiait incorrectement l’absence du certificat serveur ; un serveur TLS malveillant ou un intermédiaire pouvait omettre le message Certificate et déclencher une exception non interceptée. Mettre à niveau vers node-forge 1.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure.
node-forge : acceptation de données AES-GCM sans authentification
Dans node-forge avant 1.4.1, la longueur de balise AES-GCM n’était pas validée lors du déchiffrement et une valeur convertie en zéro, avec une balise absente ou vide, pouvait faire accepter un texte chiffré sans authentification. Les applications utilisant la longueur par défaut de 128 bits ou une valeur fixe valide ne sont pas concernées ; mettre à niveau vers 1.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; utiliser une longueur de balise AES-GCM fixe et valide en attendant.
node-forge : contrainte de longueur de chemin CA ignorée sans keyUsage
Dans node-forge avant 1.4.1, la contrainte de longueur de chemin d’un certificat CA pouvait être ignorée si celui-ci ne contenait pas d’extension keyUsage. Dans les chaînes concernées, un attaquant disposant de la clé privée de cette CA ou d’un certificat CA subordonné pouvait faire accepter une chaîne dépassant la longueur déclarée ; mettre à niveau vers 1.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; vérifier les certificats CA privés sans extension keyUsage.
XSS dans le formulaire public du plugin Appointment Booking
Le plugin Appointment Booking pour WordPress n’échappait pas certains contenus de configuration des étapes du formulaire avant leur affichage public, permettant une XSS. Un utilisateur privilégié peut faire exécuter du JavaScript dans le navigateur des visiteurs; mettre à jour vers la version 5.7.6 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 5.7.6 ou ultérieure.
node-forge : vérification incorrecte du schéma de signature d’un certificat
node-forge choisissait le rembourrage RSA et les paramètres RSASSA-PSS à partir du certificat émetteur plutôt que du certificat enfant vérifié. Un certificat enfant déclaré RSASSA-PSS pouvait ainsi être accepté avec une signature PKCS#1 v1.5 ; mettre à jour vers la version 1.4.1 ou ultérieure.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
node-forge : encodage DER incorrect de certains OID
Avant node-forge 1.4.1, `asn1.oidToDer()` ne vérifiait pas les bornes des deux premiers arcs d’un OID, ce qui pouvait produire un DER représentant un autre OID que celui vérifié ou autorisé par l’application. Mettre à jour vers la version 1.4.1 ou ultérieure.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
node-forge : validation insuffisante du bourrage PKCS#7
node-forge ne validait que le dernier octet du bourrage PKCS#7 pendant le déchiffrement CBC et ECB et pouvait accepter des bourrages invalides. Des données chiffrées malformées pouvaient alors être acceptées et conduire à la suppression silencieuse de blocs de texte en clair ; mettre à jour vers la version 1.4.1 ou ultérieure.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
node-forge : retrait indu de CA du magasin de confiance
Dans node-forge avant 1.4.1, une vérification de chaîne de certificats impliquant des certificats CA ayant le même sujet pouvait modifier le magasin de CA pendant la tentative de validation. Une chaîne invalide pouvait ainsi retirer durablement des CA de confiance et faire échouer des validations ultérieures ; mettre à niveau vers 1.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure.
node-forge : boucle infinie dans modInverse()
Dans node-forge, modInverse() peut entrer dans une boucle infinie lorsqu’il reçoit une valeur ou un modulo négatif. Un attaquant capable de contrôler l’opérande concerné peut ainsi bloquer le processus Node.js; les valeurs analysées depuis les formats DER, PEM, JWK, PKCS#12, X.509 et TLS sont indiquées comme non concernées.
Action recommandée : Mettre à niveau vers node-forge 1.4.1 ou une version ultérieure.
HTML5
Recherche du sujet effectuée
Niveau relevé : Moyenne
Deux événements publiés pendant la période ont été retenus : une XSS stockée dans l’extension WordPress Flash & HTML5 Video, et un avis Crass concernant un contournement d’assainissement CSS applicable notamment à Loofah::HTML5::Scrub. La mise à jour NVD de la première fiche n’a pas été comptée comme un événement distinct.
XSS stockée dans l’extension WordPress Flash & HTML5 Video
Une vulnérabilité de type XSS stockée a été signalée dans l’extension WordPress Flash & HTML5 Video de bPlugins. Les informations disponibles indiquent que les versions jusqu’à 2.14.0 sont concernées.
Action recommandée : Vérifier la version installée et appliquer une version corrigée dès qu’elle est disponible; la version corrigée n’a pas été confirmée dans les sources consultées.
Mauvaise tokenisation CSS dans Crass permettant un contournement d’assainissement
Crass pouvait mal analyser certains jetons URL CSS, ce qui pouvait permettre à un assainisseur utilisant cette bibliothèque de laisser passer des règles CSS que le navigateur interprète. L’avis décrit des conséquences possibles telles que des superpositions d’interface ou le chargement de ressources externes; il précise que la faille ne permet pas l’exécution de scripts dans les navigateurs modernes.
Action recommandée : Mettre à niveau Crass vers la version 1.0.8 ou ultérieure, notamment si l’application utilise Loofah, Sanitize, rails-html-sanitizer ou un autre assainisseur CSS dépendant de Crass.
CSS3
Vérification incomplète
La recherche a identifié un avis GitHub publié le 29 octobre 2026 concernant Crass, un analyseur CSS : CVE-2026-61847. Le correctif est Crass 1.0.7. Aucun candidat fourni à examiner.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Tailwind CSS
Vérification incomplète
La recherche web dédiée a été lancée, mais je n’ai pas pu vérifier les pages des avis ni établir si les mises à jour indiquées au 2026-10-29 étaient substantielles. Je ne peux donc pas conclure à l’absence de nouveauté pour la période. Aucune nouveauté répondant à la période figée : les huit avis concernent des paquets malveillants tiers dont la publication est antérieure au 29 octobre 2026. Leur mise à jour le 29 octobre est administrative et ne décrit pas de changement substantiel de la menace ni de correctif.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée sur Bootstrap n’a identifié aucun avis de sécurité, correctif ou autre événement de sécurité vérifié daté de la période demandée. La page des avis de sécurité GitHub de twbs/bootstrap indique qu’aucun avis n’y est publié; les autres résultats consultés n’ont pas établi d’événement Bootstrap pertinent dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche a identifié deux avis de sécurité concernant webpack-dev-server, mais les informations consultées les datent du 2026-10-22. Pour le 2026-10-29, les candidats ne documentent qu’une mise à jour de fiche NVD et aucune modification substantielle de l’avis ou de la vulnérabilité pendant la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a identifié aucun avis, correctif, exploitation ni changement substantiel daté du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les avis de sécurité esbuild visibles dans les résultats consultés sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée aux avis et vulnérabilités de Parcel n’a pas permis de vérifier de nouvel avis, correctif de sécurité, exploitation ou changement substantiel daté du 2026-10-29. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé cinq vulnérabilités de composants de l’écosystème Node.js dont la publication est datée du 29 octobre 2026 : nvm, flat, joi, node-forge et @hapi/content. Les éléments disponibles décrivent principalement des risques d’exécution de commandes ou de déni de service; l’avis de sécurité nvm a également été trouvé sur le dépôt GitHub du projet. Aucun candidat fourni ne concerne Node.js : les onze fiches portent sur des vulnérabilités de n8n. Elles sont donc hors du sujet demandé. Aucun candidat de ce lot ne concerne Node.js : les dix entrées portent sur des vulnérabilités du produit n8n. Elles sont donc hors sujet pour ce bulletin. Aucun candidat fourni ne concerne une vulnérabilité de Node.js lui-même : les fiches portent sur des vulnérabilités du produit n8n. Leur mention du processus Node.js ne les fait pas entrer dans le sujet demandé. Aucun candidat ne concerne le sujet demandé, Node.js : les dix fiches portent sur des vulnérabilités du produit n8n. Elles sont donc exclues du bulletin Node.js. Aucun élément du lot ne concerne une vulnérabilité, un correctif ou un avis de sécurité du produit Node.js. Les candidats portent sur n8n ou sur des bibliothèques et applications tierces ; les dates indiquées correspondent à des publications antérieures ou à des mises à jour de fiches NVD, sans preuve d’un changement substantiel pertinent pour Node.js dans la période demandée. Cinq vulnérabilités Node.js ou de paquets npm pertinents ont été retenues : nvm, flat, systeminformation, qs et decode-uri-component. Les dates de publication ou de mise à jour indiquées dans les sources permettent de les rattacher à la période ; pour qs, seule la mise à jour substantielle datée dans la période est retenue.
CVE-2026-119051 : allocation de ressources non bornée dans flat
La fonction `unflatten()` de flat peut créer des tableaux creux de taille excessive à partir de clés numériques non bornées, notamment lorsque des données non fiables sont désaplaties. Les versions jusqu’à 6.0.1 sont signalées comme concernées ; la source fournie ne précise pas de version corrigée, il faut donc consulter l’avis du mainteneur avant de déployer un correctif.
Action recommandée : Éviter de passer des clés contrôlées par des utilisateurs à `unflatten()` ; vérifier auprès du mainteneur la disponibilité d’une version corrigée avant mise à niveau.
joi : déni de service lors de la validation d’e-mails multiples
Une expression régulière utilisée pour séparer plusieurs adresses e-mail peut entraîner un traitement quadratique lorsqu’une longue séquence d’espaces ne contient pas de séparateur. Une requête spécialement construite peut alors bloquer la boucle d’événements Node.js.
Action recommandée : Mettre à niveau vers joi 17.13.9 ou 18.3.1, selon la branche utilisée, et appliquer une limite effective aux entrées non fiables.
CVE-2026-118905 : injection de commandes via les motifs de version de nvm
Dans nvm, un motif de version contrôlé par un attaquant peut être interprété comme des commandes sed et, selon l’environnement, permettre l’exécution de commandes ou la lecture et l’écriture de fichiers avec les privilèges de l’utilisateur. Les versions 0.31.2 à 0.40.5 sont concernées ; mettre à niveau vers 0.40.6 et ne pas traiter de `.nvmrc` non fiable avec les versions vulnérables.
Action recommandée : Mettre à niveau nvm vers 0.40.6 ; jusqu’à la mise à niveau, éviter d’utiliser des motifs de version ou fichiers `.nvmrc` non fiables avec nvm et ses hooks d’auto-bascule.
@hapi/content : déni de service par analyse d’en-tête Content-Disposition
Content.disposition() peut effectuer un traitement quadratique lorsqu’un paramètre d’en-tête contient un long jeton sans signe égal. L’analyse d’un en-tête malveillant peut bloquer la boucle d’événements Node.js avant le traitement par les routes.
Action recommandée : Mettre à niveau @hapi/content vers 6.0.3 ou une version ultérieure.
