Les sujets à surveiller, en un regard.
93 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 10 sujet(s) en rouge, 7 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée a trouvé un billet Shopify publié le 2026-11-04 sur le test des paramètres d’accès réseau d’applications en boutique de développement. Il décrit une fonctionnalité de prévisualisation et ne constitue pas un avis de sécurité, une vulnérabilité, une exploitation ni un correctif de sécurité répondant aux critères de ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche dédiée à Wix a relevé un incident opérationnel affectant plusieurs services le 4 novembre 2026, mais les informations consultées le décrivent comme une panne avec correctif mis en place et ne l’identifient pas comme un événement de sécurité. Aucun avis de sécurité ou vulnérabilité Wix répondant aux critères de la période n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a pas fait apparaître de vulnérabilité, d’avis ou correctif de sécurité, d’exploitation ni de changement substantiel vérifiable comme daté de la période demandée. Aucun candidat n’était fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche web dédiée a consulté des sources Craft CMS et GitHub. Les résultats obtenus montrent des avis publiés avant le 2026-11-04, mais n’établissent aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté dans la période demandée; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche web dédiée n’a trouvé aucun avis ou événement de sécurité Ghost daté de la période demandée. Les avis Ghost visibles dans les résultats consultés étaient antérieurs au 2026-11-04; le résultat daté du 4 novembre concernait une annonce de produit, pas une information de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche web dédiée sur Strapi a été effectuée. Les trois candidats désignent des vulnérabilités publiées le 2026-10-27; les éléments consultés ne confirment pas de nouvel avis, correctif, exploitation ni changement substantiel entre le 2026-11-04T00:00:00+02:00 et le 2026-11-05T00:00:00+02:00. Les seules dates de mise à jour NVD fournies pour cette période ne suffisent pas à établir un événement de sécurité admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche ciblée sur Directus n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-11-04 dans la période demandée. Les avis et versions visibles dans les sources consultées sont datés d’autres jours; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée sur OpenCart n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Les résultats consultés signalent notamment un CVE publié le 2026-10-30 et des demandes de correction ouvertes le 2026-11-01, donc hors de la période retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée sur cPanel n’a pas permis de vérifier de nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-04 dans la période demandée. La fiche CVE-2026-65643 était déjà associée à un avis cPanel publié le 2026-08-27; le candidat indique une mise à jour NVD antérieure au début de la période en heure +02:00, et aucune modification substantielle dans la période n’a été vérifiée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a relevé, pour Ruby et Ruby on Rails dans la période demandée, une vulnérabilité Active Storage publiée sous CVE-2026-122006, un avis GitHub concernant le gem malveillant w002yardprobe et un avis CERT-FR générique sur Ruby on Rails. Les mises à jour NVD de CVE-2024-38368 et CVE-2024-45409 n’ont pas été retenues comme nouveautés ou changements substantiels datés de la période.
Code malveillant dans le gem RubyGems w002yardprobe
L’avis signale du code malveillant dans les versions 0.0.4 et 0.0.5 du gem w002yardprobe. La génération de documentation YARD déclenche un script qui collecte des informations sur l’hôte et les transmet à un service tiers, tout en modifiant des fichiers du répertoire de construction.
Action recommandée : Ne pas utiliser ces versions; retirer le gem des dépendances et caches. Examiner les machines et pipelines ayant généré sa documentation et évaluer les données ou secrets auxquels ces environnements avaient accès.
Active Storage : lecture et écriture de fichiers via le traitement ImageMagick
Dans Active Storage, l’analyse d’une pièce jointe par ImageMagick sans politique de sécurité adéquate peut permettre la lecture ou l’écriture de fichiers accessibles au serveur. Les applications qui acceptent des téléversements non fiables et utilisent ce chemin de traitement doivent appliquer le correctif.
Action recommandée : Mettre à niveau Active Storage vers une version corrigée et vérifier la configuration effective d’ImageMagick. Si l’application est concernée, examiner les fichiers et secrets accessibles au processus.
CERT-FR : avis de vulnérabilités multiples dans Ruby on Rails
Le CERT-FR a publié un avis signalant plusieurs vulnérabilités dans Ruby on Rails, dont certaines peuvent permettre une exécution de code à distance, un déni de service ou une atteinte à la confidentialité. L’extrait consulté ne précise ni les identifiants CVE concernés ni les versions affectées; il ne permet donc pas de détailler ces vulnérabilités individuellement.
Action recommandée : Consulter l’avis CERT-FR complet et appliquer les mesures correspondant aux versions effectivement utilisées.
Bun
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité de Bun, à ses publications GitHub et aux informations relatives à CVE-2026-111497 n’a identifié aucun nouvel avis, correctif ou changement substantiel daté du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Les avis Bun retrouvés pour Brotli ont été publiés le 2026-10-23, hors période ; la mise à jour NVD du candidat ne constitue pas, à elle seule, un nouvel événement de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche web dédiée à Deno n’a fait ressortir aucun avis de sécurité, correctif de sécurité ou événement d’exploitation dont la date soit comprise dans la période demandée, du 2026-11-04T00:00:00+02:00 inclus au 2026-11-05T00:00:00+02:00 exclu. Les avis Deno repérés dans les résultats consultés sont datés de mai ou juin 2026, donc hors période; les éléments GitHub du 4 novembre repérés concernaient des problèmes généraux, sans indication qu’il s’agissait d’événements de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis de sécurité Arc lié à l’écosystème Go est daté du 4 novembre 2026 dans la période demandée. Les autres candidats fournis concernent des avis publiés avant cette période et leur mise à jour, à elle seule, ne démontre pas un changement substantiel survenu le 4 novembre.
Arc : contournement du contrôle d’accès permettant la lecture de données d’autres bases
Un avis publié le 4 novembre signale que des fonctions d’E/S DuckDB peuvent permettre à un utilisateur authentifié d’Arc de lire ou d’énumérer des données appartenant à d’autres bases, contournant ainsi l’isolation attendue. La fiche conseille de mettre à jour Arc vers la version corrigée indiquée dans l’avis; l’exploitation active n’est pas établie par les sources consultées.
Action recommandée : Mettre à jour Arc vers la version corrigée indiquée dans l’avis.
Kotlin
Recherche du sujet effectuée
La recherche web dédiée sur Kotlin n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté dans la période demandée. Les résultats consultés incluent les avis de sécurité GitHub du projet Kotlin, ses publications de versions et des recherches ciblées sur CVE/NVD, CISA et JetBrains.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Electron dans la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Les deux candidats correspondent à des avis publiés antérieurement; la modification NVD signalée ne suffit pas à établir un événement de sécurité nouveau dans la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée sur jQuery n’a identifié aucun nouvel avis, correctif ou changement substantiel attribuable à la bibliothèque jQuery pendant la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Les candidats fournis concernent des vulnérabilités dans HumHub, Semantic MediaWiki et WeGIA, et non dans jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Le CERT-FR a publié le 4 novembre 2026 un avis signalant une vulnérabilité Laravel associée à une exécution de code arbitraire à distance. Les éléments consultés ne précisent ni CVE, ni versions affectées, ni correctif.
Vulnérabilité dans Laravel — exécution de code à distance
Le CERT-FR signale une vulnérabilité dans Laravel permettant une exécution de code arbitraire à distance. Les sources consultées ne permettent pas d’établir les versions affectées, un correctif ni des détails techniques supplémentaires.
Svelte
Recherche du sujet effectuée
Aucune nouveauté Svelte correspondant à la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00 n’a été identifiée dans les résultats consultés. Les avis Svelte et SvelteKit retrouvés dans les résultats étaient datés antérieurement à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée a vérifié plusieurs avis Symfony datés du 2026-11-04, dont les CVE-2026-118513, CVE-2026-118514, CVE-2026-118515, CVE-2026-118516, CVE-2026-121373 et CVE-2026-121971. Les éléments consultés confirment les versions corrigées pour plusieurs avis ; les détails techniques de CVE-2026-118515 n’ont pas été entièrement vérifiés. La modification NVD de CVE-2026-46633 a été écartée comme simple mise à jour administrative d’une vulnérabilité publiée antérieurement. Debian a publié pendant la période un avis de sécurité pour Symfony signalant plusieurs vulnérabilités pouvant entraîner un déni de service ou une injection d’en-têtes de courriel. Les informations fournies ne précisent pas les CVE ni les versions concernées.
Symfony : contournement d’authentification par falsification de DN X.509
Un défaut d’analyse des noms distinctifs X.509 peut permettre à une personne disposant d’un certificat émis par l’AC de confiance et pouvant influencer le CN de s’authentifier comme un autre utilisateur, éventuellement privilégié. Le correctif analyse les RDN séparément en tenant compte des séparateurs échappés.
Action recommandée : Mettre à niveau Symfony Security HTTP vers la version corrigée de la branche utilisée.
Symfony HttpClient : fuite possible d’identifiants vers une autre origine
ScopingHttpClient peut conserver les identifiants du scope par défaut lorsqu’une URL relative de type référence réseau est résolue vers une autre origine. Des identifiants configurés, comme auth_basic ou auth_bearer, peuvent alors être transmis à un serveur contrôlé par un tiers.
Action recommandée : Mettre à niveau Symfony vers la version corrigée de la branche utilisée et éviter de laisser un contenu non fiable contrôler les URL transmises à un client muni d’identifiants.
Symfony Routing : contournement possible des contrôles d’accès fondés sur le chemin
Une différence d’interprétation entre CompiledUrlMatcher et UrlMatcher peut laisser un paramètre d’hôte consommer une partie du chemin et faire atteindre un contrôleur sans appliquer une règle de sécurité fondée sur le chemin réel. Le défaut concerne les applications combinant des routes avec paramètres d’hôte et des protections par chemin.
Action recommandée : Mettre à niveau Symfony vers la version corrigée de la branche utilisée ; réexaminer les règles de confiance des hôtes et les protections des routes concernées.
Symfony HtmlSanitizer : contournement du filtrage des redirections meta refresh
Le sanitiseur de meta refresh peut laisser passer certaines formes de directive de redirection et ne pas appliquer le contrôle prévu sur l’URL. Une redirection vers un site non fiable peut alors contourner les restrictions de schéma ou d’hôte configurées pour les liens.
Action recommandée : Mettre à niveau Symfony HtmlSanitizer vers une version corrigée de la branche utilisée.
Debian DSA-6612-1 : mise à jour de sécurité pour Symfony
Debian a publié DSA-6612-1 pour corriger plusieurs vulnérabilités de Symfony pouvant provoquer un déni de service ou une injection d’en-têtes de courriel. Les versions concernées et les paquets corrigés ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et installer les paquets corrigés indiqués par Debian.
Flask
Recherche du sujet effectuée
La recherche dédiée sur Flask a été effectuée pour la période du 2026-11-04T00:00:00+02:00 inclus au 2026-11-05T00:00:00+02:00 exclu. Les avis Flask retrouvés concernent des événements antérieurs à cette période; aucun nouvel avis, correctif ou changement substantiel daté dans la fenêtre n’a été vérifié. Le candidat fourni concerne pgAdmin 4 et non Flask.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche a relevé des correctifs de sécurité Django publiés le 2026-11-03, avant la période demandée, qui commence le 2026-11-04T00:00:00+02:00. Aucun élément vérifié ne correspond donc à une nouveauté Django datée dans la période figée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant le projet FastAPI daté de la période demandée (du 2026-11-04T00:00:00+02:00 inclus au 2026-11-05T00:00:00+02:00 exclu). Un résultat concernant fastapi-code-generator est daté du 2026-11-03 et porte sur un projet distinct; il est donc hors période et hors sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Aucun avis ou changement de sécurité vérifié comme nouveau et pertinent pour le projet Express pendant la période demandée. Les candidats portent soit sur des homonymes/non pertinents, soit sur des vulnérabilités publiées avant la période dont la fiche NVD a été modifiée pendant celle-ci.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
Recherche web dédiée effectuée sur NestJS. Les sources consultées ne montrent aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel NestJS daté du 2026-11-04 dans la période indiquée; les avis trouvés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Un nouvel avis de sécurité ProxySQL concernant le traitement de paquets MySQL compressés a été publié pendant la période. Les autres candidats ne décrivent pas une vulnérabilité du produit MySQL lui-même dans cette période, ou leur mise à jour NVD seule ne suffit pas à établir un changement substantiel daté. Le candidat concerne une vulnérabilité de BlueprintUE. La mention de MySQL décrit le comportement exploité par l’application et ne constitue pas une vulnérabilité, un correctif ni un avis de sécurité propre à MySQL.
