Les sujets à surveiller, en un regard.
249 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 14 sujet(s) en rouge, 9 en orange.
Shopify
Vérification incomplète
Une vulnérabilité CVE-2026-63414 affectant Shopify App a été répertoriée comme divulguée le 2026-10-30. Les sources consultées indiquent les versions 22.1.0 à 23.0.3; elles ne permettent pas de confirmer une version corrigée ni une exploitation active.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Wix
Recherche du sujet effectuée
La recherche dédiée à Wix n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif ni d’exploitation dont la date soit établie dans la période demandée. La page d’état de Wix consultée indique qu’aucune interruption n’a été signalée le 30 octobre 2026 ; cela ne constitue pas, à lui seul, une confirmation de l’absence d’événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a fait ressortir aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté de la période demandée. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée sur Craft CMS n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les avis Craft CMS repérés sur GitHub et l’avis du Centre canadien de cybersécurité sont datés d’avant cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost a consulté les avis de sécurité GitHub du projet, ses pull requests et ses releases. Les avis visibles dans les résultats sont datés du 1er ou du 24 septembre 2026, et du 1er octobre 2026; aucun avis ou correctif de sécurité Ghost daté de la période demandée n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée sur Strapi n’a identifié aucun nouvel avis ou correctif de sécurité, aucune exploitation signalée ni mise à jour substantielle datée du 30 octobre 2026 dans la période demandée. Les résultats consultés montrent des avis antérieurs et des changements de code non présentés comme liés à la sécurité; cela ne permet pas de conclure à l’absence de toute information ailleurs sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Vérification incomplète
Un avis de sécurité Directus publié le 30 octobre 2026 concerne un déni de service persistant par pollution de prototype dans l’import CSV; les versions antérieures à 12.5.0 sont affectées et la version 12.5.0 corrige le problème. Aucun candidat n’avait été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
OpenCart
Vérification incomplète
Niveau relevé : Faible
Une vulnérabilité OpenCart, CVE-2026-119558, a été publiée le 30 octobre 2026. Elle concerne le flux Free Checkout et les points de récompense, affecte les versions jusqu’à 4.1.0.4 inclus selon les données consultées ; aucun correctif identifié n’est documenté dans ces sources. Le second candidat est une mise à jour NVD de cette même CVE, non une vulnérabilité distincte.
OpenCart — contournement du paiement via Free Checkout et points de récompense
OpenCart présente une faille de logique métier dans le parcours Free Checkout : un client connecté peut manipuler les points de récompense pour faire passer une commande sans paiement. Les versions affectées indiquées vont jusqu’à 4.1.0.4 inclus ; aucun correctif ni contournement n’est établi par les éléments consultés.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera publiée ; dans l’intervalle, vérifier les commandes Free Checkout et les changements de points de récompense. Aucun correctif identifié dans les sources consultées.
cPanel
Vérification incomplète
Un avis de sécurité cPanel & WHM daté du 30 octobre 2026 décrit une écriture arbitraire de fichiers avec les privilèges root, corrigée dans plusieurs branches. Les candidats Shopper et Cpanel::JSON::XS ne concernent pas le produit cPanel & WHM; les fiches de ces deux CVE ont été publiées avant la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ruby
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié quatre CVE publiées par le NVD le 30 octobre 2026 concernant la bibliothèque Ruby Crass, ainsi qu’une CVE touchant Campfire, application écrite en Ruby. Le candidat Ring est exclu car Ring est une bibliothèque Clojure, et les candidats NVD « mises à jour » sont des doublons sans changement substantiel distinct établi. Un avis CERT-FR publié pendant la période signale une vulnérabilité d’injection SQL dans Ruby on Rails trilogy. Les informations fournies ne précisent ni les versions affectées ni le correctif.
Crass : consommation excessive de ressources avec les exposants CSS
Avant Crass 1.0.7, la conversion de valeurs CSS en notation scientifique peut effectuer une exponentiation non bornée avant de limiter le résultat, consommant excessivement CPU et mémoire. Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Crass : récursion non limitée dans l’analyse de valeurs CSS imbriquées
Avant Crass 1.0.7, l’analyse récursive de blocs et de fonctions CSS n’impose pas de limite de profondeur, ce qui peut provoquer une erreur de pile ou une consommation mémoire excessive. La version 1.0.7 ajoute une limite de profondeur configurable, avec une valeur par défaut ; mettre à niveau Crass.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Crass : erreur de pile lors du traitement récursif des commentaires CSS
Avant Crass 1.0.7, l’élimination par défaut des commentaires CSS adjacentés suit un chemin récursif qui peut déclencher une erreur SystemStackError. Mettre à niveau Crass vers la version 1.0.7 ou ultérieure ; la conservation des commentaires évite ce chemin récursif selon l’avis fourni.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure ; à défaut, évaluer l’activation de la conservation des commentaires.
Crass : analyse superlinéaire de CSS contenant des caractères non ASCII
Avant Crass 1.0.7, le suivi des positions de caractères multioctets peut rendre superlinéaire le temps d’analyse d’entrées CSS contenant des caractères non ASCII. Une entrée contrôlée par un attaquant peut ainsi consommer excessivement le processeur ; mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Campfire : contournement du contrôle d’accès réseau privé dans l’aperçu de liens
Campfire jusqu’à la version 1.4.4 ne bloque pas certaines plages d’adresses spéciales lors de la génération d’aperçus OpenGraph, ce qui permet à un utilisateur authentifié de provoquer des requêtes vers des ressources internes. Le correctif initial est disponible dans la version 1.4.5 ; mettre à niveau Campfire.
Action recommandée : Mettre à niveau Campfire vers la version 1.4.5 ou une version ultérieure.
CERT-FR : vulnérabilité d’injection SQL dans Ruby on Rails trilogy
Le CERT-FR signale une vulnérabilité dans Ruby on Rails trilogy pouvant permettre une injection SQL. Les versions affectées et le correctif ne sont pas précisés dans les informations fournies.
Bun
Recherche du sujet effectuée
La recherche dédiée sur Bun n’a pas identifié de nouvel avis, correctif de sécurité, exploitation signalée ni changement substantiel daté du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les avis Bun repérés dans les résultats consultés sont datés des 2026-10-23 et 2026-10-24, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a repéré cinq vulnérabilités Zuke liées à des composants de l’écosystème Deno, publiées au NVD le 30 octobre 2026 : CVE-2026-119287 à CVE-2026-119291. Les correctifs indiqués sont respectivement @zuke/core 1.51.0, @zuke/gh 1.10.0 et @zuke/cli 1.4.0; aucune preuve d’exploitation active n’a été établie par les éléments consultés.
Zuke : contournement de l’autorisation d’exécution dans le registre MCP
Avant la version 1.51.0, le mode registre MCP de @zuke/core pouvait accepter des descripteurs de commande sans appliquer la restriction d’autorisation prévue pour les modules distants. Si un registre modifiable par un tiers est utilisé avec `zuke mcp –registry –allow-run`, ce tiers peut faire exécuter des commandes avec l’environnement et les accès de l’opérateur; mettre à jour vers 1.51.0 ou ultérieur et limiter les personnes autorisées à modifier le registre.
Action recommandée : Mettre à jour @zuke/core vers 1.51.0 ou ultérieur; restreindre l’écriture des registres et désactiver leur exécution si la mise à jour n’est pas possible.
Zuke : injection de commande lors du lancement de shims Windows
Avant la version 1.51.0, @zuke/core pouvait lancer certains exécutables Windows `.cmd` et `.bat` en assemblant une ligne de commande que `cmd.exe` réinterprétait. Dans une compilation Windows où un outil est résolu depuis `node_modules/.bin` et reçoit du texte contrôlé par un attaquant contenant certains métacaractères non protégés, une commande supplémentaire peut s’exécuter; mettre à jour vers 1.51.0 ou ultérieur, les plateformes POSIX n’étant pas concernées selon la description fournie.
Action recommandée : Mettre à jour @zuke/core vers 1.51.0 ou ultérieur; examiner les processus de compilation Windows qui consomment des entrées non fiables.
Zuke : validation insuffisante d’un workflow GitHub déclenché
Avant la version 1.10.0, la vérification de workflow de @zuke/gh pouvait accepter un résultat de workflow_dispatch en se fondant seulement sur un marqueur de titre visible et copiable. Si des personnes moins fiables peuvent déclencher le workflow dans le dépôt externe, une exécution substituée peut autoriser une publication non validée ou bloquer une publication légitime; mettre à jour vers 1.10.0 ou ultérieur et vérifier les permissions de déclenchement du dépôt externe.
Action recommandée : Mettre à jour @zuke/gh vers 1.10.0 ou ultérieur et restreindre les permissions workflow_dispatch du dépôt externe.
Zuke : exposition possible de secrets dans le résumé GitHub Actions
Avant la version 1.51.0, @zuke/core pouvait écrire des notes de résumé GitHub Actions sans appliquer le masquage des valeurs sensibles issues de `secret()`. Si un résumé contient du texte dérivé d’un secret, celui-ci peut être exposé aux personnes ayant accès à l’exécution, y compris publiquement pour un dépôt public; mettre à jour vers 1.51.0 ou ultérieur et éviter de placer des données secrètes dans les résumés avant correction.
Action recommandée : Mettre à jour @zuke/core vers 1.51.0 ou ultérieur et retirer des résumés tout texte dérivé de secrets.
Zuke : suivi de liens symboliques dans les commandes d’échafaudage
Avant la version 1.4.0, @zuke/cli inspectait certains noms d’échafaudage sans empêcher ensuite les opérations de lecture, d’écriture ou de changement de permissions de suivre un lien symbolique. Un dépôt, modèle ou archive non fiable préparé avec un tel lien peut conduire `zuke setup` à modifier une cible hors du répertoire choisi; mettre à jour vers 1.4.0 ou ultérieur et ne pas traiter de modèles non fiables avec les versions affectées.
Action recommandée : Mettre à jour @zuke/cli vers 1.4.0 ou ultérieur et traiter les modèles et archives non fiables comme potentiellement dangereux.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé, dans la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00, une nouvelle fiche CVE visant Daptin et deux avis de sécurité sans CVE visant Soft Serve. Les mises à jour de fiches concernant des vulnérabilités antérieures ont été écartées lorsqu’aucun changement substantiel daté dans la période n’était établi.
Daptin : déni de service via l’en-tête Accept-Language
Avant Daptin 0.12.26, le middleware de langue transmettait l’en-tête Accept-Language sans filtrage suffisant à l’analyse des préférences linguistiques. Une entrée spécialement formée pouvait contourner la vérification décrite dans l’avis et entraîner un déni de service ; mettre à jour vers 0.12.26.
Action recommandée : Mettre à jour Daptin vers la version 0.12.26 ou une version corrigée applicable.
Soft Serve — divulgation de l’existence de dépôts privés et erreur sur certains chemins LFS
GHSA-fgxm-5hvv-x4vh concerne Soft Serve, écrit en Go : des requêtes pouvaient révéler l’existence, le nom et l’URL de clonage de dépôts privés, et certains chemins LFS pouvaient provoquer une erreur serveur. Les versions de 0.5.0 à 0.12.2 sont affectées ; mettre à jour vers 0.12.3 ou une version ultérieure.
Action recommandée : Mettre à jour Soft Serve vers la version 0.12.3 ou ultérieure.
Soft Serve — course de cache pouvant maintenir lisible un dépôt rendu privé
GHSA-f3fj-9625-rv3m concerne Soft Serve : une course lors du changement de visibilité pouvait laisser en cache l’état public d’un dépôt, maintenant son contenu accessible sans authentification après son passage en privé. Les versions 0.6.0 à 0.12.2 sont concernées ; mettre à jour vers 0.12.3 ou une version ultérieure.
Action recommandée : Mettre à jour Soft Serve vers la version 0.12.3 ou ultérieure.
Kotlin
Recherche du sujet effectuée
Aucune nouveauté de sécurité concernant le langage ou le projet Kotlin n’a été vérifiée pour la période demandée. CVE-2026-55551 concerne ZAC, un logiciel municipal dont un fichier est écrit en Kotlin, et non Kotlin lui-même; sa fiche NVD a été publiée et modifiée durant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé une nouvelle vulnérabilité publiée pendant la période : CVE-2026-119333, concernant draw.io Desktop, application fondée sur Electron. Les avis Electron consultés indiquaient d’autres publications antérieures à la période. La mise à jour NVD de CVE-2026-114606 datée du 30 octobre n’a pas été retenue : les éléments consultés la décrivent comme une fiche publiée le 22 octobre, sans changement substantiel vérifié pendant la période.
CVE-2026-119333 — exécution d’un exécutable malveillant via le chemin de recherche Windows dans draw.io Desktop
draw.io Desktop sous Windows pouvait lancer un exécutable malveillant placé dans le dossier d’un diagramme ouvert depuis l’Explorateur, si l’application n’était pas déjà lancée. Le risque concerne notamment certains traitements de polices locales, brouillons ou sauvegardes ; la version 31.5.2 corrige le problème.
Action recommandée : Mettre à jour draw.io Desktop vers la version 31.5.2 ou une version ultérieure.
jQuery
Recherche du sujet effectuée
Aucune nouveauté vérifiée pendant la période pour le projet jQuery lui-même. Les résultats concernant WeGIA et Cool FormKit Lite décrivent des vulnérabilités dans ces logiciels, et non dans jQuery; la mention de jQuery comme composant utilisé ne suffit pas à les attribuer au sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Vérification incomplète
Un avis publié le 2026-10-30 signale des vulnérabilités dans Laravel MongoDB avant la version 5.12.0. La recherche n’a pas établi d’autre nouvel avis ou correctif Laravel daté de la période ; les avis Laravel trouvés datant d’octobre 19 sont antérieurs à celle-ci.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte et SvelteKit n’a pas permis de vérifier de vulnérabilité, d’avis de sécurité, de correctif, d’exploitation ni de mise à jour substantielle daté du 2026-10-30 dans la période indiquée. Les avis SvelteKit retrouvés dans les résultats consultés portent des dates antérieures à cette période; cela ne permet pas de conclure à l’absence de toute nouveauté sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou correctif Symfony daté du 30 octobre 2026. L’avis officiel Symfony trouvé est daté du 29 octobre 2026; CVE-2026-45145 concerne Chamilo LMS, et non une vulnérabilité Symfony.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité du projet Flask et aux publications pertinentes pour la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00 n’a identifié aucun avis ou correctif Flask daté de cette période dans les sources consultées. Les deux candidats concernent pgAdmin 4, et non le framework Flask.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche a relevé CVE-2026-114136 dans Django REST framework, mais l’avis du projet indique une publication le 2026-10-06, avant la période demandée. La modification NVD du 2026-10-30 est mentionnée dans le candidat, mais les sources consultées ne montrent pas qu’elle correspond à un changement substantiel de l’avis pendant la période ; la fiche est donc exclue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Recherche web dédiée effectuée pour FastAPI, notamment dans les avis de sécurité GitHub, les notes de version du projet et les résultats de recherche CVE. Aucun avis, correctif de sécurité, événement d’exploitation ou changement substantiel attribuable à FastAPI et daté du 2026-10-30 (dans la période demandée) n’a été vérifié dans les résultats consultés; les résultats affichés ne suffisent pas à établir une absence universelle de signalement.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ni avis de sécurité vérifié concernant le projet Express n’a été identifié pour la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Les candidats fournis portent sur d’autres projets ou sur une modification NVD d’une fiche antérieure.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis publié le 30 octobre 2026 concerne ng-antd-admin, un modèle d’administration utilisant NestJS : un secret JWT par défaut peut permettre un contournement d’authentification lorsque celui-ci n’a pas été remplacé. La version 22.0 apporte un contrôle du secret par défaut en production.
Secret JWT codé en dur dans ng-antd-admin
CVE-2026-61737 concerne ng-antd-admin, un modèle d’administration utilisant Angular et NestJS, et non le framework Angular lui-même : avant la version 22.0, le secret JWT par défaut pouvait permettre de falsifier des jetons si le déploiement l’avait conservé. Cela pouvait entraîner un contournement de l’authentification et l’usurpation de comptes ; mettre à niveau vers la version 22.0 et remplacer tout secret par défaut encore utilisé.
Action recommandée : Mettre à niveau ng-antd-admin vers la version 22.0 ou ultérieure et configurer un secret JWT robuste et unique.
MySQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis publié pendant la période concerne le contournement du contrôle en lecture seule de DBHub sur les connecteurs MySQL et MariaDB. Les candidats phpMyAdmin et Moodle ne portent pas sur le produit MySQL; les entrées NVD concernant Vitess ou des CVE Oracle antérieurement publiées n’établissent pas, avec les éléments vérifiés, un nouvel événement de sécurité admissible dans la période. Aucune nouveauté MySQL ne peut être retenue pour cette période sur la base de ce lot : les candidats signalent des modifications de fiches NVD, mais ne fournissent pas d’élément établissant un changement substantiel daté du 30 octobre. Les CVE concernées avaient été publiées le 20 octobre. Un avis publié pendant la période concerne le contournement de la validation SQL en lecture seule du connecteur MySQL de DBHub ; le correctif indiqué est DBHub 0.22.6.
DBHub : contournement du mode lecture seule avec les connecteurs MariaDB/MySQL
Une erreur d’analyse des commentaires SQL permet de contourner le mode lecture seule de DBHub avec les connecteurs MySQL et MariaDB, et peut entraîner l’exécution de requêtes d’écriture ou de suppression. Le problème est corrigé dans DBHub 0.22.6 ; mettre à jour et limiter les privilèges du compte de base de données.
Action recommandée : Mettre DBHub à jour en version 0.22.6 ou ultérieure et appliquer le principe du moindre privilège au compte de base de données.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux avis concernant pgAdmin 4 ont été publiés dans la période : CVE-2026-116247 et CVE-2026-116252. Aucun avis du serveur PostgreSQL lui-même daté de cette période n’a été vérifié dans les sources consultées.
Repli sur les fichiers d’identification du compte système
En l’absence de fichiers d’identification configurés ou accessibles, libpq pouvait retomber sur les fichiers de mots de passe et certificats du compte système pgAdmin. La correction de pgAdmin 4 9.19 fournit explicitement des chemins propres à l’utilisateur ou impossibles à ouvrir en mode serveur; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; en mode serveur, configurer les fichiers d’identification nécessaires sur les serveurs concernés.
CVE-2026-116252 : détournement de connexion lors de l’actualisation d’une vue
Lors de l’actualisation d’une vue matérialisée, pgAdmin 4 transmettait le nom de la base à psql sans empêcher libpq de l’interpréter comme une chaîne de connexion complète. Un rôle pouvant créer une base au nom spécialement construit pouvait ainsi détourner la connexion lancée pour l’actualisation vers un hôte de son choix et exposer à cet hôte le mot de passe enregistré de l’utilisateur.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel concernant le produit MongoDB n’a été vérifié pour la période demandée. Les deux publications du 30 octobre portent respectivement sur ArcadeDB et Wekan, et les mises à jour des fiches du pilote C# ne suffisent pas, sans preuve d’un changement substantiel daté de cette période, à établir un événement admissible. Un avis CERT-FR daté du 30 octobre 2026 signale plusieurs vulnérabilités dans les produits MongoDB. Les informations fournies ne donnent pas les CVE, versions affectées ou correctifs.
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB, susceptibles notamment de porter atteinte à l’intégrité des données, de permettre une injection SQL ou de contourner la politique de sécurité. L’avis fourni ne précise ni les CVE concernées, ni les versions affectées ou corrigées, ni les mesures de correction recommandées.
Redis
Recherche du sujet effectuée
Aucun élément vérifié ne répond aux critères pour Redis pendant la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Les candidats mentionnent Redis comme protocole ou composant, mais concernent respectivement ArcadeDB, SecureDrop ou Apache bRPC; leurs mises à jour NVD du 30 octobre ne constituent pas de nouveaux avis Redis.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée a repéré des avis Caddy publiés le 13 octobre 2026 et une entrée CVE datée du 28 octobre 2026, tous antérieurs à la période demandée. Aucun nouvel avis, correctif ou changement substantiel daté du 30 octobre 2026 n’a été vérifié pour Caddy dans les sources consultées; aucun candidat n’était fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée a trouvé des avis SvelteKit publiés le 5 octobre 2026 et des enregistrements liés à des avis datés des 21 à 23 octobre 2026. Ces dates sont antérieures à la période demandée (du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu) ; aucun élément correspondant à cette période n’a été identifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche web dédiée sur Babel n’a pas identifié de nouvel avis de sécurité, correctif ou autre événement de sécurité daté du 2026-10-30 dans la période demandée. Les résultats pertinents consultés indiquent des avis Babel publiés avant cette période; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucune nouveauté de sécurité Elasticsearch datée du 2026-10-30 n’a été vérifiée dans les sources consultées. Les avis Elasticsearch affichés dans les annonces de sécurité Elastic consultées sont datés du 2026-10-06 ou du 2026-11-03, hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Recherche web dédiée effectuée sur RabbitMQ, notamment dans les avis de sécurité du projet et les fiches NVD. Les cinq candidats fournis indiquent une publication antérieure à la période (23 septembre 2026) et une mise à jour NVD le 30 octobre; les sources consultées ne permettent pas d’établir qu’un changement substantiel concernant ces CVE a eu lieu pendant la période figée. Les avis RabbitMQ repérés comme publiés le 25 octobre sont également hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée aux avis Memcached, aux CVE/NVD et aux sources du projet n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-30 dans la période demandée. Les éléments trouvés concernaient des dates antérieures et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Six vulnérabilités liées à GraphQL ou à des produits utilisant GraphQL ont été retenues dans la période : GraphQL-core, ArcadeDB, AxonHub, Traggo Server, Mythic et Daptin. Le candidat CVE-2026-115887 a été exclu : sa publication précède la période et sa seule modification NVD signalée ne suffit pas à établir un changement substantiel. Aucun élément du lot ne permet d’établir une vulnérabilité nouvelle, un avis ou correctif, une exploitation, ou un changement substantiel daté de la période demandée. Les deux entrées NVD signalent des modifications de fiches sans fournir d’élément permettant d’en vérifier la nature substantielle; l’avis GHSA a été publié avant la période et son horodatage de mise à jour ne précise pas le changement apporté.
Traggo Server : déni de service via l’endpoint GraphQL
Une requête POST construite spécialement vers le point d’accès GraphQL de Traggo Server 0.8.3 pouvait provoquer un déni de service. Les informations consultées ne permettent pas d’établir les versions supplémentaires concernées ni une version corrigée.
Action recommandée : Surveiller les annonces du projet pour un correctif ; limiter l’exposition de l’endpoint GraphQL dans l’intervalle.
XSS lors de la prévisualisation de fichiers dans Mythic
Mythic 3.2.16 à 3.4.0.61 présente une XSS stockée exploitable par un attaquant contrôlant des fichiers déposés sur un terminal cible. Si un opérateur télécharge puis prévisualise un fichier piégé, du contenu HTML s’exécute dans l’origine de l’interface Mythic et peut exposer les jetons JWT stockés localement.
Action recommandée : Identifier les systèmes dans la plage affectée et consulter les publications du projet pour une version corrigée; la source fournie n’en indique pas.
Daptin : déni de service via l’en-tête Accept-Language
Avant Daptin 0.12.26, le middleware de langue transmettait l’en-tête Accept-Language sans filtrage suffisant à l’analyse des préférences linguistiques. Une entrée spécialement formée pouvait contourner la vérification décrite dans l’avis et entraîner un déni de service ; mettre à jour vers 0.12.26.
Action recommandée : Mettre à jour Daptin vers la version 0.12.26 ou une version corrigée applicable.
GraphQL-core : épuisement mémoire lors de la validation
Dans GraphQL-core 3.3.0a3 à 3.3.0, validate() réutilisait une exception globale lorsque la limite d’erreurs était dépassée, conservant des références aux requêtes et contextes de validation. Un client non authentifié pouvait ainsi provoquer une croissance mémoire répétée ; la correction est incluse dans la version 3.3.1.
Action recommandée : Mettre à jour GraphQL-core vers la version 3.3.1 ou ultérieure.
ArcadeDB : remplacement non autorisé du schéma GraphQL
Dans ArcadeDB, un utilisateur disposant uniquement du droit readRecord pouvait remplacer le schéma GraphQL partagé via un point d’accès de requête présenté comme en lecture seule. Le changement pouvait modifier les résultats visibles par d’autres utilisateurs ; mettre à jour vers 26.10.2.
Action recommandée : Mettre à jour ArcadeDB vers la version 26.10.2 ou une version corrigée applicable.
AxonHub : élévation de privilèges via les portées de clés de service
AxonHub permettait à des utilisateurs de projet ayant le droit write_api_keys de créer des clés de service avec des portées système non validées. Une clé ainsi créée pouvait accéder aux configurations de canaux via /admin/graphql ; le candidat indique que les versions jusqu’à 1.0.0-beta11 sont concernées, sans préciser de version corrigée.
Action recommandée : Vérifier et restreindre les droits de création de clés de service ; appliquer une version corrigée dès qu’elle est confirmée par l’éditeur.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche web dédiée et l’examen des candidats ont permis de retenir sept nouvelles fiches publiées dans la période et associées à des extensions ou thèmes de l’écosystème WooCommerce. Les éléments fournis ne permettent pas de confirmer une exploitation active ni d’établir les versions corrigées pour la plupart de ces failles. Cinq vulnérabilités de composants WordPress liés à WooCommerce ont une date de publication dans la période : défaut d’autorisation pouvant bloquer des commandes, CSRF, divulgation de données personnelles, téléversement de fichiers arbitraires et XSS persistante. Les informations de versions corrigées ne sont pas précisées dans les sources fournies. Une vulnérabilité XSS de GIFTiT – Free Gifts for WooCommerce, CVE-2026-52710, a été publiée et mise à jour par le NVD le 30 octobre 2026. La fiche fournie indique comme affectées les versions jusqu’à 4.5 et ne précise pas de correctif.
Divulgation de données de commandes WooCommerce
Email Templates Customizer and Designer for WordPress and WooCommerce présente un contournement d’autorisation qui permet d’accéder aux données de commandes WooCommerce. Toutes les versions jusqu’à 1.5.14 inclus sont concernées; l’attaque ne nécessite pas de compte et peut exposer les données personnelles des clients.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du plugin en attendant.