CVE-2026-118664 : déni de service dans decode-uri-component
Une entrée malformée comportant de nombreux segments encodés distincts peut provoquer une consommation quadratique du processeur dans `decode-uri-component`, bloquant la boucle d’événements Node.js. Les versions jusqu’à 0.5.0 sont concernées ; mettre à niveau vers 0.5.1, en particulier si des données de requête non fiables sont décodées.
Action recommandée : Mettre à niveau decode-uri-component vers 0.5.1 ou une version ultérieure ; éviter de décoder des entrées non fiables avec les versions affectées.
CVE-2026-116576 : injection de commandes PowerShell dans systeminformation
Dans systeminformation 5.33.15 sous Windows, la fonction `services()` peut permettre une injection de commandes PowerShell si un appelant lui transmet un nom de service contrôlé par un attaquant. La version 5.33.16 corrige le problème ; le risque dépend de l’application consommatrice et de la possibilité d’influencer cet argument.
Action recommandée : Mettre à niveau systeminformation vers 5.33.16 ; sous Windows, ne pas transmettre de noms de service non fiables à `services()` avant la mise à niveau.
CVE-2026-110816 : exception non interceptée lors de qs.stringify au format comma
Avec qs, l’option `arrayFormat: 'comma'` peut lever une exception TypeError non interceptée lorsqu’un tableau contient un objet doté d’une propriété `toString` propre non appelable. Dans un service sans gestion synchrone de cette exception, une entrée contrôlée par un attaquant peut provoquer un déni de service ; les versions 6.7.0 à 6.16.0 sont concernées et 6.16.1 corrige le problème.
Action recommandée : Mettre à niveau qs vers 6.16.1 ; à défaut, éviter `arrayFormat: 'comma'` pour les objets dont la structure peut être contrôlée par un utilisateur.
node-forge : boucle infinie dans modInverse()
Dans node-forge, modInverse() peut entrer dans une boucle infinie lorsqu’il reçoit une valeur ou un modulo négatif. Un attaquant capable de contrôler l’opérande concerné peut ainsi bloquer le processus Node.js; les valeurs analysées depuis les formats DER, PEM, JWK, PKCS#12, X.509 et TLS sont indiquées comme non concernées.
Action recommandée : Mettre à niveau vers node-forge 1.4.1 ou une version ultérieure.
Python
Vérification incomplète
Niveau relevé : Exploitation active
La recherche dédiée et l’examen des 11 candidats ont retenu 11 avis ou publications liés à Python, dont des problèmes de déni de service par consommation CPU, une traversée de répertoires, une exécution de code dans Langflow et des problèmes d’autorisation ou de chargement de modèles. Les éléments datés du 2026-10-30 ont été exclus des dates d’événement retenues; les candidats inclus sont datés de la période demandée. Huit nouvelles fiches NVD publiées le 29 octobre 2026 concernent pyasn1 et pypdf. Elles décrivent des risques de déni de service par consommation excessive de ressources ou boucles infinies, avec correctifs indiqués dans les résumés des fiches. Les candidats portent sur des CVE publiées avant la période. Le lot signale des mises à jour de fiches NVD le 29 octobre, mais ne fournit aucun détail permettant d’établir qu’un changement substantiel de sécurité a eu lieu pendant cette période; aucune nouveauté n’est donc retenue. Les candidats fournis signalent des mises à jour de fiches NVD pendant la période, mais les éléments disponibles ne précisent pas si ces modifications sont substantielles ou administratives. Aucun événement ne peut donc être retenu avec suffisamment de certitude pour ce bulletin. Deux vulnérabilités liées à Python sont indiquées comme publiées le 2026-10-29 dans les sources fournies : une vulnérabilité de complexité algorithmique dans Python-Markdown et une vulnérabilité de chargement de modèles dans Crawl4AI. Pour les autres candidats, les données indiquent une modification NVD pendant la période, mais ne permettent pas d’établir si elle était substantielle ou seulement administrative. Deux avis de sécurité datés du 2026-10-29 concernent des logiciels Python : PraisonAI (CVE-2026-61438) et Twisted (CVE-2023-44487). Le candidat Debian me…
Twisted : déni de service dans le serveur HTTP/2 via des réinitialisations rapides de flux
Une faille de déni de service dans le serveur HTTP/2 de Twisted permet à un client distant non authentifié de provoquer un travail de rendu répété des requêtes et d’épuiser le processeur. L’avis publié dans la période identifie CVE-2023-44487 ; les versions jusqu’à 26.4.0 sont indiquées comme affectées et 26.10.0rc1 comme version corrigée.
Action recommandée : Mettre à jour Twisted vers la version corrigée indiquée par l’avis ; protéger les serveurs HTTP/2 exposés jusqu’à cette mise à jour.
python-markdown2 : déni de service par liens Markdown non fermés
Des destinations de liens Markdown non fermées peuvent entraîner des rescans répétés et une consommation quadratique du processeur. La version corrective n’est pas établie par les éléments consultés; vérifier l’avis du projet avant de choisir une version et limiter en attendant la taille des entrées non fiables.
Action recommandée : Consulter l’avis du projet pour la version corrigée; réduire l’exposition des services qui traitent des documents Markdown non fiables.
Python-Markdown : épuisement du processeur par analyse de liens Markdown
Python-Markdown 3.0 à 3.11.2 présente une vulnérabilité de complexité algorithmique dans l’analyse des liens Markdown, qui peut permettre à un attaquant distant d’épuiser le processeur en envoyant des crochets non appariés. La source ne précise pas de version corrigée ni de mesure de contournement.
Action recommandée : Éviter d’exposer à des entrées non fiables les versions affectées; vérifier auprès du projet la disponibilité d’une version corrigée.
Crawl4AI : sélection de modèles non filtrée pouvant entraîner une exécution de code
Crawl4AI 0.9.0 à 0.9.4 ne filtre pas le champ model_name fourni dans le corps des requêtes Docker API, ce qui permet à un client authentifié de choisir le modèle Hugging Face chargé par le serveur. Selon la version de PyTorch et le modèle choisi, cela peut mener à l’exécution de code ou à l’épuisement des ressources; la vulnérabilité est corrigée en version 0.9.5.
Action recommandée : Mettre à niveau Crawl4AI vers la version 0.9.5 ou une version ultérieure.
OAuthLib : validation de grants et de scopes avec un client_id non fiable
Dans certaines configurations, les validateurs de type de grant et de scopes peuvent se fonder sur un client_id fourni par l’attaquant plutôt que sur le client authentifié. Mettre à niveau OAuthLib vers 4.0.0 et vérifier que les autorisations sont liées à l’identité du client authentifié.
Action recommandée : Mettre à niveau vers OAuthLib 4.0.0 ou une version ultérieure et contrôler les validateurs de grants et de scopes.
pyasn1 : consommation CPU quadratique lors du décodage sans schéma
Le décodage sans schéma peut effectuer un travail CPU quadratique lorsque des données ASN.1 contiennent de nombreux identifiants de tags dont les empreintes entrent en collision. Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
Action recommandée : Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
pyasn1 : décodage fragmenté à coût CPU quadratique
Le décodage de fragments de chaînes construites et de valeurs ANY de longueur indéfinie peut recopier de façon répétée une valeur qui grandit, entraînant un coût CPU quadratique. Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
Action recommandée : Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
pyasn1 : consommation CPU quadratique dans le décodage BIT STRING
Le décodage de nombreux fragments BIT STRING peut décaler et recopier à répétition la valeur accumulée, avec un coût CPU quadratique. Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
Action recommandée : Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
pyasn1 : déni de service par décodage de REAL ASN.1
La bibliothèque pyasn1 présente une vulnérabilité de déni de service lors du décodage de valeurs REAL ASN.1 binaires à mantisse volumineuse. Le traitement quadratique peut monopoliser un cœur CPU pendant une durée importante ; mettez pyasn1 à jour vers 0.6.5.
Action recommandée : Mettre à jour pyasn1 vers la version 0.6.5 ou ultérieure.
pypdf : boucle infinie à l’ouverture d’un PDF incomplet
pypdf peut boucler indéfiniment à l’ouverture d’un PDF incomplet dont la table de références croisées se termine sans trailer. Le thread de traitement peut rester bloqué ; mettez à jour pypdf vers 6.21.4.
Action recommandée : Mettre à jour pypdf vers la version 6.21.4 ou ultérieure.
pypdf : consommation mémoire excessive dans l’arbre de pages
pypdf peut consommer une quantité excessive de mémoire en analysant un arbre de pages PDF construit avec de nombreuses ressources partagées. La copie répétée des entrées de dictionnaire et de ressources n’est pas encadrée par un budget global ; mettez à jour vers 6.21.4.
Action recommandée : Mettre à jour pypdf vers la version 6.21.4 ou ultérieure.
pypdf : boucle infinie lors de la copie d’un dictionnaire cyclique
pypdf peut entrer dans une boucle infinie lors de la copie ou de la duplication d’un objet DictionaryObject cyclique spécialement construit. Le contrôle des cycles ne vérifie pas correctement les références sources ; mettez à jour vers 6.21.4.
Action recommandée : Mettre à jour pypdf vers la version 6.21.4 ou ultérieure.
pypdf : traitement excessivement long des libellés de pages
La récupération des libellés de pages pypdf peut prendre un temps excessif pour un PDF contenant un arbre de libellés plat avec de nombreuses plages. La recherche répétée dans le tableau des plages accroît le travail avec le nombre de pages et de plages ; mettez à jour vers 6.21.3.
Action recommandée : Mettre à jour pypdf vers la version 6.21.3 ou ultérieure.
pypdf : amplification mémoire des erreurs en mode strict
En mode strict, pypdf peut consommer une mémoire excessive lors de l’analyse d’un dictionnaire PDF invalide. Les erreurs imbriquées peuvent répéter et amplifier le texte des exceptions ; mettez à jour vers 6.21.3.
Action recommandée : Mettre à jour pypdf vers la version 6.21.3 ou ultérieure.
pypdf : ressources excessives via le nombre de pages déclaré
La consultation du nombre de pages d’un PDF chiffré peut entraîner une consommation excessive de temps et de mémoire dans pypdf. Après déchiffrement, la bibliothèque fait confiance à la valeur /Count déclarée sans la valider par parcours de l’arbre ; mettez à jour vers 6.21.3.
Action recommandée : Mettre à jour pypdf vers la version 6.21.3 ou ultérieure.
pypdf : consommation mémoire via les flux de références croisées
pypdf peut consommer excessivement de la mémoire en ouvrant un PDF dont les flux de références croisées déclarent un très grand nombre d’entrées. Des flux compressibles, des chaînes /Prev et des comptes /Index négatifs peuvent amplifier ou contourner les limites ; mettez à jour vers 6.21.3.
Action recommandée : Mettre à jour pypdf vers la version 6.21.3 ou ultérieure.
PraisonAI : exécution de commandes via un contournement du bac à sable AST
Une faille dans le bac à sable AST de PraisonAI permet à un workflow configuré pour exécuter des tâches de lancer des commandes système arbitraires. Les versions antérieures à 4.6.78 sont concernées ; mettez à jour PraisonAI et évitez d’exécuter des workflows non fiables avant la mise à jour.