ProxySQL — lecture de données non initialisées lors de la décompression de paquets MySQL
Une vérification insuffisante de la longueur des données décompressées dans ProxySQL peut conduire à lire des données non initialisées et à transmettre des données résiduelles au serveur en arrière-plan. Un client MySQL authentifié utilisant la compression peut notamment provoquer la divulgation de données sensibles; des longueurs malformées peuvent aussi entraîner des allocations excessives.
Action recommandée : Mettre à niveau vers la version corrigée correspondant à la branche utilisée : 3.0.10, 3.1.10 ou 4.0.10.
PostgreSQL
Recherche du sujet effectuée
Aucune nouveauté de sécurité attribuable à PostgreSQL n’a été vérifiée pour la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Les résultats consultés signalent notamment une publication de sécurité psqlODBC datée du 2026-11-02, hors période ; aucun avis PostgreSQL du projet daté du 2026-11-04 n’a été identifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis CERT-FR daté du 4 novembre 2026 signale une vulnérabilité dans MongoDB avec un impact possible sur la confidentialité et l’intégrité des données. Les sources consultées n’ont pas permis d’établir les versions affectées, le correctif ou un identifiant CVE pour cet avis.
Vulnérabilité dans MongoDB
Le CERT-FR a publié le 4 novembre 2026 un avis signalant une vulnérabilité dans MongoDB, susceptible de porter atteinte à la confidentialité et à l’intégrité des données. L’avis fourni ne précise ni CVE, ni versions affectées, ni correctif ; ces détails restent donc à confirmer.
Action recommandée : Consulter l’avis CERT-FR et les recommandations de l’éditeur pour déterminer les versions concernées et appliquer les mesures de mise à jour appropriées.
Redis
Recherche du sujet effectuée
La recherche dédiée aux avis et publications Redis n’a pas identifié de nouveauté de sécurité datée du 2026-11-04 dans la période demandée. Les deux candidats sont exclus : l’un concerne PCP, et l’autre est une ancienne vulnérabilité Redis dont la fiche NVD a été mise à jour pendant la période, sans preuve d’un changement de sécurité substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Vérification incomplète
La page des avis de sécurité de Caddy présente cinq avis publiés le 2026-11-04, dont un classé high et quatre medium. Les éléments consultés ne permettent pas de confirmer les plages de versions affectées ni les versions corrigées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
SvelteKit
Recherche du sujet effectuée
La recherche web dédiée sur SvelteKit n’a révélé aucun avis ou événement de sécurité daté du 2026-11-04 dans les résultats consultés. Les avis visibles dans le dépôt SvelteKit sont datés d’autres jours et sont donc hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
Pour Babel (compilateur JavaScript), les sources consultées ne montrent pas d’avis de sécurité ni de correctif pertinent daté du 2026-11-04 dans la période demandée. Les avis visibles sur GitHub sont antérieurs; les dernières versions visibles dans les résultats consultés sont datées du 2026-10-23. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucun avis ou correctif Elasticsearch daté du 2026-11-04 n’a été vérifié dans les sources consultées. Les avis Elasticsearch repérés dans les annonces Elastic sont datés du 2026-11-03, donc hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée sur RabbitMQ n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Les avis RabbitMQ relevés dans les sources consultées étaient datés d’avant cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Memcached. Les résultats consultés n’ont pas établi de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-11-04 dans la période demandée; les avis trouvés concernaient des dates antérieures et ont été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité touchant l’usage de GraphQL dans SourceHut meta.sr.ht a été publiée pendant la période : elle permet de contourner la désactivation de l’inscription publique; un correctif est indiqué en version 0.89.0.
SourceHut meta.sr.ht : contournement de l’interdiction d’inscription via GraphQL
Une vérification d’autorisation manquante dans meta.sr.ht permet à un attaquant non authentifié de créer un compte même lorsque l’inscription publique est désactivée. Le parcours de création appelle la mutation GraphQL RegisterAccount sans appliquer ce contrôle.
Action recommandée : Mettre à niveau meta.sr.ht vers la version 0.89.0 ou ultérieure.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Élevée
Six CVE pertinentes ont été publiées le 4 novembre 2026 pour des extensions WooCommerce : deux concernent Mollie Payments, et les autres ERP, Doofinder, Vipps/MobilePay et wePOS. Les candidats Sender, WATI et Eupago n’ont pas été retenus : Sender n’est pas une vulnérabilité propre à WooCommerce, tandis que les fiches WATI et Eupago avaient été publiées avant la période et leur modification NVD du 4 novembre n’est pas établie comme substantielle. Les éléments fournis signalent cinq vulnérabilités publiées le 2026-11-04 dans des extensions destinées à WooCommerce : Mollie Payments, ERP Suite, Doofinder, Vipps/MobilePay et wePOS. Les informations disponibles indiquent des correctifs pour Mollie, ERP Suite, Vipps/MobilePay et wePOS ; aucun correctif n’est précisé pour Doofinder.
Doofinder for WooCommerce : exposition de données sensibles
Doofinder for WooCommerce est affecté par une vulnérabilité d’insertion d’informations sensibles dans un fichier ou répertoire accessible de l’extérieur. Les versions concernées vont jusqu’à 2.17.2 inclus ; la source fournie ne précise ni version corrigée ni mesure corrective.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et appliquer le correctif dès sa publication.
ERP Suite for WooCommerce : divulgation de données sensibles par une action AJAX
Dans l’extension ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce, une action AJAX sans contrôle de capacité expose l’historique des valeurs de modifications de fiches à tout utilisateur authentifié. Les versions antérieures à 1.17.11 sont concernées ; mettez à jour vers la version 1.17.11 ou une version ultérieure.
Action recommandée : Mettre à jour l’extension vers la version 1.17.11 ou une version ultérieure.
Vipps et MobilePay pour WooCommerce : validation insuffisante des webhooks
Pay with Vipps and MobilePay for WooCommerce ne validait pas correctement la signature de certains webhooks de paiement récurrent lorsque aucun secret local de webhook n’était configuré. Un attaquant non authentifié pouvait alors forger un événement et annuler un abonnement actif ; mettre à jour l’extension vers la version 6.4.1 ou ultérieure.
Action recommandée : Mettre à jour l’extension vers la version 6.4.1 ou ultérieure.
wePOS pour WooCommerce : traitement non autorisé de commandes
wePOS (Point Of Sale for WooCommerce) ne vérifiait pas l’autorisation d’un utilisateur de niveau vendeur sur une route REST de traitement des paiements. Un vendeur pouvait marquer comme payée et terminée une commande d’autrui sans paiement réel, déclenchant notamment la réduction du stock et l’accès aux produits payés ; mettre à jour vers la version 2.0.3 ou ultérieure.
Action recommandée : Mettre à jour wePOS vers la version 2.0.3 ou ultérieure.
Mollie Payments for WooCommerce : réduction non autorisée du total des commandes
Dans Mollie Payments for WooCommerce, une vérification manquante permet à un utilisateur non authentifié de réduire le total d’une commande avant son paiement. Le problème concerne les versions antérieures à 8.2.0 ; mettez à jour le plugin vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour Mollie Payments for WooCommerce vers la version 8.2.0 ou une version ultérieure.
Mollie Payments for WooCommerce : commande possible pour un produit non publié
Mollie Payments for WooCommerce peut créer une commande pour un produit en brouillon ou non publié via son point de terminaison PayPal express-checkout. La faille concerne les versions antérieures à 8.2.0 ; mettez à jour le plugin vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour Mollie Payments for WooCommerce vers la version 8.2.0 ou une version ultérieure.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée à Simple:Press n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-04 dans la période demandée. Les résultats consultés signalent des informations antérieures, qui ne sont pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié trois publications NVD dans la période concernant Docker Buildx et Docker Sandboxes, ainsi qu’une mise à jour substantielle rapportée pour Docker Desktop avec WSL2. Les autres candidats ont été écartés pour hors-sujet, antériorité à la période ou absence d’élément établissant un changement substantiel pendant celle-ci. Aucune vulnérabilité Docker n’est établie par les candidats de ce lot. Le premier concerne DataGerry, même si son résumé mentionne l’exécution dans des déploiements Docker par défaut; le second concerne Traefik, même s’il évoque sa configuration par labels Docker.
Docker Desktop / WSL2 : contournement seccomp d’AF_VSOCK depuis un conteneur
Dans Docker Desktop pour Windows avec backend WSL2, un conteneur Linux non privilégié peut contourner la restriction seccomp par défaut visant AF_VSOCK et atteindre des services ou fichiers hôte accessibles à l’utilisateur. Pour corriger complètement le problème, il faut à la fois Docker Desktop 4.98.0 ou ultérieur et WSL 3.0.3 ou ultérieur ; un WSL plus ancien laisse le système affecté.
Action recommandée : Utiliser Docker Desktop 4.98.0 ou ultérieur avec WSL 3.0.3 ou ultérieur. Le seul déploiement de Docker Desktop 4.98.0 sur un WSL plus ancien ne suffit pas.
Docker Sandboxes : exécution de commandes hôte via la configuration Git du dépôt
Une configuration Git contrôlée par un dépôt peut provoquer l’exécution d’un programme sur l’hôte lors de certaines commandes Git effectuées par Docker Sandboxes. Le programme s’exécute avec les droits de l’utilisateur hôte, hors de l’isolation de la micro-VM ; mettre à jour vers Docker Sandboxes 0.50.0 ou ultérieure.
Action recommandée : Mettre à jour Docker Sandboxes vers la version 0.50.0 ou ultérieure et limiter la modification de la configuration Git des dépôts hôtes accessibles aux sandboxes.
Docker Buildx : contournement de l’autorisation de lecture de fichiers avec Bake
Une définition Bake non fiable qui construit plusieurs cibles peut contourner l’approbation `fs.read` et exposer des fichiers accessibles au client Buildx. Le correctif est Buildx 0.38.1 ; éviter d’exécuter des définitions Bake non fiables avec les versions affectées avant la mise à jour.
Action recommandée : Mettre à jour Docker Buildx vers la version 0.38.1 ou ultérieure et ne pas exécuter de définitions Bake non fiables sur une version affectée.
Docker Buildx : contrôle `fs.read` contournable pour certains chemins Bake
Une définition Bake non fiable peut, dans certaines conditions, faire ignorer le contrôle d’autorisation `fs.read` pour des chemins voisins dont le nom commence par celui du répertoire de travail. Le risque dépend notamment de la présence de noms de fichiers correspondants à côté du projet ; mettre à jour Buildx vers 0.38.1 corrige le problème.
Action recommandée : Mettre à jour Docker Buildx vers la version 0.38.1 ou ultérieure et éviter d’exécuter des définitions Bake non fiables avant la mise à jour.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a fait ressortir quatre publications de vulnérabilités concernant des outils liés à Kubernetes dans la période : deux touchent le protocole Kubernetes de Warpgate, et deux le Traffic Manager de Telepresence. Les fiches NVD marquées comme mises à jour parmi les candidats sont des doublons des publications; draw.io a été écarté, car la vulnérabilité décrite concerne son proxy et non Kubernetes comme produit ou projet. Aucun élément pertinent sur Kubernetes n’a été établi dans ce lot. Le candidat concerne un paquet npm malveillant ; la seule mention de Kubernetes décrit un chemin de fichier ciblé, pas une vulnérabilité, un correctif ou un changement de sécurité propre à Kubernetes.
Telepresence : rattachement non autorisé à un tunnel de session actif
Avant Telepresence 2.31.0, un appelant pouvant obtenir un identifiant de session actif peut rattacher un tunnel routé à cette session sans vérification de propriété. Mettez à jour Telepresence vers 2.31.0 ou une version ultérieure.
Action recommandée : Mettre à jour Telepresence vers la version 2.31.0 ou ultérieure.
Telepresence : contrôle d’accès insuffisant à l’API du Traffic Manager
Avant Telepresence 2.31.0, un pod pouvant joindre le Traffic Manager peut appeler son API gRPC sans authentification et créer des interceptions dans des espaces de noms gérés sans contrôle des autorisations Kubernetes de la session. Mettez à jour vers Telepresence 2.31.0 ou une version ultérieure.
Action recommandée : Mettre à jour Telepresence vers la version 2.31.0 ou ultérieure; limiter l’accès réseau au Traffic Manager aux composants de confiance.