Téléversement arbitraire de fichiers dans Avada pour WordPress
Le thème Avada jusqu’à la version 7.16.2 incluse présente une vulnérabilité de téléversement arbitraire de fichiers, exploitable sans authentification. Des fichiers téléversés susceptibles d’être exécutables peuvent permettre une exécution de code à distance.
Action recommandée : Surveiller les mises à jour d’Avada et appliquer une version corrigée dès qu’elle est disponible.
CVE-2026-96894 : XSS stockée dans le plugin ERP pour WooCommerce
Le plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce est vulnérable à une XSS stockée pouvant être déclenchée par un courriel entrant, sans compte WordPress. Toutes les versions jusqu’à 1.17.10 incluse sont concernées; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour le plugin dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
Ajout non autorisé de clients à la liste noire anti-fraude
CVE-2026-118072 concerne un contrôle d’autorisation manquant dans Fraud Prevention For WooCommerce and EDD : des utilisateurs de rôle Subscriber ou supérieur peuvent ajouter des clients à la liste noire sans être autorisés à gérer les commandes. Les versions antérieures à 2.3.6 sont concernées ; cette action peut empêcher des clients légitimes de passer commande.
Action recommandée : Mettre à jour vers la version 2.3.6 ou ultérieure.
APIExperts Square for WooCommerce : vulnérabilité CSRF
APIExperts Square for WooCommerce présentait une vulnérabilité CSRF, permettant à un attaquant de tenter de faire exécuter une action par un administrateur authentifié qui visite une page malveillante. La fiche fournie indique que les versions jusqu’à 4.7.5 sont affectées ; elle ne précise pas de version corrigée ni l’action exacte concernée.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’il est publié.
GIFTiT for WooCommerce : injection de code de type XSS
GIFTiT – Free Gifts for WooCommerce présentait une vulnérabilité de neutralisation insuffisante de balises HTML liées aux scripts, décrite comme une XSS basique ou une injection de code. La fiche indique que les versions jusqu’à 4.5 sont concernées, sans préciser de version corrigée ni davantage les conditions d’exploitation.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; à défaut, désactiver le module si son usage n’est pas indispensable.
YITH WooCommerce Product Add-Ons : contournement non authentifié
YITH WooCommerce Product Add-Ons présentait une vulnérabilité de contournement non authentifié. Les versions jusqu’à 4.34.0 sont visées par la fiche fournie, mais les informations disponibles ne décrivent pas davantage le mécanisme, l’impact précis ou la version corrigée.
Action recommandée : Mettre à jour vers une version corrigée si elle est disponible ; sinon, envisager de désactiver le module jusqu’à confirmation de l’éditeur.
Simple:Press
Recherche du sujet effectuée
Les sources consultées ne montrent pas de vulnérabilité, de correctif ou d’avis Simple:Press daté de la période demandée (du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu). Les entrées de vulnérabilités visibles dans WPScan et Patchstack sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche dédiée sur Docker n’a relevé aucun avis, correctif ou événement de sécurité vérifié dont la date de publication ou l’événement tombe dans la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Les avis Docker repérés dans les résultats consultés sont datés hors période. Les candidats portant sur d’autres produits où Docker n’est qu’un environnement ou un élément de contexte ne sont pas retenus comme vulnérabilités de Docker.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Vérification incomplète
La recherche a trouvé des avis Traefik associés aux CVE-2026-119572 et CVE-2026-119573, mais l’avis éditeur correspondant a été publié le 16 octobre 2026, avant la période demandée. Les autres candidats sont des mises à jour de fiches antérieures ou des événements dont la date fournie ne prouve pas une nouveauté substantielle durant la période. Aucun item n’est donc retenu.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Linux (noyau)
Vérification incomplète
Niveau relevé : Gravité à préciser
Un avis de sécurité daté du 30 octobre 2026 concerne CVE-2026-98432, une vulnérabilité du noyau Linux. Les candidats fournis sont des modifications de fiches NVD pour des CVE antérieures ; aucune preuve consultée ne montre qu’elles correspondent à une nouvelle faille ou à un changement substantiel durant la période. Aucun événement Linux noyau admissible n’est établi dans ce lot pour la période demandée. Les candidats sont des fiches NVD publiées en 2024 dont la seule date récente fournie est une mise à jour de fiche; aucun changement substantiel daté dans la période n’est indiqué. Aucune nouveauté, aucun correctif/avis de sécurité ni changement substantiel concernant le noyau Linux n’est établi dans la période demandée. Les candidats sont des fiches NVD publiées en 2024 dont la seule date dans la période est une mise à jour NVD; les éléments fournis ne montrent pas de changement substantiel daté du 30 octobre 2026. Les 10 candidats sont des fiches NVD dont la date de mise à jour indiquée est le 2026-10-30, mais leur publication et les correctifs décrits sont antérieurs à la période. Les données fournies ne démontrent aucun changement substantiel daté dans la période ; ils sont donc exclus. Aucun élément du lot ne démontre une nouvelle vulnérabilité, un correctif ou un changement substantiel sur le noyau Linux daté de la période demandée. Les dates de mise à jour NVD sont dans la période, mais les informations fournies décrivent des correctifs publiés en 2023 ou 2024 et n’établissent pas de changement de sécurité substantiel le 30 octobre 2026. Les candidats fournis sont des fiches de vulnérabilités publiées en 2024 dont la date de mise à jour NVD est le 2026-10-30. Les éléments transmis ne documentent pas de nouvel événement de sécurité ni de changement substantiel su…
Linux TIPC : correction d'une réutilisation de nonce AES-GCM
Un défaut dans TIPC pouvait réutiliser des nonces AES-GCM après un changement de clé signalé par un pair. Cette réutilisation pouvait compromettre la confidentialité des communications et permettre la falsification de paquets.
Action recommandée : Appliquer une version du noyau Linux intégrant le correctif TIPC; la version corrigée n'est pas précisée dans les données fournies.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
Les index officiels Debian consultés signalent, le 2026-10-30, un avis de sécurité pour Thunderbird et deux avis Debian LTS concernant python-git et cyrus-sasl2. Les candidats fournis sont des CVE anciennes dont la seule activité datée dans la période est une modification de fiche NVD ; ils ne sont pas retenus comme nouveautés ou changements substantiels Debian. Trois avis Debian datés du 30 octobre 2026 ont été retenus : DSA-6598-1 pour Thunderbird, DLA-4871-1 pour cyrus-sasl2 et DLA-4870-1 pour antiword. DLA-4872-1 concerne plusieurs CVE de GitPython; les CVE retenues ici sont celles dont la description individuelle figure dans l’extrait fourni. Les modifications NVD fournies portent sur des CVE publiées antérieurement et ne démontrent pas un changement substantiel dans la période.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42215
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait une exécution de commandes par des options non sûres passées en arguments nommés avec des traits de soulignement. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42284
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres non vérifiées après le découpage de multi_options avec shlex. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44243
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait d’accéder à des fichiers hors du dépôt lors de la manipulation de références. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44244
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’écriture de configuration ne rejetait pas les caractères de contrôle dans les valeurs. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67322
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des variables d’environnement étaient développées dans les URL de clonage et pouvaient divulguer des secrets à un hôte distant. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67323
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres n’étaient pas protégées dans plusieurs API Git et pouvaient conduire à l’exécution de commandes. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67324
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options longues abrégées contournaient les contrôles d’options non sûres et pouvaient mener à l’exécution de commandes. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67325
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options courtes combinées contournaient les contrôles des options non sûres. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67326
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sections de configuration n’étaient pas validés avant leur écriture. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-69097
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des noms de sections contenant un crochet fermant non cité pouvaient injecter des paramètres arbitraires dans .git/config. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73619
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres manquaient aux listes de blocage et pouvaient mener à l’exécution de commandes ou à un accès arbitraire aux fichiers. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73620
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres dans IndexFile.checkout() et TagReference.create(). Elles pouvaient permettre de lire ou d’écrire des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73621
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Commit.count n’écartait pas des options de sortie non sûres. Cela pouvait entraîner l’écriture vers des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73622
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les variables d’environnement étaient développées dans les URL de dépôts distants et de sous-modules. Cette expansion pouvait divulguer des secrets à un hôte distant; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73623
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option non sûre –template n’était pas rejetée lors d’un clonage. Cela pouvait permettre la lecture de chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73624
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options de sortie non sûres n’étaient pas protégées dans les opérations diff. Elles pouvaient écrire vers des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73625
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs d’options courtes séparées n’étaient pas validées. Ce défaut pouvait contourner les contrôles d’options non sûres dans plusieurs opérations; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76217
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options –pathspec-from-file n’étaient pas protégées dans certaines opérations d’index et de HEAD. Cela pouvait permettre de lire des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76218
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Repo.init ne bloquait pas des options Git init non sûres. Les options citées pouvaient lire ou écrire des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76219
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option –index-output n’était pas protégée dans des appels read-tree. Cela pouvait écrire vers un chemin arbitraire; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76220
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où la valeur accolée aux options d’un caractère n’était pas vérifiée dans certains cas. Cela pouvait contourner les contrôles des options non sûres; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76221
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms d’options de configuration pouvant injecter des paramètres n’étaient pas rejetés. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76222
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sous-modules lus depuis .gitmodules n’étaient pas validés avant des opérations sur le système de fichiers. Cela permettait une traversée de répertoires hors du dépôt; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78675
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les directives include de .gitmodules étaient traitées. Ce comportement pouvait permettre la lecture de fichiers arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78676
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs de configuration multilignes n’étaient pas préservées. L’extrait fourni ne précise pas davantage les conséquences propres à cette vulnérabilité; consultez l’avis Debian et appliquez la mise à jour de sécurité.
Action recommandée : Consulter DLA-4872-1 et appliquer la mise à jour Debian.
DSA-6598-1 : mise à jour de sécurité Thunderbird
Debian a publié DSA-6598-1 pour plusieurs problèmes de sécurité dans Thunderbird. L’avis indique qu’ils pourraient entraîner l’exécution de code arbitraire ou la divulgation d’informations; il ne fournit pas de CVE dans les données disponibles.
Action recommandée : Appliquer la mise à jour Debian référencée par DSA-6598-1.
DLA-4871-1 : mise à jour de sécurité cyrus-sasl2
Debian a publié DLA-4871-1 pour un dépassement de tampon dans le tas du greffon DIGEST-MD5 de cyrus-sasl2. Les données fournies ne donnent pas de CVE ni de détails de versions; consultez l’avis Debian et appliquez la mise à jour de sécurité.
Action recommandée : Appliquer la mise à jour Debian référencée par DLA-4871-1.
DLA-4870-1 : mise à jour de sécurité antiword
Debian a publié DLA-4870-1 pour plusieurs problèmes dans antiword, notamment des écritures hors limites dans le tas et une division entière par zéro. Aucun CVE n’était attribué selon l’avis fourni; consultez celui-ci et appliquez la mise à jour de sécurité.
Action recommandée : Appliquer la mise à jour Debian référencée par DLA-4870-1.
Alpine Linux
Vérification incomplète
Une publication officielle d’Alpine datée du 30 octobre 2026 confirme la réouverture de son instance GitLab après un incident lié à des tentatives d’exploitation de CVE-2026-97229 survenues les 20 et 21 octobre, et décrit des mesures de réinitialisation de comptes.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Vérification incomplète
Un avis AlmaLinux concernant Apache HTTP Server (httpd) est daté du 2026-10-30. Les résultats consultés ne suffisent pas à établir les vulnérabilités individuelles ni leurs correctifs; aucun autre événement correspondant à la période n’a été vérifié.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Vérification incomplète
Un avis pertinent a été vérifié dans la période : CVE-2026-59387 concerne une règle manquante dans le routage Nginx de Cloud Controller. Les deux candidats Traefik ont été exclus : ils concernent des défauts du fournisseur Kubernetes Ingress NGINX de Traefik, et non du produit Nginx demandé.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PHP
Vérification incomplète
La recherche a relevé une mise à jour AWS datée du 2026-10-30 concernant la disponibilité d’images CodeBuild avec PHP corrigé pour deux vulnérabilités divulguées antérieurement. Aucun des candidats fournis ne concerne le runtime PHP ou PHP-FPM lui-même : ils portent sur des applications ou extensions distinctes. Aucun candidat ne concerne une vulnérabilité du langage ou du moteur PHP, ni de PHP-FPM : les entrées portent sur des produits distincts, même lorsque leur code est écrit en PHP ou qu’elles mentionnent des fonctions PHP. Elles sont donc hors du sujet demandé. Les candidats fournis concernent des applications ou extensions tierces écrites en PHP, et non le langage ou le runtime PHP lui-même. Aucun ne constitue donc un avis de sécurité du sujet demandé. Aucun candidat fourni ne concerne PHP ou PHP-FPM comme produit. Les publications portent sur Shopper, Collabora Online, baserCMS ou des extensions WordPress ; les mises à jour NVD restantes ne constituent pas, d’après les éléments fournis, un changement substantiel pertinent pour le sujet demandé. Aucun élément du lot n’est retenu pour le sujet PHP : les candidats concernent des extensions WordPress tierces, et leurs dates de publication indiquées sont antérieures à la période. Les dates de mise à jour NVD du 30 octobre ne suffisent pas, à elles seules, à établir un changement substantiel. Les candidats concernent des injections d’objets PHP dans des produits tiers (Le Truffe, Mission, Motorix, Muzicon, Filmax, Avventure, Bonbon, EmojiNation, Gamezone et Gamic), et non des vulnérabilités du langage ou du runtime PHP. Les dates de publication indiquées sont antérieures à la période ; les seules dates dans la période sont des mises à jour NVD, qui ne constituent pas à elles seules un événement admissible. Aucun cand…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WordPress
Vérification incomplète
Niveau relevé : Critique
Dix publications NVD datées du 30 octobre 2026 dans la période demandée concernent des extensions WordPress. Les versions affectées et correctifs sont indiqués lorsqu’ils sont précisés dans les éléments examinés; aucune exploitation active n’est établie par les informations consultées. Dix fiches NVD publiées le 2026-10-30 couvrent des vulnérabilités dans des extensions WordPress : exposition de données, défauts d’autorisation, XSS, injection SQL et injection d’objet PHP. Les candidats fournis ont tous été examinés ; aucune recherche web supplémentaire n’a été réalisée. Dix fiches NVD WordPress fournies indiquent des publications dans la période du 2026-10-30 ; elles portent sur des vulnérabilités de plugins, dont plusieurs failles de script intersites, de contrôle d’accès et d’exécution de shortcodes. Les versions corrigées ne sont indiquées ici que lorsqu’elles figurent explicitement dans les éléments fournis. Dix fiches NVD concernant des vulnérabilités de plugins ou composants WordPress ont été publiées le 2026-10-30 dans la période demandée. Les problèmes rapportés couvrent des XSS, une suppression arbitraire de fichiers, une élévation de privilèges, des contournements d’autorisation et des expositions de données. Dix fiches NVD concernant des vulnérabilités de plugins ou d’un thème WordPress ont été publiées dans la période demandée. Elles portent notamment sur des XSS stockées, une injection SQL, un téléversement arbitraire, une élévation de privilèges, l’exécution de shortcodes et un contournement d’autorisation. Quatre nouvelles fiches NVD concernant des extensions WordPress ont été publiées pendant la période : NextGEN Gallery, ERP Suite for WooCommerce, Forminator Forms et Meow Gallery. La nature des mises à jour NVD signalées pour les autres candidats n’est…
Gravity Forms : injection d’objet PHP via un champ personnalisé de type Liste
Gravity Forms jusqu’à la version 3.1.2 incluse est vulnérable à une injection d’objet PHP via un champ personnalisé de type Liste utilisé comme champ personnalisé d’article. Selon la configuration et la présence d’une chaîne de gadgets dans un autre composant ou dans WordPress, cela peut conduire à des actions supplémentaires, voire à l’exécution de code dans certaines conditions d’hébergement.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; limiter l’exposition des formulaires concernés et appliquer un correctif dès sa disponibilité.
Divulgation de données de commandes WooCommerce
Email Templates Customizer and Designer for WordPress and WooCommerce présente un contournement d’autorisation qui permet d’accéder aux données de commandes WooCommerce. Toutes les versions jusqu’à 1.5.14 inclus sont concernées; l’attaque ne nécessite pas de compte et peut exposer les données personnelles des clients.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du plugin en attendant.
Téléversement arbitraire de fichiers dans Avada pour WordPress
Le thème Avada jusqu’à la version 7.16.2 incluse présente une vulnérabilité de téléversement arbitraire de fichiers, exploitable sans authentification. Des fichiers téléversés susceptibles d’être exécutables peuvent permettre une exécution de code à distance.
Action recommandée : Surveiller les mises à jour d’Avada et appliquer une version corrigée dès qu’elle est disponible.
CVE-2026-96894 : XSS stockée dans le plugin ERP pour WooCommerce
Le plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce est vulnérable à une XSS stockée pouvant être déclenchée par un courriel entrant, sans compte WordPress. Toutes les versions jusqu’à 1.17.10 incluse sont concernées; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour le plugin dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
Escalade de privilèges via import CSV dans Export and Import Users and Customers
CVE-2026-104368 concerne une escalade de privilèges dans Export and Import Users and Customers : un abonné authentifié peut exploiter une incohérence de traitement CSV pour créer un compte administrateur. Les versions jusqu’à 2.7.5 inclus sont indiquées comme vulnérables ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.
AI Engine : autorisation manquante dans l’inscription OAuth MCP
Le point de terminaison d’inscription OAuth du module MCP de AI Engine permet à un utilisateur non authentifié d’enregistrer un client OAuth avec une URI de redirection contrôlée. Si un administrateur approuve ce client, l’attaquant peut obtenir un jeton MCP associé aux privilèges d’administrateur; l’approbation peut aussi être exposée au clickjacking.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, désactiver le module MCP ou restreindre l’accès à son point de terminaison d’inscription.
Food Store : XSS stockée via le paramètre service_time
Le paramètre service_time du plugin Food Store peut permettre l’injection de scripts persistants par un attaquant non authentifié, en raison d’un filtrage et d’un échappement insuffisants. L’exploitation requiert que « Enable Pickup/Delivery Service » soit activé et que « Enable Checkout Service Fields » soit désactivé, une configuration non standard.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; sinon, modifier la configuration pour satisfaire l’une des conditions d’atténuation indiquées.
Formidable Forms : installation arbitraire d’extensions
Dans Formidable Forms, une validation insuffisante de l’URL et des contrôles de permission incomplets permettent à des utilisateurs authentifiés disposant de droits de niveau abonné ou supérieur d’installer des extensions arbitraires. Le problème ne concerne que les installations gratuites sans Formidable Pro.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes ayant accès aux formulaires et vérifier si l’installation est concernée par la condition Formidable Pro.
Gravity Forms : XSS stockée via plusieurs champs
Une faille XSS dans Gravity Forms permet à un attaquant non authentifié d’injecter du script dans des pages via les champs Extrait, Champ personnalisé ou Paragraphe enrichi. Elle concerne les versions jusqu’à 3.1.1 incluse; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour Gravity Forms vers une version corrigeant la vulnérabilité.
Gravity Forms : XSS stockée dans le champ Liste
Une XSS stockée dans Gravity Forms peut être déclenchée par une valeur malveillante soumise dans le champ Liste. L’exploitation nécessite qu’un administrateur clique sur le lien injecté dans le détail de l’entrée et confirme une boîte de dialogue; les versions jusqu’à 3.1.2 incluse sont concernées.
Action recommandée : Mettre à jour Gravity Forms vers une version corrigeant la vulnérabilité et limiter l’accès aux entrées non fiables.
Database Cleaner : suppression arbitraire de tables
Database Cleaner permet à des utilisateurs authentifiés disposant de privilèges administrateur ou supérieurs de supprimer des tables de base de données sans restriction suffisante. La fiche indique que des tables essentielles de WordPress peuvent être visées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter strictement les comptes disposant de privilèges administrateur.
XSS stockée dans Independent Analytics Pro
Independent Analytics Pro présente une XSS stockée via le paramètre `utm_campaign`, les entrées n’étant pas suffisamment nettoyées ni échappées. Les versions jusqu’à 2.15.5 inclus sont concernées; la vulnérabilité nécessite l’édition Pro active et peut être exploitée sans authentification après obtention d’un jeton signé sur une page publique.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’édition Pro si elle n’est pas nécessaire.
Élévation de privilèges dans Ak Framework
Le framework Ak, fourni avec le thème Newsy, permet une élévation de privilèges en raison de contrôles de capacité manquants dans des gestionnaires AJAX. Les versions jusqu’à 2.9.8 inclus sont concernées; un attaquant non authentifié peut modifier des options WordPress et configurer l’inscription de nouveaux comptes avec le rôle administrateur par défaut.
Action recommandée : Mettre à jour le framework ou le thème Newsy dès qu’un correctif est disponible; à défaut, désactiver le composant concerné.
Exposition d’informations sensibles dans Advanced Custom Fields: Extended
Advanced Custom Fields: Extended peut exposer des informations sensibles, notamment le hachage du mot de passe WordPress d’un utilisateur, via un formulaire configuré pour publier les données de termes. Toutes les versions jusqu’à 0.9.2.7 inclus sont concernées; l’exploitation exige une page publique configurée avec un formulaire `[acfe_form]` et une action Term comportant le mapping `save.name`.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et examiner les formulaires publics utilisant les actions Term et le mapping concerné.
CVE-2026-76012 : exécution de code à distance dans NextGEN Gallery
NextGEN Gallery est vulnérable à une exécution de code à distance par des attaquants authentifiés disposant d’un accès de niveau personnalisé ou supérieur et auteurs d’au moins une galerie existante. La faille concerne toutes les versions jusqu’à 4.4.1 incluse; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour NextGEN Gallery dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
CVE-2026-97638 : suppression et substitution de brouillons dans Forminator Forms
Forminator Forms présente une vulnérabilité de référence directe à un objet permettant à un attaquant non authentifié de supprimer des brouillons enregistrés appartenant à d’autres utilisateurs et de réutiliser leurs identifiants. Toutes les versions jusqu’à 1.57.3.1 incluse sont concernées; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour Forminator Forms dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
XSS dans le plugin WordPress easy.jobs
Le plugin WordPress easy.jobs présente une XSS stockée liée au paramètre cover_letter, exploitable par un attaquant non authentifié dans les versions jusqu’à 2.8.4 incluse. L’exécution nécessite qu’un administrateur ouvre l’onglet de candidature concerné et clique sur le lien piégé.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; la version corrective n’est pas précisée dans la source fournie.
Élévation de privilèges dans Essential Addons for Elementor
Essential Addons for Elementor jusqu’à la version 6.8.7 incluse présente une vulnérabilité d’élévation de privilèges, exploitable sans authentification dans des conditions précises. Un attaquant peut obtenir un compte jusqu’au rôle Editor si l’inscription publique est activée et si un administrateur a auparavant enregistré puis rétabli un rôle non standard sur une page concernée.
Action recommandée : Surveiller les mises à jour du plugin et, si possible, désactiver l’inscription publique jusqu’à l’application d’un correctif.
Injection d’objet PHP dans Enable Media Replace
CVE-2026-114422 est une injection d’objet PHP dans Enable Media Replace, pouvant conduire à une inclusion locale de fichier et, dans certaines conditions, à l’exécution de code à distance. Le plugin est vulnérable avant la version 4.2.3 ; la source décrit une régression de CVE-2023-4643, corrigée en 4.1.3 puis réintroduite en 4.1.4.
Action recommandée : Mettre à jour vers la version 4.2.3 ou ultérieure.
Contournement du mot de passe lors de la connexion 2FA
CVE-2026-114443 concerne l’authentification à deux facteurs du plugin Security Plugin, Firewall & Malware Scanner with Auto Removal : le plugin n’exige pas le mot de passe du compte avant d’accepter le code d’authentification. Les versions antérieures à 2.191 sont concernées ; la possession du code d’authentification actuel de la victime peut permettre une connexion sous son compte, y compris un compte administrateur.
Action recommandée : Mettre à jour vers la version 2.191 ou ultérieure.
XSS persistante dans les statistiques de WP Visitor Statistics
CVE-2026-117571 est une XSS persistante dans WP Visitor Statistics (Real Time Traffic) : des données de suivi dérivées de requêtes publiques sont stockées puis affichées dans le tableau de bord sans assainissement ni échappement suffisants. Les versions antérieures à 8.8 sont concernées ; un attaquant non authentifié peut ainsi faire exécuter un script lorsqu’un administrateur consulte les statistiques.
Action recommandée : Mettre à jour vers la version 8.8 ou ultérieure.
Kirki : contrôle d’accès insuffisant aux pages via l’API REST
Dans Kirki, un contrôle d’accès par objet insuffisant dans l’API REST des pages permet à un utilisateur ayant accès à l’édition Kirki — notamment un éditeur dans la configuration par défaut — de modifier des publications qu’il ne possède pas. Il peut notamment modifier leur titre, slug ou statut, y compris pour des types de contenu personnalisés et des produits WooCommerce.
Action recommandée : Mettre à jour Kirki vers la version 6.4.1 ou ultérieure et revoir les rôles disposant de droits d’édition Kirki.
Ajout non autorisé de clients à la liste noire anti-fraude
CVE-2026-118072 concerne un contrôle d’autorisation manquant dans Fraud Prevention For WooCommerce and EDD : des utilisateurs de rôle Subscriber ou supérieur peuvent ajouter des clients à la liste noire sans être autorisés à gérer les commandes. Les versions antérieures à 2.3.6 sont concernées ; cette action peut empêcher des clients légitimes de passer commande.
Action recommandée : Mettre à jour vers la version 2.3.6 ou ultérieure.
BuddyForms : export non autorisé de la configuration des formulaires
BuddyForms avant 2.10.3 ne vérifie pas que l’utilisateur peut gérer le formulaire avant d’en exporter la configuration. Un utilisateur non authentifié peut ainsi récupérer des paramètres stockés, dont des adresses de notification et des clés secrètes reCAPTCHA.
Action recommandée : Mettre à jour BuddyForms vers la version 2.10.3 ou ultérieure.
BuddyForms : modification d’articles sans vérification de leur auteur
BuddyForms avant 2.10.1 ne vérifie pas que l’utilisateur modifiant une entrée est l’auteur de l’article visé. Un utilisateur disposant d’un accès de modification au formulaire, jusqu’au rôle Abonné, peut altérer le titre, le contenu et l’état d’articles ou de pages appartenant à d’autres utilisateurs.
Action recommandée : Mettre à jour BuddyForms vers la version 2.10.1 ou ultérieure.