Action recommandée : Mettre à jour PraisonAI vers la version 4.6.78 ou ultérieure et ne pas exécuter de workflows non fiables sur les versions vulnérables.
Langflow OSS : exécution de code stocké dans un workflow public
Un attaquant distant peut déclencher l’exécution de code Python déjà stocké dans un composant d’un workflow public, dans le contexte d’exécution du propriétaire du flux. Vérifier l’avis éditeur pour le correctif applicable et limiter l’exposition des workflows publics.
Action recommandée : Consulter l’avis éditeur pour le correctif et contrôler l’exposition des workflows publics.
Botan : troncature de mots de passe contenant un octet nul dans les liaisons Python
Dans les liaisons Python de Botan, certaines chaînes contenant U+0000 peuvent être tronquées lors du traitement par bcrypt et check_bcrypt. Mettre à niveau vers Botan 3.13.0 ou ultérieur; scrypt et argon2 ne sont pas concernés selon l’avis fourni.
Action recommandée : Mettre à niveau vers Botan 3.13.0 ou ultérieur.
agent-zero : traversée de répertoires dans l’écriture de fichiers
Les versions 1.7 à 1.10 d’agent-zero acceptent des chemins de fichier contrôlés par l’utilisateur sans normalisation ni validation suffisante. La version corrigée n’est pas établie par les éléments disponibles; vérifier l’avis du projet et restreindre les chemins accessibles.
Action recommandée : Consulter l’avis du projet pour le correctif et limiter les permissions d’écriture.
Java
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié une publication concernant OMN Outline Notes et sept CVE publiées le 2026-10-29 concernant MariaDB Connector/J. Deux fiches NVD modifiées ce jour-là portaient sur des vulnérabilités initialement publiées en septembre ; aucun élément consulté n’établit un changement substantiel de sécurité daté de la période. Aucun événement répondant aux critères n’a pu être établi pour Java dans ce lot : les candidats pertinents sont antérieurs à la période, et leur seule date de mise à jour NVD ne démontre pas un changement substantiel pendant celle-ci.
OMN Outline Notes : écriture non autorisée dans le stockage privé
CVE-2026-107035 concerne des permissions insuffisantes dans le composant Page.java d’OMN Outline Notes (Markdown), versionCode 3400, qui peuvent permettre l’écriture de contenu dans l’espace privé d’un autre utilisateur. La fiche consultée ne fournit ni version corrigée ni mesure corrective confirmée.
Action recommandée : Vérifier auprès du projet si une version corrigée ou une mesure de mitigation est disponible.
MariaDB Connector/J : lecture possible de fichiers côté client
CVE-2026-119210 affecte MariaDB Connector/J : un serveur malveillant pouvait exploiter une vérification insuffisante de LOAD DATA LOCAL INFILE pour faire transmettre au client un fichier lisible par l’application. Le problème est corrigé dans les versions 3.3.7, 3.4.5 et 3.5.11 ; l’exposition décrite requiert notamment que allowLocalInfile soit activé.
Action recommandée : Mettre à niveau vers la version corrigée correspondant à la branche ; vérifier si allowLocalInfile est activé.
MariaDB Connector/J : allocations mémoire excessives via des paquets OK malformés
CVE-2026-119276 concerne MariaDB Connector/J et des longueurs non validées dans l’analyse des paquets OK lorsque CLIENT_SESSION_TRACK est négocié. Un serveur malveillant pouvait provoquer des allocations mémoire excessives et perturber ou arrêter l’application cliente ; les correctifs sont 3.3.7, 3.4.5 et 3.5.11.
Action recommandée : Mettre à niveau vers 3.3.7, 3.4.5 ou 3.5.11 selon la branche utilisée.
MariaDB Connector/J : plantage possible sur des paquets malformés
CVE-2026-119277 affecte les décodeurs de paquets de MariaDB Connector/J, qui pouvaient traiter des longueurs déclarées par le serveur sans vérifier les limites du paquet reçu. Un serveur malveillant pouvait provoquer des exceptions non contrôlées et interrompre le traitement des connexions ; les correctifs sont 3.3.7, 3.4.5 et 3.5.11.
Action recommandée : Mettre à niveau vers 3.3.7, 3.4.5 ou 3.5.11 selon la branche utilisée.
MariaDB Connector/J : réponses d’authentification malformées
CVE-2026-119278 concerne l’authentification caching_sha2_password de MariaDB Connector/J, où une longueur fournie par le serveur était utilisée avant validation de la réponse. Un serveur malveillant pouvait causer des allocations excessives ou une exception non contrôlée avant l’envoi du mot de passe ; le correctif est disponible en 3.3.7 et 3.4.5.
Action recommandée : Mettre à niveau vers la version corrigée correspondant à la branche.
MariaDB Connector/J : validation insuffisante des longueurs encodées
CVE-2026-119279 porte sur la conversion en entier Java de longueurs encodées sur huit octets dans MariaDB Connector/J, sans vérifier qu’elles tiennent dans un entier non négatif. Un serveur malveillant pouvait déclencher des erreurs de taille ou de lecture ; les versions correctrices indiquées sont 3.3.7, 3.4.5 et 3.5.10.
Action recommandée : Mettre à niveau vers 3.3.7, 3.4.5 ou 3.5.10 selon la branche utilisée.
MariaDB Connector/J : décodage de résultats avec jeu de caractères modifié
CVE-2026-119281 affecte la gestion des jeux de caractères de résultats dans MariaDB Connector/J : des changements de character_set_results pouvaient ne pas être détectés, entraînant un décodage incorrect des chaînes. Cela pouvait compromettre des contrôles applicatifs reposant sur les valeurs décodées ; les correctifs sont 3.3.7, 3.4.5 et 3.5.11.
Action recommandée : Mettre à niveau vers 3.3.7, 3.4.5 ou 3.5.11 selon la branche utilisée.
MariaDB Connector/J : validation insuffisante des données XA RECOVER
CVE-2026-119280 concerne la récupération XA de MariaDB Connector/J, qui faisait confiance aux longueurs de gtrid et bqual retournées par le serveur. Des longueurs incohérentes pouvaient provoquer des allocations ou erreurs de tableau pendant la récupération ; les correctifs sont 3.3.7, 3.4.5 et 3.5.11.
Action recommandée : Mettre à niveau vers 3.3.7, 3.4.5 ou 3.5.11 selon la branche utilisée.
TYPO3
Recherche du sujet effectuée
La recherche dédiée dans les annonces et avis officiels TYPO3 consultés n’a identifié aucun nouvel avis de sécurité, correctif de sécurité ni autre événement de sécurité TYPO3 daté du 2026-10-29 dans la période demandée. Les avis TYPO3 visibles dans les sources consultées sont antérieurs à cette période ; cette conclusion porte sur les éléments vérifiés, sans prétendre à une couverture exhaustive de tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
Aucun avis de sécurité Drupal nouveau, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-29 dans la période demandée n’a pu être vérifié à partir des sources consultées. Les avis Drupal repérés dans les résultats de recherche étaient datés d’autres jours; ils ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
La recherche dédiée aux avis Joomla, aux CVE/NVD et aux avis GitHub n’a fait apparaître aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel Joomla daté du 2026-10-29 dans la période demandée. Les résultats Joomla repérés étaient datés d’autres jours; les vulnérabilités PHP mentionnées concernaient PHP lui-même, et non un avis Joomla propre à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
Les sources consultées ne montrent pas de nouvelle vulnérabilité, d’avis ou de changement substantiel concernant Magento daté de la période du 2026-10-29T00:00:00+02:00 au 2026-10-30T00:00:00+02:00. Les avis Adobe retrouvés portent sur des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, signalement d’exploitation ni changement substantiel concernant Adobe Commerce daté de la période du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu. Le Trust Center d’Adobe consulté affiche APSB26-153, publié le 2026-10-13, comme avis Adobe Commerce ; cet avis est antérieur à la période et n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche web dédiée à Fooocus n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel dont la date soit établie dans la période du 2026-10-29T00:00:00+02:00 inclus au 2026-10-30T00:00:00+02:00 exclu. La page de sécurité GitHub consultée indique qu’aucun avis de sécurité n’y est publié, mais cela ne suffit pas à établir l’absence d’événements sur toutes les sources possibles.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
36 alerte(s)GHSA-4g45-28rv-vq9q : code malveillant dans @testsecuiitytestme/cache-helper
Un avis signale du code malveillant dans le paquet npm @testsecuiitytestme/cache-helper, qui exécute un module natif lors de l’installation et peut lancer une charge utile détachée. L’analyse rapportée décrit notamment la collecte de secre…
Exposition d’informations d’autorisation dans du JavaScript du site Foxit
Du code JavaScript sur le site officiel de Foxit exposait des informations d’autorisation tierces, susceptibles d’être obtenues ou utilisées abusivement par des personnes non autorisées. Le candidat ne fournit ni versions concernées ni cor…
Source : NVD — CVE-2026-111419
Vue I18n : enrichissement de sécurité concernant le contournement XSS via srcdoc
Dans Vue I18n, la protection escapeParameter ne neutralise pas l’attribut srcdoc lorsque des traductions sont rendues comme HTML avec v-html, ce qui peut permettre l’exécution de script dans le contexte de même origine. Le changement subst…