Warpgate : réutilisation d’une autorisation Kubernetes après recréation d’un compte
Entre les versions 0.21.0 et 0.29.0, Warpgate peut réutiliser une autorisation Kubernetes encore en mémoire après la suppression d’un compte et la création d’un autre portant le même nom. Mettez à jour vers Warpgate 0.29.0 ou une version ultérieure pour corriger le défaut.
Action recommandée : Mettre à jour Warpgate vers la version 0.29.0 ou ultérieure.
Warpgate : fuite de diagnostics internes dans le protocole Kubernetes
Avant la version 0.29.0, le service Kubernetes de Warpgate peut renvoyer à un client non authentifié des diagnostics internes lors d’échecs d’authentification ou de recherche, sans journaliser certaines requêtes. Mettez à jour Warpgate vers 0.29.0 ou une version ultérieure.
Action recommandée : Mettre à jour Warpgate vers la version 0.29.0 ou ultérieure.
Linux (noyau)
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouvelle vulnérabilité, de correction ou d’avis de sécurité Linux noyau daté de la période demandée. Les résultats pertinents repérés concernaient des avis antérieurs mis à jour, mais les éléments consultés ne suffisent pas à établir un changement substantiel pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
La recherche a identifié un avis Debian daté du 2026-11-04 pour CVE-2026-109518, concernant APT, avec des versions corrigées indiquées pour trixie et bookworm. Les autres candidats sont d’anciennes CVE dont les seules dates fournies correspondent à des mises à jour NVD; aucun changement substantiel dans la période n’a été établi pour eux. Les sources Debian fournies annoncent, le 4 novembre 2026, des mises à jour de sécurité pour Symfony, ImageMagick, Xen, Trapperkeeper, Puppet et APT. Les éléments fournis n’indiquent pas de CVE ni, pour la plupart des avis, de versions corrigées; les deux mises à jour NVD datées de la période ne sont pas retenues comme nouvelles vulnérabilités Debian sur la seule base d’une modification de fiche. Un avis Debian LTS daté du 2026-11-04 signale et corrige une vulnérabilité d’APT liée à la reprise de téléchargements HTTP après redirection.
Debian DSA-6612-1 : mise à jour de sécurité pour Symfony
Debian a publié DSA-6612-1 pour corriger plusieurs vulnérabilités de Symfony pouvant provoquer un déni de service ou une injection d’en-têtes de courriel. Les versions concernées et les paquets corrigés ne sont pas précisés dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et installer les paquets corrigés indiqués par Debian.
Debian publie DLA-4880-1 pour une vulnérabilité dans APT
Une vulnérabilité dans APT peut permettre à un attaquant intermédiaire de faire remplacer un paquet après sa vérification, en exploitant des téléchargements HTTP redirigés et repris. Debian a publié l’avis DLA-4880-1 pour corriger le problème ; les versions concernées et la version corrective ne sont pas précisées dans les informations fournies.
Action recommandée : Appliquer la mise à jour de sécurité DLA-4880-1 pour APT selon les consignes Debian.
Debian DSA-6611-1 : mise à jour de sécurité pour ImageMagick
Debian a publié DSA-6611-1 pour plusieurs vulnérabilités d’ImageMagick. Le traitement d’images malformées pourrait entraîner un déni de service, un contournement de restrictions de politique, une divulgation d’informations ou potentiellement une exécution de code; les versions corrigées ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et installer les paquets corrigés indiqués par Debian.
Debian DSA-6610-1 : mise à jour de sécurité pour Xen
Debian a publié DSA-6610-1 pour plusieurs vulnérabilités de l’hyperviseur Xen, susceptibles de permettre une élévation de privilèges d’un invité vers l’hôte ou une divulgation d’informations. Les CVE et versions corrigées ne figurent pas dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et installer les paquets corrigés indiqués par Debian.
Debian DSA-6609-1 : mise à jour de sécurité pour trapperkeeper-authorization-clojure
Debian a publié DSA-6609-1 pour un défaut de validation des listes de contrôle d’accès par nom d’hôte dans le service d’autorisation Trapperkeeper. Un client Puppet pourrait ainsi télécharger le catalogue d’un autre hôte; les versions corrigées ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et installer les paquets corrigés indiqués par Debian.
Debian DSA-6608-1 : mise à jour de sécurité pour puppet-agent
Debian a publié DSA-6608-1 pour un défaut de validation des données d’événement dans l’agent Puppet. Ce défaut pourrait permettre l’exécution de code sur le serveur Puppet; les versions corrigées ne sont pas précisées dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et installer les paquets corrigés indiqués par Debian.
Debian DSA-6607-1 : mise à jour de sécurité pour APT
Debian a publié DSA-6607-1 pour une vulnérabilité d’APT liée à la fusion de téléchargements après une redirection HTTP et à la reprise incorrecte d’un téléchargement. Un attaquant intermédiaire pourrait remplacer un paquet après sa vérification, entraînant l’exécution de code en tant que root; les versions corrigées ne sont pas indiquées dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et installer les paquets corrigés indiqués par Debian.
Debian DLA-4881-1 : mise à jour de sécurité pour Xen
Debian a publié DLA-4881-1, un avis de sécurité concernant Xen. Les détails sur les vulnérabilités, les versions concernées et les correctifs ne sont pas présents dans les éléments fournis.
Action recommandée : Consulter l’avis Debian LTS pour les détails et les paquets corrigés.
Alpine Linux
Recherche du sujet effectuée
La recherche dédiée a consulté les pages disponibles d’Alpine Linux et interrogé des sources sur les avis et vulnérabilités de la période. Aucun avis ou événement de sécurité applicable à Alpine Linux, la distribution, daté du 2026-11-04 n’a été vérifié; un résultat concernant les appareils Alpine iLX-F511 a été écarté car il s’agit d’un homonyme.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
Dans la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00, la recherche consultée n’a pas établi de nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant Apache HTTP Server. Le candidat CVE-2024-38472 correspond à une modification NVD du 2026-11-03, antérieure à la période; de plus, la fiche consultée indique une date de dernière modification différente, le 2026-06-17.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif/avis de sécurité ni changement substantiel concernant Nginx n’a été vérifié pour la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. L’avis Nginx consulté répertorie des vulnérabilités antérieures, dont CVE-2026-42533, mais ne fournit pas d’élément établissant un événement pertinent daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
Niveau relevé : Moyenne
La recherche dédiée a identifié, dans la période demandée, trois avis concernant des composants PHP : une faille de validation dans spatie/url-signer et deux vulnérabilités dans les pilotes Snowflake, dont Snowflake PHP PDO Driver. Les candidats portant sur d’autres produits ou extensions WordPress ne relèvent pas du sujet PHP demandé. Aucun candidat fourni ne concerne une vulnérabilité, un correctif ou un avis de sécurité du langage PHP ou de PHP-FPM. Les candidats portent sur d’autres produits; leur éventuelle implémentation en PHP n’est pas établie par les informations fournies. Aucun candidat fourni ne décrit une vulnérabilité du langage PHP ou de PHP-FPM : les mentions de PHP concernent des fichiers ou applications tierces. Les seules dates du 4 novembre 2026 indiquées sont des mises à jour de fiches NVD; aucune information fournie n’établit un changement substantiel pertinent pour le sujet. Aucun événement répondant aux critères n’est établi pour PHP dans la période. Les candidats concernent des mises à jour de fiches NVD, mais les données fournies ne démontrent pas de changement substantiel daté de cette période. Aucune vulnérabilité du langage ou du moteur PHP n’est établie par les candidats fournis. Les candidats concernent des produits distincts écrits en PHP ou des modifications NVD dont le caractère substantiel n’est pas démontré; ils ne sont donc pas retenus pour le sujet PHP. Deux avis publiés le 4 novembre concernent le Snowflake PHP PDO Driver : une faiblesse pouvant perturber une connexion SSO et un dépassement de tampon lors d’une authentification SAML. Le correctif indiqué pour le pilote PHP PDO est la version 4.3.0. Aucun élément n’a pu être confirmé comme une nouveauté ou un changement substantiel concernant PHP durant la période. Le lot contient u…
Faille de validation dans spatie/url-signer
La bibliothèque PHP `spatie/url-signer` présente une validation incorrecte de l’argument `expires` dans `AbstractUrlSigner::validate`, pouvant affecter la disponibilité. Les versions jusqu’à 2.1.3 sont concernées ; mettre à niveau vers 2.1.4.
Action recommandée : Mettre à niveau spatie/url-signer vers la version 2.1.4 ou ultérieure.
Snowflake Connector for Python : interférence possible avec le rappel SSO externalbrowser
Le 4 novembre 2026, Snowflake a publié un avis concernant une faiblesse du flux SSO `externalbrowser` : pendant une connexion active, un attaquant pouvant atteindre le service local de rappel pouvait interférer avec la réponse d’authentification. Pour le connecteur Python, la version corrigée est 4.8.0 ; les utilisateurs doivent mettre à niveau manuellement.
Action recommandée : Mettre à niveau le Snowflake Connector for Python vers la version 4.8.0 ou ultérieure.
Dépassement de tampon lors de l’authentification SAML du Snowflake PHP PDO Driver
Un dépassement de tampon sur la pile pendant l’authentification SAML pouvait entraîner une corruption mémoire, un plantage et, dans certaines circonstances, l’exécution de code à distance dans le contexte de l’application. Snowflake indique que le correctif est disponible dans le Snowflake PHP PDO Driver 4.3.0 et recommande une mise à niveau manuelle.
Action recommandée : Mettre à niveau manuellement le Snowflake PHP PDO Driver vers la version 4.3.0 ou ultérieure.
WordPress
Recherche du sujet effectuée
Niveau relevé : Élevée
Les candidats fournis signalent dix avis NVD publiés le 4 novembre 2026 concernant des extensions WordPress, avec des versions correctives indiquées dans les fiches candidates. La recherche a également consulté WordPress.org, Wordfence et Patchstack; les résultats affichés ne fournissent pas de corroboration supplémentaire datée de cette période pour ces dix avis. Dix fiches NVD relatives à des extensions WordPress ont été publiées pendant la période indiquée. Elles concernent notamment des contrôles d’accès insuffisants, des divulgations d’informations, une XSS, des problèmes de téléversement et des opérations dangereuses sur les fichiers ou la base de données. Les candidats fournis recensent dix vulnérabilités WordPress publiées par le NVD le 4 novembre 2026 : XSS stocké, écritures non autorisées, injection SQL, traversée de répertoires, divulgations de données, SSRF et exposition de contenus non publics. Les versions corrigées indiquées dans les descriptions des candidats vont de Text Typing 2.2.2 à Premium Packages 7.3.1 selon le produit. Le lot fourni contient onze fiches NVD WordPress publiées le 4 novembre 2026 : vulnérabilités de XSS stockée, d’élévation de privilèges, de contrôle d’autorisation et d’exposition d’informations. Les versions corrigées indiquées dans les fiches sont 5.0.0, 1.12.3, 2.11.3 et 2.8.63 pour les plugins concernés ; plusieurs autres fiches ne précisent pas de version corrigée dans les données fournies. Une nouvelle fiche NVD publiée dans la période concerne un contournement du traitement des paiements dans le plugin GetPaid pour WordPress. Les autres candidats sont des mises à jour de fiches NVD antérieures ; les éléments fournis ne démontrent pas de changement substantiel daté dans la période. Quatre nouvelles fiches WordPress ont été p…
Slim Jetpack : XSS stockée non authentifiée dans le formulaire de contact
Slim Jetpack ne nettoie ni n’échappe suffisamment le champ de contact « Website », ce qui permet à des visiteurs non authentifiés d’enregistrer du script sur des pages utilisant le shortcode de formulaire de contact. Toutes les versions jusqu’à 2.7.0.1 inclus sont concernées ; aucune version corrigée n’est précisée dans les informations fournies.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et, dans l’intervalle, limiter l’exposition du shortcode de formulaire de contact.
Import and export users and customers : élévation de privilèges vers administrateur
Une séquence non atomique d’écriture des options dans Import and export users and customers peut modifier des paramètres de tâche planifiée avant que le contrôle d’autorisation ne bloque la requête. Dans certaines conditions, un utilisateur authentifié disposant de `create_users` mais pas de `promote_users` ni de `edit_users` peut obtenir les privilèges d’administrateur ; les versions concernées vont jusqu’à 2.5.11 inclus.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible ; examiner les tâches cron et les configurations d’import utilisateurs.