Firelight Lightbox : XSS stocké via l’URL d’un lien
Firelight Lightbox avant 2.3.23 n’échappe pas l’URL d’un lien ouvert dans sa lightbox classique avant de l’insérer dans la page comme HTML. Un utilisateur ayant au moins le rôle Contributeur peut provoquer un XSS stocké visant les personnes qui ouvrent un lien préparé à cet effet.
Action recommandée : Mettre à jour Firelight Lightbox vers la version 2.3.23 ou ultérieure.
Page and Post Restriction : contournement d’authentification sur l’API REST
Page and Post Restriction est vulnérable à un contournement d’authentification dans toutes les versions jusqu’à 1.6.1 incluse. Une requête REST GET ou HEAD inter-origines peut, sous certaines conditions, permettre à un attaquant de lire des contenus et données accessibles à un utilisateur connecté qu’il a attiré sur une page contrôlée par l’attaquant.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; vérifier la disponibilité d’un correctif et limiter l’exposition des données REST sensibles.
Cool FormKit Lite : XSS DOM stocké via custom_id
Cool FormKit Lite jusqu’à la version 2.7.9 incluse est vulnérable à un XSS DOM stocké lié au paramètre custom_id des champs de formulaire Elementor. Un attaquant authentifié ayant au moins le rôle Contributeur peut injecter un script qui s’exécute lorsqu’une page compromise est consultée.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Events Made Easy : XSS stocké via le paramètre width
Events Made Easy jusqu’à la version 3.3.1 incluse ne filtre pas suffisamment le paramètre width, ce qui permet un XSS stocké. Un utilisateur authentifié ayant au moins le rôle Contributeur peut injecter du script dans des pages consultées ensuite par d’autres utilisateurs.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
JoomSport : injection SQL via pgroup
JoomSport jusqu’à la version 5.7.14 incluse est vulnérable à une injection SQL via le paramètre pgroup. Un utilisateur authentifié ayant au moins le rôle Contributeur peut déclencher le chemin vulnérable en prévisualisant un article contenant le shortcode jsMatchPlayerList, avec un risque d’extraction d’informations de la base de données.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Content Egg : modification non autorisée des données produit d’articles
Content Egg jusqu’à la version 12.0.0 incluse ne vérifie pas les droits de l’utilisateur sur l’article indiqué à la fonction ajaxUpdateProducts(). Un utilisateur authentifié ayant au moins le rôle Contributeur peut ainsi modifier les métadonnées de produits d’articles appartenant à d’autres personnes.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Content Egg : création d’articles attribués à un autre utilisateur
Content Egg jusqu’à la version 12.0.0 incluse présente un défaut d’autorisation lors de la création d’articles à partir d’un preset. Un utilisateur authentifié ayant au moins le rôle Auteur peut attribuer un article à un autre compte, notamment celui d’un administrateur; la publication dépend aussi de ses permissions sur le type d’article concerné.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Suppression de fichiers dans les téléversements via Forminator Forms
CVE-2026-5461 permet à un attaquant non authentifié de supprimer des fichiers non-PHP arbitraires dans wp-content/uploads via des soumissions de brouillon Forminator mal validées. Les versions jusqu’à 1.55.0.2 inclus sont vulnérables ; la source fournie ne donne ni version corrigée ni mesure de contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est indiquée dans la source fournie.
Lecture de fichiers sensibles via le File System Watcher
CVE-2026-114444 permet à un administrateur qui n’est pas Super Admin d’accéder à la visionneuse du File System Watcher et de lire des fichiers sensibles. Les versions antérieures à 2.191 sont concernées ; sur une installation standard, les informations exposées peuvent inclure les clés et salts d’authentification ainsi que les identifiants de base de données.
Action recommandée : Mettre à jour vers la version 2.191 ou ultérieure.
XSS réfléchie dans User Frontend
CVE-2026-115277 est une XSS réfléchie dans le plugin User Frontend, due à des valeurs fournies par l’utilisateur réinjectées dans des attributs HTML sans assainissement ni échappement suffisants. Les versions antérieures à 4.3.14 sont concernées ; selon la source, le point d’entrée AJAX est accessible aux requêtes anonymes et le script vise les visiteurs déconnectés.
Action recommandée : Mettre à jour vers la version 4.3.14 ou ultérieure.
Injection SQL dans WP Visitor Statistics
CVE-2026-117572 est une injection SQL dans WP Visitor Statistics (Real Time Traffic), causée par un paramètre utilisé dans une requête SQL sans assainissement ni échappement suffisant. Les versions antérieures à 8.8 sont concernées ; la source précise que l’attaque nécessite un utilisateur disposant de privilèges élevés, tel qu’un administrateur.
Action recommandée : Mettre à jour vers la version 8.8 ou ultérieure.
XSS persistante via un bloc de bouton Joinchat
CVE-2026-118071 est une XSS persistante dans Joinchat : le message d’un bloc de bouton n’est pas échappé avant d’être rendu dans un attribut HTML sur le site. Les versions antérieures à 6.4.2 sont concernées ; un utilisateur ayant le rôle Author ou supérieur peut viser les visiteurs de la publication, y compris les administrateurs.
Action recommandée : Mettre à jour vers la version 6.4.2 ou ultérieure.
Kirki : contournement de la vérification reCAPTCHA des formulaires
Kirki peut accepter des soumissions de formulaires sans vérification reCAPTCHA valide lorsqu’un attaquant omet le champ g-recaptcha-token. Cela peut entraîner des soumissions automatisées, des notifications ou webhooks déclenchés et une croissance non bornée des enregistrements de soumission.
Action recommandée : Mettre à jour Kirki vers la version 6.2.5 ou ultérieure.
My Calendar : injection de shortcodes via le paramètre mcs
Le paramètre de recherche mcs de My Calendar peut transmettre des valeurs à do_shortcode() sans neutraliser les crochets, permettant à un attaquant non authentifié d’exécuter des shortcodes enregistrés. Cela peut servir à injecter du contenu ou à usurper l’apparence d’une page.
Action recommandée : Mettre à jour My Calendar vers la version 3.8.11 ou ultérieure.
Ad Inserter : exécution de shortcodes arbitraires
Ad Inserter peut exécuter des shortcodes arbitraires à partir d’une valeur non validée, dans une configuration où un bloc publicitaire utilisant une balise dynamique est affiché sur les pages de recherche. La fiche précise que cette configuration est documentée et que l’attaque peut être menée sans authentification.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’affichage sur les pages de recherche des blocs utilisant des balises dynamiques.
XSS stockée dans Redux Framework pour WordPress
Le plugin Redux Framework est vulnérable à une XSS stockée via le champ `multi_media`, déclenchée lorsque le profil affecté est consulté dans l’administration. Les versions jusqu’à 4.5.15 inclus sont concernées; la faille nécessite un thème ou plugin utilisant l’API Redux Users et un compte avec au moins le rôle Abonné.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le composant vulnérable ou l’extension qui expose le champ concerné.
Suppression arbitraire de fichiers dans JS Help Desk
Le plugin JS Help Desk est vulnérable à la suppression arbitraire de fichiers sur le serveur en raison d’une validation insuffisante des chemins. Les versions jusqu’à 5.0.1 inclus sont concernées; l’exploitation nécessite un accès administrateur et peut permettre une exécution de code si un fichier critique est supprimé.
Action recommandée : Restreindre l’accès administrateur au plugin et appliquer une mise à jour corrigée dès sa disponibilité.
Contournement d’autorisation dans OpenStation
OpenStation présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au moins le rôle Abonné de modifier des entrées de placement d’autres utilisateurs et d’en lire certaines métadonnées. Toutes les versions jusqu’à 1.1.16 inclus sont concernées; l’exploitation dépend de la présence d’une entrée de placement orpheline.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et limiter l’utilisation du plugin aux rôles nécessaires.
XSS stockée dans FV Flowplayer Video Player via les commentaires
FV Flowplayer Video Player est vulnérable à une XSS stockée dans le paramètre `comment` des liens vidéo. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille nécessite l’option de parsing des liens Vimeo et YouTube, ainsi que l’approbation du commentaire par un administrateur.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; désactiver le parsing des commentaires si cette fonction n’est pas nécessaire.
XSS stockée via les commentaires dans FV Flowplayer Video Player
FV Flowplayer Video Player est également vulnérable à une XSS stockée via l’attribut `align` des shortcodes contenus dans les commentaires. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille suppose que l’administrateur ait activé l’option de parsing des liens Vimeo et YouTube.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; désactiver le parsing des commentaires si inutile.
XSS stockée dans FV Flowplayer Video Player via les vidéos de profil
FV Flowplayer Video Player présente une XSS stockée dans les vidéos de profil soumises par les utilisateurs. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; l’exploitation nécessite l’activation par un administrateur de l’option autorisant les visiteurs à téléverser des vidéos sur leur profil.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; désactiver les téléversements de vidéos de profil si cette fonction est inutile.
CVE-2026-9239 : XSS stockée dans Meow Gallery
Meow Gallery est vulnérable à une XSS stockée via le texte alternatif d’une pièce jointe utilisé dans l’attribut aria-label. Toutes les versions jusqu’à 5.5.1 incluse sont concernées; l’exploitation nécessite un compte ayant au moins le rôle auteur et un élément de galerie rendu sous forme de lien.
Action recommandée : Mettre à jour Meow Gallery dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
Injection SQL dans Majestic Support pour WordPress
Majestic Support jusqu’à la version 1.2.2 incluse est vulnérable à une injection SQL accessible aux utilisateurs authentifiés disposant au minimum du rôle Subscriber. Un attaquant peut exploiter le paramètre « columns (array keys) » afin d’ajouter des requêtes SQL et d’extraire des informations sensibles de la base de données.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans Themify Builder pour WordPress
Themify Builder jusqu’à la version 7.8.4 incluse présente une XSS stockée dans les champs de répétition « variations » des publications Custom Font. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script, exécuté lorsqu’une personne consulte la liste d’administration Custom Fonts.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans Like Button Rating ♥ LikeBtn pour WordPress
Like Button Rating ♥ LikeBtn jusqu’à la version 2.6.64 incluse présente une XSS stockée via l’en-tête Client-IP, exploitable sans authentification sous certaines conditions. L’exploitation nécessite que l’option « Be GDPR compliant » soit désactivée et qu’un administrateur effectue une action déclenchant le contenu injecté.
Action recommandée : Conserver activée l’option « Be GDPR compliant » et surveiller la disponibilité d’une mise à jour corrigée.
Exécution de shortcodes arbitraires dans GeoDirectory
GeoDirectory jusqu’à la version 2.8.198 incluse permet l’exécution de shortcodes arbitraires par un attaquant non authentifié. La cause indiquée est une action qui exécute do_shortcode sans valider correctement une valeur.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans les descriptions GeoDirectory
GeoDirectory jusqu’à la version 2.8.199 incluse présente une XSS stockée via la description des annonces, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber. Le contenu injecté peut s’exécuter lorsqu’un utilisateur consulte une page contenant le popover concerné.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans CP Multi View Events Calendar
CP Multi View Events Calendar jusqu’à la version 1.4.43 incluse présente une XSS stockée via le paramètre « Subject ». Un utilisateur authentifié ayant au minimum le rôle Subscriber peut soumettre le contenu malveillant lorsque le shortcode du calendrier est présent sur une page publiée.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
Contournement d’autorisation dans Meow Gallery
Meow Gallery jusqu’à la version 5.5.4 incluse présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au minimum le rôle Author de consulter des métadonnées de publications privées et brouillons. Les informations concernées incluent notamment l’identifiant, le titre, la date, l’auteur et le statut des publications.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée a porté sur les avis du core PrestaShop, les alertes de Friends Of Presta, les avis et annonces officiels, les modules et les incidents. Les éléments obtenus ne documentent aucun nouvel avis, correctif, exploitation ni changement substantiel daté du 2026-10-30 dans la période demandée. Des alertes et avis consultés sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche sur Cockpit a retrouvé les avis Red Hat pour CVE-2026-113495 et CVE-2026-113496. Les deux failles ont été rendues publiques le 2026-10-20; les éléments consultés ne montrent pas de correctif, d’avis de sécurité ni de changement substantiel daté de la période demandée (2026-10-30).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée sur CloudPanel n’a pas permis de vérifier de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les résultats pertinents repérés concernaient des dates hors de cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité visant Uptime Kuma a une publication NVD datée du 30 octobre 2026, dans la période examinée. Les sources consultées ne permettent pas d’établir une version corrigée ni une exploitation confirmée.
Uptime Kuma : création concurrente d’un compte administrateur lors de la première configuration
Le 30 octobre, une fiche a été publiée pour une condition de concurrence dans le gestionnaire Socket.IO de première configuration d’Uptime Kuma. Selon la description fournie, elle pourrait permettre à un attaquant non authentifié de créer un compte administrateur supplémentaire et d’altérer la configuration de l’instance.
Action recommandée : Évaluer l’exposition des instances concernées et installer une version corrigée dès qu’un correctif est confirmé par le projet; la version corrigée n’a pas été établie dans les sources consultées.
MariaDB
Vérification incomplète
Niveau relevé : Moyenne
La recherche a identifié un avis publié pendant la période sur DBHub, dont le contournement du mode lecture seule concerne explicitement son connecteur MariaDB. Les autres candidats examinés portent sur Moodle ou sur des avis Connector/J initialement publiés avant la période ; aucune preuve consultée n’établit pour ces derniers un changement substantiel pendant la fenêtre.
DBHub : contournement du mode lecture seule avec les connecteurs MariaDB/MySQL
Une erreur d’analyse des commentaires SQL permet de contourner le mode lecture seule de DBHub avec les connecteurs MySQL et MariaDB, et peut entraîner l’exécution de requêtes d’écriture ou de suppression. Le problème est corrigé dans DBHub 0.22.6 ; mettre à jour et limiter les privilèges du compte de base de données.
Action recommandée : Mettre DBHub à jour en version 0.22.6 ou ultérieure et appliquer le principe du moindre privilège au compte de base de données.
phpMyAdmin
Vérification incomplète
La recherche dédiée a trouvé sept fiches CVE phpMyAdmin dont la publication NVD est datée du 2026-10-30 : CSRF, deux injections SQL, SSRF, retrait de 2FA, contournement WebAuthn et XSS stocké. Les sources consultées ne confirment ni version corrigée ni exploitation active ; les mises à jour NVD du 2026-11-03 sont hors de la période retenue.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
pgAdmin
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a identifié neuf avis NVD publiés le 2026-10-30 pour pgAdmin, couvrant CVE-2026-116238 à CVE-2026-116247 sauf CVE-2026-116248 et CVE-2026-116249. Les notes officielles de pgAdmin 4 9.19 confirment que ces correctifs sont inclus dans la version 9.19, publiée le 2026-10-29; les événements NVD des neuf candidats fournis tombent dans la période figée. Cinq fiches NVD concernant pgAdmin 4 ont été publiées pendant la période : partage non autorisé de serveurs, accès à des fichiers hors du stockage, contournement des contrôles de fichiers par liens ou FIFO, maintien de sessions après changement de mot de passe et détournement de connexion lors de l’actualisation d’une vue matérialisée. Les fiches indiquent que les versions antérieures à 9.19 sont affectées.
Contournement des protections de connexion et de gestion des mots de passe
En mode serveur, des points d’entrée Flask-Security contournaient le comptage et le verrouillage des connexions échouées, ainsi que certains contrôles de changement et de réinitialisation de mot de passe. Les versions antérieures à 9.19 sont concernées; mettre à niveau vers 9.19 ou une version ultérieure.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Contournement de validation pouvant exécuter une commande sur l’hôte
Un défaut de validation des guillemets dans l’outil Import/Export Data pouvait laisser psql interpréter une clause de commande qui s’exécute sur l’hôte pgAdmin. Les versions antérieures à 9.19 sont concernées; mettre à niveau vers 9.19 ou une version ultérieure.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Repli sur les fichiers d’identification du compte système
En l’absence de fichiers d’identification configurés ou accessibles, libpq pouvait retomber sur les fichiers de mots de passe et certificats du compte système pgAdmin. La correction de pgAdmin 4 9.19 fournit explicitement des chemins propres à l’utilisateur ou impossibles à ouvrir en mode serveur; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; en mode serveur, configurer les fichiers d’identification nécessaires sur les serveurs concernés.
CVE-2026-116252 : détournement de connexion lors de l’actualisation d’une vue
Lors de l’actualisation d’une vue matérialisée, pgAdmin 4 transmettait le nom de la base à psql sans empêcher libpq de l’interpréter comme une chaîne de connexion complète. Un rôle pouvant créer une base au nom spécialement construit pouvait ainsi détourner la connexion lancée pour l’actualisation vers un hôte de son choix et exposer à cet hôte le mot de passe enregistré de l’utilisateur.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
Mauvaise association entre authentification LDAP/Kerberos et compte pgAdmin
En mode serveur, une authentification LDAP ou Kerberos pouvait ouvrir une session sur un autre compte pgAdmin portant le même nom d’utilisateur, sans vérifier que le compte provenait de la source d’authentification utilisée. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Vérification incohérente des chemins du stockage utilisateur
En mode serveur, certains outils de gestion de fichiers vérifiaient un chemin puis agissaient sur un chemin construit différemment, ce qui pouvait permettre l’accès à des fichiers hors du stockage de l’utilisateur ou dans celui d’un autre utilisateur. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Utilisation des identifiants SSH du compte de service
En mode serveur, les tunnels SSH pouvaient utiliser les clés privées, la configuration SSH et l’agent du compte système exécutant pgAdmin, plutôt que les seuls identifiants fournis par l’utilisateur. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; remplacer toute dépendance aux clés ou à la configuration SSH du compte de service par des identifiants propres à l’utilisateur.
Validation incomplète des chemins d’exécutables en stockage partagé
En mode serveur, le contrôle du chemin des exécutables omettait les répertoires SHARED_STORAGE, permettant à un utilisateur d’y déposer un fichier puis de demander à pgAdmin de l’exécuter. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; l’avis précise que l’exploitation dépend notamment de la plateforme et des conditions d’exécution des fichiers.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Réutilisation des identifiants Kerberos/SSPI du compte de service
En mode serveur, des connexions pouvaient hériter des identifiants Kerberos ou SSPI du compte système pgAdmin lorsque l’utilisateur n’avait pas prévu d’utiliser des identifiants Kerberos délégués. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure et vérifier la version de libpq requise par les protections ajoutées.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; utiliser libpq 16 ou ultérieure pour bénéficier de la protection require_auth décrite dans l’avis.
Utilisation de services et secrets libpq du compte système
En mode serveur, libpq pouvait utiliser des services de connexion, variables d’environnement ou paramètres hérités du compte système pgAdmin, et donc ses identifiants. La correction de pgAdmin 4 9.19 limite l’utilisation des services à une liste d’autorisation administrateur et retire certaines variables de l’environnement du service.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; examiner la configuration SERVER_MODE_ALLOWED_SERVICES et n’autoriser que les services nécessaires.
Fuite de mots de passe via l’environnement partagé du processus
Les mots de passe transmis aux processus psql et aux utilitaires étaient inscrits dans l’environnement du processus pgAdmin et pouvaient être hérités par les requêtes ou processus ultérieurs d’autres utilisateurs. La correction de pgAdmin 4 9.19 limite ces secrets à l’environnement du processus qui en a besoin.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
CVE-2026-116249 : accès à des fichiers hors du stockage utilisateur
En mode serveur, des chemins de fichiers relatifs pouvaient sortir du répertoire de stockage de l’utilisateur et accéder aux mots de passe, certificats, clés ou fichiers d’identité SSH d’un autre utilisateur. Le paramètre de connexion sslkeylogfile et des noms de paramètres libpq construits de façon malveillante pouvaient également permettre l’écriture hors du stockage ou contourner des contrôles de connexion.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
CVE-2026-116250 : contournement des contrôles de fichiers dans le stockage
En mode serveur, une substitution de lien symbolique ou l’utilisation d’un lien matériel ou d’un tube FIFO dans le stockage pouvait détourner certaines opérations de fichiers effectuées après un contrôle d’accès. Selon l’opération, cela pouvait permettre de lire, écrire ou écraser des fichiers hors du stockage, ou d’importer leur contenu dans une table; l’exploitation exige un accès en écriture au stockage sous-jacent et de gagner une course.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure et contrôler les droits d’écriture du stockage partagé ou réseau.
CVE-2026-116248 : partage non autorisé de serveurs pgAdmin
En mode serveur, un utilisateur non administrateur pouvait partager un serveur avec tous les utilisateurs via l’API ou un import, malgré l’interface qui réserve cette action aux administrateurs. Un serveur ainsi ajouté pouvait paraître fiable et inciter d’autres utilisateurs à transmettre leurs identifiants de base de données à un hôte contrôlé par l’attaquant.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure et vérifier les serveurs partagés existants.
CVE-2026-116251 : sessions conservées après changement de mot de passe
pgAdmin 4 ne révoquait pas les sessions déjà ouvertes après un changement ou une réinitialisation du mot de passe d’un utilisateur. Une session détenue par une personne ayant obtenu l’ancien mot de passe ou un cookie de session pouvait donc rester utilisable jusqu’à son expiration.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin n’a fait ressortir aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les résultats consultés signalent notamment une publication Virtualmin du 2026-10-28, hors période, et un avis de sécurité PHP daté du 2026-10-23, également hors période; aucun candidat n’avait été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée aux sources Webmin consultées n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-30 dans la période demandée. Les avis repérés sur les pages consultées sont datés d’autres périodes et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Aucun nouvel avis, correctif ou événement substantiel daté du 2026-10-30 dans la période demandée n’a été vérifié pour Vue.js ou les projets Vue concernés. Les quatre candidats décrivent des vulnérabilités publiées avant cette période ; leur mise à jour NVD du 2026-10-30, à elle seule, ne démontre pas un changement substantiel admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée des avis de sécurité de Vite n’a relevé aucun nouvel avis ni correctif propre à Vite daté du 30 octobre 2026. Les deux candidats concernent Nuxt : l’accès aux fichiers via le serveur de développement Vite y intervient, mais les avis identifient des vulnérabilités Nuxt, et non une faille du projet Vite; leurs publications initiales sont antérieures à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée a trouvé les avis Nuxt correspondants aux trois CVE, mais ceux-ci avaient été publiés avant la période demandée. Les horodatages de mise à jour NVD fournis tombent dans la période, sans preuve consultée d’un changement substantiel; ils ne suffisent donc pas à retenir ces CVE comme événements du 30 octobre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée a identifié CVE-2026-94482, publiée le 2026-10-22. Le candidat indique une mise à jour NVD le 2026-10-30, mais les éléments consultés ne permettent pas d’établir qu’il s’agissait d’un changement substantiel pendant la période plutôt que d’une mise à jour administrative; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Recherche dédiée effectuée dans les avis de sécurité officiels de React et Next.js, ainsi que sur NVD. Aucun avis ou correctif concernant React lui-même daté de la période du 2026-10-30 au 2026-10-31 n’a été identifié. Le candidat fourni concerne Next.js et sa fiche indique une publication le 2026-10-22 ; la seule mise à jour NVD signalée le 2026-10-30 ne suffit pas à établir un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis daté du 30 octobre 2026 concerne ng-antd-admin, un modèle d’administration reposant notamment sur Angular et NestJS, et non le framework Angular lui-même. La vulnérabilité CVE-2026-61737 porte sur un secret JWT par défaut ; la version corrective indiquée est 22.0.
Secret JWT codé en dur dans ng-antd-admin
CVE-2026-61737 concerne ng-antd-admin, un modèle d’administration utilisant Angular et NestJS, et non le framework Angular lui-même : avant la version 22.0, le secret JWT par défaut pouvait permettre de falsifier des jetons si le déploiement l’avait conservé. Cela pouvait entraîner un contournement de l’authentification et l’usurpation de comptes ; mettre à niveau vers la version 22.0 et remplacer tout secret par défaut encore utilisé.
Action recommandée : Mettre à niveau ng-antd-admin vers la version 22.0 ou ultérieure et configurer un secret JWT robuste et unique.
Astro
Recherche du sujet effectuée
La recherche dédiée n’a trouvé aucun avis ou changement de sécurité admissible pour le projet Astro dans la période figée. L’avis Astro relatif à CVE-2026-114127 date du 12 octobre 2026; sa mise à jour NVD du 30 octobre, à elle seule, ne démontre pas un changement substantiel pendant la période. CVE-2026-117183 concerne astro-notion-blog, un projet distinct, et non le framework Astro.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une mise à jour substantielle liée à TypeScript a été vérifiée dans la période : l’enregistrement de CVE-2026-113787 signale une preuve de concept publique pour la XSS d’odf-kit. Les autres candidats ont été examinés et exclus, car leurs dates ou les éléments vérifiés ne démontrent pas un événement de sécurité substantiel dans la période.
odf-kit — mise à jour CISA signalant une preuve de concept publique pour une XSS
Une mise à jour de sécurité publiée le 2026-10-30 a ajouté une évaluation CISA SSVC indiquant l’existence d’une preuve de concept publique pour cette faille XSS. Les applications qui convertissent puis affichent des documents non fiables avec une version vulnérable peuvent être exposées ; passer à odf-kit 0.14.2 ou une version ultérieure.
Action recommandée : Mettre à niveau odf-kit vers la version 0.14.2 ou ultérieure, particulièrement si l’application affiche des documents fournis par des utilisateurs ou des tiers.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche a relevé des publications NVD datées du 30 octobre concernant plusieurs failles impliquant l’exécution de JavaScript, ainsi qu’une alerte datée du 30 octobre signalant l’exploitation active de CVE-2026-111497, qui affecte notamment Node.js. Les autres candidats fournis ont été écartés lorsque leur date de publication était hors fenêtre ou lorsque le lien avec la sécurité JavaScript ne répondait pas au périmètre retenu. Les candidats liés au JavaScript comprennent des XSS stockées ou réfléchies, une évasion de bac à sable, l’exposition d’identifiants dans le code frontal et une faille mémoire déclenchable par callback JavaScript. Les candidats publiés dans la période ont été retenus sauf CVE-2026-119332, pour laquelle les données fournies ne permettent pas d’établir que l’information était disponible avant la borne de fin. Une nouvelle publication NVD datée du 2026-10-30 concerne ag-psd et un risque de déni de service par allocation mémoire disproportionnée lors de la lecture de fichiers PSD. Les autres candidats sont des mises à jour de fiches NVD, sans preuve fournie d’un changement substantiel dans la période. Les candidats indiquent des mises à jour de fiches NVD datées du 30 octobre 2026, mais les éléments fournis ne décrivent pas les changements apportés. Il n’est donc pas possible de vérifier qu’ils correspondent à une nouveauté ou à un changement substantiel dans la période. Aucun candidat n’établit une vulnérabilité nouvelle, un correctif ou un changement substantiel daté dans la période. Les dates fournies indiquent des publications antérieures et une mise à jour NVD le 30 octobre, sans préciser la nature d’un changement substantiel. Les candidats publiés le 2026-10-30 comprennent des vulnérabilités XSS dans Gravity Forms et un gestionnaire d’auth…
Flowise : évasion du bac à sable JavaScript et exécution de commandes
Flowise jusqu’à la version 3.1.4 permet à un utilisateur authentifié d’échapper au bac à sable et d’exécuter des commandes système lorsque `ALLOW_BUILTIN_DEP=true`, en abusant de modules autorisés. La fiche NVD a été publiée dans la période, mais sa mise à jour signalée est postérieure à la borne de fin; aucune information de cette mise à jour ultérieure n’est retenue ici.