Source : NVD — CVE-2026-118257
sigstore-js : divulgation d’identifiants lors d’un téléversement d’artefact
Dans sigstore-js, un serveur de registre malveillant ou compromis peut fournir une URL d’envoi externe et recevoir des identifiants d’authentification du registre lors d’un téléversement d’artefact. Mettre à jour vers la version 0.7.2, qui…
Source : NVD — CVE-2026-118763
SD-JWT JS : divulgations altérées ignorées silencieusement
Le décodeur SD-JWT peut ignorer silencieusement une divulgation altérée et renvoyer un ensemble réduit de revendications comme si le traitement avait réussi. La correction indiquée est dans `@sd-jwt/core` 0.20.0 ; aucune version corrigée d…
Source : NVD — CVE-2026-62374
node-forge : validation incorrecte d’extensions de certificats
Une validation incorrecte d’extensions de certificats dépréciées peut faire accepter un certificat comme autorité de certification et permettre l’usurpation de serveurs ou de clients. Le risque dépend notamment de la capacité d’une autorit…
Source : NVD — CVE-2026-119190
node-forge : consommation excessive de ressources lors du décodage ASN.1
Le décodage de BIT STRING ASN.1 imbriqués ne respectait pas toujours la limite maxDepth et conservait des copies récursives, ce qui pouvait entraîner une consommation excessive de processeur et une croissance quadratique de la mémoire. Le…
Source : NVD — CVE-2026-119191
node-forge : consommation excessive de CPU dans le décodage PEM
Dans node-forge avant 1.4.1, des expressions régulières de `pem.decode()` pouvaient consommer un temps CPU excessif sur un message PEM malformé et long. Un attaquant non authentifié pouvant fournir une entrée PEM à un analyseur concerné po…
Source : NVD — CVE-2026-118779
node-forge : contournement de vérifications d’intégrité PKCS#12
Dans node-forge avant 1.4.1, un nombre d’itérations PKCS#12 nul ou négatif pouvait entraîner la génération d’une clé constante indépendante du mot de passe et du sel. Des données PKCS#12 forgées pouvaient ainsi contourner les contrôles d’i…
Source : NVD — CVE-2026-118782
node-forge : épuisement de pile lors du traitement d’enregistrements TLS
Dans node-forge avant 1.4.1, le traitement récursif des enregistrements TLS pouvait épuiser la pile JavaScript lorsqu’un pair envoyait de nombreux petits enregistrements dans un seul bloc d’entrée. Une exception non interceptée pouvait int…
Source : NVD — CVE-2026-119187
node-forge : exception lors du traitement d’un handshake TLS fragmenté
Dans node-forge avant 1.4.1, un autre type d’enregistrement TLS intercalé pendant un message de handshake fragmenté pouvait faire poursuivre le traitement dans un état invalide et déclencher une exception TypeError. Un pair distant pouvait…
Source : NVD — CVE-2026-119188
CVE-2026-9086 : contournement de validation d’URI et XSS dans Keycloak
Keycloak est vulnérable à une XSS lorsque la validation d’URI de redirection peut être contournée avec un schéma javascript: ou data: dont la casse est spécialement choisie. L’exploitation décrite requiert des privilèges d’administration,…
Vite : contournement de server.fs.deny avec des paramètres de requête
Dans Vite 6.4.4, des paramètres de requête comme ?raw ou ?import&raw peuvent contourner server.fs.deny et permettre de récupérer des fichiers que cette règle devrait bloquer. Le risque concerne les serveurs de développement exposés au rése…
Nuxt : lecture de fichiers locaux via les rapports d’erreur du serveur de développement
Un client pouvant joindre le serveur de développement Nuxt peut provoquer la lecture et la divulgation d’un fichier local via le canal d’erreur client. Sont concernés Nuxt 4.6.0 à 4.6.2 ; Nuxt 3 et les builds de production ne sont pas conc…
Source : NVD — CVE-2026-119198
Nuxt : exposition de la configuration privée dans le bundle de développement Nitro
Le serveur de développement Nuxt peut exposer le bundle de développement Nitro contenant des valeurs privées de runtimeConfig intégrées à la compilation. Les versions Nuxt 3.0.0 à 4.6.2 sont concernées ; les builds de production et Nitro 3…
Source : NVD — CVE-2026-119199
Nuxt : contournement de contrôles de chemin par segments point
Dans Nuxt 4.6.0 à 4.6.2, un chemin avec segments point encodés ou littéraux peut contourner des vérifications de middleware et des règles de route avant le rendu d’une page. Une page et ses données rendues côté serveur peuvent ainsi être a…
Source : NVD — CVE-2026-119200
Nuxt : exposition de l’appSecret du serveur de développement
Le serveur de développement Nuxt peut exposer son appSecret généré, permettant à un client qui atteint ce serveur de dériver des secrets et de fabriquer des cookies de session acceptés par ce serveur. Sont concernés Nuxt 4.6.0 à 4.6.2 ; le…
Source : NVD — CVE-2026-119201
XSS réfléchie dans l’interface de connexion d’AVideo-Encoder
AVideo-Encoder présente une XSS réfléchie dans l’interface de connexion anonyme, par absence d’encodage de valeurs injectées dans le HTML et le JavaScript. Une victime qui ouvre un lien préparé peut subir l’exécution de JavaScript dans l’o…
Source : NVD — CVE-2026-61573
XSS réfléchie dans l’environnement de démonstration ICTBroadcast
Une XSS réfléchie affecte l’endpoint login.php de l’environnement de démonstration ICTBroadcast: le paramètre editForm[extension_username] est renvoyé sans filtrage approprié. Une victime visitant une URL forgée peut déclencher l’exécution…
Source : NVD — CVE-2026-7190
XSS stockée dans l’endpoint /usuario de SABBATIC
SABBATIC présente une XSS stockée impliquant le paramètre nombre de l’endpoint /usuario. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page, mais ne précise ni versions affectées ni corr…
Source : NVD — CVE-2026-5697
XSS stockée dans l’endpoint /categorías de SABBATIC
SABBATIC présente une XSS stockée impliquant les paramètres titulo_es et add_etiquetas de l’endpoint /categorías. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page; versions affectées e…
Source : NVD — CVE-2026-5698
XSS stockée dans l’endpoint /empresa de SABBATIC
SABBATIC présente une XSS stockée impliquant le paramètre companyName de l’endpoint /empresa. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page, sans préciser les versions concernées ni…
Source : NVD — CVE-2026-5699
XSS stockée dans l’endpoint /mis-gastos de SABBATIC
SABBATIC présente une XSS stockée impliquant le paramètre observaciones de l’endpoint /mis-gastos. Le candidat indique que le JavaScript enregistré peut s’exécuter lorsqu’un utilisateur consulte la page, mais ne précise ni versions affecté…
Source : NVD — CVE-2026-5700
Zimbra : XSS via l’en-tête Content-Location d’une pièce jointe
Zimbra ne neutralise pas correctement l’en-tête MIME `Content-Location` d’une pièce jointe, ce qui peut permettre une XSS stockée via une URI `javascript:`. Un attaquant distant non authentifié peut envoyer un courriel piégé ; mettre à jou…
Source : NVD — CVE-2026-66911
CVE-2026-66912 : XSS persistante dans Zimbra Classic UI
Zimbra Classic UI présente une XSS persistante via l’en-tête From d’un courriel lors de la rédaction d’une réponse HTML, lorsque les en-têtes de réponse sont désactivés. Un attaquant distant peut ainsi exécuter du JavaScript dans le naviga…
Source : NVD — CVE-2026-66912
minimatch : consommation excessive de ressources lors de la compilation de motifs
Dans minimatch, certains motifs glob malveillants peuvent provoquer une consommation excessive de CPU et de mémoire lors de leur compilation, avec les niveaux d’optimisation 2 ou supérieurs. Mettre à jour vers la version 11.0.1 ou ultérieu…
Source : NVD — CVE-2026-118764
node-forge : altération de propriétés héritées via le client HTTP
Dans node-forge avant 1.4.1, le client HTTP stockait les noms et chemins de cookies dans des objets JavaScript ordinaires, ce qui pouvait permettre à un serveur malveillant de modifier des propriétés héritées comme `Object.prototype`. Les…
Source : NVD — CVE-2026-118777
node-forge : exception lors d’un certificat TLS serveur absent
Dans node-forge avant 1.4.1, le client TLS vérifiait incorrectement l’absence du certificat serveur ; un serveur TLS malveillant ou un intermédiaire pouvait omettre le message Certificate et déclencher une exception non interceptée. Mettre…
Source : NVD — CVE-2026-118778
node-forge : acceptation de données AES-GCM sans authentification
Dans node-forge avant 1.4.1, la longueur de balise AES-GCM n’était pas validée lors du déchiffrement et une valeur convertie en zéro, avec une balise absente ou vide, pouvait faire accepter un texte chiffré sans authentification. Les appli…
Source : NVD — CVE-2026-119186
node-forge : contrainte de longueur de chemin CA ignorée sans keyUsage
Dans node-forge avant 1.4.1, la contrainte de longueur de chemin d’un certificat CA pouvait être ignorée si celui-ci ne contenait pas d’extension keyUsage. Dans les chaînes concernées, un attaquant disposant de la clé privée de cette CA ou…
Source : NVD — CVE-2026-119189
XSS stockée dans l’extension WordPress Flash & HTML5 Video
Une vulnérabilité de type XSS stockée a été signalée dans l’extension WordPress Flash & HTML5 Video de bPlugins. Les informations disponibles indiquent que les versions jusqu’à 2.14.0 sont concernées.