Élévation de privilèges dans Mobile builder
Le plugin Mobile builder présente une élévation de privilèges via son gestionnaire REST `wcfmmp_profile_settings()`. Un utilisateur authentifié à partir du rôle Subscriber peut modifier ses métadonnées utilisateur, notamment `wp_capabilities`, et obtenir des privilèges d’administrateur.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter les comptes authentifiés au strict nécessaire et surveiller les changements de rôles.
XSS stockée via les commentaires dans Remove Google Fonts
Le plugin Remove Google Fonts – Disable, Block, or Replace with Bunny Fonts for GDPR Compliance est affecté par une XSS stockée via des commentaires. L’exploitation nécessite que le mode Remove soit actif et que le commentaire malveillant soit publié, automatiquement ou après modération.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; à défaut, désactiver le mode Remove et modérer les commentaires avant publication.
Form Maker by 10Web : XSS stocké dans l’administration des soumissions
Avant la version 1.15.51, Form Maker by 10Web n’échappait pas systématiquement les valeurs soumises par les utilisateurs lorsqu’elles étaient affichées dans l’administration des soumissions. Une personne non authentifiée pouvait enregistrer un script exécuté dans la session d’un administrateur consultant ces soumissions.
Action recommandée : Mettre à jour Form Maker by 10Web vers la version 1.15.51 ou ultérieure.
SEOPress : XSS stocké via des paramètres de suivi analytique
Avant la version 10.4, SEOPress n’assainissait ni n’échappait certains paramètres de suivi analytique avant de les insérer dans un script intégré sur les pages publiques. Un utilisateur disposant d’une capacité SEOPress déléguée par un administrateur pouvait provoquer une XSS stockée affectant les visiteurs du site.
Action recommandée : Mettre à jour SEOPress vers la version 10.4 ou ultérieure.
Contrôles d’autorisation insuffisants dans l’API REST de GetPaid
Le plugin GetPaid applique des contrôles d’autorisation inadéquats à certaines opérations de son API REST. Des utilisateurs authentifiés de moindre privilège peuvent notamment consulter des factures d’autres utilisateurs, marquer des factures comme payées ou créer des éléments publiés et des factures.
Action recommandée : Mettre à jour GetPaid vers la version 2.8.63 ou ultérieure.
Stape Conversion Tracking : SSRF et risque de XSS via le proxy
Le proxy de Stape Conversion Tracking ne valide pas le sous-chemin ajouté à son point de terminaison amont. Une personne non authentifiée peut provoquer des requêtes côté serveur vers des hôtes arbitraires et faire renvoyer leur réponse depuis l’origine du site, avec des risques de SSRF et de XSS ; la version corrigée indiquée est 2.3.11.
Action recommandée : Mettre Stape Conversion Tracking à jour vers la version 2.3.11 ou ultérieure.
Contournement du paiement dans GetPaid par quantité négative
Le plugin GetPaid ne valide pas correctement la quantité d’un article sur un formulaire de paiement public. Un attaquant non authentifié peut soumettre une quantité négative afin de réduire le total à zéro et faire enregistrer la facture comme payée sans transaction réelle.
Action recommandée : Mettre à jour GetPaid vers la version 2.8.63 ou ultérieure.
ERP Suite for WooCommerce : divulgation de données sensibles par une action AJAX
Dans l’extension ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce, une action AJAX sans contrôle de capacité expose l’historique des valeurs de modifications de fiches à tout utilisateur authentifié. Les versions antérieures à 1.17.11 sont concernées ; mettez à jour vers la version 1.17.11 ou une version ultérieure.
Action recommandée : Mettre à jour l’extension vers la version 1.17.11 ou une version ultérieure.
XSS stockée via les champs de scripts de CookieYes pour WordPress
Le plugin CookieYes pour WordPress antérieur à 3.5.8 ne restreint pas correctement l’écriture de champs de scripts de catégories et ne les assainit pas, permettant à un contributeur de stocker du JavaScript. Le script peut s’exécuter dans le navigateur des visiteurs du site ou d’un administrateur consultant le contenu; mettre à jour le plugin vers la version 3.5.8 ou ultérieure.
Action recommandée : Mettre à jour CookieYes vers la version 3.5.8 ou ultérieure.
Booking Package : réservation confirmée sans paiement
Avant la version 1.7.34, Booking Package pouvait enregistrer une réservation comme confirmée sans s’assurer que le paiement avait été effectué, malgré une configuration exigeant le paiement en ligne. Un utilisateur non authentifié pouvait ainsi obtenir une réservation confirmée sans payer.
Action recommandée : Mettre à jour Booking Package vers la version 1.7.34 ou ultérieure.
XSS stockée dans la configuration des boutons de Kali Forms
Kali Forms pour WordPress, avant la version 2.4.29, permet à des utilisateurs ayant le rôle Author ou un rôle supérieur de stocker du JavaScript dans la configuration d’un bouton de formulaire. Le script s’exécute dans la session du navigateur de toute personne qui clique sur le bouton, y compris un administrateur; mettre à jour vers la version 2.4.29 ou ultérieure.
Action recommandée : Mettre à jour Kali Forms vers la version 2.4.29 ou ultérieure.
SSRF dans PowerPack Addons for Elementor
PowerPack Addons for Elementor ne valide pas une URL fournie par l’utilisateur avant de l’utiliser dans une requête HTTP côté serveur, permettant à un utilisateur ayant le rôle contributeur ou supérieur de lire des réponses provenant de ressources internes ou locales. Mettre à jour le plugin vers la version 3.1.3 ou ultérieure.
Action recommandée : Mettre à jour PowerPack Addons for Elementor vers la version 3.1.3 ou ultérieure.
Suppression de médias d’autrui dans Essential Real Estate
Essential Real Estate ne vérifie pas que la pièce jointe supprimée appartient à l’utilisateur demandeur, ce qui permet à un utilisateur auto-inscrit de niveau client de supprimer des médias appartenant à d’autres utilisateurs, y compris des administrateurs. Mettre à jour le plugin vers la version 5.3.5 ou ultérieure.
Action recommandée : Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
XSS réfléchie dans Duplicator et Duplicator Pro
Duplicator et Duplicator Pro ne neutralisent pas un paramètre avant de le refléter sur une page d’administration dans certaines configurations, ce qui entraîne une XSS réfléchie dans la session d’un administrateur qui ouvre un lien piégé. Mettre à jour le plugin concerné vers la version 5.1.0 ou ultérieure.
Action recommandée : Mettre à jour Duplicator ou Duplicator Pro vers la version 5.1.0 ou ultérieure.
Divulgation de chemins système dans Duplicator
Duplicator et Duplicator Pro permettent l’accès direct à certains fichiers PHP intégrés, qui peuvent renvoyer une trace d’erreur révélant les chemins absolus du système de fichiers. Mettre à jour le plugin concerné vers la version 5.1.0 ou ultérieure.
Action recommandée : Mettre à jour Duplicator ou Duplicator Pro vers la version 5.1.0 ou ultérieure.
Contournement du nettoyage SVG dans Enable Media Replace
Enable Media Replace ne fait pas passer le fichier remplacé par le pipeline d’envoi WordPress et peut ainsi contourner le préfiltre de nettoyage SVG. Si l’extension permettant les SVG est active, un utilisateur autorisé à téléverser des fichiers peut stocker un SVG contenant un script ; mettre à jour vers la version 4.2.3 ou ultérieure.
Action recommandée : Mettre à jour Enable Media Replace vers la version 4.2.3 ou ultérieure.
Suppression de tables de base de données via WPvivid
WPvivid ne vérifie pas qu’un identifiant de snapshot soumis correspond à un snapshot créé par le plugin avant de l’utiliser comme préfixe de tables, permettant à un administrateur authentifié de provoquer la suppression des tables correspondantes, y compris celles de WordPress. Mettre à jour vers la version 0.9.137 ou ultérieure.
Action recommandée : Mettre à jour WPvivid — Backup, Migration & Staging vers la version 0.9.137 ou ultérieure.
Écriture de fichiers hors du répertoire WordPress via WPvivid
WPvivid ne nettoie pas correctement le dossier de destination fourni au gestionnaire de démarrage de staging, ce qui permet à un administrateur authentifié de faire écrire les fichiers copiés en dehors du répertoire WordPress. Mettre à jour vers la version 0.9.137 ou ultérieure.
Action recommandée : Mettre à jour WPvivid — Backup, Migration & Staging vers la version 0.9.137 ou ultérieure.
Téléversement de fichiers d’extension arbitraire dans WPvivid
WPvivid vérifie l’extension d’un champ de requête distinct au lieu de celle du fichier importé et désactive le contrôle de type de fichier lors de l’enregistrement. Un administrateur authentifié peut ainsi stocker dans le répertoire d’import un fichier d’extension arbitraire, y compris PHP ; mettre à jour vers la version 0.9.137 ou ultérieure.
Action recommandée : Mettre à jour WPvivid — Backup, Migration & Staging vers la version 0.9.137 ou ultérieure.
All-in-One Video Gallery : XSS stockée via des attributs de shortcode
All-in-One Video Gallery ne valide ni n’échappe correctement certains attributs de shortcode avant de les afficher dans une page ou un article. Des utilisateurs ayant au moins le rôle de contributeur peuvent provoquer une XSS stockée ; la version corrigée indiquée est 5.0.0.
Action recommandée : Mettre All-in-One Video Gallery à jour vers la version 5.0.0 ou ultérieure.
XSS stockée via des attributs de blocs dans VikWidgetsLoader
VikWidgetsLoader pour WordPress, avant la version 1.12.3, n’assainit ni n’échappe plusieurs attributs de blocs avant de les placer dans des attributs HTML; un contributeur peut ainsi stocker du JavaScript. Celui-ci peut s’exécuter dans le navigateur des personnes consultant l’article, notamment un administrateur ou un éditeur; mettre à jour vers la version 1.12.3 ou ultérieure.
Action recommandée : Mettre à jour VikWidgetsLoader vers la version 1.12.3 ou ultérieure.
XSS stockée dans le shortcode de Simple CAPTCHA with Cloudflare Turnstile
Le plugin Simple CAPTCHA with Cloudflare Turnstile pour WordPress, dans les versions jusqu’à 1.44.3 incluses, permet une XSS stockée via l’attribut id du shortcode [gravity-simple-turnstile]. Un contributeur authentifié ou un utilisateur de niveau supérieur peut injecter du script exécuté à l’affichage de la page; aucune version corrigée n’est indiquée dans les informations fournies.
Action recommandée : Éviter d’accepter des valeurs non fiables dans l’attribut id du shortcode et appliquer une mise à jour corrective dès qu’elle est disponible.
Accès non autorisé au diagnostic du plugin Sender
Le plugin Sender ne vérifie pas correctement les autorisations avant de fournir un fichier de diagnostic. Tout utilisateur authentifié, y compris un abonné, peut ainsi accéder à des informations sur l’installation, les extensions et le compte Sender associé.
Action recommandée : Mettre à jour Sender vers la version 2.11.3 ou ultérieure.
Contournement d’autorisation sur les factures GetPaid
Le plugin GetPaid permet à un attaquant non authentifié d’accéder à une facture d’un autre utilisateur et d’en manipuler l’état au moyen du paramètre `maybe_use_invoice`. Il peut notamment consulter les données de tarification et lancer un parcours de paiement qui place la facture en attente.
Action recommandée : Mettre à jour GetPaid vers la version 2.8.63 ou ultérieure.
CVE-2026-115250 — XSS stocké dans Text Typing
Text Typing stocke puis affiche sans échappement correct un attribut de bloc, ce qui permet à un contributeur ou à un rôle supérieur d’injecter du contenu exécuté dans le navigateur des visiteurs de la page. Mettre à jour le plugin vers la version 2.2.2 ou ultérieure.
Action recommandée : Mettre à jour Text Typing vers la version 2.2.2 ou ultérieure.
CVE-2026-115257 — Écriture non autorisée des rosters dans WP Roster
WP Roster n’effectue pas de vérification de capacité ni de nonce avant l’écriture des données de roster, permettant à un attaquant non authentifié de modifier, effacer ou restaurer le contenu d’un roster. Mettre à jour vers la version 2.36 ou ultérieure.
Action recommandée : Mettre à jour WP Roster vers la version 2.36 ou ultérieure.