Action recommandée : Désactiver `ALLOW_BUILTIN_DEP` si cela est compatible avec l’exploitation du service et appliquer un correctif dès qu’une version corrigée est disponible.
XSS stockée dans SOCFortress CoPilot
CVE-2026-61728 concerne des champs SOC rendus sans assainissement, pouvant entraîner une XSS stockée lorsque des utilisateurs consultent des alertes ou dossiers piégés. Un script exécuté dans le navigateur peut voler les jetons d’accès et de renouvellement; les réparations des sinks d’alerte et SOC sont indiquées comme présentes en 0.1.76, et celle du bilan de santé en 0.1.70.
Action recommandée : Mettre à niveau vers la version 0.1.76 ou ultérieure afin d’inclure les réparations décrites; vérifier séparément la réparation du bilan de santé.
XSS lors de la prévisualisation de fichiers dans Mythic
Mythic 3.2.16 à 3.4.0.61 présente une XSS stockée exploitable par un attaquant contrôlant des fichiers déposés sur un terminal cible. Si un opérateur télécharge puis prévisualise un fichier piégé, du contenu HTML s’exécute dans l’origine de l’interface Mythic et peut exposer les jetons JWT stockés localement.
Action recommandée : Identifier les systèmes dans la plage affectée et consulter les publications du projet pour une version corrigée; la source fournie n’en indique pas.
Gravity Forms : XSS stockée via plusieurs champs
Une faille XSS dans Gravity Forms permet à un attaquant non authentifié d’injecter du script dans des pages via les champs Extrait, Champ personnalisé ou Paragraphe enrichi. Elle concerne les versions jusqu’à 3.1.1 incluse; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour Gravity Forms vers une version corrigeant la vulnérabilité.
Gravity Forms : XSS stockée dans le champ Liste
Une XSS stockée dans Gravity Forms peut être déclenchée par une valeur malveillante soumise dans le champ Liste. L’exploitation nécessite qu’un administrateur clique sur le lien injecté dans le détail de l’entrée et confirme une boîte de dialogue; les versions jusqu’à 3.1.2 incluse sont concernées.
Action recommandée : Mettre à jour Gravity Forms vers une version corrigeant la vulnérabilité et limiter l’accès aux entrées non fiables.
XSS dans le plugin WordPress easy.jobs
Le plugin WordPress easy.jobs présente une XSS stockée liée au paramètre cover_letter, exploitable par un attaquant non authentifié dans les versions jusqu’à 2.8.4 incluse. L’exécution nécessite qu’un administrateur ouvre l’onglet de candidature concerné et clique sur le lien piégé.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; la version corrective n’est pas précisée dans la source fournie.
Google Cloud Identity Platform et Firebase Authentication : XSS sur iOS
Une faille XSS dans le gestionnaire d’authentification iOS de Google Cloud Identity Platform et Firebase Authentication permet à un attaquant distant non authentifié d’exécuter du JavaScript au moyen d’un identifiant de bundle iOS malveillant. Les versions antérieures au 2026-08-14 sont concernées selon la description NVD; aucun numéro de version corrigée n’est fourni dans les données reçues.
Action recommandée : Vérifier l’exposition des flux d’authentification iOS et appliquer les mises à jour correctives disponibles auprès de Google.
ag-psd : allocation mémoire disproportionnée lors de la lecture de fichiers PSD
Dans ag-psd, `readPsd()` peut allouer de très grands tampons à partir des dimensions déclarées dans un fichier PSD avant d’en vérifier la plausibilité, ce qui peut épuiser la mémoire et provoquer un déni de service lors du traitement de fichiers non fiables. La version 31.0.0 ajoute une limite d’allocation pour l’image composite, mais les éléments fournis ne confirment pas que le chemin d’allocation des calques soit entièrement couvert.
Action recommandée : Mettre à niveau vers ag-psd 31.0.0 ou une version ultérieure et limiter le traitement de PSD non fiables; vérifier les allocations liées aux calques, dont la couverture par cette limite n’est pas établie.
Songloft : identifiants d’administration codés en dur
Des identifiants codés en dur dans Songloft 2.9.0 avant 2.13.6 permettent à un attaquant du réseau local de se connecter comme administrateur. L’accès peut servir à modifier les paramètres et à installer des plugins JavaScript exécutés dans QuickJS.
Action recommandée : Mettre à jour vers une version corrigée si disponible et empêcher l’accès au service depuis des réseaux non fiables; remplacer tout identifiant par défaut.
n8n : exécution de code via des nœuds dépréciés hors isolation
Une vulnérabilité d’exécution de code à distance dans n8n permet à des utilisateurs authentifiés pouvant créer, modifier ou importer des workflows d’exécuter du JavaScript dans le processus principal. Elle concerne les anciennes versions des branches 2.42.x, 2.43.x et 3.x indiquées dans la fiche; appliquer les versions correctives précisées.
Action recommandée : Mettre à niveau vers 2.42.6, 2.43.3 ou 3.0.1 selon la branche utilisée et restreindre les droits de création ou d’importation de workflows.
XSS stockée dans SharePoint Manager Plus
Une XSS stockée dans la fonction graphique de SharePoint Manager Plus permet d’exécuter du JavaScript dans le navigateur d’autres utilisateurs lorsque le graphique concerné est affiché. Le problème est corrigé dans le build 4508.
Action recommandée : Mettre à niveau vers le build 4508 ou ultérieur.
XSS stockée dans myTinyWMS
Dans myTinyWMS, un utilisateur authentifié peut enregistrer un nom de produit ou de catégorie malveillant qui exécute du JavaScript lorsqu’un autre utilisateur consulte les pages concernées. La vulnérabilité est corrigée dans la version 1.6.4.
Action recommandée : Mettre à niveau myTinyWMS vers la version 1.6.4 ou ultérieure.
Téléversement de fichiers pouvant conduire à l’exécution de JavaScript dans des modules Protectel
Les modules ARKETEAM Protectel PROTECTELMAJ et BDF permettent le téléversement de fichiers arbitraires et l’écrasement de fichiers dans un répertoire temporaire; un fichier peut entraîner l’exécution de JavaScript lorsqu’un utilisateur authentifié le télécharge. Les versions correctives indiquées sont PROTECTELMAJ 6.5.19 et BDF 6.4.67.
Action recommandée : Installer PROTECTELMAJ 6.5.19 et BDF 6.4.67 ou versions ultérieures.
Liens javascript: insuffisamment filtrés dans RTIR
RTIR laisse passer des liens contenant un marqueur interne, y compris des liens utilisant le schéma javascript:, ce qui permet d’introduire un lien dangereux dans un ticket. Le script s’exécute si un utilisateur clique le lien et agit avec ses privilèges RT; le défaut est corrigé dans RT 5.0.11 et 6.0.4.
Action recommandée : Mettre à niveau RT vers la version 5.0.11 ou 6.0.4, selon la branche utilisée.
XSS stockée dans Frappe LMS
Dans Frappe LMS, un utilisateur authentifié disposant d’un rôle d’édition de cours peut injecter du JavaScript dans des champs de métadonnées, provoquant une XSS stockée lors de leur affichage. Le problème est corrigé dans la version 2.52.0.
Action recommandée : Mettre à niveau Frappe LMS vers la version 2.52.0 ou ultérieure.
Identifiants OAuth exposés dans le JavaScript de WIT SynApps Runtime
WIT SynApps Runtime jusqu’à la version 1.4.11 expose des identifiants OAuth statiques dans du JavaScript livré au navigateur. Un attaquant non authentifié peut les récupérer et les utiliser pour reproduire la partie applicative du flux d’authentification REDY.
Action recommandée : Consulter les recommandations de l’éditeur, remplacer les identifiants exposés et limiter leurs privilèges; aucune version corrigée n’est indiquée dans la source fournie.
WIT SynApps Runtime : XSS réfléchie avant authentification
WIT SynApps Runtime jusqu’à la version 1.4.11 comporte une XSS réfléchie pré-authentification via un paramètre de requête, permettant l’injection et l’exécution de JavaScript. La source indique des risques de collecte d’identifiants et de requêtes de même origine; elle ne précise pas de version corrigée.
Action recommandée : Consulter les recommandations de l’éditeur et appliquer une version corrigée dès qu’elle est disponible; la source fournie n’en indique pas.
HTML5
Recherche du sujet effectuée
La recherche web a identifié un avis GitHub/OSV concernant une vulnérabilité XSS dans enshrined/svg-sanitize, décrite comme impliquant une collision entre une entité DTD et une référence de caractère nommée HTML5. Les éléments consultés ne permettent pas d’établir que l’avis, le correctif ou un changement substantiel a été daté dans la période demandée (2026-10-30, fuseau +02:00) ; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche dédiée sur CSS3 et les avis de sécurité pertinents pour la période indiquée n’a pas permis d’établir, à partir des sources consultées, un avis ou une vulnérabilité répondant aux critères d’inclusion. Des résultats concernant des vulnérabilités liées à l’analyse ou à la désinfection CSS ont été repérés, mais leur lien avec CSS3 et leur datation dans la période n’ont pas pu être vérifiés suffisamment pour les retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée à Tailwind CSS n’a identifié aucun avis de sécurité, correctif de sécurité, exploitation ni changement substantiel vérifiable daté du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les résultats pertinents repérés ne correspondent pas à cet intervalle : un correctif du dépôt date du 2026-10-19, et les avis de vulnérabilité trouvés concernent d’autres projets.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité XSS du thème Drupal Bootstrap (CVE-2026-114538) a une fiche CVE publiée le 30 octobre 2026, dans la période examinée. L’avis Drupal associé, daté du 21 octobre, décrit les versions affectées et le correctif 8.x-3.45 ; aucun des autres candidats fournis ne concerne le sujet Bootstrap demandé.
XSS dans le thème Drupal Bootstrap
Une faille XSS affecte le thème Drupal Bootstrap. Les versions concernées vont de 0.0.0 à 3.45.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’utilisation du thème et suivre les annonces du mainteneur pour un correctif.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack et ses projets directement associés n’a révélé aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel daté du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Les avis de sécurité visibles dans les sources consultées sont datés hors de cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis ou correctif de sécurité, aucune exploitation ni mise à jour substantielle concernant le projet esbuild n’a été vérifié pour la période du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les avis de sécurité du dépôt GitHub consulté sont datés antérieurement à cette période; les résultats concernant esbuild-visualizer ou d’autres produits ne sont pas attribués au sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
Recherche dédiée effectuée sur Parcel (bundler JavaScript) pour la période du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Aucun avis de sécurité ou correctif propre à Parcel daté de cette période n’a été vérifié dans les résultats consultés; les résultats portant sur d’autres paquets ou sur des composants distincts n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Une alerte datée du 30 octobre 2026 signale l’exploitation active de CVE-2026-111497, une faille du décodeur Brotli affectant certaines versions de Node.js. Les modifications NVD du 30 octobre concernant les autres candidats ne suffisent pas, à elles seules, à établir une nouvelle vulnérabilité ou un changement substantiel survenu dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié six publications NVD datées de la période et concernant des logiciels Python ou des applications vulnérables par l’exécution de code Python : joserfc (deux CVE), GraphQL-core, SOCFortress CoPilot, MONAI et pybars. Les publications CPython visibles dans les sources consultées étaient antérieures à cette période ; les mises à jour NVD de CVE-2024-40637 et CVE-2024-9287 n’établissent pas une nouvelle faille ni un changement substantiel dans la fenêtre examinée. Aucune nouveauté, correction ou modification substantielle datée de la période n’est établie par les éléments fournis. Les candidats indiquent des dates de mise à jour NVD dans la période, mais ne documentent pas la nature des changements ; leurs dates de publication sont antérieures à la période. Aucun élément du lot ne démontre une nouveauté, un correctif/avis, une exploitation ou un changement substantiel intervenu pendant la période. Les dates de mise à jour NVD sont dans la période, mais les informations fournies ne décrivent pas de changement substantiel apporté aux fiches; les dates de publication sont antérieures. Les sources fournies documentent deux avis joserfc publiés le 30 octobre, une mise à jour de sécurité de pypi-publish et une vulnérabilité MONAI publiée par NVD ce jour-là. Les autres candidats ne sont pas retenus faute de preuve suffisante d’un événement substantiel daté dans la période ou de détails exploitables pour établir les éléments demandés.
pybars : injection de code dans la compilation de modèles
pybars3 jusqu’à 0.9.7 et pybars4 jusqu’à 0.9.13 comportent une injection de code liée à des segments de chemin entre crochets dans des modèles Handlebars. Les éléments fournis ne précisent pas de version corrigée ; éviter de traiter des modèles non fiables et vérifier les correctifs publiés par le projet avant mise à jour.
Action recommandée : Éviter les modèles provenant de sources non fiables ; vérifier auprès du projet la disponibilité d’une version corrigée.
SOCFortress CoPilot : exécution de code via modèles de rapport
Dans le déploiement décrit, CoPilot permettait à un utilisateur client de déposer ou remplacer des modèles de rapport Jinja ensuite rendus sans sandbox par des utilisateurs privilégiés. Le correctif est annoncé en version 0.1.76 ; limiter les dépôts de modèles et mettre à jour le produit sont les mesures indiquées par les informations disponibles.
Action recommandée : Mettre à jour CoPilot vers la version 0.1.76 ou ultérieure et restreindre le dépôt de modèles de rapport.
GraphQL-core : épuisement mémoire lors de la validation
Dans GraphQL-core 3.3.0a3 à 3.3.0, validate() réutilisait une exception globale lorsque la limite d’erreurs était dépassée, conservant des références aux requêtes et contextes de validation. Un client non authentifié pouvait ainsi provoquer une croissance mémoire répétée ; la correction est incluse dans la version 3.3.1.
Action recommandée : Mettre à jour GraphQL-core vers la version 3.3.1 ou ultérieure.
joserfc : épuisement CPU via un tableau JWE recipients sans limite
Le parseur JWE General JSON de joserfc accepte un tableau recipients sans limite et effectue une opération de déchiffrement avec la clé privée pour chaque entrée. Un document contrôlé à distance peut ainsi entraîner une consommation CPU disproportionnée; mettre à jour joserfc vers 1.7.5.
Action recommandée : Mettre à jour joserfc vers 1.7.5 ou une version ultérieure; limiter aussi la taille des requêtes au niveau applicatif.
MONAI : exécution de code via Auto3DSeg algo_from_json()
MONAI présente une vulnérabilité d’exécution de code dans Auto3DSeg algo_from_json() : un fichier algo_object.json et un module algorithm_templates conçus à cet effet peuvent exécuter du code Python lors de certaines opérations. La fiche fournie indique que les versions 1.6.0 à antérieures à 1.6.1 sont concernées; le correctif n’est pas précisé dans les données fournies.
Action recommandée : Éviter de traiter des fichiers d’algorithmes ou répertoires de travail non fiables; vérifier auprès de l’éditeur la version corrigée avant déploiement.
joserfc : allocation mémoire avant le contrôle de taille des JWS compacts
Une erreur de désérialisation JWS compact provoque une allocation de mémoire proportionnelle au jeton avant que les limites de taille soient appliquées. Les requêtes peuvent épuiser la mémoire du processus et entraîner un déni de service; mettre à jour joserfc vers la version 1.7.6.
Action recommandée : Mettre à jour joserfc vers 1.7.6 ou une version ultérieure.
pypi-publish : mise à jour liée à la révocation d’une autorité de certification
Une mise à jour de sécurité de l’action pypi-publish traite la révocation d’une autorité de certification emSign présente dans le magasin de confiance fourni par certifi et utilisé notamment par Sigstore. La source indique une version corrigée 1.14.3; mettre à jour l’action vers cette version ou une version ultérieure.
Action recommandée : Passer à pypa/gh-action-pypi-publish 1.14.3 ou une version ultérieure.
Java
Recherche du sujet effectuée
Niveau relevé : Élevée
Six CVE liées à des logiciels ou bibliothèques Java ont une publication NVD horodatée dans la période demandée et sont retenues. Les éléments NVD dont la seule date fournie est une modification, sans preuve d’un changement substantiel dans la période, ne sont pas traités comme de nouvelles vulnérabilités ni comme des mises à jour substantielles vérifiées. Huit fiches NVD du lot concernent des composants Java et portent des publications ou mises à jour datées du 2026-10-30. Les trois fiches MariaDB Connector/J publiées la veille sont retenues uniquement pour leurs mises à jour substantielles dans la période; les autres entrées sont retenues sur la base des dates et informations fournies.
Amazon Kinesis Producer Library for Java : exposition d’identifiants AWS
Amazon Kinesis Producer Library for Java exposait des identifiants AWS dans les journaux au niveau DEBUG et dans les arguments de ligne de commande du processus natif. La version 1.0.8 corrige le problème; il est recommandé de mettre à niveau, de faire tourner les clés IAM persistantes concernées et de révoquer les sessions de rôle actives si nécessaire.
Action recommandée : Mettre à niveau vers la version 1.0.8 ou ultérieure, faire tourner les clés IAM persistantes et révoquer les sessions de rôle actives si nécessaire.
Copernik XML Factory : résolution XInclude insuffisamment bloquée
Copernik XML Factory ne bloquait pas la résolution de ressources XInclude avec le fournisseur JDK standard dans certaines configurations, ce qui pouvait permettre la lecture de fichiers locaux ou des requêtes vers le réseau interne lors de l’analyse de XML non fiable. La version 0.1.2 corrige le défaut; mettre à niveau si l’application utilise les API concernées et les conditions d’exploitation décrites.
Action recommandée : Mettre à niveau vers Copernik XML Factory 0.1.2; vérifier que XInclude n’est pas activé lors de l’analyse de XML non fiable.
UAA : risque de déni de service par désérialisation répétée de JWKS
UAA pouvait retraiter intégralement des données JWKS mises en cache à la suite de tentatives d’authentification invalides avec private_key_jwt. Un attaquant disposant des prérequis décrits — accès en écriture aux clients ou point de terminaison compromis — pouvait déclencher une consommation CPU élevée et un épuisement potentiel du tas Java; la mise à jour NVD dans la période est retenue comme changement substantiel.
Action recommandée : Consulter l’avis du projet UAA et appliquer son correctif dès qu’il est disponible; limiter l’accès en écriture aux clients et sécuriser les endpoints JWKS.
Infinispan : épuisement de pile dans le parseur de requêtes Ickle
Le parseur de requêtes Ickle d’Infinispan pouvait épuiser la pile Java face à des prédicats profondément imbriqués et lever une StackOverflowError non interceptée. Un utilisateur authentifié disposant de la permission BULK_READ et pouvant soumettre une requête de cache pouvait affecter la disponibilité; les versions affectées et correctives ne sont pas indiquées dans les données fournies.
Action recommandée : Appliquer le correctif Infinispan dès qu’il est disponible et limiter la soumission de requêtes de cache aux utilisateurs autorisés.
Stirling-PDF : lecture de fichiers locaux via la conversion SVG en PDF
Dans Stirling-PDF, une référence d’image SVG root-relative sans schéma pouvait contourner le contrôle d’URL externe et permettre à Batik de lire certains fichiers locaux décodables comme images. Le problème affecte les versions de 2.13.1 jusqu’à 2.13.2 et est corrigé en 2.13.2; mettre à niveau.
Action recommandée : Mettre à niveau vers Stirling-PDF 2.13.2.
Énumération de noms d’utilisateur par temporisation dans Picsou
L’endpoint de connexion de Picsou peut révéler si un nom d’utilisateur existe par différence de temps de réponse, même si les réponses HTTP sont identiques. Le problème est corrigé dans la version 1.0.8; l’exposition pratique est atténuée par la limitation de débit et peut être réduite si l’application n’est pas accessible depuis l’extérieur.
Action recommandée : Mettre à niveau vers 1.0.8 et conserver une limitation de débit sur l’authentification.
MariaDB Connector/J : allocation mémoire non vérifiée dans les paquets OK
MariaDB Connector/J pouvait allouer de la mémoire à partir de longueurs déclarées par le serveur avant de vérifier que les données du paquet OK étaient présentes. Un serveur malveillant ou un attaquant intermédiaire pouvait provoquer une pression sur le ramasse-miettes ou une erreur OutOfMemoryError; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers MariaDB Connector/J 3.3.7, 3.4.5 ou 3.5.11, selon la branche utilisée.
MariaDB Connector/J : validation insuffisante de la réponse caching_sha2_password
Lors de l’authentification caching_sha2_password, MariaDB Connector/J ne validait pas suffisamment la longueur de la réponse d’authentification avant allocation mémoire et accès au premier octet. Un serveur malveillant ou un attaquant intermédiaire pouvait provoquer une allocation excessive ou une exception non contrôlée; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers MariaDB Connector/J 3.3.7 ou 3.4.5, selon la branche utilisée.
MariaDB Connector/J : longueurs XA non validées lors de la récupération
Pendant la récupération XA, MariaDB Connector/J faisait confiance aux longueurs gtrid_length et bqual_length renvoyées par le serveur sans les confronter aux limites Xid ni à la taille des données. Un serveur malveillant ou un attaquant intermédiaire pouvait provoquer des allocations excessives ou des exceptions; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers MariaDB Connector/J 3.3.7, 3.4.5 ou 3.5.11, selon la branche utilisée.
TYPO3
Recherche du sujet effectuée
Les sources consultées indiquent des avis et annonces de sécurité TYPO3 datés du 13 et du 20 octobre 2026, mais aucun élément vérifié comme publié ou substantiellement mis à jour pendant la période demandée, du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Vérification incomplète
Niveau relevé : Moyenne
La recherche a confirmé pour CVE-2026-107249 que l’avis Drupal associé était public le 2026-10-07, hors de la période demandée. Les sources consultées n’ont pas permis de vérifier la date de publication des avis éditeurs associés aux neuf autres CVE; aucune conclusion générale sur l’absence de nouveautés n’est donc établie. Les dix fiches NVD fournies portent sur de nouvelles vulnérabilités affectant des modules Drupal et indiquent toutes une publication le 2026-10-30, dans la période retenue. Les défauts décrits comprennent l’injection de code, le XSS stocké, le contournement d’authentification, le CSRF, des problèmes d’autorisation et l’exposition d’informations ; les sources fournies ne précisent pas les versions corrigées. Les fiches NVD fournies indiquent dix vulnérabilités publiées le 30 octobre 2026 : huit affectant des modules Drupal et deux affectant Drupal core. Les informations disponibles ne permettent pas d’établir les versions corrigées ni l’exploitation active. Les dix candidats fournis signalent des vulnérabilités Drupal (core ou projets associés) dont les fiches NVD ont été publiées le 2026-10-30. Les données fournies décrivent des XSS, une injection de commandes, une escalade de privilèges et un défaut d’autorisation ; elles ne précisent pas de correctifs ni de scores CVSS. Dix fiches NVD concernant des composants Drupal ont été publiées le 30 octobre 2026 dans la période demandée. Elles décrivent des vulnérabilités XSS, d’autorisation ou d’authentification ; les données fournies ne précisent pas de correctifs, de scores ni d’exploitation confirmée. Dix fiches NVD relatives à des modules Drupal sont indiquées comme publiées le 30 octobre 2026. Elles décrivent des vulnérabilités CSRF, d’autorisation et de mise en cache d’informations sensibles ; les do…
XSS dans le thème Drupal Bootstrap
Une faille XSS affecte le thème Drupal Bootstrap. Les versions concernées vont de 0.0.0 à 3.45.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’utilisation du thème et suivre les annonces du mainteneur pour un correctif.
CVE-2026-107259 — Injection de code dans Drupal Linked Field
Une vulnérabilité d’injection de code liée à la neutralisation incorrecte d’éléments spéciaux dans un moteur de template affecte le module Drupal Linked Field. Les versions concernées indiquées vont de 0.0.0 à 1.8.0 ; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107261 — Contournement d’authentification dans Authenticator Login Plus (2FA)
Une vulnérabilité de contournement de l’authentification par chemin ou canal alternatif affecte Drupal Authenticator Login Plus (2FA). Les versions concernées indiquées vont de 0.0.0 à 1.0.1 ; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107262 — CSRF dans Drupal Advanced Filesystem
Une vulnérabilité CSRF affecte le module Drupal Advanced Filesystem. La source indique les versions 0.0.0 à 1.0.28 comme concernées, sans préciser de correctif.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107263 — Défaut d’autorisation dans Drupal Gutenberg
Une vulnérabilité d’autorisation incorrecte permettant le forceful browsing affecte Drupal Gutenberg. Les versions concernées indiquées sont 0.0.0 à 2.15.0 et 3.0.0 à 3.0.7 ; la source ne donne pas de version corrigée.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107264 — Injection de code dans Drupal Inline Formatter Field
Une vulnérabilité d’injection de code liée à la neutralisation incorrecte d’éléments spéciaux dans un moteur de template affecte Drupal Inline Formatter Field. Les versions concernées indiquées vont de 0.0.0 à 4.2.0 ; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107265 — XSS stocké dans Drupal Leaflet
Une vulnérabilité de type XSS stocké affecte Drupal Leaflet. La source indique les versions 0.0.0 à 10.4.13 comme concernées, sans préciser de correctif.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107267 — Autorisation manquante dans Drupal DKAN
Une vulnérabilité d’autorisation manquante permettant le forceful browsing affecte Drupal DKAN. Les versions concernées indiquées sont 0.0.0 à 4.0.4 et 4.1.0 à 4.1.5 ; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107268 — Exposition d’informations dans Drupal TFA / Passwordless Login
Une vulnérabilité d’exposition d’informations sensibles dans les données envoyées, associée à un accès par navigation forcée, affecte Drupal Two Factor Authentication – TFA / Passwordless Login. Les versions concernées indiquées sont 0.0.0 à 5.4.1 et 5.5.0 à 5.5.2 ; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
Contournement d’autorisation dans Drupal SmartLinker AI
Une faille de contrôle d’autorisation dans le module Drupal SmartLinker AI permettrait le contournement d’autorisations par accès direct à des ressources. Elle affecte les versions jusqu’à 1.0.3 inclusivement; la fiche NVD a été publiée le 30 octobre 2026.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
SSRF dans Drupal Freelinking
Une vulnérabilité SSRF affecte le module Drupal Freelinking dans les versions jusqu’à 4.0.3 inclusivement. La fiche NVD a été publiée le 30 octobre 2026; les données fournies ne donnent pas de version corrigée.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
Allocation excessive de ressources dans Examples for Developers
Le module Drupal Examples for Developers présente une allocation excessive de ressources sans limite ni régulation dans les versions jusqu’à 4.0.7 inclusivement. La fiche NVD a été publiée le 30 octobre 2026; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
Drupal Domain Login Restrict : contournement d’authentification (CVE-2026-114572)
Une vulnérabilité de contournement d’authentification affecte Drupal Domain Login Restrict. Les versions indiquées comme touchées vont de 0.0.0 à 1.5.0 ; le lot ne fournit ni version corrigée ni consigne de mitigation.