Source : NVD — CVE-2026-118097
Mauvaise tokenisation CSS dans Crass permettant un contournement d’assainissement
Crass pouvait mal analyser certains jetons URL CSS, ce qui pouvait permettre à un assainisseur utilisant cette bibliothèque de laisser passer des règles CSS que le navigateur interprète. L’avis décrit des conséquences possibles telles que…
node-forge : vérification incorrecte du schéma de signature d’un certificat
node-forge choisissait le rembourrage RSA et les paramètres RSASSA-PSS à partir du certificat émetteur plutôt que du certificat enfant vérifié. Un certificat enfant déclaré RSASSA-PSS pouvait ainsi être accepté avec une signature PKCS#1 v1…
Source : NVD — CVE-2026-118774
node-forge : encodage DER incorrect de certains OID
Avant node-forge 1.4.1, `asn1.oidToDer()` ne vérifiait pas les bornes des deux premiers arcs d’un OID, ce qui pouvait produire un DER représentant un autre OID que celui vérifié ou autorisé par l’application. Mettre à jour vers la version…
Source : NVD — CVE-2026-118775
node-forge : validation insuffisante du bourrage PKCS#7
node-forge ne validait que le dernier octet du bourrage PKCS#7 pendant le déchiffrement CBC et ECB et pouvait accepter des bourrages invalides. Des données chiffrées malformées pouvaient alors être acceptées et conduire à la suppression si…
Source : NVD — CVE-2026-118776
node-forge : retrait indu de CA du magasin de confiance
Dans node-forge avant 1.4.1, une vérification de chaîne de certificats impliquant des certificats CA ayant le même sujet pouvait modifier le magasin de CA pendant la tentative de validation. Une chaîne invalide pouvait ainsi retirer durabl…
Source : NVD — CVE-2026-118780
Backend & données
44 alerte(s)Twisted : déni de service dans le serveur HTTP/2 via des réinitialisations rapides de flux
Une faille de déni de service dans le serveur HTTP/2 de Twisted permet à un client distant non authentifié de provoquer un travail de rendu répété des requêtes et d’épuiser le processeur. L’avis publié dans la période identifie CVE-2023-44…
Daptin — amplification CPU via Accept-Language
Daptin est vulnérable à une amplification de la charge CPU lorsqu’un en-tête `Accept-Language` malformé avec de nombreux séparateurs `_` est analysé par le middleware de langue. L’avis publié le 2026-10-29 concerne les versions jusqu’à 0.1…
Source : GitHub Advisory GHSA-rhj7-vh3v-mcq6
CVE-2026-119051 : allocation de ressources non bornée dans flat
La fonction `unflatten()` de flat peut créer des tableaux creux de taille excessive à partir de clés numériques non bornées, notamment lorsque des données non fiables sont désaplaties. Les versions jusqu’à 6.0.1 sont signalées comme concer…
Source : CVE-2026-119051 — NVD
python-markdown2 : déni de service par liens Markdown non fermés
Des destinations de liens Markdown non fermées peuvent entraîner des rescans répétés et une consommation quadratique du processeur. La version corrective n’est pas établie par les éléments consultés; vérifier l’avis du projet avant de choi…
Source : CVE-2026-118694 — NVD
Python-Markdown : épuisement du processeur par analyse de liens Markdown
Python-Markdown 3.0 à 3.11.2 présente une vulnérabilité de complexité algorithmique dans l’analyse des liens Markdown, qui peut permettre à un attaquant distant d’épuiser le processeur en envoyant des crochets non appariés. La source ne pr…
Source : NVD — CVE-2019-25781
cert-manager — contournement de la politique du solveur DNS01 via Challenge direct
Une validation insuffisante des ressources ACME `Challenge` directes permet à un utilisateur pouvant créer ces ressources de contourner la politique de sélection du solveur DNS01 d’un `Issuer` ou `ClusterIssuer`. L’avis publié le 2026-10-2…
Source : GitHub Advisory GHSA-8rvj-mm4h-c258
@eeacms/volto-chatbot : proxy non authentifié vers l’API Danswer
Une route middleware non authentifiée de `@eeacms/volto-chatbot` relaie des requêtes vers l’API Danswer avec les identifiants de service configurés, permettant d’appeler des opérations privilégiées. Les versions jusqu’à 2.0.3 sont concerné…
Crawl4AI : sélection de modèles non filtrée pouvant entraîner une exécution de code
Crawl4AI 0.9.0 à 0.9.4 ne filtre pas le champ model_name fourni dans le corps des requêtes Docker API, ce qui permet à un client authentifié de choisir le modèle Hugging Face chargé par le serveur. Selon la version de PyTorch et le modèle…
Source : NVD — CVE-2026-119120
joi : déni de service lors de la validation d’e-mails multiples
Une expression régulière utilisée pour séparer plusieurs adresses e-mail peut entraîner un traitement quadratique lorsqu’une longue séquence d’espaces ne contient pas de séparateur. Une requête spécialement construite peut alors bloquer la…
Source : NVD — CVE-2026-118772
CVE-2026-118905 : injection de commandes via les motifs de version de nvm
Dans nvm, un motif de version contrôlé par un attaquant peut être interprété comme des commandes sed et, selon l’environnement, permettre l’exécution de commandes ou la lecture et l’écriture de fichiers avec les privilèges de l’utilisateur…
Source : CVE-2026-118905 — NVD
@hapi/content : déni de service par analyse d’en-tête Content-Disposition
Content.disposition() peut effectuer un traitement quadratique lorsqu’un paramètre d’en-tête contient un long jeton sans signe égal. L’analyse d’un en-tête malveillant peut bloquer la boucle d’événements Node.js avant le traitement par les…
Source : NVD — CVE-2026-119202
CVE-2026-118664 : déni de service dans decode-uri-component
Une entrée malformée comportant de nombreux segments encodés distincts peut provoquer une consommation quadratique du processeur dans `decode-uri-component`, bloquant la boucle d’événements Node.js. Les versions jusqu’à 0.5.0 sont concerné…
CVE-2026-116576 : injection de commandes PowerShell dans systeminformation
Dans systeminformation 5.33.15 sous Windows, la fonction `services()` peut permettre une injection de commandes PowerShell si un appelant lui transmet un nom de service contrôlé par un attaquant. La version 5.33.16 corrige le problème ; le…
OAuthLib : validation de grants et de scopes avec un client_id non fiable
Dans certaines configurations, les validateurs de type de grant et de scopes peuvent se fonder sur un client_id fourni par l’attaquant plutôt que sur le client authentifié. Mettre à niveau OAuthLib vers 4.0.0 et vérifier que les autorisati…
Source : CVE-2026-118669 — NVD
pyasn1 : consommation CPU quadratique lors du décodage sans schéma
Le décodage sans schéma peut effectuer un travail CPU quadratique lorsque des données ASN.1 contiennent de nombreux identifiants de tags dont les empreintes entrent en collision. Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
Source : CVE-2026-119194 — NVD
pyasn1 : décodage fragmenté à coût CPU quadratique
Le décodage de fragments de chaînes construites et de valeurs ANY de longueur indéfinie peut recopier de façon répétée une valeur qui grandit, entraînant un coût CPU quadratique. Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
Source : CVE-2026-119195 — NVD
pyasn1 : consommation CPU quadratique dans le décodage BIT STRING
Le décodage de nombreux fragments BIT STRING peut décaler et recopier à répétition la valeur accumulée, avec un coût CPU quadratique. Mettre à niveau vers pyasn1 0.6.5 ou ultérieur.
Source : CVE-2026-119196 — NVD
pyasn1 : déni de service par décodage de REAL ASN.1
La bibliothèque pyasn1 présente une vulnérabilité de déni de service lors du décodage de valeurs REAL ASN.1 binaires à mantisse volumineuse. Le traitement quadratique peut monopoliser un cœur CPU pendant une durée importante ; mettez pyasn…
Source : NVD — CVE-2026-119197
pypdf : boucle infinie à l’ouverture d’un PDF incomplet
pypdf peut boucler indéfiniment à l’ouverture d’un PDF incomplet dont la table de références croisées se termine sans trailer. Le thread de traitement peut rester bloqué ; mettez à jour pypdf vers 6.21.4.
Source : NVD — CVE-2026-119203
pypdf : consommation mémoire excessive dans l’arbre de pages
pypdf peut consommer une quantité excessive de mémoire en analysant un arbre de pages PDF construit avec de nombreuses ressources partagées. La copie répétée des entrées de dictionnaire et de ressources n’est pas encadrée par un budget glo…
Source : NVD — CVE-2026-119204
pypdf : boucle infinie lors de la copie d’un dictionnaire cyclique
pypdf peut entrer dans une boucle infinie lors de la copie ou de la duplication d’un objet DictionaryObject cyclique spécialement construit. Le contrôle des cycles ne vérifie pas correctement les références sources ; mettez à jour vers 6.2…
Source : NVD — CVE-2026-119205
pypdf : traitement excessivement long des libellés de pages
La récupération des libellés de pages pypdf peut prendre un temps excessif pour un PDF contenant un arbre de libellés plat avec de nombreuses plages. La recherche répétée dans le tableau des plages accroît le travail avec le nombre de page…
Source : NVD — CVE-2026-119206
pypdf : amplification mémoire des erreurs en mode strict
En mode strict, pypdf peut consommer une mémoire excessive lors de l’analyse d’un dictionnaire PDF invalide. Les erreurs imbriquées peuvent répéter et amplifier le texte des exceptions ; mettez à jour vers 6.21.3.
Source : NVD — CVE-2026-119207
pypdf : ressources excessives via le nombre de pages déclaré
La consultation du nombre de pages d’un PDF chiffré peut entraîner une consommation excessive de temps et de mémoire dans pypdf. Après déchiffrement, la bibliothèque fait confiance à la valeur /Count déclarée sans la valider par parcours d…
Source : NVD — CVE-2026-119208
pypdf : consommation mémoire via les flux de références croisées
pypdf peut consommer excessivement de la mémoire en ouvrant un PDF dont les flux de références croisées déclarent un très grand nombre d’entrées. Des flux compressibles, des chaînes /Prev et des comptes /Index négatifs peuvent amplifier ou…
Source : NVD — CVE-2026-119209
PraisonAI : exécution de commandes via un contournement du bac à sable AST
Une faille dans le bac à sable AST de PraisonAI permet à un workflow configuré pour exécuter des tâches de lancer des commandes système arbitraires. Les versions antérieures à 4.6.78 sont concernées ; mettez à jour PraisonAI et évitez d’ex…
Source : GHSA-26mh-57q7-jfvr — PraisonAI vulnerable to Remote Code Execution via Broken AST Sandbox
Crass : déni de service par imbrication profonde de CSS
Crass peut provoquer une erreur de pile ou une consommation excessive de mémoire lorsqu’il analyse des blocs CSS profondément imbriqués. La version 1.0.7 corrige le problème en ajoutant une limite de profondeur configurable, avec une valeu…
PostgreSQL Anonymizer : contrôle contournable de fonctions d’anonymisation
CVE-2026-110181 concerne des fonctions d’anonymisation définies avec le corps SQL standard : PostgreSQL les analyse lors de leur déclaration, alors que PostgreSQL Anonymizer ne les vérifiait qu’à l’exécution. Un utilisateur disposant du pr…
Source : NVD — CVE-2026-110181
PostgreSQL Anonymizer : divulgation de valeurs par les fonctions partial
CVE-2026-110182 affecte les fonctions anon.partial() et anon.partial_email(), qui peuvent révéler la valeur entière lorsque les données sont suffisamment courtes. PostgreSQL Anonymizer 3.3.0 corrige le problème.