CVE-2026-115262 — Injection SQL pendant une restauration Duplicator
Duplicator et Duplicator Pro ne limitent pas à des instructions de schéma la réécriture du jeu de caractères et de la collation pendant une restauration. Dans les conditions décrites, une valeur de profil contrôlée par un abonné peut permettre une injection SQL dans une instruction INSERT; mettre à jour vers la version 5.1.0 ou ultérieure.
Action recommandée : Mettre à jour Duplicator ou Duplicator Pro vers la version 5.1.0 ou ultérieure.
CVE-2026-115426 — Traversée de répertoires dans WPvivid
WPvivid ne valide pas correctement le chemin du répertoire de stockage d’une sauvegarde avant de créer des répertoires et d’écrire des fichiers, ce qui permet à un administrateur de faire sortir ces opérations de l’emplacement prévu. Mettre à jour vers la version 0.9.138 ou ultérieure.
Action recommandée : Mettre à jour WPvivid vers la version 0.9.138 ou ultérieure.
Premium Packages : chargement non autorisé de paniers sauvegardés
Le chargement d’un panier sauvegardé ne vérifie ni sa propriété ni son lien avec la session, ce qui peut exposer son contenu à un utilisateur non authentifié disposant de l’identifiant du panier. Les versions concernées de Premium Packages sont celles antérieures à 7.3.1 ; mettez le plugin à jour.
Action recommandée : Mettre Premium Packages à jour vers la version 7.3.1 ou ultérieure.
Premium Packages : appropriation de commandes invitées
La prise en charge d’une commande invitée ne vérifie pas que l’utilisateur qui la revendique en est l’acheteur d’origine. Un utilisateur authentifié peut ainsi s’approprier une commande non revendiquée et accéder aux informations de facturation et aux fichiers achetés ; le correctif est indiqué en version 7.3.1.
Action recommandée : Mettre Premium Packages à jour vers la version 7.3.1 ou ultérieure.
EventPrime : exposition de contenus en attente de révision
EventPrime ne préserve pas le caractère non public du statut intégré « Pending Review », ce qui peut rendre accessibles sans authentification des contenus en attente de révision. Le problème concerne les versions antérieures à 4.3.6.1 ; mettez le plugin à jour.
Action recommandée : Mettre EventPrime à jour vers la version 4.3.6.1 ou ultérieure.
Mollie Payments for WooCommerce : réduction non autorisée du total des commandes
Dans Mollie Payments for WooCommerce, une vérification manquante permet à un utilisateur non authentifié de réduire le total d’une commande avant son paiement. Le problème concerne les versions antérieures à 8.2.0 ; mettez à jour le plugin vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour Mollie Payments for WooCommerce vers la version 8.2.0 ou une version ultérieure.
Mollie Payments for WooCommerce : commande possible pour un produit non publié
Mollie Payments for WooCommerce peut créer une commande pour un produit en brouillon ou non publié via son point de terminaison PayPal express-checkout. La faille concerne les versions antérieures à 8.2.0 ; mettez à jour le plugin vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour Mollie Payments for WooCommerce vers la version 8.2.0 ou une version ultérieure.
FV Flowplayer Video Player : accès indu aux enregistrements d’autres utilisateurs
Avant la version 7.5.56.7212, FV Flowplayer Video Player ne vérifiait pas correctement la propriété des enregistrements avant leur modification ou suppression. Des utilisateurs authentifiés ayant au moins le rôle Contributeur pouvaient modifier ou supprimer des enregistrements appartenant à d’autres utilisateurs et en divulguer les métadonnées.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.56.7212 ou ultérieure.
FV Flowplayer Video Player : divulgation et modification en masse lors de la migration vidéo
Avant la version 7.5.56.7212, une fonction de migration vidéo de FV Flowplayer Video Player était protégée par un nonce, sans contrôle d’autorisation suffisant. Des utilisateurs authentifiés ayant au moins le rôle Contributeur pouvaient divulguer et modifier en masse les enregistrements vidéo stockés sur le site.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.56.7212 ou ultérieure.
Divulgation de publications privées dans Post Duplicator
Post Duplicator ne vérifie pas si l’utilisateur demandeur est autorisé à consulter chaque publication avant de renvoyer une liste, ce qui peut exposer les titres et la hiérarchie de brouillons et publications privées. Mettre à jour le plugin vers la version 3.0.17 ou ultérieure.
Action recommandée : Mettre à jour Post Duplicator vers la version 3.0.17 ou ultérieure.
Exposition de fichiers d’export dans WP Remote Users Sync
WP Remote Users Sync place des fichiers d’export d’utilisateurs sous la racine web sans en restreindre suffisamment l’accès, en s’appuyant sur une règle Apache ignorée par certains autres serveurs web. Un attaquant non authentifié peut récupérer les données personnelles exportées lorsque le fichier prévisible est présent ; mettre à jour vers la version 2.2.0 ou ultérieure.
Action recommandée : Mettre à jour WP Remote Users Sync vers la version 2.2.0 ou ultérieure.
Premium Packages : accès non autorisé aux détails de commandes invitées
Une vérification insuffisante permet à un visiteur non authentifié connaissant l’identifiant d’une commande invitée d’en consulter le statut, le statut de paiement et le montant total. Le problème concerne Premium Packages avant la version 7.3.1 ; mettez le plugin à jour.
Action recommandée : Mettre Premium Packages à jour vers la version 7.3.1 ou ultérieure.
Simple Download Monitor : divulgation de métadonnées de contenus non publics
Un shortcode de Simple Download Monitor ne vérifie pas correctement la visibilité du contenu qu’il référence. Un utilisateur ayant au moins le rôle de contributeur peut ainsi divulguer le titre et la description de contenus privés, brouillons ou autrement non publics ; la version corrigée indiquée est 4.1.3.
Action recommandée : Mettre Simple Download Monitor à jour vers la version 4.1.3 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
La recherche dédiée a couvert les avis du core PrestaShop, les publications du projet, les alertes de compromission et les avis indexés concernant les modules. Aucun élément trouvé ne documente un événement de sécurité PrestaShop nouveau ou une modification substantielle survenue entre le 2026-11-04T00:00:00+02:00 et le 2026-11-05T00:00:00+02:00. Les alertes de skimmer et PHP fournies sont antérieures; les seuls horodatages de mise à jour fournis ne suffisent pas à établir un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a vérifié aucun nouvel avis ou événement substantiel répondant à la période demandée. Les avis Red Hat relatifs à CVE-2026-76235 ont été publiés le 2026-11-03, avant le début de la période en +02:00; les modifications NVD relevées ne suffisent pas à établir un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée aux avis éditeurs/projets, dépôts GitHub et références CVE/NVD n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant CloudPanel daté du 2026-11-04T00:00:00+02:00 inclus au 2026-11-05T00:00:00+02:00 exclu. Les résultats CloudPanel repérés dans GitHub étaient datés d’autres jours et ne sont donc pas retenus pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub et les informations du dépôt Uptime Kuma. Aucun avis, correctif, événement d’exploitation ou changement substantiel vérifié n’est daté de la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche a trouvé deux vulnérabilités de MariaDB Connector/J, CVE-2026-119277 et CVE-2026-119281. Les sources consultées datent leur publication et les avis associés d’avant la période demandée; la seule date dans la période fournie pour ces candidats est une modification de fiche NVD, qui ne suffit pas à établir un nouvel avis, correctif, événement d’exploitation ou changement substantiel daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche n’a pas établi de vulnérabilité, d’avis de sécurité, de correctif, d’exploitation ni de changement substantiel concernant phpMyAdmin daté dans la période du 2026-11-04T00:00:00+02:00 inclus au 2026-11-05T00:00:00+02:00 exclu. Les informations repérées sur CVE-2026-121263 sont datées du 2026-11-03, hors période; pour CVE-2026-119427, la date de modification NVD du 2026-11-04 ne suffit pas, à elle seule, à établir un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche a vérifié les dix CVE candidates auprès des sources pgAdmin et des fiches NVD. Les avis et correctifs correspondants figurent déjà dans les notes de version pgAdmin 4 9.19, publiée le 2026-10-29; les dates de mise à jour NVD du 2026-11-04 ne suffisent pas à établir un nouvel événement de sécurité substantiel pendant la période demandée. Aucun item n’est donc retenu. Aucun événement répondant aux critères n’a été vérifié pour pgAdmin dans la période demandée. La fiche NVD indique une publication antérieure à la période ; sa mise à jour datée du 2026-11-04 ne suffit pas, à elle seule, à établir un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou avis de sécurité Virtualmin daté de la période figée n’a été identifié dans les résultats de recherche consultés. Les résultats Virtualmin repérés concernent des discussions et avis antérieurs à cette période, ou des sujets sans lien avec la sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis de sécurité ni changement substantiel Webmin daté du 2026-11-04 n’a été identifié dans les sources consultées pour la période demandée. Les avis Webmin repérés étaient datés antérieurement à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée a identifié l’avis Nuxt correspondant au candidat, mais l’avis et le correctif ont été publiés avant la période demandée. La mise à jour NVD datée du 2026-11-04 ne constitue pas, d’après les éléments consultés, une nouvelle vulnérabilité ni un changement substantiel de sécurité durant la période figée; aucun item admissible n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche web dédiée à Vite n’a pas identifié de nouvel avis, correctif, exploitation ou changement substantiel daté du 2026-11-04 dans la période demandée. Les avis visibles dans les résultats consultés sont antérieurs à cette période; une publication de version datée du 5 novembre est hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche a confirmé que CVE-2026-119200 concerne Nuxt et que son avis ainsi que sa publication initiale sont antérieurs à la période demandée. La seule mise à jour repérée dans la période est une modification de la fiche NVD le 2026-11-04 à 02:17:18.313Z; les éléments consultés ne démontrent pas qu’elle constitue un nouvel avis, un correctif ou un changement substantiel. Aucun item ne répond donc aux critères de la période figée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée n’a vérifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel Next.js daté du 2026-11-04 dans la période demandée. L’avis GHSA-26hh-7cqf-hhc6 et la publication de CVE-2026-45109 sont antérieurs à cette période; les mises à jour du 4 novembre visibles sur NVD et GitHub ne fournissent pas de preuve d’un changement substantiel ce jour-là.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Vérification incomplète
La recherche dédiée n’a pas établi de nouvel avis, correctif ou événement de sécurité concernant le projet React dans la période demandée. Les avis affichés par le dépôt officiel React consulté sont datés d’avant cette période; les candidats NVD indiquent des dates de modification dans la période pour certaines fiches, mais les éléments consultés ne permettent pas d’établir qu’il s’agit d’un changement substantiel plutôt que d’une mise à jour administrative.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Angular
Recherche du sujet effectuée
Aucun avis ou correctif Angular identifié dans les sources consultées comme ayant été publié pendant la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. L’avis Angular GHSA-w739-gvwx-grc3 relatif à CVE-2026-111754 est antérieur à cette période; le candidat NVD indique lui aussi des dates de publication et de mise à jour au 2026-11-03.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
Recherche dédiée effectuée sur Astro. Les avis de sécurité du projet consultés affichent des publications antérieures à la période demandée (notamment le 28 octobre 2026) ; aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 4 novembre 2026 n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Vérification incomplète
La recherche a identifié une nouvelle vulnérabilité publiée le 2026-11-04 dans le workflow de publication de tsParticles, une bibliothèque TypeScript. Les candidats fournis concernent des avis ou vulnérabilités publiés antérieurement; leurs mises à jour visibles ne suffisent pas à établir un nouvel événement de sécurité substantiel dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
JavaScript
Vérification incomplète
Niveau relevé : Critique
Les fiches NVD fournies et vérifiées signalent, dans la période demandée, des vulnérabilités permettant l’injection ou l’exécution de JavaScript dans des composants WordPress, Bagisto, CGI.pm, Coupa Supplier Portal, Eclipse Mojarra et SQL::Abstract::Tree. Les versions corrigées ne sont indiquées que lorsque les données fournies en précisent une; aucun élément consulté ne permet de confirmer une exploitation active. Aucune nouveauté, aucun correctif ni changement substantiel lié à JavaScript n’est établi par les éléments fournis pour la période. Les candidats sont des mises à jour de fiches NVD, sans indication du changement de contenu intervenu; les deux fiches Electron ont en outre une date de mise à jour antérieure à la période. Aucun nouvel événement de sécurité JavaScript n’est établi pour la période à partir de ce lot. Les candidats sont des fiches NVD publiées avant la période; leur date de mise à jour, à elle seule, ne démontre pas un changement substantiel daté du 4 novembre. Aucun événement répondant aux critères n’est établi par ce lot. Les candidats sont des modifications de fiches NVD dont les dates de publication sont antérieures à la période; les données fournies ne décrivent aucun changement substantiel intervenu pendant la période. Les candidats concernent des CVE publiées avant la période. Leurs fiches NVD portent des dates de mise à jour comprises dans la période, mais les éléments fournis ne permettent pas d’établir qu’un changement substantiel — plutôt qu’une modification administrative — y a été apporté. Deux avis publiés dans la période concernent l’exécution de JavaScript ou l’injection de script : une XSS stockée dans Bagisto via des pièces jointes HTML RMA et un problème de construction d’URL dans CGI pour Perl pouvant produire une URL javascri…
bitcoinjs-lib : validation de racine de Merkle insuffisante
Une validation de racine de Merkle dans bitcoinjs-lib peut accepter un bloc dont la liste de transactions contient des doublons sans que le changement soit détecté. Cela peut conduire certains consommateurs à traiter une transaction deux fois ou à rejeter un bloc honnête ; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau bitcoinjs-lib vers 5.2.1, 6.1.8 ou 7.0.2 selon la branche utilisée.