Drupal Commerce Core : accès non autorisé par navigation directe (CVE-2026-118539)
Une faille d’autorisation dans Drupal Commerce Core permet l’accès direct non autorisé à des ressources (forceful browsing). Les versions indiquées comme touchées sont antérieures ou égales à 2.41 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne précise pas de correctif.
CVE-2026-96389 — autorisation manquante dans Drupal Xray Audit
La fiche NVD publiée le 30 octobre décrit une autorisation manquante dans Drupal Xray Audit permettant le force browsing. Les plages affectées indiquées sont 0.0.0 à 1.6.3, 2.0.0 à 2.0.4 et 3.0.0 à 3.1.1.
Action recommandée : Évaluer l’exposition des versions affectées et suivre les avis du projet pour connaître la marche à suivre.
XSS stockée dans Drupal Menu Link Attributes
Une vulnérabilité XSS stockée affecte le module Drupal Menu Link Attributes, dans les versions jusqu’à 1.8.0 inclusivement. La fiche NVD a été publiée le 30 octobre 2026; les données fournies ne précisent ni version corrigée ni mesure de contournement.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
XSS dans le module Drupal Country
Une vulnérabilité XSS affecte le module Drupal Country dans les plages de versions indiquées par la fiche NVD. La fiche a été publiée le 30 octobre 2026; aucune version corrigée ni mesure de contournement n’est précisée dans les données fournies.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
Autorisation manquante dans Drupal Easy Breadcrumb
Une absence de vérification d’autorisation dans le module Drupal Easy Breadcrumb permettrait un accès direct à des ressources protégées. La fiche NVD indique que les versions jusqu’à 2.0.11 sont affectées et a été publiée le 30 octobre 2026.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
Contrôle d’accès contournable dans Permissions by Term
Une vérification incorrecte dans Drupal Permissions by Term peut permettre un accès direct contournant les permissions attendues. La fiche NVD indique que les versions jusqu’à 3.1.41 sont concernées et a été publiée le 30 octobre 2026.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
Drupal Data field : XSS stockée (CVE-2026-114555)
Une faille XSS stockée affecte le module Drupal Data field. Les versions indiquées comme touchées vont de 0.0.0 à 2.0.14 ; le lot ne précise pas de version corrigée ni de mesure corrective.
CVE-2026-107260 — XSS stocké dans Drupal Sector Distribution
Une vulnérabilité de type XSS stocké affecte Drupal Sector Distribution. Les versions concernées indiquées sont 0.0.0 à 10.3.3 et 10.4.0 à 10.4.2 ; aucun correctif ni score CVSS n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-107266 — Autorisation manquante dans Drupal Views Share
Une vulnérabilité d’autorisation manquante permettant le forceful browsing affecte Drupal Views Share. Les versions concernées indiquées vont de 0.0.0 à 2.0.1 ; aucun correctif ni score CVSS n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition du module et appliquer un correctif éditeur lorsqu’il est disponible.
Injection par réflexion non sûre dans Drupal core
Une vulnérabilité d’injection par réflexion non sûre affecte Drupal core dans les versions indiquées par la fiche NVD. Celle-ci a été publiée le 30 octobre 2026; les données fournies ne précisent ni score, ni version corrigée, ni impact détaillé.
Action recommandée : Suivre les avis de sécurité Drupal et appliquer les mises à jour correctives dès leur publication.
Injection par réflexion non sûre dans Drupal Entity List
Une vulnérabilité d’injection par réflexion non sûre affecte le module Drupal Entity List jusqu’à la version 3.0.10 incluse. La fiche NVD a été publiée le 30 octobre 2026; aucun score, correctif ou impact détaillé n’est fourni dans les données reçues.
Action recommandée : Évaluer l’utilisation du module et suivre les avis de sécurité du projet pour appliquer un correctif lorsqu’il sera disponible.
XSS dans Drupal core
Une vulnérabilité XSS affecte Drupal core dans les plages de versions indiquées par la fiche NVD. La fiche a été publiée le 30 octobre 2026; les informations fournies ne précisent ni score ni version corrigée.
Action recommandée : Suivre les avis de sécurité Drupal et appliquer les mises à jour correctives dès leur publication.
XSS dans Drupal core
Une vulnérabilité XSS affecte Drupal core, dans les versions 8.9.0 à 10.6.19, 11.0.0 à 11.3.19, 11.4.0 à 11.4.10 et 12.0.0-alpha1 à 12.0.0-beta2. La fiche NVD a été publiée pendant la période ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Vérifier si Drupal core est dans une version affectée et appliquer un correctif officiel dès qu’il est disponible ; aucun correctif n’est précisé dans la source fournie.
XSS dans Gin Admin Theme pour Drupal
Une vulnérabilité XSS affecte le thème d’administration Gin Admin Theme dans les versions 0.0.0 à 4.1.4 et 5.0.0 à 5.0.16. La fiche NVD a été publiée pendant la période ; les données fournies ne précisent ni version corrigée ni mesure de contournement.
Action recommandée : Vérifier l’utilisation et la version de Gin Admin Theme, puis appliquer un correctif officiel dès qu’il est disponible ; aucun correctif n’est précisé dans la source fournie.
Injection de commandes dans Ffmpeg Image Toolkit
Une vulnérabilité d’injection de commandes système affecte le module Ffmpeg Image Toolkit dans les versions jusqu’à 1.0.3 inclusivement. La fiche NVD a été publiée pendant la période, mais la source fournie ne donne ni version corrigée ni contournement.
Action recommandée : Vérifier si le module et une version affectée sont utilisés ; appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
Escalade de privilèges dans Custom Formatters
Une vulnérabilité de privilèges définis par des actions dangereuses affecte le module Custom Formatters jusqu’à la version 4.2.1 incluse. La fiche NVD a été publiée pendant la période ; la source fournie ne précise ni version corrigée ni contournement.
Action recommandée : Vérifier si Custom Formatters est installé dans une version affectée et appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
XSS stockée dans le module ABC
Une vulnérabilité XSS stockée affecte le module Drupal ABC dans les versions 0.0.0 à 1.25.0 et 2.0.0 à 2.0.1. La fiche NVD a été publiée pendant la période, mais les données fournies ne précisent ni version corrigée ni contournement.
Action recommandée : Vérifier si le module ABC est utilisé dans une version affectée et appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
XSS stockée dans Black Hole
Une vulnérabilité XSS stockée affecte le module Black Hole dans les versions 0.0.0 à 1.26.0 et 2.0.0 à 2.0.1. La fiche NVD a été publiée pendant la période ; aucun correctif ni contournement n’est donné dans les données fournies.
Action recommandée : Vérifier si Black Hole est utilisé dans une version affectée et appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
XSS dans UI Icons
Une vulnérabilité XSS affecte le module UI Icons dans les versions 0.0.0 à 1.1.3 et 2.0.0 à 2.0.2. La fiche NVD a été publiée pendant la période, sans indication de version corrigée ou de contournement dans la source fournie.
Action recommandée : Vérifier si UI Icons est utilisé dans une version affectée et appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
XSS stockée dans Zero Point
Une vulnérabilité XSS stockée affecte le module Zero Point dans les versions 0.0.0 à 1.30.0 et 2.0.0 à 2.0.1. La fiche NVD a été publiée pendant la période ; les données fournies ne mentionnent aucun correctif ni contournement.
Action recommandée : Vérifier si Zero Point est utilisé dans une version affectée et appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
XSS stockée dans CSV Field
Une vulnérabilité XSS stockée affecte CSV Field dans les versions 0.0.0 à 2.0.10 et 3.0.0 à 3.0.7. La fiche NVD a été publiée pendant la période ; la source fournie ne précise ni correctif ni contournement.
Action recommandée : Vérifier si CSV Field est utilisé dans une version affectée et appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
Défaut d’autorisation dans Dopup
Une vulnérabilité d’autorisation incorrecte permettant le forceful browsing affecte le module Dopup jusqu’à la version 1.0.7 incluse. La fiche NVD a été publiée pendant la période ; les données fournies ne donnent ni version corrigée ni contournement.
Action recommandée : Vérifier si Dopup est utilisé dans une version affectée et appliquer un correctif officiel dès qu’il est disponible. Aucun correctif ni contournement n’est indiqué dans la source fournie.
XSS stockée dans Drupal Swiper formatter
Une faille de type XSS stockée affecte le module Drupal Swiper formatter. Les versions concernées sont 0.0.0 à 2.1.2 et 3.0.1 à 3.1.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’utilisation de Swiper formatter et suivre les annonces du mainteneur pour un correctif.
XSS dans Drupal UI Icons
Une faille XSS affecte le module Drupal UI Icons. Les versions concernées sont 0.0.0 à 1.1.3 et 2.0.0 à 2.0.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’utilisation de UI Icons et suivre les annonces du mainteneur pour un correctif.
Contrôle d’autorisation manquant dans Ágora Transparency Theme
Une absence d’autorisation dans le thème Drupal Ágora Transparency permet la consultation forcée de ressources. La version concernée est 1.2.3 et les versions antérieures à partir de 0.0.0 ; aucun correctif ni contournement n’est indiqué.
Action recommandée : Évaluer l’utilisation du thème et suivre les annonces du mainteneur pour un correctif.
XSS stockée dans Drupal Block Attributes
Une faille XSS stockée affecte le module Drupal Block Attributes. Les versions concernées vont de 0.0.0 à 2.1.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’utilisation de Block Attributes et suivre les annonces du mainteneur pour un correctif.
Autorisation manquante dans Drupal Swiper formatter
Une vérification d’autorisation incorrecte dans Drupal Swiper formatter permet le forceful browsing. Les versions concernées sont 0.0.0 à 2.1.2 et 3.0.1 à 3.1.0 ; aucun correctif ni contournement n’est précisé.
Action recommandée : Évaluer l’utilisation de Swiper formatter et suivre les annonces du mainteneur pour un correctif.
XSS stockée dans Drupal USWDS Paragraph Components
Une faille XSS stockée affecte Drupal USWDS Paragraph Components. Les versions concernées vont de 0.0.0 à 3.1.3 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’utilisation du module et suivre les annonces du mainteneur pour un correctif.
Autorisation incorrecte dans Drupal View Unpublished
Une autorisation incorrecte dans Drupal View Unpublished permet le forceful browsing. Les versions concernées vont de 0.0.0 à 1.5.0 ; aucun correctif ni contournement n’est indiqué.
Action recommandée : Évaluer l’utilisation de View Unpublished et suivre les annonces du mainteneur pour un correctif.
Contournement d’authentification dans Drupal DocCheck Basic
Drupal DocCheck Basic présente un contournement d’authentification par un chemin ou canal alternatif. La version concernée est la branche 7.x ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Évaluer l’utilisation du module et suivre les annonces du mainteneur pour un correctif.
Autorisation incorrecte dans Drupal Domain
Une autorisation incorrecte dans le module Drupal Domain permet le forceful browsing. Les versions concernées vont de 3.0.0 à 3.0.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’utilisation du module et suivre les annonces du mainteneur pour un correctif.
Drupal Frontend Editing : vulnérabilité CSRF
Une vulnérabilité CSRF a été publiée pour le module Drupal Frontend Editing. Les versions affectées indiquées sont 0.0.0 à 1.9.3 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si Frontend Editing est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal Simple OAuth : informations sensibles dans le cache du navigateur
Une vulnérabilité liée au cache du navigateur contenant des informations sensibles a été publiée pour Drupal Simple OAuth (OAuth2) & OpenID Connect. Les versions affectées indiquées sont 6.1.0 à 6.1.3 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si le module est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal Simple User Management : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Simple User Management. Les versions affectées indiquées sont 0.0.0 à 1.11.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si Simple User Management est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal Media Bulk Upload : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Media Bulk Upload. Les versions affectées indiquées sont 0.0.0 à 3.0.6 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si Media Bulk Upload est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal Fullcalendar View : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Fullcalendar View. Les versions affectées indiquées sont 0.0.0 à 5.2.6 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si Fullcalendar View est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal Media Alias Display : informations sensibles dans le cache du navigateur
Une vulnérabilité liée au cache du navigateur contenant des informations sensibles a été publiée pour Drupal Media Alias Display. Les versions affectées indiquées sont 0.0.0 à 2.1.2 et 3.0.0 à 3.0.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si Media Alias Display est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal TinyPNG : autorisation manquante
Une vulnérabilité d’autorisation manquante permettant la navigation forcée a été publiée pour Drupal TinyPNG. Les versions affectées indiquées sont 0.0.0 à 2.0.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si TinyPNG est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal ImageAPI Optimize WebP : informations sensibles dans le cache du navigateur
Une vulnérabilité liée au cache du navigateur contenant des informations sensibles a été publiée pour Drupal ImageAPI Optimize WebP. Les versions affectées indiquées sont 0.0.0 à 2.1.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si ImageAPI Optimize WebP est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal Frontend Editing : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Frontend Editing. Les versions affectées indiquées sont 0.0.0 à 1.9.3 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si Frontend Editing est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal AI File to Text : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal AI File to Text. Les versions affectées indiquées sont 0.0.0 à 1.0.1 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier si AI File to Text est utilisé et suivre les consignes de correction de l’éditeur lorsqu’elles sont disponibles.
Drupal Rabbit Hole : contournement d’autorisation (CVE-2026-114571)
Une faille d’autorisation dans Drupal Rabbit Hole permet le contournement de restrictions par accès direct à une ressource (forceful browsing). Les versions indiquées comme touchées vont de 0.0.0 à 1.3.0 ; aucune version corrigée ni action corrective n’est précisée dans le lot.
Drupal Monster Menus : injection d’objet (CVE-2026-114573)
Une faille d’injection d’objet affecte Drupal Monster Menus. Les versions indiquées comme touchées vont de 0.0.0 à 9.5.6 ; aucune version corrigée ni mesure corrective n’est fournie dans le lot.
Drupal Commerce Core : autorisation incorrecte (CVE-2026-118540)
Une faille d’autorisation dans Drupal Commerce Core permet le forceful browsing. Les versions indiquées comme touchées vont jusqu’à 2.41 et, dans la branche 3.x, de 3.0.0 à 3.2.0 ; aucune version corrigée ou action corrective n’est fournie.
Drupal Commerce Core : autorisation incorrecte (CVE-2026-118541)
Une faille d’autorisation dans Drupal Commerce Core permet le forceful browsing. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne précise pas de correctif.
Drupal Commerce Core : autorisation incorrecte (CVE-2026-118542)
Une faille d’autorisation dans Drupal Commerce Core permet le forceful browsing. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne fournit ni correctif ni mesure de mitigation.
Drupal Commerce Core : falsification de requête intersites (CVE-2026-118543)
Une vulnérabilité CSRF affecte Drupal Commerce Core. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne précise ni version corrigée ni action corrective.
Drupal Commerce Core : exposition d’informations sensibles (CVE-2026-118544)
Une exposition d’informations sensibles par requêtes de données affecte Drupal Commerce Core. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne donne pas de correctif ni de consigne d’atténuation.
Drupal AI — XSS (CVE-2026-118545)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal AI — XSS (CVE-2026-118546)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal AI — injection de ressources par autorisation incorrecte (CVE-2026-118548)
Drupal AI présente une vulnérabilité d’autorisation incorrecte pouvant permettre une injection de ressources. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal AI — XSS (CVE-2026-118549)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal AI — informations sensibles dans le cache du navigateur (CVE-2026-118550)
Drupal AI présente une vulnérabilité liée à la mise en cache par le navigateur d’informations sensibles, associée à des niveaux de contrôle d’accès mal configurés. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal AI — stockage non sécurisé d’informations sensibles (CVE-2026-118551)
Drupal AI présente une vulnérabilité de stockage non sécurisé d’informations sensibles, susceptible de permettre la récupération de données sensibles intégrées. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal AI — XSS (CVE-2026-118552)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal AI — XSS persistante (CVE-2026-118553)
Drupal AI présente une vulnérabilité XSS persistante. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif ni détail supplémentaire sur les circonstances n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal OpenID Connect Client — contournement d’authentification (CVE-2026-118554)
Drupal OpenID Connect Client présente une vulnérabilité de contournement de l’authentification par un chemin ou canal alternatif. La fiche NVD indique que les versions 0.0.0 à 2.3.1 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
Drupal Commerce License — navigation forcée (CVE-2026-118555)
Drupal Commerce License présente une vulnérabilité d’autorisation incorrecte permettant la navigation forcée. La fiche NVD indique que les versions 0.0.0 à 3.1.1 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Consulter l’avis du mainteneur pour connaître les versions corrigées et appliquer le correctif lorsqu’il est disponible.
CVE-2026-118556 — autorisation incorrecte dans Drupal Commerce Shipping
La fiche NVD publiée le 30 octobre 2026 décrit un contrôle d’autorisation incorrect dans Drupal Commerce Shipping, permettant le « forceful browsing ». Les versions affectées indiquées sont 0.0.0 à 2.16.0 et 3.0.0 à 3.0.6 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier l’usage de Drupal Commerce Shipping et suivre les avis du mainteneur pour connaître la version corrigée ; aucune version corrective n’est indiquée dans les données fournies.
CVE-2026-118557 — autorisation incorrecte dans Drupal Commerce Shipping
La fiche NVD publiée le 30 octobre 2026 décrit un contrôle d’autorisation incorrect dans Drupal Commerce Shipping, permettant le « forceful browsing ». Les versions affectées indiquées sont 0.0.0 à 2.16.0 et 3.0.0 à 3.0.6 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier l’usage de Drupal Commerce Shipping et suivre les avis du mainteneur pour connaître la version corrigée ; aucune version corrective n’est indiquée dans les données fournies.
CVE-2026-118558 — CSRF dans Drupal Commerce Stripe
La fiche NVD publiée le 30 octobre 2026 décrit une vulnérabilité CSRF dans Drupal Commerce Stripe. Elle affecte les versions 2.0.0 à 2.2.3 ; les données fournies ne précisent ni correctif ni contournement.
Action recommandée : Vérifier l’usage du module et consulter les avis du mainteneur pour connaître les mesures correctives ; aucune version corrigée n’est indiquée.
CVE-2026-118559 — vérification de signature incorrecte dans Drupal Commerce Stripe
La fiche NVD publiée le 30 octobre 2026 signale une vérification incorrecte de signature cryptographique dans Drupal Commerce Stripe, pouvant permettre une usurpation de signature. Elle indique comme affectées les versions 0.0.0 à 1.4 et 2.0.0 à 2.2.3 ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier l’usage de Drupal Commerce Stripe et rechercher les indications correctives du mainteneur ; aucune version corrigée n’est fournie ici.
CVE-2026-118560 — XSS dans Drupal Commerce Stripe
La fiche NVD publiée le 30 octobre 2026 décrit une neutralisation incorrecte d’entrée lors de la génération de pages web (XSS) dans Drupal Commerce Stripe. Les versions affectées indiquées sont 2.0.0 à 2.2.3 ; les données fournies ne donnent pas de version corrigée ni de contournement.
Action recommandée : Vérifier l’usage du module et suivre les avis du mainteneur pour les mesures correctives ; aucune version corrigée n’est indiquée.
CVE-2026-118561 — traversée de chemin dans Drupal Single Content Sync
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité de traversée de chemin dans Drupal Single Content Sync, liée au contrôle externe du nom ou du chemin de fichier. Les versions affectées indiquées vont de 0.0.0 à 1.4.19 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Vérifier l’usage du module et consulter le mainteneur pour identifier une mise à jour corrective ; aucune version corrigée n’est indiquée.
CVE-2026-118562 — désérialisation de données non fiables dans Drupal Single Content Sync
La fiche NVD publiée le 30 octobre 2026 signale une désérialisation de données non fiables dans Drupal Single Content Sync, avec injection d’objets. Les versions affectées indiquées vont de 0.0.0 à 1.4.19 ; les données fournies ne précisent ni correctif ni contournement.
Action recommandée : Vérifier l’usage du module et consulter le mainteneur pour les mesures correctives ; aucune version corrigée n’est indiquée.
CVE-2026-118563 — vulnérabilité dans Drupal CacheFlush
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité affectant Drupal CacheFlush, sans préciser sa nature. La fiche indique que toutes les versions sont concernées (« *.* ») ; les données fournies ne donnent ni impact détaillé, ni correctif, ni contournement.
Action recommandée : Vérifier l’usage de Drupal CacheFlush et consulter le mainteneur pour obtenir des précisions et des instructions de mise à jour.
CVE-2026-118564 — vulnérabilité dans PayUmoney for Drupal Commerce
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité dans PayUmoney for Drupal Commerce, sans en préciser la nature. La fiche indique que toutes les versions sont concernées (« *.* ») ; aucun impact détaillé, correctif ou contournement n’est fourni dans les données disponibles.
Action recommandée : Vérifier l’usage de l’intégration et consulter son mainteneur pour obtenir des précisions et des instructions de mise à jour.
CVE-2026-118565 — vulnérabilité dans l’intégration Drupal GroupEx PRO
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité dans l’intégration Drupal GroupEx PRO (Daxko), sans en préciser la nature. La fiche indique que toutes les versions sont concernées (« *.* ») ; les données fournies ne décrivent ni impact détaillé, ni correctif, ni contournement.
Action recommandée : Vérifier l’usage de l’intégration et consulter son mainteneur pour obtenir des précisions et des instructions de mise à jour.
Drupal Bulk Update User Roles : contrôle d’autorisation incorrect
Une faille d’autorisation incorrecte dans Bulk Update User Roles permettrait le contournement des contrôles par navigation forcée. La fiche NVD indique que les versions 0.0.0 à 1.0.5 sont concernées, sans préciser de correctif.
Action recommandée : Évaluer l’exposition des installations utilisant les versions concernées et suivre la publication d’un correctif par le mainteneur.
Drupal Content Sync : stockage non sécurisé de données sensibles
Content Sync présente une faille de stockage non sécurisé d’informations sensibles permettant de récupérer des données sensibles intégrées. La fiche NVD indique que les versions 0.0.0 à 3.2.2 sont concernées, sans préciser de correctif.
Action recommandée : Évaluer l’utilisation des versions concernées et suivre les communications du mainteneur concernant un correctif.
Drupal Fasttoggle : contrôle d’autorisation incorrect
Fasttoggle présente une faille d’autorisation incorrecte permettant la navigation forcée. La fiche NVD indique que les versions 0.0.0 à 4.1.1 sont concernées et ne fournit pas de version corrigée.
Action recommandée : Évaluer l’exposition des installations utilisant les versions concernées et suivre les avis du mainteneur.
Drupal Fasttoggle : vulnérabilité CSRF
Fasttoggle est affecté par une vulnérabilité de falsification de requête intersites (CSRF). Les versions 0.0.0 à 4.1.1 sont concernées selon la fiche NVD; aucun correctif n’y est indiqué.
Action recommandée : Évaluer les installations utilisant les versions concernées et suivre les avis du mainteneur pour connaître les mesures correctives.
Drupal Media Alias Display : données sensibles dans le cache navigateur
Media Alias Display présente une vulnérabilité liée à la mise en cache par le navigateur d’informations sensibles et à une configuration incorrecte des niveaux de contrôle d’accès. Les versions 0.0.0 à 2.1.3 et 3.0.0 à 3.0.3 sont concernées; aucun correctif n’est précisé.
Action recommandée : Vérifier l’utilisation des versions affectées et suivre les annonces du mainteneur concernant un correctif.
Drupal OAuth Login – OAuth OIDC SSO : contournement d’authentification
OAuth Login – OAuth OIDC SSO est affecté par un contournement d’authentification via un chemin ou canal alternatif. La fiche NVD désigne les versions 0.0.0 à 3.1.1 comme concernées, sans indiquer de version corrigée.
Action recommandée : Évaluer l’usage des versions concernées et suivre les recommandations du mainteneur avant de considérer l’authentification comme sûre.
Drupal OAuth2 Token Manager : absence d’autorisation
OAuth2 Token Manager comporte une absence d’autorisation permettant la navigation forcée. La fiche NVD indique que les versions 0.0.0 à 1.2.0 sont concernées, sans préciser de correctif.
Action recommandée : Évaluer les installations concernées et consulter les annonces du mainteneur pour les mesures correctives.
Drupal S3 File System : permissions incorrectes sur une ressource critique
S3 File System présente une attribution incorrecte de permissions pour une ressource critique, susceptible de permettre l’exploitation de niveaux de contrôle d’accès mal configurés. La fiche NVD indique que les versions 0.0.0 à 3.12.0 sont concernées et ne donne pas de version corrigée.
Action recommandée : Vérifier l’usage des versions concernées et suivre les recommandations du mainteneur relatives aux permissions et au correctif.
Drupal Signature pad widget : XSS stockée
Signature pad widget est affecté par une vulnérabilité de type XSS stockée, due à une neutralisation incorrecte des entrées lors de la génération de pages Web. Les versions 0.0.0 à 1.15.0 sont concernées selon la fiche NVD, qui ne précise pas de correctif.