Source : NVD — CVE-2026-110182
PostgreSQL Anonymizer : statistiques des données originales visibles après masquage
CVE-2026-110183 concerne la persistance de statistiques de données d’origine après un masquage statique : elles restent visibles dans pg_stats jusqu’à l’exécution d’ANALYZE sur la table, manuellement ou par autovacuum. La correction est di…
Source : NVD — CVE-2026-110183
RabbitMQ : déni de service par consommation excessive de mémoire via le parseur AMQP 1.0
CVE-2026-67414 permet à un client AMQP 1.0 authentifié de provoquer une consommation excessive de mémoire en envoyant une trame contenant de nombreux tableaux à constructeur de largeur nulle. Le correctif consiste à mettre à niveau RabbitM…
Source : NVD — CVE-2026-67414
CVE-2026-110816 : exception non interceptée lors de qs.stringify au format comma
Avec qs, l’option `arrayFormat: 'comma'` peut lever une exception TypeError non interceptée lorsqu’un tableau contient un objet doté d’une propriété `toString` propre non appelable. Dans un service sans gestion synchrone de cette exception…
Source : GHSA-6pq8-jhm2-2vcw — qs stringify avec arrayFormat comma peut provoquer une erreur TypeError
Langflow OSS : exécution de code stocké dans un workflow public
Un attaquant distant peut déclencher l’exécution de code Python déjà stocké dans un composant d’un workflow public, dans le contexte d’exécution du propriétaire du flux. Vérifier l’avis éditeur pour le correctif applicable et limiter l’exp…
Source : CVE-2026-18894 — NVD
Botan : troncature de mots de passe contenant un octet nul dans les liaisons Python
Dans les liaisons Python de Botan, certaines chaînes contenant U+0000 peuvent être tronquées lors du traitement par bcrypt et check_bcrypt. Mettre à niveau vers Botan 3.13.0 ou ultérieur; scrypt et argon2 ne sont pas concernés selon l’avis…
Source : CVE-2026-118767 — NVD
OMN Outline Notes : écriture non autorisée dans le stockage privé
CVE-2026-107035 concerne des permissions insuffisantes dans le composant Page.java d’OMN Outline Notes (Markdown), versionCode 3400, qui peuvent permettre l’écriture de contenu dans l’espace privé d’un autre utilisateur. La fiche consultée…
Source : CVE-2026-107035 — NVD
MariaDB Connector/J : lecture possible de fichiers côté client
CVE-2026-119210 affecte MariaDB Connector/J : un serveur malveillant pouvait exploiter une vérification insuffisante de LOAD DATA LOCAL INFILE pour faire transmettre au client un fichier lisible par l’application. Le problème est corrigé d…
Source : CVE-2026-119210 — NVD
MariaDB Connector/J : allocations mémoire excessives via des paquets OK malformés
CVE-2026-119276 concerne MariaDB Connector/J et des longueurs non validées dans l’analyse des paquets OK lorsque CLIENT_SESSION_TRACK est négocié. Un serveur malveillant pouvait provoquer des allocations mémoire excessives et perturber ou…
Source : CVE-2026-119276 — NVD
MariaDB Connector/J : plantage possible sur des paquets malformés
CVE-2026-119277 affecte les décodeurs de paquets de MariaDB Connector/J, qui pouvaient traiter des longueurs déclarées par le serveur sans vérifier les limites du paquet reçu. Un serveur malveillant pouvait provoquer des exceptions non con…
Source : CVE-2026-119277 — NVD
MariaDB Connector/J : réponses d’authentification malformées
CVE-2026-119278 concerne l’authentification caching_sha2_password de MariaDB Connector/J, où une longueur fournie par le serveur était utilisée avant validation de la réponse. Un serveur malveillant pouvait causer des allocations excessive…
Source : CVE-2026-119278 — NVD
MariaDB Connector/J : validation insuffisante des longueurs encodées
CVE-2026-119279 porte sur la conversion en entier Java de longueurs encodées sur huit octets dans MariaDB Connector/J, sans vérifier qu’elles tiennent dans un entier non négatif. Un serveur malveillant pouvait déclencher des erreurs de tai…
Source : CVE-2026-119279 — NVD
MariaDB Connector/J : décodage de résultats avec jeu de caractères modifié
CVE-2026-119281 affecte la gestion des jeux de caractères de résultats dans MariaDB Connector/J : des changements de character_set_results pouvaient ne pas être détectés, entraînant un décodage incorrect des chaînes. Cela pouvait compromet…
Source : CVE-2026-119281 — NVD
node-forge : boucle infinie dans modInverse()
Dans node-forge, modInverse() peut entrer dans une boucle infinie lorsqu’il reçoit une valeur ou un modulo négatif. Un attaquant capable de contrôler l’opérande concerné peut ainsi bloquer le processus Node.js; les valeurs analysées depuis…
Source : NVD — CVE-2026-118781
MariaDB Connector/J : validation insuffisante des données XA RECOVER
CVE-2026-119280 concerne la récupération XA de MariaDB Connector/J, qui faisait confiance aux longueurs de gtrid et bqual retournées par le serveur. Des longueurs incohérentes pouvaient provoquer des allocations ou erreurs de tableau penda…
Source : CVE-2026-119280 — NVD
agent-zero : traversée de répertoires dans l’écriture de fichiers
Les versions 1.7 à 1.10 d’agent-zero acceptent des chemins de fichier contrôlés par l’utilisateur sans normalisation ni validation suffisante. La version corrigée n’est pas établie par les éléments disponibles; vérifier l’avis du projet et…
Source : CVE-2026-51851 — NVD
CMS & e-commerce
80 alerte(s)WordPress Core : exécution de code à distance pendant une mise à jour
Une vulnérabilité de WordPress Core permet une exécution de code à distance sans authentification pendant une fenêtre très brève, lorsqu’une mise à jour complète du cœur est en cours. Wordfence rapporte des tentatives d’exploitation et rec…
Bot for Telegram on WooCommerce : contournement d’authentification et prise de compte
Bot for Telegram on WooCommerce pour WordPress permettait de contourner l’authentification et de prendre le contrôle d’un compte. Un attaquant non authentifié connaissant le nom de connexion d’un utilisateur pouvait obtenir une session aut…
Source : NVD — CVE-2026-109516
GEO my WordPress : injection d’objets PHP sans authentification
GEO my WordPress présente une injection d’objets PHP accessible sans authentification. Les versions affectées vont jusqu’à 4.5.5.3 incluse ; les éléments fournis ne précisent pas de version corrigée.
Source : NVD — CVE-2026-61992
CVE-2026-103693 — injection d’objet PHP dans Frontend Dashboard et ProfileGrid
Les plugins Frontend Dashboard et ProfileGrid permettent à un utilisateur non authentifié de stocker un objet PHP sérialisé dans les métadonnées d’un utilisateur, ensuite désérialisé lors de l’affichage d’un profil public. Les versions de…
Source : NVD — CVE-2026-103693
LogixFast Auth : réinitialisation de mot de passe par envoi du code à une adresse arbitraire
LogixFast Auth avant la version 1.0.4 envoie le code à usage unique de réinitialisation du mot de passe à l’adresse fournie dans la requête, au lieu de l’adresse associée au compte. Un attaquant non authentifié peut ainsi réinitialiser le…
Source : NVD — CVE-2026-113616
Automated Import Products to Cart : lecture et suppression de fichiers arbitraires
Automated Import Products to Cart avant la version 1.0.4 n’assainit pas un chemin de fichier fourni par l’utilisateur avant de lire et supprimer des fichiers. Des utilisateurs disposant de faibles privilèges, comme les abonnés, peuvent lir…
Source : NVD — CVE-2026-113617
Chat AI with Dispatcher : téléversement de fichiers arbitraires sans authentification
Chat AI with Dispatcher avant la version 2.4 se fie uniquement au type de contenu fourni par le client pour valider les fichiers téléversés, ce qui peut être contourné. Un attaquant non authentifié peut téléverser des fichiers arbitraires,…
Source : NVD — CVE-2026-115245
Ghost Commander File Manager : permissions insuffisantes dans le stockage privé
Une vulnérabilité de permissions dans Ghost Commander File Manager versionCode 479 pourrait permettre à un attaquant non autorisé de lire et modifier des fichiers dans le stockage privé de l’application. Aucune version corrigée ni mesure d…
Source : NVD — CVE-2026-107018
HANDMADE – Dropshipping for Etsy and WooCommerce : contrôle d’accès manquant
HANDMADE – Dropshipping for Etsy and WooCommerce présente une vulnérabilité de contrôle d’accès manquant. La source indique que les versions jusqu’à 1.0.10 sont affectées, mais ne précise pas les opérations accessibles ni la version corrig…
Source : NVD — CVE-2026-112827
Upsell Order Bump Offer for WooCommerce : XSS réfléchie
Upsell Order Bump Offer for WooCommerce présente une vulnérabilité de XSS réfléchie. Les versions jusqu’à 3.1.6 sont indiquées comme affectées ; la source ne fournit ni détail sur le paramètre concerné ni version corrigée.
Source : NVD — CVE-2026-116409
Extra Fees Plugin for WooCommerce : injection d’objet PHP
Une injection d’objet PHP est signalée dans Extra Fees Plugin for WooCommerce jusqu’à la version 4.4.0 incluse, avec une gravité élevée (CVSS 8.8). La fiche NVD a été publiée pendant la période, mais les informations fournies ne précisent…
Source : NVD — CVE-2026-116866
GlobalPayments WooCommerce : XSS non authentifiée
Une vulnérabilité XSS non authentifiée affecte GlobalPayments WooCommerce jusqu’à la version 1.23.3 incluse, avec une gravité élevée (CVSS 7.1). La fiche NVD a été publiée pendant la période, mais les informations fournies ne précisent pas…
Source : NVD — CVE-2026-118085
Bricks Builder : exposition de contenus restreints par contrôle d’accès défaillant
Bricks Builder jusqu’à la version 2.4.3 présente un contrôle d’accès défaillant sur l’endpoint REST `query_result`, permettant à un utilisateur non authentifié d’accéder à des contenus de publications restreintes et à des données de coupon…
Source : NVD — CVE-2026-118804
Wild Apricot Login : usurpation de compte par association SSO fondée sur l’e-mail
Wild Apricot Login pour WordPress pouvait associer une connexion SSO à un compte existant sur la seule correspondance d’adresse e-mail, sans preuve que l’utilisateur contrôlait ce compte. Un utilisateur WildApricot pouvant faire correspond…
Source : NVD — CVE-2026-93757
SendPress Newsletters : injection SQL via subscriberid
SendPress Newsletters pour WordPress était vulnérable à une injection SQL via le paramètre subscriberid. Un attaquant non authentifié pouvait exploiter le nonce accessible sur une page publique utilisant le formulaire de gestion pour extra…
Source : NVD — CVE-2026-93855
Social Web Suite : injection SQL dans exclude_posts
Social Web Suite – Social Media Auto Post, Social Media Auto Publish pour WordPress était vulnérable à une injection SQL via le paramètre exclude_posts. Le contrôle HMAC pouvait être contourné sur une installation fraîchement activée dont…
Source : NVD — CVE-2026-93904
CVE-2026-96228 — contournement d’authentification dans SSL Wireless SMS Notification
Une faille d’authentification du plugin SSL Wireless SMS Notification for WordPress permet à un attaquant non authentifié de prendre le contrôle d’un compte associé à un numéro de téléphone connu. Le défaut concerne toutes les versions jus…
Source : NVD — CVE-2026-96228