Contournement du verrouillage de connexion sur les appareils ProSoft ICX35
Les appareils ProSoft Technology ICX35 X35-HWC-A et X35-HWC-E appliquent leur verrouillage de compte dans du JavaScript côté client, ce qui permet à un attaquant distant de contourner la limitation des tentatives de connexion en supprimant les cookies concernés. Le problème est corrigé dans la version 1.14.158; mettre à jour les appareils concernés.
Action recommandée : Mettre à jour le micrologiciel vers la version 1.14.158 ou ultérieure.
XSS stockée via les champs de scripts de CookieYes pour WordPress
Le plugin CookieYes pour WordPress antérieur à 3.5.8 ne restreint pas correctement l’écriture de champs de scripts de catégories et ne les assainit pas, permettant à un contributeur de stocker du JavaScript. Le script peut s’exécuter dans le navigateur des visiteurs du site ou d’un administrateur consultant le contenu; mettre à jour le plugin vers la version 3.5.8 ou ultérieure.
Action recommandée : Mettre à jour CookieYes vers la version 3.5.8 ou ultérieure.
XSS stockée dans la configuration des boutons de Kali Forms
Kali Forms pour WordPress, avant la version 2.4.29, permet à des utilisateurs ayant le rôle Author ou un rôle supérieur de stocker du JavaScript dans la configuration d’un bouton de formulaire. Le script s’exécute dans la session du navigateur de toute personne qui clique sur le bouton, y compris un administrateur; mettre à jour vers la version 2.4.29 ou ultérieure.
Action recommandée : Mettre à jour Kali Forms vers la version 2.4.29 ou ultérieure.
XSS stockée via des attributs de blocs dans VikWidgetsLoader
VikWidgetsLoader pour WordPress, avant la version 1.12.3, n’assainit ni n’échappe plusieurs attributs de blocs avant de les placer dans des attributs HTML; un contributeur peut ainsi stocker du JavaScript. Celui-ci peut s’exécuter dans le navigateur des personnes consultant l’article, notamment un administrateur ou un éditeur; mettre à jour vers la version 1.12.3 ou ultérieure.
Action recommandée : Mettre à jour VikWidgetsLoader vers la version 1.12.3 ou ultérieure.
XSS stockée dans le shortcode de Simple CAPTCHA with Cloudflare Turnstile
Le plugin Simple CAPTCHA with Cloudflare Turnstile pour WordPress, dans les versions jusqu’à 1.44.3 incluses, permet une XSS stockée via l’attribut id du shortcode [gravity-simple-turnstile]. Un contributeur authentifié ou un utilisateur de niveau supérieur peut injecter du script exécuté à l’affichage de la page; aucune version corrigée n’est indiquée dans les informations fournies.
Action recommandée : Éviter d’accepter des valeurs non fiables dans l’attribut id du shortcode et appliquer une mise à jour corrective dès qu’elle est disponible.
XSS réfléchie dans le module Tenders de Coupa Supplier Portal
Le module Tenders de Coupa Supplier Portal SaaS présente une XSS réfléchie: le paramètre list_item_function est renvoyé sans encodage adéquat dans un gestionnaire d’événement JavaScript. Un utilisateur disposant d’un compte à privilèges faibles peut fabriquer une URL qui, ouverte par une victime, permet l’exécution de scripts; les versions affectées et le correctif ne sont pas précisés dans les informations fournies.
XSS réfléchie dans Eclipse Mojarra via l’identifiant client window
Eclipse Mojarra est vulnérable dans les versions 2.2.0 à 4.0.28, 4.1.0 à 4.1.19 et 5.0.0-M1 à 5.0.0-M11 lorsque le mode URL client window est activé: l’identifiant de fenêtre n’est pas encodé et peut provoquer une XSS réfléchie dans une chaîne JavaScript rendue par h:button. Les informations fournies ne précisent pas de version corrigée; vérifier la configuration et appliquer une mise à jour du fournisseur lorsqu’elle est disponible.
Action recommandée : Désactiver le mode URL client window lorsque possible et appliquer un correctif Mojarra dès qu’il est publié.
Bagisto : XSS stockée via des pièces jointes HTML RMA
Bagisto avant la version 2.4.5 permet à des clients authentifiés de téléverser des fichiers HTML via la messagerie RMA sans validation suffisante du type ou de l’extension. Si un administrateur ouvre une pièce jointe HTML servie sous l’origine de la boutique, le JavaScript qu’elle contient peut s’exécuter dans son navigateur.
Action recommandée : Mettre à niveau Bagisto vers la version 2.4.5 ou ultérieure.
CGI pour Perl : redirection ouverte et injection de script via REQUEST_URI
Les versions de CGI pour Perl antérieures à 5.00 peuvent construire des URL ou des actions de formulaire à partir de REQUEST_URI sans validation, permettant notamment des redirections vers un autre hôte. Selon la forme de l’URL, cela peut aussi produire une URL javascript: ou provoquer une injection de script.
Action recommandée : Mettre à niveau CGI vers la version 5.00 ou ultérieure.
XSS dans CGI pour Perl via des apostrophes non échappées dans les URL
CGI pour Perl, dans les versions 4.62 à antérieures à 5.00, peut produire des URL contenant des apostrophes non échappées, ce qui permet une XSS si l’application les insère dans un attribut HTML entre apostrophes ou une chaîne JavaScript. Mettre à jour vers la version 5.00 ou ultérieure et éviter d’insérer ces valeurs sans encodage adapté au contexte.
Action recommandée : Mettre à jour CGI vers la version 5.00 ou ultérieure et encoder les URL selon le contexte de sortie.
XSS dans SQL::Abstract::Tree via le profil html
SQL::Abstract::Tree pour Perl, avant la version 2.000001_04, n’échappe pas le texte SQL ni les valeurs de liaison dans son profil html, ce qui peut produire une XSS si le résultat est affiché comme HTML. Mettre à jour vers la version 2.000001_04 ou ultérieure et ne pas afficher ces résultats sans encodage approprié.
Action recommandée : Mettre à jour SQL::Abstract::Tree vers la version 2.000001_04 ou ultérieure et encoder les résultats avant leur affichage HTML.
XSS dans Data::MuForm via des valeurs et libellés non échappés
Data::MuForm pour Perl, jusqu’à la version 0.05 incluse, rend sans échappement des valeurs d’attributs et des libellés d’options, ce qui peut permettre l’injection de JavaScript dans les pages générées. Aucune version corrigée n’est indiquée dans les informations fournies; éviter d’utiliser des données non fiables dans ces champs et appliquer un correctif dès qu’il est disponible.
Action recommandée : Ne pas alimenter les options ou attributs de formulaires avec des données non fiables sans échappement; appliquer une version corrigée lorsqu’elle est publiée.
HTML5
Recherche du sujet effectuée
Aucune nouveauté de sécurité HTML5 répondant à la période demandée n’a été établie. Le candidat porte sur une faille publiée le 2026-10-27 ; la seule date dans la période fournie pour ce candidat est une mise à jour NVD, sans preuve consultée qu’elle corresponde à un changement substantiel de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié de vulnérabilité, correctif ou avis de sécurité vérifié concernant CSS3 et daté de la période demandée. Les résultats trouvés concernaient d’autres produits ou des événements hors période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun avis de sécurité, correctif de sécurité, exploitation confirmée ou changement substantiel concernant Tailwind CSS daté de la période demandée. Le dépôt GitHub du projet indique qu’aucun avis de sécurité n’y est publié; les dernières versions et modifications visibles dans les résultats consultés sont antérieures à la période. La recherche complémentaire demandée auprès de CVE/NVD, CERT-FR et CISA n’a pas pu être menée à terme.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a identifié aucun avis de sécurité, nouvelle vulnérabilité, exploitation ni changement substantiel daté du 2026-11-04 dans la période demandée. Les avis webpack repérés dans les résultats consultés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Parcel
Recherche du sujet effectuée
Les recherches web effectuées sur Parcel n’ont fait apparaître aucun avis de sécurité, correctif, exploitation ou changement substantiel concernant le projet Parcel et daté de la période demandée. Les résultats hors sujet ou portant sur d’autres produits nommés « Parcel » n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Critique
Trois nouveaux avis publiés le 4 novembre 2026 dans la fenêtre retenue concernent des composants de l’écosystème Node.js : le pilote Node.js de Snowflake, bitcoinjs-lib et Moleculer. Le projet Node.js annonçait également une prochaine publication de sécurité pour le 11 novembre; cette annonce préalable ne constitue pas, à elle seule, une vulnérabilité ou un correctif publié dans la période. Un avis publié pendant la période concerne le flux SSO externalbrowser du pilote Snowflake Node.js; la version corrective indiquée est 3.4.0. Deux vulnérabilités de bibliothèques JavaScript destinées notamment à Node.js ont été publiées dans les fiches NVD pendant la période : une validation de racine de Merkle insuffisante dans bitcoinjs-lib et un déni de service dans le parseur TCP de Moleculer. Les autres candidats fournis concernent des avis GitHub mis à jour pendant la période, mais leurs dates de publication sont antérieures ; aucun changement substantiel daté dans la période n’est établi par les éléments fournis.
bitcoinjs-lib : validation de racine de Merkle insuffisante
Une validation de racine de Merkle dans bitcoinjs-lib peut accepter un bloc dont la liste de transactions contient des doublons sans que le changement soit détecté. Cela peut conduire certains consommateurs à traiter une transaction deux fois ou à rejeter un bloc honnête ; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau bitcoinjs-lib vers 5.2.1, 6.1.8 ou 7.0.2 selon la branche utilisée.
Moleculer : déni de service via longueur de paquet TCP négative
Dans Moleculer, une longueur de paquet TCP négative pouvait déclencher une boucle synchrone infinie et bloquer la boucle d’événements Node.js. Un pair distant non authentifié peut rendre les services du processus injoignables lorsque le transporteur TCP est activé et accessible ; installer une version corrigée.
Action recommandée : Mettre à niveau Moleculer vers 0.14.36 ou 0.15.2 selon la branche utilisée.
Snowflake Connector for Python : interférence possible avec le rappel SSO externalbrowser
Le 4 novembre 2026, Snowflake a publié un avis concernant une faiblesse du flux SSO `externalbrowser` : pendant une connexion active, un attaquant pouvant atteindre le service local de rappel pouvait interférer avec la réponse d’authentification. Pour le connecteur Python, la version corrigée est 4.8.0 ; les utilisateurs doivent mettre à niveau manuellement.
Action recommandée : Mettre à niveau le Snowflake Connector for Python vers la version 4.8.0 ou ultérieure.
Python
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis de sécurité publié pendant la période concerne le flux SSO externalbrowser du Snowflake Connector for Python et indique la version 4.8.0 comme correctif. Les autres candidats fournis ne sont pas retenus : leurs dates de publication sont antérieures à la période ou leur seule date dans la période est une mise à jour NVD sans événement de sécurité substantiel établi. Une vulnérabilité publiée pendant la période concerne notamment Snowflake Connector for Python et son flux SSO externalbrowser. Le correctif indiqué pour ce connecteur est la version 4.8.0.