Action recommandée : Évaluer les versions déployées et suivre les avis du mainteneur pour appliquer un correctif dès sa disponibilité.
Drupal Stage File Proxy : vulnérabilité XSS
Stage File Proxy présente une vulnérabilité XSS liée à une neutralisation incorrecte des entrées lors de la génération de pages Web. Les versions 0.0.0 à 3.1.7 et 4.0.0 à 4.0.1 sont concernées; la fiche NVD ne précise pas de version corrigée.
Action recommandée : Évaluer les installations affectées et suivre les recommandations du mainteneur pour corriger la vulnérabilité.
CVE-2026-118582 — contournement de fonctionnalité dans Drupal CAPTCHA
La fiche NVD publiée le 30 octobre décrit un contournement de fonctionnalité dans Drupal CAPTCHA. Les versions affectées indiquées sont 0.0.0 à 1.18.0 et 2.0.0 à 2.0.11.
Action recommandée : Évaluer l’exposition des versions affectées et suivre les avis du projet pour connaître la marche à suivre.
CVE-2026-118583 — défaut d’autorisation dans Drupal Field Permissions
La fiche NVD publiée le 30 octobre décrit un défaut d’autorisation dans Drupal Field Permissions permettant le force browsing. La version affectée indiquée est 1.6.0 et les versions antérieures à partir de 0.0.0.
Action recommandée : Évaluer l’exposition des versions affectées et suivre les avis du projet pour connaître la marche à suivre.
CVE-2026-118584 — défaut d’autorisation dans Drupal Field Permissions
La fiche NVD publiée le 30 octobre décrit un défaut d’autorisation dans Drupal Field Permissions permettant le force browsing. La version affectée indiquée est 1.6.0 et les versions antérieures à partir de 0.0.0.
Action recommandée : Évaluer l’exposition des versions affectées et suivre les avis du projet pour connaître la marche à suivre.
Joomla
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Adobe Commerce
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
fooocus
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
20 alerte(s)Flowise : évasion du bac à sable JavaScript et exécution de commandes
Flowise jusqu’à la version 3.1.4 permet à un utilisateur authentifié d’échapper au bac à sable et d’exécuter des commandes système lorsque `ALLOW_BUILTIN_DEP=true`, en abusant de modules autorisés. La fiche NVD a été publiée dans la périod…
Source : NVD — CVE-2026-119978
XSS stockée dans SOCFortress CoPilot
CVE-2026-61728 concerne des champs SOC rendus sans assainissement, pouvant entraîner une XSS stockée lorsque des utilisateurs consultent des alertes ou dossiers piégés. Un script exécuté dans le navigateur peut voler les jetons d’accès et…
Source : NVD — CVE-2026-61728
Google Cloud Identity Platform et Firebase Authentication : XSS sur iOS
Une faille XSS dans le gestionnaire d’authentification iOS de Google Cloud Identity Platform et Firebase Authentication permet à un attaquant distant non authentifié d’exécuter du JavaScript au moyen d’un identifiant de bundle iOS malveill…
Source : NVD — CVE-2026-85268
ag-psd : allocation mémoire disproportionnée lors de la lecture de fichiers PSD
Dans ag-psd, `readPsd()` peut allouer de très grands tampons à partir des dimensions déclarées dans un fichier PSD avant d’en vérifier la plausibilité, ce qui peut épuiser la mémoire et provoquer un déni de service lors du traitement de fi…
Source : NVD — CVE-2026-62297
Songloft : identifiants d’administration codés en dur
Des identifiants codés en dur dans Songloft 2.9.0 avant 2.13.6 permettent à un attaquant du réseau local de se connecter comme administrateur. L’accès peut servir à modifier les paramètres et à installer des plugins JavaScript exécutés dan…
Source : NVD — CVE-2026-119662
Zuke : contournement de l’autorisation d’exécution dans le registre MCP
Avant la version 1.51.0, le mode registre MCP de @zuke/core pouvait accepter des descripteurs de commande sans appliquer la restriction d’autorisation prévue pour les modules distants. Si un registre modifiable par un tiers est utilisé ave…
Source : NVD — CVE-2026-119287
Zuke : injection de commande lors du lancement de shims Windows
Avant la version 1.51.0, @zuke/core pouvait lancer certains exécutables Windows `.cmd` et `.bat` en assemblant une ligne de commande que `cmd.exe` réinterprétait. Dans une compilation Windows où un outil est résolu depuis `node_modules/.bi…
Source : NVD — CVE-2026-119288
Zuke : validation insuffisante d’un workflow GitHub déclenché
Avant la version 1.10.0, la vérification de workflow de @zuke/gh pouvait accepter un résultat de workflow_dispatch en se fondant seulement sur un marqueur de titre visible et copiable. Si des personnes moins fiables peuvent déclencher le w…
Source : NVD — CVE-2026-119289
Zuke : exposition possible de secrets dans le résumé GitHub Actions
Avant la version 1.51.0, @zuke/core pouvait écrire des notes de résumé GitHub Actions sans appliquer le masquage des valeurs sensibles issues de `secret()`. Si un résumé contient du texte dérivé d’un secret, celui-ci peut être exposé aux p…
Source : NVD — CVE-2026-119290
CVE-2026-119333 — exécution d’un exécutable malveillant via le chemin de recherche Windows dans draw.io Desktop
draw.io Desktop sous Windows pouvait lancer un exécutable malveillant placé dans le dossier d’un diagramme ouvert depuis l’Explorateur, si l’application n’était pas déjà lancée. Le risque concerne notamment certains traitements de polices…
Source : Fiche NVD CVE-2026-119333
n8n : exécution de code via des nœuds dépréciés hors isolation
Une vulnérabilité d’exécution de code à distance dans n8n permet à des utilisateurs authentifiés pouvant créer, modifier ou importer des workflows d’exécuter du JavaScript dans le processus principal. Elle concerne les anciennes versions d…
Source : NVD — CVE-2026-119408
XSS stockée dans SharePoint Manager Plus
Une XSS stockée dans la fonction graphique de SharePoint Manager Plus permet d’exécuter du JavaScript dans le navigateur d’autres utilisateurs lorsque le graphique concerné est affiché. Le problème est corrigé dans le build 4508.
Source : NVD — CVE-2026-119680
XSS stockée dans myTinyWMS
Dans myTinyWMS, un utilisateur authentifié peut enregistrer un nom de produit ou de catégorie malveillant qui exécute du JavaScript lorsqu’un autre utilisateur consulte les pages concernées. La vulnérabilité est corrigée dans la version 1.…
Source : NVD — CVE-2026-61804
Zuke : suivi de liens symboliques dans les commandes d’échafaudage
Avant la version 1.4.0, @zuke/cli inspectait certains noms d’échafaudage sans empêcher ensuite les opérations de lecture, d’écriture ou de changement de permissions de suivre un lien symbolique. Un dépôt, modèle ou archive non fiable prépa…
Source : NVD — CVE-2026-119291
odf-kit — mise à jour CISA signalant une preuve de concept publique pour une XSS
Une mise à jour de sécurité publiée le 2026-10-30 a ajouté une évaluation CISA SSVC indiquant l’existence d’une preuve de concept publique pour cette faille XSS. Les applications qui convertissent puis affichent des documents non fiables a…
Source : NVD — CVE-2026-113787
Téléversement de fichiers pouvant conduire à l’exécution de JavaScript dans des modules Protectel
Les modules ARKETEAM Protectel PROTECTELMAJ et BDF permettent le téléversement de fichiers arbitraires et l’écrasement de fichiers dans un répertoire temporaire; un fichier peut entraîner l’exécution de JavaScript lorsqu’un utilisateur aut…
Source : NVD — CVE-2025-68391
Liens javascript: insuffisamment filtrés dans RTIR
RTIR laisse passer des liens contenant un marqueur interne, y compris des liens utilisant le schéma javascript:, ce qui permet d’introduire un lien dangereux dans un ticket. Le script s’exécute si un utilisateur clique le lien et agit avec…
Source : NVD — CVE-2026-105456
XSS stockée dans Frappe LMS
Dans Frappe LMS, un utilisateur authentifié disposant d’un rôle d’édition de cours peut injecter du JavaScript dans des champs de métadonnées, provoquant une XSS stockée lors de leur affichage. Le problème est corrigé dans la version 2.52.…
Source : NVD — CVE-2026-39375
Identifiants OAuth exposés dans le JavaScript de WIT SynApps Runtime
WIT SynApps Runtime jusqu’à la version 1.4.11 expose des identifiants OAuth statiques dans du JavaScript livré au navigateur. Un attaquant non authentifié peut les récupérer et les utiliser pour reproduire la partie applicative du flux d’a…
Source : NVD — CVE-2026-7003
WIT SynApps Runtime : XSS réfléchie avant authentification
WIT SynApps Runtime jusqu’à la version 1.4.11 comporte une XSS réfléchie pré-authentification via un paramètre de requête, permettant l’injection et l’exécution de JavaScript. La source indique des risques de collecte d’identifiants et de…
Source : NVD — CVE-2026-7004
Backend & données
47 alerte(s)pybars : injection de code dans la compilation de modèles
pybars3 jusqu’à 0.9.7 et pybars4 jusqu’à 0.9.13 comportent une injection de code liée à des segments de chemin entre crochets dans des modèles Handlebars. Les éléments fournis ne précisent pas de version corrigée ; éviter de traiter des mo…
Source : NVD — CVE-2026-119716
Secret JWT codé en dur dans ng-antd-admin
CVE-2026-61737 concerne ng-antd-admin, un modèle d’administration utilisant Angular et NestJS, et non le framework Angular lui-même : avant la version 22.0, le secret JWT par défaut pouvait permettre de falsifier des jetons si le déploieme…
Source : NVD — CVE-2026-61737
Contournement des protections de connexion et de gestion des mots de passe
En mode serveur, des points d’entrée Flask-Security contournaient le comptage et le verrouillage des connexions échouées, ainsi que certains contrôles de changement et de réinitialisation de mot de passe. Les versions antérieures à 9.19 so…
Source : NVD — CVE-2026-116238
Contournement de validation pouvant exécuter une commande sur l’hôte
Un défaut de validation des guillemets dans l’outil Import/Export Data pouvait laisser psql interpréter une clause de commande qui s’exécute sur l’hôte pgAdmin. Les versions antérieures à 9.19 sont concernées; mettre à niveau vers 9.19 ou…
Source : NVD — CVE-2026-116241
SOCFortress CoPilot : exécution de code via modèles de rapport
Dans le déploiement décrit, CoPilot permettait à un utilisateur client de déposer ou remplacer des modèles de rapport Jinja ensuite rendus sans sandbox par des utilisateurs privilégiés. Le correctif est annoncé en version 0.1.76 ; limiter…
Source : NVD — CVE-2026-61707
Traggo Server : déni de service via l’endpoint GraphQL
Une requête POST construite spécialement vers le point d’accès GraphQL de Traggo Server 0.8.3 pouvait provoquer un déni de service. Les informations consultées ne permettent pas d’établir les versions supplémentaires concernées ni une vers…
Source : NVD — CVE-2026-117184
XSS lors de la prévisualisation de fichiers dans Mythic
Mythic 3.2.16 à 3.4.0.61 présente une XSS stockée exploitable par un attaquant contrôlant des fichiers déposés sur un terminal cible. Si un opérateur télécharge puis prévisualise un fichier piégé, du contenu HTML s’exécute dans l’origine d…
Source : NVD — CVE-2026-119764
Crass : consommation excessive de ressources avec les exposants CSS
Avant Crass 1.0.7, la conversion de valeurs CSS en notation scientifique peut effectuer une exponentiation non bornée avant de limiter le résultat, consommant excessivement CPU et mémoire. Mettre à niveau Crass vers la version 1.0.7 ou ult…
Source : NVD — CVE-2026-61845
Daptin : déni de service via l’en-tête Accept-Language
Avant Daptin 0.12.26, le middleware de langue transmettait l’en-tête Accept-Language sans filtrage suffisant à l’analyse des préférences linguistiques. Une entrée spécialement formée pouvait contourner la vérification décrite dans l’avis e…
Source : NVD — CVE-2026-62160
Repli sur les fichiers d’identification du compte système
En l’absence de fichiers d’identification configurés ou accessibles, libpq pouvait retomber sur les fichiers de mots de passe et certificats du compte système pgAdmin. La correction de pgAdmin 4 9.19 fournit explicitement des chemins propr…
Source : NVD — CVE-2026-116247
CVE-2026-116252 : détournement de connexion lors de l’actualisation d’une vue
Lors de l’actualisation d’une vue matérialisée, pgAdmin 4 transmettait le nom de la base à psql sans empêcher libpq de l’interpréter comme une chaîne de connexion complète. Un rôle pouvant créer une base au nom spécialement construit pouva…
Source : NVD — CVE-2026-116252
GraphQL-core : épuisement mémoire lors de la validation
Dans GraphQL-core 3.3.0a3 à 3.3.0, validate() réutilisait une exception globale lorsque la limite d’erreurs était dépassée, conservant des références aux requêtes et contextes de validation. Un client non authentifié pouvait ainsi provoque…
Source : NVD — CVE-2026-119286
Mauvaise association entre authentification LDAP/Kerberos et compte pgAdmin
En mode serveur, une authentification LDAP ou Kerberos pouvait ouvrir une session sur un autre compte pgAdmin portant le même nom d’utilisateur, sans vérifier que le compte provenait de la source d’authentification utilisée. Mettre à nivea…
Source : NVD — CVE-2026-116239
Vérification incohérente des chemins du stockage utilisateur
En mode serveur, certains outils de gestion de fichiers vérifiaient un chemin puis agissaient sur un chemin construit différemment, ce qui pouvait permettre l’accès à des fichiers hors du stockage de l’utilisateur ou dans celui d’un autre…
Source : NVD — CVE-2026-116240
Utilisation des identifiants SSH du compte de service
En mode serveur, les tunnels SSH pouvaient utiliser les clés privées, la configuration SSH et l’agent du compte système exécutant pgAdmin, plutôt que les seuls identifiants fournis par l’utilisateur. Mettre à niveau vers pgAdmin 4 9.19 ou…
Source : NVD — CVE-2026-116242
Validation incomplète des chemins d’exécutables en stockage partagé
En mode serveur, le contrôle du chemin des exécutables omettait les répertoires SHARED_STORAGE, permettant à un utilisateur d’y déposer un fichier puis de demander à pgAdmin de l’exécuter. Mettre à niveau vers pgAdmin 4 9.19 ou une version…
Source : NVD — CVE-2026-116243
Réutilisation des identifiants Kerberos/SSPI du compte de service
En mode serveur, des connexions pouvaient hériter des identifiants Kerberos ou SSPI du compte système pgAdmin lorsque l’utilisateur n’avait pas prévu d’utiliser des identifiants Kerberos délégués. Mettre à niveau vers pgAdmin 4 9.19 ou une…
Source : NVD — CVE-2026-116244
Utilisation de services et secrets libpq du compte système
En mode serveur, libpq pouvait utiliser des services de connexion, variables d’environnement ou paramètres hérités du compte système pgAdmin, et donc ses identifiants. La correction de pgAdmin 4 9.19 limite l’utilisation des services à une…
Source : NVD — CVE-2026-116245
Fuite de mots de passe via l’environnement partagé du processus
Les mots de passe transmis aux processus psql et aux utilitaires étaient inscrits dans l’environnement du processus pgAdmin et pouvaient être hérités par les requêtes ou processus ultérieurs d’autres utilisateurs. La correction de pgAdmin…
Source : NVD — CVE-2026-116246
CVE-2026-116249 : accès à des fichiers hors du stockage utilisateur
En mode serveur, des chemins de fichiers relatifs pouvaient sortir du répertoire de stockage de l’utilisateur et accéder aux mots de passe, certificats, clés ou fichiers d’identité SSH d’un autre utilisateur. Le paramètre de connexion sslk…
Source : NVD — CVE-2026-116249
CVE-2026-116250 : contournement des contrôles de fichiers dans le stockage
En mode serveur, une substitution de lien symbolique ou l’utilisation d’un lien matériel ou d’un tube FIFO dans le stockage pouvait détourner certaines opérations de fichiers effectuées après un contrôle d’accès. Selon l’opération, cela po…
Source : NVD — CVE-2026-116250
joserfc : épuisement CPU via un tableau JWE recipients sans limite
Le parseur JWE General JSON de joserfc accepte un tableau recipients sans limite et effectue une opération de déchiffrement avec la clé privée pour chaque entrée. Un document contrôlé à distance peut ainsi entraîner une consommation CPU di…
Source : GHSA-jpxq-7h8p-2q76 — joserfc
MONAI : exécution de code via Auto3DSeg algo_from_json()
MONAI présente une vulnérabilité d’exécution de code dans Auto3DSeg algo_from_json() : un fichier algo_object.json et un module algorithm_templates conçus à cet effet peuvent exécuter du code Python lors de certaines opérations. La fiche f…
Source : CVE-2026-119578 — NVD
Amazon Kinesis Producer Library for Java : exposition d’identifiants AWS
Amazon Kinesis Producer Library for Java exposait des identifiants AWS dans les journaux au niveau DEBUG et dans les arguments de ligne de commande du processus natif. La version 1.0.8 corrige le problème; il est recommandé de mettre à niv…
Source : NVD — CVE-2026-119117
Copernik XML Factory : résolution XInclude insuffisamment bloquée
Copernik XML Factory ne bloquait pas la résolution de ressources XInclude avec le fournisseur JDK standard dans certaines configurations, ce qui pouvait permettre la lecture de fichiers locaux ou des requêtes vers le réseau interne lors de…
Source : NVD — CVE-2026-61586
Crass : récursion non limitée dans l’analyse de valeurs CSS imbriquées
Avant Crass 1.0.7, l’analyse récursive de blocs et de fonctions CSS n’impose pas de limite de profondeur, ce qui peut provoquer une erreur de pile ou une consommation mémoire excessive. La version 1.0.7 ajoute une limite de profondeur conf…
Source : NVD — CVE-2026-61846
Crass : erreur de pile lors du traitement récursif des commentaires CSS
Avant Crass 1.0.7, l’élimination par défaut des commentaires CSS adjacentés suit un chemin récursif qui peut déclencher une erreur SystemStackError. Mettre à niveau Crass vers la version 1.0.7 ou ultérieure ; la conservation des commentair…
Source : NVD — CVE-2026-61847
Crass : analyse superlinéaire de CSS contenant des caractères non ASCII
Avant Crass 1.0.7, le suivi des positions de caractères multioctets peut rendre superlinéaire le temps d’analyse d’entrées CSS contenant des caractères non ASCII. Une entrée contrôlée par un attaquant peut ainsi consommer excessivement le…
Source : NVD — CVE-2026-61848
Soft Serve — divulgation de l’existence de dépôts privés et erreur sur certains chemins LFS
GHSA-fgxm-5hvv-x4vh concerne Soft Serve, écrit en Go : des requêtes pouvaient révéler l’existence, le nom et l’URL de clonage de dépôts privés, et certains chemins LFS pouvaient provoquer une erreur serveur. Les versions de 0.5.0 à 0.12.2…
Soft Serve — course de cache pouvant maintenir lisible un dépôt rendu privé
GHSA-f3fj-9625-rv3m concerne Soft Serve : une course lors du changement de visibilité pouvait laisser en cache l’état public d’un dépôt, maintenant son contenu accessible sans authentification après son passage en privé. Les versions 0.6.0…
DBHub : contournement du mode lecture seule avec les connecteurs MariaDB/MySQL
Une erreur d’analyse des commentaires SQL permet de contourner le mode lecture seule de DBHub avec les connecteurs MySQL et MariaDB, et peut entraîner l’exécution de requêtes d’écriture ou de suppression. Le problème est corrigé dans DBHub…
Source : NVD — CVE-2026-61789
ArcadeDB : remplacement non autorisé du schéma GraphQL
Dans ArcadeDB, un utilisateur disposant uniquement du droit readRecord pouvait remplacer le schéma GraphQL partagé via un point d’accès de requête présenté comme en lecture seule. Le changement pouvait modifier les résultats visibles par d…
Source : NVD — CVE-2026-119576
AxonHub : élévation de privilèges via les portées de clés de service
AxonHub permettait à des utilisateurs de projet ayant le droit write_api_keys de créer des clés de service avec des portées système non validées. Une clé ainsi créée pouvait accéder aux configurations de canaux via /admin/graphql ; le cand…
Source : NVD — CVE-2026-119599
CVE-2026-116248 : partage non autorisé de serveurs pgAdmin
En mode serveur, un utilisateur non administrateur pouvait partager un serveur avec tous les utilisateurs via l’API ou un import, malgré l’interface qui réserve cette action aux administrateurs. Un serveur ainsi ajouté pouvait paraître fia…
Source : NVD — CVE-2026-116248
joserfc : allocation mémoire avant le contrôle de taille des JWS compacts
Une erreur de désérialisation JWS compact provoque une allocation de mémoire proportionnelle au jeton avant que les limites de taille soient appliquées. Les requêtes peuvent épuiser la mémoire du processus et entraîner un déni de service;…
Source : GHSA-9pg5-8c7x-5hfx — joserfc
UAA : risque de déni de service par désérialisation répétée de JWKS
UAA pouvait retraiter intégralement des données JWKS mises en cache à la suite de tentatives d’authentification invalides avec private_key_jwt. Un attaquant disposant des prérequis décrits — accès en écriture aux clients ou point de termin…
Source : NVD — CVE-2026-59396
Infinispan : épuisement de pile dans le parseur de requêtes Ickle
Le parseur de requêtes Ickle d’Infinispan pouvait épuiser la pile Java face à des prédicats profondément imbriqués et lever une StackOverflowError non interceptée. Un utilisateur authentifié disposant de la permission BULK_READ et pouvant…
Source : NVD — CVE-2026-119542
Stirling-PDF : lecture de fichiers locaux via la conversion SVG en PDF
Dans Stirling-PDF, une référence d’image SVG root-relative sans schéma pouvait contourner le contrôle d’URL externe et permettre à Batik de lire certains fichiers locaux décodables comme images. Le problème affecte les versions de 2.13.1 j…
Source : NVD — CVE-2026-119342
Énumération de noms d’utilisateur par temporisation dans Picsou
L’endpoint de connexion de Picsou peut révéler si un nom d’utilisateur existe par différence de temps de réponse, même si les réponses HTTP sont identiques. Le problème est corrigé dans la version 1.0.8; l’exposition pratique est atténuée…
Source : NVD — CVE-2026-62860
MariaDB Connector/J : allocation mémoire non vérifiée dans les paquets OK
MariaDB Connector/J pouvait allouer de la mémoire à partir de longueurs déclarées par le serveur avant de vérifier que les données du paquet OK étaient présentes. Un serveur malveillant ou un attaquant intermédiaire pouvait provoquer une p…
Source : NVD — CVE-2026-119276
MariaDB Connector/J : validation insuffisante de la réponse caching_sha2_password
Lors de l’authentification caching_sha2_password, MariaDB Connector/J ne validait pas suffisamment la longueur de la réponse d’authentification avant allocation mémoire et accès au premier octet. Un serveur malveillant ou un attaquant inte…
Source : NVD — CVE-2026-119278
Campfire : contournement du contrôle d’accès réseau privé dans l’aperçu de liens
Campfire jusqu’à la version 1.4.4 ne bloque pas certaines plages d’adresses spéciales lors de la génération d’aperçus OpenGraph, ce qui permet à un utilisateur authentifié de provoquer des requêtes vers des ressources internes. Le correcti…
Source : NVD — CVE-2026-100355
CVE-2026-116251 : sessions conservées après changement de mot de passe
pgAdmin 4 ne révoquait pas les sessions déjà ouvertes après un changement ou une réinitialisation du mot de passe d’un utilisateur. Une session détenue par une personne ayant obtenu l’ancien mot de passe ou un cookie de session pouvait don…
Source : NVD — CVE-2026-116251
MariaDB Connector/J : longueurs XA non validées lors de la récupération
Pendant la récupération XA, MariaDB Connector/J faisait confiance aux longueurs gtrid_length et bqual_length renvoyées par le serveur sans les confronter aux limites Xid ni à la taille des données. Un serveur malveillant ou un attaquant in…
Source : NVD — CVE-2026-119280
CERT-FR : vulnérabilité d’injection SQL dans Ruby on Rails trilogy
Le CERT-FR signale une vulnérabilité dans Ruby on Rails trilogy pouvant permettre une injection SQL. Les versions affectées et le correctif ne sont pas précisés dans les informations fournies.