CVE-2026-96666 — XSS stockée dans Schema App Structured Data
Le plugin Schema App Structured Data présente une faille de XSS stockée via le contenu des commentaires. L’exploitation requiert l’activation de l’option « Remove Microdata » et l’approbation du commentaire malveillant par un administrateu…
Source : NVD — CVE-2026-96666
CVE-2026-96669 — XSS stockée dans Food Store
Le plugin Food Store – Online Food Delivery & Pickup est affecté par une XSS stockée amorcée depuis le paramètre public « type » de la page de commande. Les versions jusqu’à 1.5.5 incluse sont concernées ; la valeur est conservée dans les…
Source : NVD — CVE-2026-96669
CVE-2026-96741 — XSS stockée dans DSGVO All in one for WP
Le plugin DSGVO All in one for WP présente une XSS stockée déclenchée par un commentaire, sous certaines configurations. Les versions jusqu’à 5.0 incluse sont concernées ; l’exploitation nécessite l’activation de l’intégration Google Tag M…
Source : NVD — CVE-2026-96741
XSS stockée dans Mapster WP Maps
Mapster WP Maps jusqu’à la version 2.0.5 incluse est vulnérable à une XSS stockée exploitable sans authentification via sa route REST save-mapmaker. Un attaquant peut enregistrer une valeur de configuration qui est ensuite insérée sans éch…
Source : NVD — CVE-2026-107743
Défaut d’autorisation dans GEO my WordPress
GEO my WordPress présente une vulnérabilité d’autorisation manquante affectant les versions jusqu’à 4.5.5.5 incluse. La fiche signale un contrôle d’accès incorrectement configuré, mais ne précise pas les opérations accessibles ni l’impact…
Source : NVD — CVE-2026-114193
Injection SQL aveugle dans le thème Newsmatic
Le thème Newsmatic est vulnérable à une injection SQL aveugle via le paramètre « slug » dans toutes les versions jusqu’à 1.5.0 incluse. Un attaquant non authentifié peut exploiter la requête insuffisamment préparée afin d’extraire des info…
Source : NVD — CVE-2026-110184
XSS stockée dans NewsmanApp
NewsmanApp est affecté par une XSS stockée non authentifiée via les paramètres « billing_first_name » et « billing_last_name », jusqu’à la version 3.7.29 incluse. L’exploitation est conditionnée à l’activation de la fonction Newsman Remark…
Source : NVD — CVE-2026-115821
XSS stockée dans NEX-Forms
NEX-Forms – Ultimate Forms Plugin est affecté par une XSS stockée non authentifiée via le paramètre « type », dans toutes les versions jusqu’à 9.3.2 incluse. Un attaquant peut injecter des scripts qui s’exécutent lorsque des utilisateurs c…
Source : NVD — CVE-2026-96767
Bricks Theme : divulgation de contenus non publiés
Le thème Bricks permet à un visiteur non authentifié de consulter le contenu de pages brouillon ou non publiées via son endpoint REST load_popup_content, faute de contrôles d’état et de capacité. Les versions 2.4 et antérieures sont concer…
Source : NVD — CVE-2026-119325
Shopify shopify_app : confusion du contexte de boutique dans l’authentification token-exchange
Dans certaines applications utilisant shopify_app, une requête authentifiée pour une boutique pouvait fournir un paramètre shop désignant une autre boutique, et le contexte exposé par current_shopify_domain pouvait alors être erroné. Si l’…
Ortto pour WordPress : modification non authentifiée de la configuration
Ortto pour WordPress ne vérifiait pas l’authenticité des demandes de mise à jour de configuration et s’appuyait sur un secret exposé dans le HTML public. Un attaquant non authentifié pouvait modifier la configuration pour faire servir des…
Source : NVD — CVE-2026-113387
Plugins WordPress 2FA : validation d’un code pour le mauvais compte
Two Factor Authentication avant 1.17.0 et All-In-One Security (AIOS) avant 5.5.0 ne lient pas le compte dont le code à deux facteurs est vérifié au compte en cours d’authentification. Un attaquant connaissant le mot de passe de la victime…
Source : NVD — CVE-2026-111739
CVE-2026-115301 — Injection de template côté serveur dans Contact Form by Supsystic
Contact Form by Supsystic avant 1.11.1 ne cloisonne pas le moteur de templates utilisé pour rendre les formulaires, permettant à un administrateur de faire exécuter du code de template côté serveur. Le contenu injecté étant exécuté lors du…
Source : NVD — CVE-2026-115301
CVE-2026-86794 — XSS stockée dans Community Events
Community Events avant 1.6.0 ne vérifie pas l’autorisation ni le nonce lors du traitement des événements soumis publiquement et n’échappe pas plusieurs valeurs avant leur affichage. Un attaquant non authentifié peut injecter des scripts ex…
Source : NVD — CVE-2026-86794
Injection SQL dans vTables
Une injection SQL non authentifiée affecte vTables avant la version 0.3 et peut permettre l’extraction de données de la base. Mettre à jour vers la version 0.3 ou ultérieure.
Source : NVD — CVE-2026-89216
PiWeb Disable payment method / Partial payment for WooCommerce : défaut d’autorisation
La vulnérabilité de l’extension PiWeb Disable payment method / Partial payment for WooCommerce permettrait à un attaquant non authentifié de modifier certains paramètres de commande et d’en consulter des données. Les versions antérieures à…
Source : NVD — CVE-2026-118757
Ortto pour WordPress : divulgation de données privées de produits
Ortto pour WordPress ne filtrait pas les données de produits WooCommerce intégrées aux pages publiques de la boutique. Un attaquant non authentifié pouvait ainsi consulter des mots de passe de produits et des métadonnées privées.
Source : NVD — CVE-2026-114173
CVE-2026-108763 — modification des documents KYC d’un autre utilisateur
Le gestionnaire d’envoi de documents KYC de Wallet System for WooCommerce ne limite pas les modifications au compte de l’utilisateur courant. Dans les versions antérieures à 2.8.2, un utilisateur authentifié disposant de privilèges minimau…
Source : NVD — CVE-2026-108763
CVE-2026-88928 — Validation de signature manquante dans PAYCOMET for WooCommerce
PAYCOMET for WooCommerce avant 5.46 ne vérifie pas la signature cryptographique sur son endpoint de notification de paiement lorsque la requête concerne une opération de tokenisation. Un attaquant non authentifié peut ainsi remplacer le je…
Source : NVD — CVE-2026-88928
XSS stockée dans Sequential Order Numbers for WooCommerce
Sequential Order Numbers for WooCommerce jusqu’à la version 3.6.5 incluse est vulnérable à une XSS stockée via des clés de tableau de métadonnées condition. L’exploitation requiert un compte contributeur ou supérieur; mettre à jour dès qu’…
Source : NVD — CVE-2026-104727
WebToffee Product Import Export for WooCommerce : SSRF via redirection
WebToffee Product Import Export for WooCommerce présente une vulnérabilité SSRF dans la fonction de téléchargement de fichiers distants. Les versions antérieures à 2.6.8 permettent à un utilisateur disposant du rôle shop_manager de faire s…
Source : NVD — CVE-2026-118989
YITH PayPal Express Checkout for WooCommerce : contrôle d’accès manquant
YITH PayPal Express Checkout for WooCommerce présente une vulnérabilité de contrôle d’accès manquant. Les versions jusqu’à 1.62.0 sont signalées comme affectées, mais la fiche fournie ne détaille pas l’action vulnérable ni la version corri…
Source : NVD — CVE-2026-27401
Product Feed Manager : contrôle d’accès manquant
Product Feed Manager présente une vulnérabilité de contrôle d’accès manquant. Les versions jusqu’à 7.14.1 sont indiquées comme affectées, sans précision dans la source sur la fonctionnalité exposée ou sur une version corrigée.
Source : NVD — CVE-2026-118093
Taxi Booking Manager for WooCommerce : contrôle d’accès manquant
Taxi Booking Manager for WooCommerce présente une vulnérabilité de contrôle d’accès manquant. Les versions jusqu’à 2.1.6 sont indiquées comme affectées ; la source fournie ne décrit pas l’action vulnérable ni la version de correction.
Source : NVD — CVE-2026-114181
Custom Price for WooCommerce : défaut d’autorisation
Une absence d’autorisation affecte Custom Price for WooCommerce jusqu’à la version 1.1.29 incluse. La fiche NVD a été publiée pendant la période et indique une gravité moyenne (CVSS 5.3) ; aucune version corrigée n’est établie par les élém…
Source : NVD — CVE-2026-115601
CVE-2026-116856 : défaut d’autorisation dans Flexible Quantity for WooCommerce
CVE-2026-116856 concerne un défaut d’autorisation dans Flexible Quantity – Measurement Price Calculator for WooCommerce, permettant potentiellement à un utilisateur d’accéder à des fonctions protégées. Les versions affectées indiquées vont…
Source : NVD — CVE-2026-116856
CVE-2026-54871 : défaut d’autorisation dans ShopBuilder
CVE-2026-54871 concerne un défaut d’autorisation dans ShopBuilder – Elementor WooCommerce Builder Addons, susceptible de permettre un accès non autorisé à des fonctions protégées. Les versions affectées indiquées vont jusqu’à la version 3.…
Source : NVD — CVE-2026-54871
XSS persistante dans le plugin Ortto pour WordPress
Le plugin Ortto pour WordPress stockait des paramètres sans les échapper sur sa page de réglages, ce qui pouvait permettre une XSS persistante dans la session d’un administrateur. Le risque concerne les versions antérieures à 1.0.25 ; mett…
Source : NVD — CVE-2026-113409
Hide Price Until Login : création de compte malgré la désactivation des inscriptions
Hide Price Until Login avant la version 1.1.2 ne contrôle pas correctement un gestionnaire d’inscription invité et ignore le réglage WordPress désactivant les inscriptions. Un attaquant peut ainsi créer un compte et obtenir une session con…
Source : NVD — CVE-2026-110030
Enable SVG, WebP, and ICO Upload : assainissement incomplet des SVG téléversés
Enable SVG, WebP, and ICO Upload avant la version 1.1.6 ne nettoie pas les fichiers téléversés qu’il ne reconnaît pas comme SVG, même s’il les stocke et les sert ensuite comme des images SVG. Des utilisateurs disposant du rôle Auteur ou su…
Source : NVD — CVE-2026-110504
Contournement de l’assainissement SVG permettant une XSS
Le plugin WordPress Enable SVG, WebP, and ICO Upload ne bloquait pas certains éléments d’animation SVG capables de modifier une cible de lien vers une URI javascript:, contournant l’assainissement et permettant une XSS stockée. Le risque c…
Source : NVD — CVE-2026-110505
WP Photo Album Plus : suppression de commentaires par requête intersite
WP Photo Album Plus avant la version 9.3.04.004 ne vérifie ni l’origine ni un jeton de sécurité pour une requête de gestion des commentaires. Un attaquant peut faire supprimer des commentaires photo en incitant un utilisateur connecté auto…
Source : NVD — CVE-2026-110983
GeoDirectory : divulgation de contenus d’annonces protégées
GeoDirectory avant la version 2.8.197 ne respecte pas la protection par mot de passe d’un article lors du rendu d’une annonce. Un visiteur non authentifié peut ainsi consulter le contenu et les champs personnalisés d’annonces publiées prot…
Source : NVD — CVE-2026-114270
Photo Engine : modification non autorisée de contenus via l’API REST
Photo Engine (Media Organizer & Lightroom) jusqu’à la version 6.5.8 incluse contrôle insuffisamment les autorisations sur une route REST API de mise à jour des articles. Des attaquants authentifiés disposant au minimum du rôle Auteur peuve…