Snowflake Connector for Python : interférence possible avec le rappel SSO externalbrowser
Le 4 novembre 2026, Snowflake a publié un avis concernant une faiblesse du flux SSO `externalbrowser` : pendant une connexion active, un attaquant pouvant atteindre le service local de rappel pouvait interférer avec la réponse d’authentification. Pour le connecteur Python, la version corrigée est 4.8.0 ; les utilisateurs doivent mettre à niveau manuellement.
Action recommandée : Mettre à niveau le Snowflake Connector for Python vers la version 4.8.0 ou ultérieure.
Java
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a trouvé cinq publications de vulnérabilités Java ou touchant des composants Java dans la période du 2026-11-04. Elles concernent PublicCMS, Coupa Supplier Portal avec Aspose.Words for Java, Jackson CBOR, Traccar et Dinky; des versions corrigées sont établies pour Jackson et Traccar. Aucun candidat du lot n’est retenu : les fiches concernent des composants de la plateforme Android, et les éléments fournis indiquent seulement des modifications NVD, sans preuve d’un changement substantiel pertinent pour le sujet Java demandé. Cinq vulnérabilités Java ont une date de publication dans la période demandée : un contournement d’autorisation dans PublicCMS, une SSRF dans Coupa Supplier Portal, un déni de service dans Jackson CBOR, un contournement d’accès aux médias dans Traccar et une SSRF dans Dinky. Les autres candidats sont des fiches publiées avant la période dont la seule information datée fournie est une mise à jour NVD; aucune nouveauté substantielle datée dans la période n’est établie pour eux. Trois avis GitHub concernant des vulnérabilités Java indiquent une mise à jour le 4 novembre 2026 : deux avis Bouncy Castle et un avis Apache Camel-PQC. Les éléments fournis ne précisent pas quelles modifications exactes ont été apportées aux avis à ces dates.
DataLinkDC Dinky : SSRF dans le proxy Flink Web
Dans DataLinkDC Dinky, une SSRF affecte l’endpoint proxy `flink_web` via la fonction `FlinkWebURITemplateProxyServlet.getNewTargetUri`. La manipulation du paramètre `_authority` peut être déclenchée à distance; les éléments fournis indiquent qu’un exploit a été publié, mais ne précisent ni correctif ni versions corrigées.
Action recommandée : Mettre à niveau vers une version corrigée dès sa publication et restreindre l’accès réseau sortant du service proxy.
Coupa Supplier Portal : SSRF lors de la conversion de modèles DOCX
La plateforme SaaS Coupa Supplier Portal présente une SSRF dans la conversion de documents DOCX en PDF avec la bibliothèque Aspose.Words for Java. Un utilisateur authentifié autorisé à modifier des modèles peut provoquer l’accès du serveur à des ressources externes, internes ou locales et potentiellement divulguer des informations sensibles.
Action recommandée : Limiter les droits de modification des modèles et appliquer le correctif éditeur dès qu’il est disponible.
Traccar : contournement des contrôles d’accès aux fichiers média
Dans Traccar, un décalage d’interprétation des paramètres de chemin entre `MediaFilter` et Jetty permet à un attaquant non authentifié de contourner les contrôles de session et d’autorisation sur `/api/media/*`. Il peut ainsi lire un fichier média protégé s’il en connaît ou devine l’identifiant d’appareil et le nom; le problème est corrigé dans la version 6.15.0.
Action recommandée : Mettre à niveau vers Traccar 6.15.0; à défaut, configurer le proxy inverse pour rejeter ou réécrire les chemins concernés.
BC-JAVA : canal auxiliaire temporel lié à FrodoKEM
Une mise à jour de l’avis GHSA signale un canal auxiliaire temporel dans BC-JAVA, exploitable lors du déchiffrement d’encapsulations FrodoKEM. Les versions concernées sont corrigées en 1.80.2, 1.81.1 ou 1.84 selon la branche ; mettre à niveau vers la version corrigée correspondante.
Action recommandée : Mettre à niveau les modules BC-JAVA vers une version corrigée correspondant à la branche utilisée.
Apache Camel-PQC : désérialisation de données non fiables dans les fichiers de clés
Une mise à jour de l’avis GHSA signale une désérialisation de données non fiables dans Camel-PQC, susceptible de conduire à une exécution de code si un attaquant peut écrire dans le répertoire de clés utilisé. Les versions corrigées sont 4.18.2 pour la branche 4.18.x et 4.20.0 pour la branche 4.19.x ; mettre à niveau vers la version correspondante.
Action recommandée : Mettre à niveau camel-pqc vers 4.18.2 ou 4.20.0 selon la branche utilisée et vérifier les permissions d’accès au répertoire de clés.
Sanluan PublicCMS : contournement d’autorisation dans le traitement des remboursements
Dans Sanluan PublicCMS 5, la fonction `TradePaymentService.pendingRefund` présente un contournement d’autorisation lié au paramètre `userId`, permettant une attaque à distance. La fiche indique qu’un exploit est publiquement disponible et que le contrôleur de paiement concerné a été retiré à partir de la série 202608.
Action recommandée : Vérifier que le contrôleur Web de paiement concerné n’est pas exposé; privilégier une version où il a été retiré.
Bouncy Castle pour Java : injection LDAP dans bcprov
Une mise à jour de l’avis GHSA signale une injection LDAP dans le module bcprov de Bouncy Castle pour Java. Les versions concernées sont corrigées en 1.80.2, 1.81.1 ou 1.84 selon la branche ; mettre à niveau vers la version corrigée correspondante.
Action recommandée : Mettre à niveau les modules bcprov vers une version corrigée correspondant à la branche utilisée.
Jackson CBOR : déni de service par accumulation de tags
Le parseur CBOR de `jackson-dataformat-cbor` peut subir un déni de service par complexité algorithmique lorsqu’il traite une longue suite de tags CBOR. La croissance incrémentale de la structure qui les accumule entraîne un coût quadratique en temps et une forte pression sur le ramasse-miettes; aucun correctif ni version corrigée n’est précisé dans les éléments fournis.
Action recommandée : Mettre à niveau vers une version corrigée de la branche utilisée; limiter, si possible, la taille et la complexité des entrées CBOR non fiables.
TYPO3
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité TYPO3 publié pendant la période demandée (du 2026-11-04T00:00:00+02:00 inclus au 2026-11-05T00:00:00+02:00 exclu). Les avis TYPO3 retrouvés dans les résultats sont antérieurs à cette période; les résultats datés du 4 novembre portent sur des publications d’extensions sans indication de vulnérabilité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Vérification incomplète
La recherche a repéré un lot d’avis Drupal contrib rapporté pour le 4 novembre 2026. Les éléments suffisamment détaillés dans la source consultée concernent Content Synchronizer (deux avis) et REST & JSON API Authentication; la recherche ne permet pas ici de caractériser avec fiabilité tous les autres avis du lot.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Recherche du sujet effectuée
La recherche dédiée sur Joomla n’a pas permis d’établir de nouvelle vulnérabilité, d’avis de sécurité, d’exploitation ou de changement substantiel daté dans la période demandée. Les éléments relatifs à Gridbox et DJ-HelpfulArticles renvoient à des publications du 27 octobre 2026; les candidats basés sur des mises à jour NVD ne fournissent pas de preuve que ces modifications étaient substantielles.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
La recherche web dédiée à Magento n’a identifié, dans les sources consultées, aucun avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Cette conclusion se limite aux résultats et sources effectivement consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée sur Adobe Commerce n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté de la période du 2026-11-04T00:00:00+02:00 au 2026-11-05T00:00:00+02:00. Les résultats consultés incluent notamment le bulletin Adobe APSB26-153, daté du 2026-10-13, qui est hors période et n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée à Fooocus n’a trouvé aucun avis, correctif, nouvel événement d’exploitation ni changement substantiel daté du 2026-11-04 dans la période demandée. Les résultats de sécurité repérés concernent des informations antérieures à cette période; la page GitHub du projet ne répertorie aucun avis de sécurité publié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
8 alerte(s)Contournement du verrouillage de connexion sur les appareils ProSoft ICX35
Les appareils ProSoft Technology ICX35 X35-HWC-A et X35-HWC-E appliquent leur verrouillage de compte dans du JavaScript côté client, ce qui permet à un attaquant distant de contourner la limitation des tentatives de connexion en supprimant…
Source : NVD — CVE-2026-119746
XSS réfléchie dans le module Tenders de Coupa Supplier Portal
Le module Tenders de Coupa Supplier Portal SaaS présente une XSS réfléchie: le paramètre list_item_function est renvoyé sans encodage adéquat dans un gestionnaire d’événement JavaScript. Un utilisateur disposant d’un compte à privilèges fa…
Source : NVD — CVE-2026-111037
XSS réfléchie dans Eclipse Mojarra via l’identifiant client window
Eclipse Mojarra est vulnérable dans les versions 2.2.0 à 4.0.28, 4.1.0 à 4.1.19 et 5.0.0-M1 à 5.0.0-M11 lorsque le mode URL client window est activé: l’identifiant de fenêtre n’est pas encodé et peut provoquer une XSS réfléchie dans une ch…
Source : NVD — CVE-2026-120421
Bagisto : XSS stockée via des pièces jointes HTML RMA
Bagisto avant la version 2.4.5 permet à des clients authentifiés de téléverser des fichiers HTML via la messagerie RMA sans validation suffisante du type ou de l’extension. Si un administrateur ouvre une pièce jointe HTML servie sous l’ori…
Source : NVD — CVE-2026-121733
CGI pour Perl : redirection ouverte et injection de script via REQUEST_URI
Les versions de CGI pour Perl antérieures à 5.00 peuvent construire des URL ou des actions de formulaire à partir de REQUEST_URI sans validation, permettant notamment des redirections vers un autre hôte. Selon la forme de l’URL, cela peut…
Source : NVD — CVE-2026-120636
XSS dans CGI pour Perl via des apostrophes non échappées dans les URL
CGI pour Perl, dans les versions 4.62 à antérieures à 5.00, peut produire des URL contenant des apostrophes non échappées, ce qui permet une XSS si l’application les insère dans un attribut HTML entre apostrophes ou une chaîne JavaScript.…
Source : NVD — CVE-2026-120643
XSS dans SQL::Abstract::Tree via le profil html
SQL::Abstract::Tree pour Perl, avant la version 2.000001_04, n’échappe pas le texte SQL ni les valeurs de liaison dans son profil html, ce qui peut produire une XSS si le résultat est affiché comme HTML. Mettre à jour vers la version 2.000…
Source : NVD — CVE-2026-121008
XSS dans Data::MuForm via des valeurs et libellés non échappés
Data::MuForm pour Perl, jusqu’à la version 0.05 incluse, rend sans échappement des valeurs d’attributs et des libellés d’options, ce qui peut permettre l’injection de JavaScript dans les pages générées. Aucune version corrigée n’est indiqu…
Source : NVD — CVE-2026-121632
Backend & données
26 alerte(s)Code malveillant dans le gem RubyGems w002yardprobe
L’avis signale du code malveillant dans les versions 0.0.4 et 0.0.5 du gem w002yardprobe. La génération de documentation YARD déclenche un script qui collecte des informations sur l’hôte et les transmet à un service tiers, tout en modifian…
Active Storage : lecture et écriture de fichiers via le traitement ImageMagick
Dans Active Storage, l’analyse d’une pièce jointe par ImageMagick sans politique de sécurité adéquate peut permettre la lecture ou l’écriture de fichiers accessibles au serveur. Les applications qui acceptent des téléversements non fiables…
Source : NVD — CVE-2026-122006
bitcoinjs-lib : validation de racine de Merkle insuffisante
Une validation de racine de Merkle dans bitcoinjs-lib peut accepter un bloc dont la liste de transactions contient des doublons sans que le changement soit détecté. Cela peut conduire certains consommateurs à traiter une transaction deux f…
Source : NVD — CVE-2026-107846
DataLinkDC Dinky : SSRF dans le proxy Flink Web
Dans DataLinkDC Dinky, une SSRF affecte l’endpoint proxy `flink_web` via la fonction `FlinkWebURITemplateProxyServlet.getNewTargetUri`. La manipulation du paramètre `_authority` peut être déclenchée à distance; les éléments fournis indique…