Source : Vulnérabilité dans Ruby on Rails trilogy (30 octobre 2026)
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB, susceptibles notamment de porter atteinte à l’intégrité des données, de permettre une injection SQL ou de contourner la politique de sécurité. L’avis fourni ne préci…
Source : Multiples vulnérabilités dans les produits MongoDB (30 octobre 2026)
pypi-publish : mise à jour liée à la révocation d’une autorité de certification
Une mise à jour de sécurité de l’action pypi-publish traite la révocation d’une autorité de certification emSign présente dans le magasin de confiance fourni par certifi et utilisé notamment par Sigstore. La source indique une version corr…
Source : GHSA-5xjx-3w67-w9x9 — pypi-publish
CMS & e-commerce
152 alerte(s)Gravity Forms : injection d’objet PHP via un champ personnalisé de type Liste
Gravity Forms jusqu’à la version 3.1.2 incluse est vulnérable à une injection d’objet PHP via un champ personnalisé de type Liste utilisé comme champ personnalisé d’article. Selon la configuration et la présence d’une chaîne de gadgets dan…
Source : NVD — CVE-2026-103039
Divulgation de données de commandes WooCommerce
Email Templates Customizer and Designer for WordPress and WooCommerce présente un contournement d’autorisation qui permet d’accéder aux données de commandes WooCommerce. Toutes les versions jusqu’à 1.5.14 inclus sont concernées; l’attaque…
Source : NVD — CVE-2026-107630
Téléversement arbitraire de fichiers dans Avada pour WordPress
Le thème Avada jusqu’à la version 7.16.2 incluse présente une vulnérabilité de téléversement arbitraire de fichiers, exploitable sans authentification. Des fichiers téléversés susceptibles d’être exécutables peuvent permettre une exécution…
Source : NVD — CVE-2026-115346
CVE-2026-96894 : XSS stockée dans le plugin ERP pour WooCommerce
Le plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce est vulnérable à une XSS stockée pouvant être déclenchée par un courriel entrant, sans compte WordPress. Toutes les versions jusqu’à 1.17.10 incluse sont concernées;…
Source : NVD — CVE-2026-96894
Escalade de privilèges via import CSV dans Export and Import Users and Customers
CVE-2026-104368 concerne une escalade de privilèges dans Export and Import Users and Customers : un abonné authentifié peut exploiter une incohérence de traitement CSV pour créer un compte administrateur. Les versions jusqu’à 2.7.5 inclus…
Source : NVD — CVE-2026-104368
AI Engine : autorisation manquante dans l’inscription OAuth MCP
Le point de terminaison d’inscription OAuth du module MCP de AI Engine permet à un utilisateur non authentifié d’enregistrer un client OAuth avec une URI de redirection contrôlée. Si un administrateur approuve ce client, l’attaquant peut o…
Source : NVD — CVE-2026-110732
Food Store : XSS stockée via le paramètre service_time
Le paramètre service_time du plugin Food Store peut permettre l’injection de scripts persistants par un attaquant non authentifié, en raison d’un filtrage et d’un échappement insuffisants. L’exploitation requiert que « Enable Pickup/Delive…
Source : NVD — CVE-2026-116622
Formidable Forms : installation arbitraire d’extensions
Dans Formidable Forms, une validation insuffisante de l’URL et des contrôles de permission incomplets permettent à des utilisateurs authentifiés disposant de droits de niveau abonné ou supérieur d’installer des extensions arbitraires. Le p…
Source : NVD — CVE-2026-89435
Gravity Forms : XSS stockée via plusieurs champs
Une faille XSS dans Gravity Forms permet à un attaquant non authentifié d’injecter du script dans des pages via les champs Extrait, Champ personnalisé ou Paragraphe enrichi. Elle concerne les versions jusqu’à 3.1.1 incluse; mettre à jour v…
Source : NVD — CVE-2026-90437
Gravity Forms : XSS stockée dans le champ Liste
Une XSS stockée dans Gravity Forms peut être déclenchée par une valeur malveillante soumise dans le champ Liste. L’exploitation nécessite qu’un administrateur clique sur le lien injecté dans le détail de l’entrée et confirme une boîte de d…
Source : NVD — CVE-2026-97645
Database Cleaner : suppression arbitraire de tables
Database Cleaner permet à des utilisateurs authentifiés disposant de privilèges administrateur ou supérieurs de supprimer des tables de base de données sans restriction suffisante. La fiche indique que des tables essentielles de WordPress…
Source : NVD — CVE-2025-8574
XSS stockée dans Independent Analytics Pro
Independent Analytics Pro présente une XSS stockée via le paramètre `utm_campaign`, les entrées n’étant pas suffisamment nettoyées ni échappées. Les versions jusqu’à 2.15.5 inclus sont concernées; la vulnérabilité nécessite l’édition Pro a…
Source : NVD — CVE-2026-104744
Élévation de privilèges dans Ak Framework
Le framework Ak, fourni avec le thème Newsy, permet une élévation de privilèges en raison de contrôles de capacité manquants dans des gestionnaires AJAX. Les versions jusqu’à 2.9.8 inclus sont concernées; un attaquant non authentifié peut…
Source : NVD — CVE-2026-105894
Exposition d’informations sensibles dans Advanced Custom Fields: Extended
Advanced Custom Fields: Extended peut exposer des informations sensibles, notamment le hachage du mot de passe WordPress d’un utilisateur, via un formulaire configuré pour publier les données de termes. Toutes les versions jusqu’à 0.9.2.7…
Source : NVD — CVE-2026-110305
CVE-2026-76012 : exécution de code à distance dans NextGEN Gallery
NextGEN Gallery est vulnérable à une exécution de code à distance par des attaquants authentifiés disposant d’un accès de niveau personnalisé ou supérieur et auteurs d’au moins une galerie existante. La faille concerne toutes les versions…
Source : NVD — CVE-2026-76012
CVE-2026-97638 : suppression et substitution de brouillons dans Forminator Forms
Forminator Forms présente une vulnérabilité de référence directe à un objet permettant à un attaquant non authentifié de supprimer des brouillons enregistrés appartenant à d’autres utilisateurs et de réutiliser leurs identifiants. Toutes l…
Source : NVD — CVE-2026-97638
XSS dans le plugin WordPress easy.jobs
Le plugin WordPress easy.jobs présente une XSS stockée liée au paramètre cover_letter, exploitable par un attaquant non authentifié dans les versions jusqu’à 2.8.4 incluse. L’exécution nécessite qu’un administrateur ouvre l’onglet de candi…
Source : NVD — CVE-2026-112365
Élévation de privilèges dans Essential Addons for Elementor
Essential Addons for Elementor jusqu’à la version 6.8.7 incluse présente une vulnérabilité d’élévation de privilèges, exploitable sans authentification dans des conditions précises. Un attaquant peut obtenir un compte jusqu’au rôle Editor…
Source : NVD — CVE-2026-118205
Injection d’objet PHP dans Enable Media Replace
CVE-2026-114422 est une injection d’objet PHP dans Enable Media Replace, pouvant conduire à une inclusion locale de fichier et, dans certaines conditions, à l’exécution de code à distance. Le plugin est vulnérable avant la version 4.2.3 ;…
Source : NVD — CVE-2026-114422
Contournement du mot de passe lors de la connexion 2FA
CVE-2026-114443 concerne l’authentification à deux facteurs du plugin Security Plugin, Firewall & Malware Scanner with Auto Removal : le plugin n’exige pas le mot de passe du compte avant d’accepter le code d’authentification. Les versions…
Source : NVD — CVE-2026-114443
XSS persistante dans les statistiques de WP Visitor Statistics
CVE-2026-117571 est une XSS persistante dans WP Visitor Statistics (Real Time Traffic) : des données de suivi dérivées de requêtes publiques sont stockées puis affichées dans le tableau de bord sans assainissement ni échappement suffisants…
Source : NVD — CVE-2026-117571
Kirki : contrôle d’accès insuffisant aux pages via l’API REST
Dans Kirki, un contrôle d’accès par objet insuffisant dans l’API REST des pages permet à un utilisateur ayant accès à l’édition Kirki — notamment un éditeur dans la configuration par défaut — de modifier des publications qu’il ne possède p…
Source : NVD — CVE-2026-112347
Ajout non autorisé de clients à la liste noire anti-fraude
CVE-2026-118072 concerne un contrôle d’autorisation manquant dans Fraud Prevention For WooCommerce and EDD : des utilisateurs de rôle Subscriber ou supérieur peuvent ajouter des clients à la liste noire sans être autorisés à gérer les comm…
Source : NVD — CVE-2026-118072
APIExperts Square for WooCommerce : vulnérabilité CSRF
APIExperts Square for WooCommerce présentait une vulnérabilité CSRF, permettant à un attaquant de tenter de faire exécuter une action par un administrateur authentifié qui visite une page malveillante. La fiche fournie indique que les vers…
Source : NVD — CVE-2026-119466
GIFTiT for WooCommerce : injection de code de type XSS
GIFTiT – Free Gifts for WooCommerce présentait une vulnérabilité de neutralisation insuffisante de balises HTML liées aux scripts, décrite comme une XSS basique ou une injection de code. La fiche indique que les versions jusqu’à 4.5 sont c…
Source : NVD — CVE-2026-52710
YITH WooCommerce Product Add-Ons : contournement non authentifié
YITH WooCommerce Product Add-Ons présentait une vulnérabilité de contournement non authentifié. Les versions jusqu’à 4.34.0 sont visées par la fiche fournie, mais les informations disponibles ne décrivent pas davantage le mécanisme, l’impa…
Source : NVD — CVE-2026-107868
BuddyForms : export non autorisé de la configuration des formulaires
BuddyForms avant 2.10.3 ne vérifie pas que l’utilisateur peut gérer le formulaire avant d’en exporter la configuration. Un utilisateur non authentifié peut ainsi récupérer des paramètres stockés, dont des adresses de notification et des cl…
Source : NVD — CVE-2026-118100
BuddyForms : modification d’articles sans vérification de leur auteur
BuddyForms avant 2.10.1 ne vérifie pas que l’utilisateur modifiant une entrée est l’auteur de l’article visé. Un utilisateur disposant d’un accès de modification au formulaire, jusqu’au rôle Abonné, peut altérer le titre, le contenu et l’é…
Source : NVD — CVE-2026-118101
Firelight Lightbox : XSS stocké via l’URL d’un lien
Firelight Lightbox avant 2.3.23 n’échappe pas l’URL d’un lien ouvert dans sa lightbox classique avant de l’insérer dans la page comme HTML. Un utilisateur ayant au moins le rôle Contributeur peut provoquer un XSS stocké visant les personne…
Source : NVD — CVE-2026-118165
Page and Post Restriction : contournement d’authentification sur l’API REST
Page and Post Restriction est vulnérable à un contournement d’authentification dans toutes les versions jusqu’à 1.6.1 incluse. Une requête REST GET ou HEAD inter-origines peut, sous certaines conditions, permettre à un attaquant de lire de…
Source : NVD — CVE-2026-118194
Cool FormKit Lite : XSS DOM stocké via custom_id
Cool FormKit Lite jusqu’à la version 2.7.9 incluse est vulnérable à un XSS DOM stocké lié au paramètre custom_id des champs de formulaire Elementor. Un attaquant authentifié ayant au moins le rôle Contributeur peut injecter un script qui s…
Source : NVD — CVE-2026-118500
Events Made Easy : XSS stocké via le paramètre width
Events Made Easy jusqu’à la version 3.3.1 incluse ne filtre pas suffisamment le paramètre width, ce qui permet un XSS stocké. Un utilisateur authentifié ayant au moins le rôle Contributeur peut injecter du script dans des pages consultées…
Source : NVD — CVE-2026-118634
JoomSport : injection SQL via pgroup
JoomSport jusqu’à la version 5.7.14 incluse est vulnérable à une injection SQL via le paramètre pgroup. Un utilisateur authentifié ayant au moins le rôle Contributeur peut déclencher le chemin vulnérable en prévisualisant un article conten…
Source : NVD — CVE-2026-118698
Content Egg : modification non autorisée des données produit d’articles
Content Egg jusqu’à la version 12.0.0 incluse ne vérifie pas les droits de l’utilisateur sur l’article indiqué à la fonction ajaxUpdateProducts(). Un utilisateur authentifié ayant au moins le rôle Contributeur peut ainsi modifier les métad…
Source : NVD — CVE-2026-119059
Content Egg : création d’articles attribués à un autre utilisateur
Content Egg jusqu’à la version 12.0.0 incluse présente un défaut d’autorisation lors de la création d’articles à partir d’un preset. Un utilisateur authentifié ayant au moins le rôle Auteur peut attribuer un article à un autre compte, nota…
Source : NVD — CVE-2026-119087
Suppression de fichiers dans les téléversements via Forminator Forms
CVE-2026-5461 permet à un attaquant non authentifié de supprimer des fichiers non-PHP arbitraires dans wp-content/uploads via des soumissions de brouillon Forminator mal validées. Les versions jusqu’à 1.55.0.2 inclus sont vulnérables ; la…
Source : NVD — CVE-2026-5461
Lecture de fichiers sensibles via le File System Watcher
CVE-2026-114444 permet à un administrateur qui n’est pas Super Admin d’accéder à la visionneuse du File System Watcher et de lire des fichiers sensibles. Les versions antérieures à 2.191 sont concernées ; sur une installation standard, les…
Source : NVD — CVE-2026-114444
XSS réfléchie dans User Frontend
CVE-2026-115277 est une XSS réfléchie dans le plugin User Frontend, due à des valeurs fournies par l’utilisateur réinjectées dans des attributs HTML sans assainissement ni échappement suffisants. Les versions antérieures à 4.3.14 sont conc…
Source : NVD — CVE-2026-115277
Injection SQL dans WP Visitor Statistics
CVE-2026-117572 est une injection SQL dans WP Visitor Statistics (Real Time Traffic), causée par un paramètre utilisé dans une requête SQL sans assainissement ni échappement suffisant. Les versions antérieures à 8.8 sont concernées ; la so…
Source : NVD — CVE-2026-117572
XSS persistante via un bloc de bouton Joinchat
CVE-2026-118071 est une XSS persistante dans Joinchat : le message d’un bloc de bouton n’est pas échappé avant d’être rendu dans un attribut HTML sur le site. Les versions antérieures à 6.4.2 sont concernées ; un utilisateur ayant le rôle…
Source : NVD — CVE-2026-118071
Kirki : contournement de la vérification reCAPTCHA des formulaires
Kirki peut accepter des soumissions de formulaires sans vérification reCAPTCHA valide lorsqu’un attaquant omet le champ g-recaptcha-token. Cela peut entraîner des soumissions automatisées, des notifications ou webhooks déclenchés et une cr…
Source : NVD — CVE-2026-112348
My Calendar : injection de shortcodes via le paramètre mcs
Le paramètre de recherche mcs de My Calendar peut transmettre des valeurs à do_shortcode() sans neutraliser les crochets, permettant à un attaquant non authentifié d’exécuter des shortcodes enregistrés. Cela peut servir à injecter du conte…
Source : NVD — CVE-2026-119714
Ad Inserter : exécution de shortcodes arbitraires
Ad Inserter peut exécuter des shortcodes arbitraires à partir d’une valeur non validée, dans une configuration où un bloc publicitaire utilisant une balise dynamique est affiché sur les pages de recherche. La fiche précise que cette config…
Source : NVD — CVE-2026-102905
XSS stockée dans Redux Framework pour WordPress
Le plugin Redux Framework est vulnérable à une XSS stockée via le champ `multi_media`, déclenchée lorsque le profil affecté est consulté dans l’administration. Les versions jusqu’à 4.5.15 inclus sont concernées; la faille nécessite un thèm…
Source : NVD — CVE-2026-102918
Suppression arbitraire de fichiers dans JS Help Desk
Le plugin JS Help Desk est vulnérable à la suppression arbitraire de fichiers sur le serveur en raison d’une validation insuffisante des chemins. Les versions jusqu’à 5.0.1 inclus sont concernées; l’exploitation nécessite un accès administ…
Source : NVD — CVE-2026-104739
Contournement d’autorisation dans OpenStation
OpenStation présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au moins le rôle Abonné de modifier des entrées de placement d’autres utilisateurs et d’en lire certaines métadonnées. Toutes les version…
Source : NVD — CVE-2026-109592
XSS stockée dans FV Flowplayer Video Player via les commentaires
FV Flowplayer Video Player est vulnérable à une XSS stockée dans le paramètre `comment` des liens vidéo. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille nécessite l’option de parsing des liens Vimeo et YouTube, ai…
Source : NVD — CVE-2026-109984
XSS stockée via les commentaires dans FV Flowplayer Video Player
FV Flowplayer Video Player est également vulnérable à une XSS stockée via l’attribut `align` des shortcodes contenus dans les commentaires. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille suppose que l’administrat…
Source : NVD — CVE-2026-110001
XSS stockée dans FV Flowplayer Video Player via les vidéos de profil
FV Flowplayer Video Player présente une XSS stockée dans les vidéos de profil soumises par les utilisateurs. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; l’exploitation nécessite l’activation par un administrateur de l’o…
Source : NVD — CVE-2026-110533
CVE-2026-9239 : XSS stockée dans Meow Gallery
Meow Gallery est vulnérable à une XSS stockée via le texte alternatif d’une pièce jointe utilisé dans l’attribut aria-label. Toutes les versions jusqu’à 5.5.1 incluse sont concernées; l’exploitation nécessite un compte ayant au moins le rô…
Source : NVD — CVE-2026-9239
Injection SQL dans Majestic Support pour WordPress
Majestic Support jusqu’à la version 1.2.2 incluse est vulnérable à une injection SQL accessible aux utilisateurs authentifiés disposant au minimum du rôle Subscriber. Un attaquant peut exploiter le paramètre « columns (array keys) » afin d…
Source : NVD — CVE-2026-115820
XSS stockée dans Themify Builder pour WordPress
Themify Builder jusqu’à la version 7.8.4 incluse présente une XSS stockée dans les champs de répétition « variations » des publications Custom Font. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script,…
Source : NVD — CVE-2026-115869
XSS stockée dans Like Button Rating ♥ LikeBtn pour WordPress
Like Button Rating ♥ LikeBtn jusqu’à la version 2.6.64 incluse présente une XSS stockée via l’en-tête Client-IP, exploitable sans authentification sous certaines conditions. L’exploitation nécessite que l’option « Be GDPR compliant » soit…
Source : NVD — CVE-2026-116552
Exécution de shortcodes arbitraires dans GeoDirectory
GeoDirectory jusqu’à la version 2.8.198 incluse permet l’exécution de shortcodes arbitraires par un attaquant non authentifié. La cause indiquée est une action qui exécute do_shortcode sans valider correctement une valeur.
Source : NVD — CVE-2026-118635
XSS stockée dans les descriptions GeoDirectory
GeoDirectory jusqu’à la version 2.8.199 incluse présente une XSS stockée via la description des annonces, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber. Le contenu injecté peut s’exécuter lorsqu’un util…
Source : NVD — CVE-2026-119113
XSS stockée dans CP Multi View Events Calendar
CP Multi View Events Calendar jusqu’à la version 1.4.43 incluse présente une XSS stockée via le paramètre « Subject ». Un utilisateur authentifié ayant au minimum le rôle Subscriber peut soumettre le contenu malveillant lorsque le shortcod…
Source : NVD — CVE-2026-119176
Contournement d’autorisation dans Meow Gallery
Meow Gallery jusqu’à la version 5.5.4 incluse présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au minimum le rôle Author de consulter des métadonnées de publications privées et brouillons. Les infor…
Source : NVD — CVE-2026-13747
XSS dans le thème Drupal Bootstrap
Une faille XSS affecte le thème Drupal Bootstrap. Les versions concernées vont de 0.0.0 à 3.45.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114538
CVE-2026-107259 — Injection de code dans Drupal Linked Field
Une vulnérabilité d’injection de code liée à la neutralisation incorrecte d’éléments spéciaux dans un moteur de template affecte le module Drupal Linked Field. Les versions concernées indiquées vont de 0.0.0 à 1.8.0 ; aucun correctif n’est…
Source : NVD — CVE-2026-107259
CVE-2026-107261 — Contournement d’authentification dans Authenticator Login Plus (2FA)
Une vulnérabilité de contournement de l’authentification par chemin ou canal alternatif affecte Drupal Authenticator Login Plus (2FA). Les versions concernées indiquées vont de 0.0.0 à 1.0.1 ; aucun correctif n’est précisé dans la source f…
Source : NVD — CVE-2026-107261
CVE-2026-107262 — CSRF dans Drupal Advanced Filesystem
Une vulnérabilité CSRF affecte le module Drupal Advanced Filesystem. La source indique les versions 0.0.0 à 1.0.28 comme concernées, sans préciser de correctif.
Source : NVD — CVE-2026-107262
CVE-2026-107263 — Défaut d’autorisation dans Drupal Gutenberg
Une vulnérabilité d’autorisation incorrecte permettant le forceful browsing affecte Drupal Gutenberg. Les versions concernées indiquées sont 0.0.0 à 2.15.0 et 3.0.0 à 3.0.7 ; la source ne donne pas de version corrigée.
Source : NVD — CVE-2026-107263
CVE-2026-107264 — Injection de code dans Drupal Inline Formatter Field
Une vulnérabilité d’injection de code liée à la neutralisation incorrecte d’éléments spéciaux dans un moteur de template affecte Drupal Inline Formatter Field. Les versions concernées indiquées vont de 0.0.0 à 4.2.0 ; aucun correctif n’est…
Source : NVD — CVE-2026-107264
CVE-2026-107265 — XSS stocké dans Drupal Leaflet
Une vulnérabilité de type XSS stocké affecte Drupal Leaflet. La source indique les versions 0.0.0 à 10.4.13 comme concernées, sans préciser de correctif.
Source : NVD — CVE-2026-107265
CVE-2026-107267 — Autorisation manquante dans Drupal DKAN
Une vulnérabilité d’autorisation manquante permettant le forceful browsing affecte Drupal DKAN. Les versions concernées indiquées sont 0.0.0 à 4.0.4 et 4.1.0 à 4.1.5 ; aucun correctif n’est précisé dans la source fournie.
Source : NVD — CVE-2026-107267
CVE-2026-107268 — Exposition d’informations dans Drupal TFA / Passwordless Login
Une vulnérabilité d’exposition d’informations sensibles dans les données envoyées, associée à un accès par navigation forcée, affecte Drupal Two Factor Authentication – TFA / Passwordless Login. Les versions concernées indiquées sont 0.0.0…
Source : NVD — CVE-2026-107268
Contournement d’autorisation dans Drupal SmartLinker AI
Une faille de contrôle d’autorisation dans le module Drupal SmartLinker AI permettrait le contournement d’autorisations par accès direct à des ressources. Elle affecte les versions jusqu’à 1.0.3 inclusivement; la fiche NVD a été publiée le…
Source : NVD — CVE-2026-107307
SSRF dans Drupal Freelinking
Une vulnérabilité SSRF affecte le module Drupal Freelinking dans les versions jusqu’à 4.0.3 inclusivement. La fiche NVD a été publiée le 30 octobre 2026; les données fournies ne donnent pas de version corrigée.
Source : NVD — CVE-2026-107310
Allocation excessive de ressources dans Examples for Developers
Le module Drupal Examples for Developers présente une allocation excessive de ressources sans limite ni régulation dans les versions jusqu’à 4.0.7 inclusivement. La fiche NVD a été publiée le 30 octobre 2026; aucun correctif n’est indiqué…
Source : NVD — CVE-2026-107312
Drupal Domain Login Restrict : contournement d’authentification (CVE-2026-114572)
Une vulnérabilité de contournement d’authentification affecte Drupal Domain Login Restrict. Les versions indiquées comme touchées vont de 0.0.0 à 1.5.0 ; le lot ne fournit ni version corrigée ni consigne de mitigation.
Source : NVD — CVE-2026-114572
Drupal Commerce Core : accès non autorisé par navigation directe (CVE-2026-118539)
Une faille d’autorisation dans Drupal Commerce Core permet l’accès direct non autorisé à des ressources (forceful browsing). Les versions indiquées comme touchées sont antérieures ou égales à 2.41 et, dans la branche 3.x, de 3.0.0 à 3.3.13…
Source : NVD — CVE-2026-118539
CVE-2026-96389 — autorisation manquante dans Drupal Xray Audit
La fiche NVD publiée le 30 octobre décrit une autorisation manquante dans Drupal Xray Audit permettant le force browsing. Les plages affectées indiquées sont 0.0.0 à 1.6.3, 2.0.0 à 2.0.4 et 3.0.0 à 3.1.1.
Source : NVD — CVE-2026-96389
OpenCart — contournement du paiement via Free Checkout et points de récompense
OpenCart présente une faille de logique métier dans le parcours Free Checkout : un client connecté peut manipuler les points de récompense pour faire passer une commande sans paiement. Les versions affectées indiquées vont jusqu’à 4.1.0.4…
Source : NVD — CVE-2026-119558
XSS stockée dans Drupal Menu Link Attributes
Une vulnérabilité XSS stockée affecte le module Drupal Menu Link Attributes, dans les versions jusqu’à 1.8.0 inclusivement. La fiche NVD a été publiée le 30 octobre 2026; les données fournies ne précisent ni version corrigée ni mesure de c…
Source : NVD — CVE-2026-107306
XSS dans le module Drupal Country
Une vulnérabilité XSS affecte le module Drupal Country dans les plages de versions indiquées par la fiche NVD. La fiche a été publiée le 30 octobre 2026; aucune version corrigée ni mesure de contournement n’est précisée dans les données fo…
Source : NVD — CVE-2026-107308
Autorisation manquante dans Drupal Easy Breadcrumb
Une absence de vérification d’autorisation dans le module Drupal Easy Breadcrumb permettrait un accès direct à des ressources protégées. La fiche NVD indique que les versions jusqu’à 2.0.11 sont affectées et a été publiée le 30 octobre 202…
Source : NVD — CVE-2026-107309
Contrôle d’accès contournable dans Permissions by Term
Une vérification incorrecte dans Drupal Permissions by Term peut permettre un accès direct contournant les permissions attendues. La fiche NVD indique que les versions jusqu’à 3.1.41 sont concernées et a été publiée le 30 octobre 2026.
Source : NVD — CVE-2026-107311
Drupal Data field : XSS stockée (CVE-2026-114555)
Une faille XSS stockée affecte le module Drupal Data field. Les versions indiquées comme touchées vont de 0.0.0 à 2.0.14 ; le lot ne précise pas de version corrigée ni de mesure corrective.
Source : NVD — CVE-2026-114555
CVE-2026-107260 — XSS stocké dans Drupal Sector Distribution
Une vulnérabilité de type XSS stocké affecte Drupal Sector Distribution. Les versions concernées indiquées sont 0.0.0 à 10.3.3 et 10.4.0 à 10.4.2 ; aucun correctif ni score CVSS n’est précisé dans la source fournie.
Source : NVD — CVE-2026-107260
CVE-2026-107266 — Autorisation manquante dans Drupal Views Share
Une vulnérabilité d’autorisation manquante permettant le forceful browsing affecte Drupal Views Share. Les versions concernées indiquées vont de 0.0.0 à 2.0.1 ; aucun correctif ni score CVSS n’est précisé dans la source fournie.
Source : NVD — CVE-2026-107266
Injection par réflexion non sûre dans Drupal core
Une vulnérabilité d’injection par réflexion non sûre affecte Drupal core dans les versions indiquées par la fiche NVD. Celle-ci a été publiée le 30 octobre 2026; les données fournies ne précisent ni score, ni version corrigée, ni impact dé…
Source : NVD — CVE-2026-108097
Injection par réflexion non sûre dans Drupal Entity List
Une vulnérabilité d’injection par réflexion non sûre affecte le module Drupal Entity List jusqu’à la version 3.0.10 incluse. La fiche NVD a été publiée le 30 octobre 2026; aucun score, correctif ou impact détaillé n’est fourni dans les don…
Source : NVD — CVE-2026-108099
XSS dans Drupal core
Une vulnérabilité XSS affecte Drupal core dans les plages de versions indiquées par la fiche NVD. La fiche a été publiée le 30 octobre 2026; les informations fournies ne précisent ni score ni version corrigée.