Source : NVD — CVE-2026-115259
Recipe Card Blocks Lite : divulgation de publications non publiées
Recipe Card Blocks Lite, avant 3.6.4, ne vérifie pas les autorisations avant de rendre des publications via sa fonction d’impression de recettes. Un visiteur non authentifié peut ainsi divulguer le titre, l’identifiant et le contenu de pub…
Source : NVD — CVE-2026-115282
Contact Form by Supsystic : modification CSRF des paramètres de messagerie
Contact Form by Supsystic, avant 1.11.1, ne vérifie pas de nonce CSRF lors de l’enregistrement des paramètres de messagerie. Un attaquant peut tromper un administrateur connecté afin de modifier la configuration du courrier sortant, notamm…
Source : NVD — CVE-2026-115299
CVE-2026-115300 — Suppression CSRF de soumissions et statistiques dans Contact Form by Supsystic
Le plugin Contact Form by Supsystic avant 1.11.1 ne vérifie ni jeton CSRF ni origine de la requête pour deux actions réservées à l’administration, ce qui peut permettre de supprimer en masse les soumissions et statistiques d’un formulaire.…
Source : NVD — CVE-2026-115300
CVE-2026-115302 — Suppression non autorisée de statistiques dans Contact Form by Supsystic
Contact Form by Supsystic avant 1.11.1 n’impose pas de contrôle d’accès sur une action AJAX qui supprime des entrées de statistiques. Un attaquant non authentifié peut donc effacer des entrées arbitraires ; mettre à jour vers la version 1.…
Source : NVD — CVE-2026-115302
CVE-2026-78395 — Contournement de l’exigence de connexion dans Link Library
Link Library avant 7.10.0 ne recontrôle pas l’exigence de connexion propre à une bibliothèque lors de la soumission d’un lien depuis l’interface publique. Un utilisateur non authentifié peut ainsi soumettre un lien à une bibliothèque proté…
Source : NVD — CVE-2026-78395
CVE-2026-78396 — Divulgation de coordonnées dans Link Library
Link Library avant 7.10.0 ne vérifie pas qu’un lien demandé appartient à l’ensemble de paramètres dont le modèle est utilisé pour l’afficher. Cette incohérence permet à un utilisateur non authentifié de consulter des coordonnées que la con…
Source : NVD — CVE-2026-78396
XSS stockée dans Password Protected
Password Protected jusqu’à la version 2.8.4 incluse présente une XSS stockée dans le traitement du paramètre purchased_plan du SDK Freemius. Un utilisateur authentifié ayant au moins le rôle d’abonné peut injecter un script qui s’exécute l…
Source : NVD — CVE-2026-93293
XSS stockée dans Extensions for Leaflet Map
Extensions for Leaflet Map jusqu’à la version 5.4 incluse est exposé à une XSS stockée basée sur le DOM via feature.properties[]. L’exploitation nécessite une carte publique configurée avec une combinaison précise de shortcodes et une sour…
Source : NVD — CVE-2026-103485
XSS réfléchie dans Media Library Assistant
Media Library Assistant jusqu’à la version 3.42 incluse présente une XSS réfléchie via le paramètre search-string. L’exploitation requiert une galerie publique avec une configuration particulière de pagination et de lien, ainsi qu’une inte…
Source : NVD — CVE-2026-103875
XSS basée sur le DOM dans Greenshift
Greenshift – animation and page builder blocks jusqu’à la version 13.2.1 incluse présente une XSS stockée basée sur le DOM liée au paramètre comment. La vulnérabilité ne se manifeste que dans une configuration particulière de blocs Text An…
Source : NVD — CVE-2026-107627
XSS basée sur le DOM dans Greenshift via Split Text
Greenshift – animation and page builder blocks jusqu’à la version 13.2.1 incluse présente une seconde XSS stockée basée sur le DOM liée au contenu des commentaires. Elle concerne les pages où un bloc Advanced HTML Element avec animation Sp…
Source : NVD — CVE-2026-107629
XSS stockée dans LiteSpeed Cache
LiteSpeed Cache jusqu’à la version 7.9.1 incluse présente une XSS stockée via bbp_reply_content, dans une configuration utilisant les images de viewport et bbPress. Un utilisateur authentifié ayant au moins le rôle d’abonné peut injecter d…
Source : NVD — CVE-2026-109215
CVE-2026-110707 — XSS stockée dans RSS Aggregator by Feedzy
Un flux contrôlé par un attaquant peut fournir un élément media:group/media:description insuffisamment assaini et provoquer une XSS stockée après importation. Le plugin est concerné jusqu’à la version 5.2.12 incluse.
Source : NVD — CVE-2026-110707
CVE-2026-111318 — XSS DOM stockée dans HT Mega Addons for Elementor
Dans une configuration incluant notamment un éditeur riche co-installé, un lien stocké dans la navigation d’un onglet peut conduire à une XSS DOM. Les versions de HT Mega Addons for Elementor jusqu’à 3.2.7 inclus sont concernées.
Source : NVD — CVE-2026-111318
XSS stockée dans LiteSpeed Cache pour WordPress
LiteSpeed Cache pour WordPress est affecté par une XSS stockée non authentifiée via le paramètre « comment », dans les versions jusqu’à 7.9.1 incluse. L’exploitation nécessite que l’option HTML Minify soit activée et qu’un plugin associé r…
Source : NVD — CVE-2026-116763
Injection SQL dans JoomSport
JoomSport est vulnérable à une injection SQL via le paramètre « team_id » jusqu’à la version 5.7.11 incluse. Un attaquant authentifié disposant au moins du rôle contributeur peut extraire des informations de la base lorsque la saison conce…
Source : NVD — CVE-2026-118192
XSS réfléchie dans Everest Forms
Everest Forms est vulnérable à une XSS réfléchie via le paramètre « evf_toast_type » dans toutes les versions jusqu’à 3.6.2 incluse. Une attaque non authentifiée peut exécuter du script si la victime est amenée à effectuer une action telle…
Source : NVD — CVE-2026-91152
Exposition de données sensibles dans Everest Forms
Everest Forms expose des métadonnées d’articles sensibles dans toutes les versions jusqu’à 3.6.2 incluse, notamment des clés de licence, jetons API et identifiants de services. Un attaquant non authentifié peut les obtenir par les courriel…
Source : NVD — CVE-2026-91153
XSS stockée via un champ Meta Box
Meta Box est affecté par une XSS stockée via le paramètre « profile_background[] » dans les versions jusqu’à 5.15.2 incluse. L’exploitation requiert un plugin ou thème consommateur qui expose ce champ à des utilisateurs de faible privilège…
Source : NVD — CVE-2026-109216
Exposition de données de formulaires dans MW WP Form
MW WP Form expose des données personnelles des demandes envoyées via des formulaires dans toutes les versions jusqu’à 5.1.7 incluse. Un attaquant non authentifié peut énumérer des identifiants d’articles et récupérer des noms, adresses éle…
Source : NVD — CVE-2026-92086
Page Restriction WordPress : défaut de contrôle d’accès
La vulnérabilité d’autorisation manquante dans Page Restriction WordPress permet de contourner les contrôles d’accès configurés. Les versions affectées vont jusqu’à 1.6.1 incluse ; aucune version corrigée n’est précisée dans les éléments f…
Source : NVD — CVE-2026-54852
MasterStudy LMS : traversée de répertoires et import de contenus
Dans MasterStudy LMS, un utilisateur authentifié de niveau Subscriber peut exploiter un défaut de traversée de répertoires pour importer un fichier WXR accessible et publier les contenus qu’il contient. Les versions antérieures à 3.7.50 so…
Source : NVD — CVE-2026-80067
MasterStudy LMS : autorisation manquante sur l’envoi de courriel de test
Dans MasterStudy LMS, un utilisateur authentifié, y compris un Subscriber, peut déclencher l’action d’envoi de courriel de test sans contrôle de capacité ni de nonce. Cela peut provoquer une erreur PHP fatale et, si l’affichage des erreurs…
Source : NVD — CVE-2026-80069
XSS stockée dans les réglages de LetterPress
LetterPress ne nettoie ni n’échappe certaines options, ce qui permet à des utilisateurs privilégiés, notamment des administrateurs, d’effectuer une XSS stockée. Le problème peut persister même lorsque la capacité `unfiltered_html` est désa…
Source : NVD — CVE-2024-3586
XSS dans le formulaire public du plugin Appointment Booking
Le plugin Appointment Booking pour WordPress n’échappait pas certains contenus de configuration des étapes du formulaire avant leur affichage public, permettant une XSS. Un utilisateur privilégié peut faire exécuter du JavaScript dans le n…
Source : NVD — CVE-2026-105258
CVE-2026-108685 — modification non autorisée du profil dans WP Post Author
Le plugin WP Post Author ne vérifie pas correctement qu’un compte a été créé avant de mettre à jour son profil lors d’une inscription depuis le front-end. Un utilisateur non authentifié peut modifier le nom affiché, le surnom et le site we…
Source : NVD — CVE-2026-108685
CVE-2026-108686 — divulgation de la clé reCAPTCHA dans WP Post Author
Le plugin WP Post Author renvoie aux visiteurs des réglages d’intégration qui ne devraient pas leur être accessibles. Dans les versions antérieures à 4.2.0, un utilisateur non authentifié peut ainsi obtenir la clé secrète reCAPTCHA enregis…
Source : NVD — CVE-2026-108686
CVE-2026-85007 — Contrôle d’accès insuffisant aux préréglages de Video Player for YouTube
Video Player for YouTube avant 2.1.4 ne vérifie pas les capacités de l’utilisateur sur son gestionnaire AJAX de préréglages du lecteur. Les utilisateurs ayant le rôle Contributeur ou supérieur peuvent lire cette configuration globale et, a…
Source : NVD — CVE-2026-85007
Injection d’en-têtes de courriel dans Contact Form by Supsystic
Contact Form by Supsystic avant 1.11.1 ne neutralise pas les caractères CR/LF et ne revalide pas certains champs avant leur insertion dans des en-têtes de courriel. Un utilisateur non authentifié peut ainsi ajouter des destinataires, notam…
Source : NVD — CVE-2026-115303
Systèmes & serveurs
1 alerte(s)Debian corrige CVE-2026-66666 dans WordPress
Debian a publié le 29 octobre 2026 une mise à jour de WordPress corrigeant CVE-2026-66666. L’avis Debian attribue à cette faille un ensemble de conséquences possibles comprenant notamment déni de service, XSS, injection SQL, divulgation d’…
Source : Debian Security Advisory DSA-6596-1
Cloud & DevOps
3 alerte(s)Crawl4AI : déni de service via des délais non plafonnés dans l’API Docker
Dans l’API Docker de Crawl4AI, des valeurs non plafonnées dans certains champs de délai peuvent maintenir des pages navigateur occupées ou bloquer le limiteur de débit, provoquant un déni de service. La version corrigée indiquée est 0.9.5;…
Source : NVD — CVE-2026-119119
Crawl4AI : injection JavaScript via l’API Docker
Le serveur API Docker de Crawl4AI permet à un client API authentifié d’injecter du JavaScript dans la page explorée via les champs `css_selector` ou `wait_for`. Mettre à jour vers la version 0.9.5 ou ultérieure.
Source : NVD — CVE-2026-119121
Crawl4AI : SSRF via la validation de fraîcheur du cache dans le serveur Docker
Dans le serveur Docker de Crawl4AI, des clients de l’API peuvent contourner le proxy de sortie lors de la vérification de fraîcheur du cache et amener le serveur à effectuer des requêtes vers des adresses internes. Le correctif est indiqué…
Source : NVD — CVE-2026-119122