Source : NVD — CVE-2026-108514
XSS dans Drupal core
Une vulnérabilité XSS affecte Drupal core, dans les versions 8.9.0 à 10.6.19, 11.0.0 à 11.3.19, 11.4.0 à 11.4.10 et 12.0.0-alpha1 à 12.0.0-beta2. La fiche NVD a été publiée pendant la période ; aucun correctif ni contournement n’est indiqu…
Source : NVD — CVE-2026-108515
XSS dans Gin Admin Theme pour Drupal
Une vulnérabilité XSS affecte le thème d’administration Gin Admin Theme dans les versions 0.0.0 à 4.1.4 et 5.0.0 à 5.0.16. La fiche NVD a été publiée pendant la période ; les données fournies ne précisent ni version corrigée ni mesure de c…
Source : NVD — CVE-2026-110738
Injection de commandes dans Ffmpeg Image Toolkit
Une vulnérabilité d’injection de commandes système affecte le module Ffmpeg Image Toolkit dans les versions jusqu’à 1.0.3 inclusivement. La fiche NVD a été publiée pendant la période, mais la source fournie ne donne ni version corrigée ni…
Source : NVD — CVE-2026-114523
Escalade de privilèges dans Custom Formatters
Une vulnérabilité de privilèges définis par des actions dangereuses affecte le module Custom Formatters jusqu’à la version 4.2.1 incluse. La fiche NVD a été publiée pendant la période ; la source fournie ne précise ni version corrigée ni c…
Source : NVD — CVE-2026-114524
XSS stockée dans le module ABC
Une vulnérabilité XSS stockée affecte le module Drupal ABC dans les versions 0.0.0 à 1.25.0 et 2.0.0 à 2.0.1. La fiche NVD a été publiée pendant la période, mais les données fournies ne précisent ni version corrigée ni contournement.
Source : NVD — CVE-2026-114525
XSS stockée dans Black Hole
Une vulnérabilité XSS stockée affecte le module Black Hole dans les versions 0.0.0 à 1.26.0 et 2.0.0 à 2.0.1. La fiche NVD a été publiée pendant la période ; aucun correctif ni contournement n’est donné dans les données fournies.
Source : NVD — CVE-2026-114526
XSS dans UI Icons
Une vulnérabilité XSS affecte le module UI Icons dans les versions 0.0.0 à 1.1.3 et 2.0.0 à 2.0.2. La fiche NVD a été publiée pendant la période, sans indication de version corrigée ou de contournement dans la source fournie.
Source : NVD — CVE-2026-114527
XSS stockée dans Zero Point
Une vulnérabilité XSS stockée affecte le module Zero Point dans les versions 0.0.0 à 1.30.0 et 2.0.0 à 2.0.1. La fiche NVD a été publiée pendant la période ; les données fournies ne mentionnent aucun correctif ni contournement.
Source : NVD — CVE-2026-114528
XSS stockée dans CSV Field
Une vulnérabilité XSS stockée affecte CSV Field dans les versions 0.0.0 à 2.0.10 et 3.0.0 à 3.0.7. La fiche NVD a été publiée pendant la période ; la source fournie ne précise ni correctif ni contournement.
Source : NVD — CVE-2026-114529
Défaut d’autorisation dans Dopup
Une vulnérabilité d’autorisation incorrecte permettant le forceful browsing affecte le module Dopup jusqu’à la version 1.0.7 incluse. La fiche NVD a été publiée pendant la période ; les données fournies ne donnent ni version corrigée ni co…
Source : NVD — CVE-2026-114530
XSS stockée dans Drupal Swiper formatter
Une faille de type XSS stockée affecte le module Drupal Swiper formatter. Les versions concernées sont 0.0.0 à 2.1.2 et 3.0.1 à 3.1.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114531
XSS dans Drupal UI Icons
Une faille XSS affecte le module Drupal UI Icons. Les versions concernées sont 0.0.0 à 1.1.3 et 2.0.0 à 2.0.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114532
Contrôle d’autorisation manquant dans Ágora Transparency Theme
Une absence d’autorisation dans le thème Drupal Ágora Transparency permet la consultation forcée de ressources. La version concernée est 1.2.3 et les versions antérieures à partir de 0.0.0 ; aucun correctif ni contournement n’est indiqué.
Source : NVD — CVE-2026-114533
XSS stockée dans Drupal Block Attributes
Une faille XSS stockée affecte le module Drupal Block Attributes. Les versions concernées vont de 0.0.0 à 2.1.0 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114534
Autorisation manquante dans Drupal Swiper formatter
Une vérification d’autorisation incorrecte dans Drupal Swiper formatter permet le forceful browsing. Les versions concernées sont 0.0.0 à 2.1.2 et 3.0.1 à 3.1.0 ; aucun correctif ni contournement n’est précisé.
Source : NVD — CVE-2026-114535
XSS stockée dans Drupal USWDS Paragraph Components
Une faille XSS stockée affecte Drupal USWDS Paragraph Components. Les versions concernées vont de 0.0.0 à 3.1.3 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114536
Autorisation incorrecte dans Drupal View Unpublished
Une autorisation incorrecte dans Drupal View Unpublished permet le forceful browsing. Les versions concernées vont de 0.0.0 à 1.5.0 ; aucun correctif ni contournement n’est indiqué.
Source : NVD — CVE-2026-114537
Contournement d’authentification dans Drupal DocCheck Basic
Drupal DocCheck Basic présente un contournement d’authentification par un chemin ou canal alternatif. La version concernée est la branche 7.x ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Source : NVD — CVE-2026-114539
Autorisation incorrecte dans Drupal Domain
Une autorisation incorrecte dans le module Drupal Domain permet le forceful browsing. Les versions concernées vont de 3.0.0 à 3.0.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114540
Drupal Frontend Editing : vulnérabilité CSRF
Une vulnérabilité CSRF a été publiée pour le module Drupal Frontend Editing. Les versions affectées indiquées sont 0.0.0 à 1.9.3 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114541
Drupal Simple OAuth : informations sensibles dans le cache du navigateur
Une vulnérabilité liée au cache du navigateur contenant des informations sensibles a été publiée pour Drupal Simple OAuth (OAuth2) & OpenID Connect. Les versions affectées indiquées sont 6.1.0 à 6.1.3 ; aucun correctif ni contournement n’e…
Source : NVD — CVE-2026-114542
Drupal Simple User Management : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Simple User Management. Les versions affectées indiquées sont 0.0.0 à 1.11.0 ; aucun correctif ni contournement n’est précisé dans les do…
Source : NVD — CVE-2026-114543
Drupal Media Bulk Upload : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Media Bulk Upload. Les versions affectées indiquées sont 0.0.0 à 3.0.6 ; aucun correctif ni contournement n’est précisé dans les données…
Source : NVD — CVE-2026-114544
Drupal Fullcalendar View : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Fullcalendar View. Les versions affectées indiquées sont 0.0.0 à 5.2.6 ; aucun correctif ni contournement n’est précisé dans les données…
Source : NVD — CVE-2026-114545
Drupal Media Alias Display : informations sensibles dans le cache du navigateur
Une vulnérabilité liée au cache du navigateur contenant des informations sensibles a été publiée pour Drupal Media Alias Display. Les versions affectées indiquées sont 0.0.0 à 2.1.2 et 3.0.0 à 3.0.2 ; aucun correctif ni contournement n’est…
Source : NVD — CVE-2026-114546
Drupal TinyPNG : autorisation manquante
Une vulnérabilité d’autorisation manquante permettant la navigation forcée a été publiée pour Drupal TinyPNG. Les versions affectées indiquées sont 0.0.0 à 2.0.2 ; aucun correctif ni contournement n’est précisé dans les données fournies.
Source : NVD — CVE-2026-114547
Drupal ImageAPI Optimize WebP : informations sensibles dans le cache du navigateur
Une vulnérabilité liée au cache du navigateur contenant des informations sensibles a été publiée pour Drupal ImageAPI Optimize WebP. Les versions affectées indiquées sont 0.0.0 à 2.1.2 ; aucun correctif ni contournement n’est précisé dans…
Source : NVD — CVE-2026-114548
Drupal Frontend Editing : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal Frontend Editing. Les versions affectées indiquées sont 0.0.0 à 1.9.3 ; aucun correctif ni contournement n’est précisé dans les données f…
Source : NVD — CVE-2026-114553
Drupal AI File to Text : autorisation incorrecte
Une vulnérabilité d’autorisation incorrecte permettant la navigation forcée a été publiée pour Drupal AI File to Text. Les versions affectées indiquées sont 0.0.0 à 1.0.1 ; aucun correctif ni contournement n’est précisé dans les données fo…
Source : NVD — CVE-2026-114554
Drupal Rabbit Hole : contournement d’autorisation (CVE-2026-114571)
Une faille d’autorisation dans Drupal Rabbit Hole permet le contournement de restrictions par accès direct à une ressource (forceful browsing). Les versions indiquées comme touchées vont de 0.0.0 à 1.3.0 ; aucune version corrigée ni action…
Source : NVD — CVE-2026-114571
Drupal Monster Menus : injection d’objet (CVE-2026-114573)
Une faille d’injection d’objet affecte Drupal Monster Menus. Les versions indiquées comme touchées vont de 0.0.0 à 9.5.6 ; aucune version corrigée ni mesure corrective n’est fournie dans le lot.
Source : NVD — CVE-2026-114573
Drupal Commerce Core : autorisation incorrecte (CVE-2026-118540)
Une faille d’autorisation dans Drupal Commerce Core permet le forceful browsing. Les versions indiquées comme touchées vont jusqu’à 2.41 et, dans la branche 3.x, de 3.0.0 à 3.2.0 ; aucune version corrigée ou action corrective n’est fournie.
Source : NVD — CVE-2026-118540
Drupal Commerce Core : autorisation incorrecte (CVE-2026-118541)
Une faille d’autorisation dans Drupal Commerce Core permet le forceful browsing. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne précise pas de correctif.
Source : NVD — CVE-2026-118541
Drupal Commerce Core : autorisation incorrecte (CVE-2026-118542)
Une faille d’autorisation dans Drupal Commerce Core permet le forceful browsing. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne fournit ni correctif ni mesure de mitigation.
Source : NVD — CVE-2026-118542
Drupal Commerce Core : falsification de requête intersites (CVE-2026-118543)
Une vulnérabilité CSRF affecte Drupal Commerce Core. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne précise ni version corrigée ni action corrective.
Source : NVD — CVE-2026-118543
Drupal Commerce Core : exposition d’informations sensibles (CVE-2026-118544)
Une exposition d’informations sensibles par requêtes de données affecte Drupal Commerce Core. Les versions indiquées comme touchées vont jusqu’à 2.41.0 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne donne pas de correctif ni de con…
Source : NVD — CVE-2026-118544
Drupal AI — XSS (CVE-2026-118545)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’es…
Source : NVD — CVE-2026-118545
Drupal AI — XSS (CVE-2026-118546)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’es…
Source : NVD — CVE-2026-118546
Drupal AI — injection de ressources par autorisation incorrecte (CVE-2026-118548)
Drupal AI présente une vulnérabilité d’autorisation incorrecte pouvant permettre une injection de ressources. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’est précisé dans les élé…
Source : NVD — CVE-2026-118548
Drupal AI — XSS (CVE-2026-118549)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’es…
Source : NVD — CVE-2026-118549
Drupal AI — informations sensibles dans le cache du navigateur (CVE-2026-118550)
Drupal AI présente une vulnérabilité liée à la mise en cache par le navigateur d’informations sensibles, associée à des niveaux de contrôle d’accès mal configurés. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont…
Source : NVD — CVE-2026-118550
Drupal AI — stockage non sécurisé d’informations sensibles (CVE-2026-118551)
Drupal AI présente une vulnérabilité de stockage non sécurisé d’informations sensibles, susceptible de permettre la récupération de données sensibles intégrées. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont con…
Source : NVD — CVE-2026-118551
Drupal AI — XSS (CVE-2026-118552)
Drupal AI présente une vulnérabilité XSS, décrite comme une neutralisation incorrecte d’entrées lors de la génération de pages Web. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif n’es…
Source : NVD — CVE-2026-118552
Drupal AI — XSS persistante (CVE-2026-118553)
Drupal AI présente une vulnérabilité XSS persistante. La fiche NVD indique que les versions 0.0.0 à 1.4.11 et 1.5.0 à 1.5.2 sont concernées; aucun correctif ni détail supplémentaire sur les circonstances n’est précisé dans les éléments fou…
Source : NVD — CVE-2026-118553
Drupal OpenID Connect Client — contournement d’authentification (CVE-2026-118554)
Drupal OpenID Connect Client présente une vulnérabilité de contournement de l’authentification par un chemin ou canal alternatif. La fiche NVD indique que les versions 0.0.0 à 2.3.1 sont concernées; aucun correctif n’est précisé dans les é…
Source : NVD — CVE-2026-118554
Drupal Commerce License — navigation forcée (CVE-2026-118555)
Drupal Commerce License présente une vulnérabilité d’autorisation incorrecte permettant la navigation forcée. La fiche NVD indique que les versions 0.0.0 à 3.1.1 sont concernées; aucun correctif n’est précisé dans les éléments fournis.
Source : NVD — CVE-2026-118555
CVE-2026-118556 — autorisation incorrecte dans Drupal Commerce Shipping
La fiche NVD publiée le 30 octobre 2026 décrit un contrôle d’autorisation incorrect dans Drupal Commerce Shipping, permettant le « forceful browsing ». Les versions affectées indiquées sont 0.0.0 à 2.16.0 et 3.0.0 à 3.0.6 ; aucun correctif…
Source : NVD — CVE-2026-118556
CVE-2026-118557 — autorisation incorrecte dans Drupal Commerce Shipping
La fiche NVD publiée le 30 octobre 2026 décrit un contrôle d’autorisation incorrect dans Drupal Commerce Shipping, permettant le « forceful browsing ». Les versions affectées indiquées sont 0.0.0 à 2.16.0 et 3.0.0 à 3.0.6 ; aucun correctif…
Source : NVD — CVE-2026-118557
CVE-2026-118558 — CSRF dans Drupal Commerce Stripe
La fiche NVD publiée le 30 octobre 2026 décrit une vulnérabilité CSRF dans Drupal Commerce Stripe. Elle affecte les versions 2.0.0 à 2.2.3 ; les données fournies ne précisent ni correctif ni contournement.
Source : NVD — CVE-2026-118558
CVE-2026-118559 — vérification de signature incorrecte dans Drupal Commerce Stripe
La fiche NVD publiée le 30 octobre 2026 signale une vérification incorrecte de signature cryptographique dans Drupal Commerce Stripe, pouvant permettre une usurpation de signature. Elle indique comme affectées les versions 0.0.0 à 1.4 et 2…
Source : NVD — CVE-2026-118559
CVE-2026-118560 — XSS dans Drupal Commerce Stripe
La fiche NVD publiée le 30 octobre 2026 décrit une neutralisation incorrecte d’entrée lors de la génération de pages web (XSS) dans Drupal Commerce Stripe. Les versions affectées indiquées sont 2.0.0 à 2.2.3 ; les données fournies ne donne…
Source : NVD — CVE-2026-118560
CVE-2026-118561 — traversée de chemin dans Drupal Single Content Sync
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité de traversée de chemin dans Drupal Single Content Sync, liée au contrôle externe du nom ou du chemin de fichier. Les versions affectées indiquées vont de 0.0.0 à 1.4.19 ; au…
Source : NVD — CVE-2026-118561
CVE-2026-118562 — désérialisation de données non fiables dans Drupal Single Content Sync
La fiche NVD publiée le 30 octobre 2026 signale une désérialisation de données non fiables dans Drupal Single Content Sync, avec injection d’objets. Les versions affectées indiquées vont de 0.0.0 à 1.4.19 ; les données fournies ne précisen…
Source : NVD — CVE-2026-118562
CVE-2026-118563 — vulnérabilité dans Drupal CacheFlush
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité affectant Drupal CacheFlush, sans préciser sa nature. La fiche indique que toutes les versions sont concernées (« *.* ») ; les données fournies ne donnent ni impact détaillé…
Source : NVD — CVE-2026-118563
CVE-2026-118564 — vulnérabilité dans PayUmoney for Drupal Commerce
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité dans PayUmoney for Drupal Commerce, sans en préciser la nature. La fiche indique que toutes les versions sont concernées (« *.* ») ; aucun impact détaillé, correctif ou cont…
Source : NVD — CVE-2026-118564
CVE-2026-118565 — vulnérabilité dans l’intégration Drupal GroupEx PRO
La fiche NVD publiée le 30 octobre 2026 signale une vulnérabilité dans l’intégration Drupal GroupEx PRO (Daxko), sans en préciser la nature. La fiche indique que toutes les versions sont concernées (« *.* ») ; les données fournies ne décri…
Source : NVD — CVE-2026-118565
Drupal Bulk Update User Roles : contrôle d’autorisation incorrect
Une faille d’autorisation incorrecte dans Bulk Update User Roles permettrait le contournement des contrôles par navigation forcée. La fiche NVD indique que les versions 0.0.0 à 1.0.5 sont concernées, sans préciser de correctif.
Source : NVD — CVE-2026-118567
Drupal Content Sync : stockage non sécurisé de données sensibles
Content Sync présente une faille de stockage non sécurisé d’informations sensibles permettant de récupérer des données sensibles intégrées. La fiche NVD indique que les versions 0.0.0 à 3.2.2 sont concernées, sans préciser de correctif.
Source : NVD — CVE-2026-118568
Drupal Fasttoggle : contrôle d’autorisation incorrect
Fasttoggle présente une faille d’autorisation incorrecte permettant la navigation forcée. La fiche NVD indique que les versions 0.0.0 à 4.1.1 sont concernées et ne fournit pas de version corrigée.
Source : NVD — CVE-2026-118569
Drupal Fasttoggle : vulnérabilité CSRF
Fasttoggle est affecté par une vulnérabilité de falsification de requête intersites (CSRF). Les versions 0.0.0 à 4.1.1 sont concernées selon la fiche NVD; aucun correctif n’y est indiqué.
Source : NVD — CVE-2026-118570
Drupal Media Alias Display : données sensibles dans le cache navigateur
Media Alias Display présente une vulnérabilité liée à la mise en cache par le navigateur d’informations sensibles et à une configuration incorrecte des niveaux de contrôle d’accès. Les versions 0.0.0 à 2.1.3 et 3.0.0 à 3.0.3 sont concernée…
Source : NVD — CVE-2026-118571
Drupal OAuth Login – OAuth OIDC SSO : contournement d’authentification
OAuth Login – OAuth OIDC SSO est affecté par un contournement d’authentification via un chemin ou canal alternatif. La fiche NVD désigne les versions 0.0.0 à 3.1.1 comme concernées, sans indiquer de version corrigée.
Source : NVD — CVE-2026-118572
Drupal OAuth2 Token Manager : absence d’autorisation
OAuth2 Token Manager comporte une absence d’autorisation permettant la navigation forcée. La fiche NVD indique que les versions 0.0.0 à 1.2.0 sont concernées, sans préciser de correctif.
Source : NVD — CVE-2026-118573
Drupal S3 File System : permissions incorrectes sur une ressource critique
S3 File System présente une attribution incorrecte de permissions pour une ressource critique, susceptible de permettre l’exploitation de niveaux de contrôle d’accès mal configurés. La fiche NVD indique que les versions 0.0.0 à 3.12.0 sont…
Source : NVD — CVE-2026-118574
Drupal Signature pad widget : XSS stockée
Signature pad widget est affecté par une vulnérabilité de type XSS stockée, due à une neutralisation incorrecte des entrées lors de la génération de pages Web. Les versions 0.0.0 à 1.15.0 sont concernées selon la fiche NVD, qui ne précise…
Source : NVD — CVE-2026-118575
Drupal Stage File Proxy : vulnérabilité XSS
Stage File Proxy présente une vulnérabilité XSS liée à une neutralisation incorrecte des entrées lors de la génération de pages Web. Les versions 0.0.0 à 3.1.7 et 4.0.0 à 4.0.1 sont concernées; la fiche NVD ne précise pas de version corrig…
Source : NVD — CVE-2026-118576
CVE-2026-118582 — contournement de fonctionnalité dans Drupal CAPTCHA
La fiche NVD publiée le 30 octobre décrit un contournement de fonctionnalité dans Drupal CAPTCHA. Les versions affectées indiquées sont 0.0.0 à 1.18.0 et 2.0.0 à 2.0.11.
Source : NVD — CVE-2026-118582
CVE-2026-118583 — défaut d’autorisation dans Drupal Field Permissions
La fiche NVD publiée le 30 octobre décrit un défaut d’autorisation dans Drupal Field Permissions permettant le force browsing. La version affectée indiquée est 1.6.0 et les versions antérieures à partir de 0.0.0.
Source : NVD — CVE-2026-118583
CVE-2026-118584 — défaut d’autorisation dans Drupal Field Permissions
La fiche NVD publiée le 30 octobre décrit un défaut d’autorisation dans Drupal Field Permissions permettant le force browsing. La version affectée indiquée est 1.6.0 et les versions antérieures à partir de 0.0.0.
Source : NVD — CVE-2026-118584
Systèmes & serveurs
29 alerte(s)Linux TIPC : correction d'une réutilisation de nonce AES-GCM
Un défaut dans TIPC pouvait réutiliser des nonces AES-GCM après un changement de clé signalé par un pair. Cette réutilisation pouvait compromettre la confidentialité des communications et permettre la falsification de paquets.
Source : NVD — CVE-2026-98805
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42215
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait une exécution de commandes par des options non sûres passées en arguments nommés avec des traits de soulignement. Consultez l’avis Debian…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42284
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres non vérifiées après le découpage de multi_options avec shlex. Consultez l’avis Debian et appliquez la mise à jour de sécurit…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44243
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait d’accéder à des fichiers hors du dépôt lors de la manipulation de références. Consultez l’avis Debian et appliquez la mise à jour de sécur…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44244
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’écriture de configuration ne rejetait pas les caractères de contrôle dans les valeurs. Consultez l’avis Debian et appliquez la mise à jour de sécuri…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67322
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des variables d’environnement étaient développées dans les URL de clonage et pouvaient divulguer des secrets à un hôte distant. Consultez l’avis Debia…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67323
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres n’étaient pas protégées dans plusieurs API Git et pouvaient conduire à l’exécution de commandes. Consultez l’avis Debian et appl…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67324
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options longues abrégées contournaient les contrôles d’options non sûres et pouvaient mener à l’exécution de commandes. Consultez l’avis Debian et…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67325
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options courtes combinées contournaient les contrôles des options non sûres. Consultez l’avis Debian et appliquez la mise à jour de sécurité dispo…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67326
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sections de configuration n’étaient pas validés avant leur écriture. Consultez l’avis Debian et appliquez la mise à jour de sécurité dispo…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-69097
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des noms de sections contenant un crochet fermant non cité pouvaient injecter des paramètres arbitraires dans .git/config. Consultez l’avis Debian et…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73619
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres manquaient aux listes de blocage et pouvaient mener à l’exécution de commandes ou à un accès arbitraire aux fichiers. Consultez…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73620
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres dans IndexFile.checkout() et TagReference.create(). Elles pouvaient permettre de lire ou d’écrire des chemins arbitraires; c…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73621
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Commit.count n’écartait pas des options de sortie non sûres. Cela pouvait entraîner l’écriture vers des chemins arbitraires; consultez l’avis et appli…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73622
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les variables d’environnement étaient développées dans les URL de dépôts distants et de sous-modules. Cette expansion pouvait divulguer des secrets à…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73623
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option non sûre –template n’était pas rejetée lors d’un clonage. Cela pouvait permettre la lecture de chemins arbitraires; consultez l’avis et appl…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73624
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options de sortie non sûres n’étaient pas protégées dans les opérations diff. Elles pouvaient écrire vers des chemins arbitraires; consultez l’avi…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73625
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs d’options courtes séparées n’étaient pas validées. Ce défaut pouvait contourner les contrôles d’options non sûres dans plusieurs opération…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76217
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options –pathspec-from-file n’étaient pas protégées dans certaines opérations d’index et de HEAD. Cela pouvait permettre de lire des chemins arbi…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76218
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Repo.init ne bloquait pas des options Git init non sûres. Les options citées pouvaient lire ou écrire des chemins arbitraires; consultez l’avis et app…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76219
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option –index-output n’était pas protégée dans des appels read-tree. Cela pouvait écrire vers un chemin arbitraire; consultez l’avis et appliquez l…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76220
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où la valeur accolée aux options d’un caractère n’était pas vérifiée dans certains cas. Cela pouvait contourner les contrôles des options non sûres; cons…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76221
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms d’options de configuration pouvant injecter des paramètres n’étaient pas rejetés. Consultez l’avis Debian et appliquez la mise à jour de sécu…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76222
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sous-modules lus depuis .gitmodules n’étaient pas validés avant des opérations sur le système de fichiers. Cela permettait une traversée d…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78675
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les directives include de .gitmodules étaient traitées. Ce comportement pouvait permettre la lecture de fichiers arbitraires; consultez l’avis et appl…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78676
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs de configuration multilignes n’étaient pas préservées. L’extrait fourni ne précise pas davantage les conséquences propres à cette vulnérab…
DSA-6598-1 : mise à jour de sécurité Thunderbird
Debian a publié DSA-6598-1 pour plusieurs problèmes de sécurité dans Thunderbird. L’avis indique qu’ils pourraient entraîner l’exécution de code arbitraire ou la divulgation d’informations; il ne fournit pas de CVE dans les données disponi…
DLA-4871-1 : mise à jour de sécurité cyrus-sasl2
Debian a publié DLA-4871-1 pour un dépassement de tampon dans le tas du greffon DIGEST-MD5 de cyrus-sasl2. Les données fournies ne donnent pas de CVE ni de détails de versions; consultez l’avis Debian et appliquez la mise à jour de sécurit…
DLA-4870-1 : mise à jour de sécurité antiword
Debian a publié DLA-4870-1 pour plusieurs problèmes dans antiword, notamment des écritures hors limites dans le tas et une division entière par zéro. Aucun CVE n’était attribué selon l’avis fourni; consultez celui-ci et appliquez la mise à…
Outils & observabilité
1 alerte(s)Uptime Kuma : création concurrente d’un compte administrateur lors de la première configuration
Le 30 octobre, une fiche a été publiée pour une condition de concurrence dans le gestionnaire Socket.IO de première configuration d’Uptime Kuma. Selon la description fournie, elle pourrait permettre à un attaquant non authentifié de créer…
Source : NVD — CVE-2026-119552