Source : NVD — CVE-2026-122009
Coupa Supplier Portal : SSRF lors de la conversion de modèles DOCX
La plateforme SaaS Coupa Supplier Portal présente une SSRF dans la conversion de documents DOCX en PDF avec la bibliothèque Aspose.Words for Java. Un utilisateur authentifié autorisé à modifier des modèles peut provoquer l’accès du serveur…
Source : NVD — CVE-2026-111036
Symfony : contournement d’authentification par falsification de DN X.509
Un défaut d’analyse des noms distinctifs X.509 peut permettre à une personne disposant d’un certificat émis par l’AC de confiance et pouvant influencer le CN de s’authentifier comme un autre utilisateur, éventuellement privilégié. Le corre…
Source : NVD — CVE-2026-118513
Symfony HttpClient : fuite possible d’identifiants vers une autre origine
ScopingHttpClient peut conserver les identifiants du scope par défaut lorsqu’une URL relative de type référence réseau est résolue vers une autre origine. Des identifiants configurés, comme auth_basic ou auth_bearer, peuvent alors être tra…
Source : NVD — CVE-2026-121971
ProxySQL — lecture de données non initialisées lors de la décompression de paquets MySQL
Une vérification insuffisante de la longueur des données décompressées dans ProxySQL peut conduire à lire des données non initialisées et à transmettre des données résiduelles au serveur en arrière-plan. Un client MySQL authentifié utilisa…
Source : Détail de la CVE CVE-2026-102664
Moleculer : déni de service via longueur de paquet TCP négative
Dans Moleculer, une longueur de paquet TCP négative pouvait déclencher une boucle synchrone infinie et bloquer la boucle d’événements Node.js. Un pair distant non authentifié peut rendre les services du processus injoignables lorsque le tr…
Source : NVD — CVE-2026-97705
Traccar : contournement des contrôles d’accès aux fichiers média
Dans Traccar, un décalage d’interprétation des paramètres de chemin entre `MediaFilter` et Jetty permet à un attaquant non authentifié de contourner les contrôles de session et d’autorisation sur `/api/media/*`. Il peut ainsi lire un fichi…
Source : NVD — CVE-2026-104203
BC-JAVA : canal auxiliaire temporel lié à FrodoKEM
Une mise à jour de l’avis GHSA signale un canal auxiliaire temporel dans BC-JAVA, exploitable lors du déchiffrement d’encapsulations FrodoKEM. Les versions concernées sont corrigées en 1.80.2, 1.81.1 ou 1.84 selon la branche ; mettre à niv…
Source : GHSA-p93r-85wp-75v3 — Bouncy Castle Has Covert Timing Channel Vulnerability
Apache Camel-PQC : désérialisation de données non fiables dans les fichiers de clés
Une mise à jour de l’avis GHSA signale une désérialisation de données non fiables dans Camel-PQC, susceptible de conduire à une exécution de code si un attaquant peut écrire dans le répertoire de clés utilisé. Les versions corrigées sont 4…
Source : GHSA-v3vg-332r-mw99 — Camel-PQC Vulnerable to Deserialization of Untrusted Data
Sanluan PublicCMS : contournement d’autorisation dans le traitement des remboursements
Dans Sanluan PublicCMS 5, la fonction `TradePaymentService.pendingRefund` présente un contournement d’autorisation lié au paramètre `userId`, permettant une attaque à distance. La fiche indique qu’un exploit est publiquement disponible et…
Source : NVD — CVE-2026-121583
Arc : contournement du contrôle d’accès permettant la lecture de données d’autres bases
Un avis publié le 4 novembre signale que des fonctions d’E/S DuckDB peuvent permettre à un utilisateur authentifié d’Arc de lire ou d’énumérer des données appartenant à d’autres bases, contournant ainsi l’isolation attendue. La fiche conse…
Symfony Routing : contournement possible des contrôles d’accès fondés sur le chemin
Une différence d’interprétation entre CompiledUrlMatcher et UrlMatcher peut laisser un paramètre d’hôte consommer une partie du chemin et faire atteindre un contrôleur sans appliquer une règle de sécurité fondée sur le chemin réel. Le défa…
Source : NVD — CVE-2026-118516
Symfony HtmlSanitizer : contournement du filtrage des redirections meta refresh
Le sanitiseur de meta refresh peut laisser passer certaines formes de directive de redirection et ne pas appliquer le contrôle prévu sur l’URL. Une redirection vers un site non fiable peut alors contourner les restrictions de schéma ou d’h…
Source : NVD — CVE-2026-121373
SourceHut meta.sr.ht : contournement de l’interdiction d’inscription via GraphQL
Une vérification d’autorisation manquante dans meta.sr.ht permet à un attaquant non authentifié de créer un compte même lorsque l’inscription publique est désactivée. Le parcours de création appelle la mutation GraphQL RegisterAccount sans…
Source : NVD — CVE-2026-121728
Faille de validation dans spatie/url-signer
La bibliothèque PHP `spatie/url-signer` présente une validation incorrecte de l’argument `expires` dans `AbstractUrlSigner::validate`, pouvant affecter la disponibilité. Les versions jusqu’à 2.1.3 sont concernées ; mettre à niveau vers 2.1…
Source : NVD — CVE-2026-121589
Snowflake Connector for Python : interférence possible avec le rappel SSO externalbrowser
Le 4 novembre 2026, Snowflake a publié un avis concernant une faiblesse du flux SSO `externalbrowser` : pendant une connexion active, un attaquant pouvant atteindre le service local de rappel pouvait interférer avec la réponse d’authentifi…
Source : NVD — CVE-2026-114456
Dépassement de tampon lors de l’authentification SAML du Snowflake PHP PDO Driver
Un dépassement de tampon sur la pile pendant l’authentification SAML pouvait entraîner une corruption mémoire, un plantage et, dans certaines circonstances, l’exécution de code à distance dans le contexte de l’application. Snowflake indiqu…
Source : CVE-2026-121925 — NVD
Bouncy Castle pour Java : injection LDAP dans bcprov
Une mise à jour de l’avis GHSA signale une injection LDAP dans le module bcprov de Bouncy Castle pour Java. Les versions concernées sont corrigées en 1.80.2, 1.81.1 ou 1.84 selon la branche ; mettre à niveau vers la version corrigée corres…
Source : GHSA-c3fc-8qff-9hwx — Bouncy Castle has an LDAP injection
CERT-FR : avis de vulnérabilités multiples dans Ruby on Rails
Le CERT-FR a publié un avis signalant plusieurs vulnérabilités dans Ruby on Rails, dont certaines peuvent permettre une exécution de code à distance, un déni de service ou une atteinte à la confidentialité. L’extrait consulté ne précise ni…
Source : CERT-FR — CERTFR-2026-AVI-1452
Vulnérabilité dans Laravel — exécution de code à distance
Le CERT-FR signale une vulnérabilité dans Laravel permettant une exécution de code arbitraire à distance. Les sources consultées ne permettent pas d’établir les versions affectées, un correctif ni des détails techniques supplémentaires.
Source : CERT-FR — Vulnérabilité dans Laravel (CERTFR-2026-AVI-1457)
Debian DSA-6612-1 : mise à jour de sécurité pour Symfony
Debian a publié DSA-6612-1 pour corriger plusieurs vulnérabilités de Symfony pouvant provoquer un déni de service ou une injection d’en-têtes de courriel. Les versions concernées et les paquets corrigés ne sont pas précisés dans les élémen…
Source : DSA-6612-1 symfony – security update
Vulnérabilité dans MongoDB
Le CERT-FR a publié le 4 novembre 2026 un avis signalant une vulnérabilité dans MongoDB, susceptible de porter atteinte à la confidentialité et à l’intégrité des données. L’avis fourni ne précise ni CVE, ni versions affectées, ni correctif…
Source : CERT-FR — Vulnérabilité dans MongoDB (CERTFR-2026-AVI-1454)
Jackson CBOR : déni de service par accumulation de tags
Le parseur CBOR de `jackson-dataformat-cbor` peut subir un déni de service par complexité algorithmique lorsqu’il traite une longue suite de tags CBOR. La croissance incrémentale de la structure qui les accumule entraîne un coût quadratiqu…
Source : NVD — CVE-2026-106554
CMS & e-commerce
44 alerte(s)Doofinder for WooCommerce : exposition de données sensibles
Doofinder for WooCommerce est affecté par une vulnérabilité d’insertion d’informations sensibles dans un fichier ou répertoire accessible de l’extérieur. Les versions concernées vont jusqu’à 2.17.2 inclus ; la source fournie ne précise ni…
Source : NVD — CVE-2026-56065
Slim Jetpack : XSS stockée non authentifiée dans le formulaire de contact
Slim Jetpack ne nettoie ni n’échappe suffisamment le champ de contact « Website », ce qui permet à des visiteurs non authentifiés d’enregistrer du script sur des pages utilisant le shortcode de formulaire de contact. Toutes les versions ju…
Source : NVD — CVE-2026-115498
Import and export users and customers : élévation de privilèges vers administrateur
Une séquence non atomique d’écriture des options dans Import and export users and customers peut modifier des paramètres de tâche planifiée avant que le contrôle d’autorisation ne bloque la requête. Dans certaines conditions, un utilisateu…
Source : NVD — CVE-2026-120554
Élévation de privilèges dans Mobile builder
Le plugin Mobile builder présente une élévation de privilèges via son gestionnaire REST `wcfmmp_profile_settings()`. Un utilisateur authentifié à partir du rôle Subscriber peut modifier ses métadonnées utilisateur, notamment `wp_capabiliti…
Source : NVD — CVE-2026-104799
XSS stockée via les commentaires dans Remove Google Fonts
Le plugin Remove Google Fonts – Disable, Block, or Replace with Bunny Fonts for GDPR Compliance est affecté par une XSS stockée via des commentaires. L’exploitation nécessite que le mode Remove soit actif et que le commentaire malveillant…
Source : NVD — CVE-2026-97397
Form Maker by 10Web : XSS stocké dans l’administration des soumissions
Avant la version 1.15.51, Form Maker by 10Web n’échappait pas systématiquement les valeurs soumises par les utilisateurs lorsqu’elles étaient affichées dans l’administration des soumissions. Une personne non authentifiée pouvait enregistre…
Source : NVD — CVE-2026-105413
SEOPress : XSS stocké via des paramètres de suivi analytique
Avant la version 10.4, SEOPress n’assainissait ni n’échappait certains paramètres de suivi analytique avant de les insérer dans un script intégré sur les pages publiques. Un utilisateur disposant d’une capacité SEOPress déléguée par un adm…
Source : NVD — CVE-2026-108041
Contrôles d’autorisation insuffisants dans l’API REST de GetPaid
Le plugin GetPaid applique des contrôles d’autorisation inadéquats à certaines opérations de son API REST. Des utilisateurs authentifiés de moindre privilège peuvent notamment consulter des factures d’autres utilisateurs, marquer des factu…
Source : NVD — CVE-2026-119747
Stape Conversion Tracking : SSRF et risque de XSS via le proxy
Le proxy de Stape Conversion Tracking ne valide pas le sous-chemin ajouté à son point de terminaison amont. Une personne non authentifiée peut provoquer des requêtes côté serveur vers des hôtes arbitraires et faire renvoyer leur réponse de…
Source : NVD — CVE-2026-118422
Contournement du paiement dans GetPaid par quantité négative
Le plugin GetPaid ne valide pas correctement la quantité d’un article sur un formulaire de paiement public. Un attaquant non authentifié peut soumettre une quantité négative afin de réduire le total à zéro et faire enregistrer la facture c…
Source : NVD — CVE-2026-119749
ERP Suite for WooCommerce : divulgation de données sensibles par une action AJAX
Dans l’extension ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce, une action AJAX sans contrôle de capacité expose l’historique des valeurs de modifications de fiches à tout utilisateur authentifié. Les versions antérieures…
Source : NVD — CVE-2026-105191
Vipps et MobilePay pour WooCommerce : validation insuffisante des webhooks
Pay with Vipps and MobilePay for WooCommerce ne validait pas correctement la signature de certains webhooks de paiement récurrent lorsque aucun secret local de webhook n’était configuré. Un attaquant non authentifié pouvait alors forger un…
Source : NVD — CVE-2026-121970
wePOS pour WooCommerce : traitement non autorisé de commandes
wePOS (Point Of Sale for WooCommerce) ne vérifiait pas l’autorisation d’un utilisateur de niveau vendeur sur une route REST de traitement des paiements. Un vendeur pouvait marquer comme payée et terminée une commande d’autrui sans paiement…
Source : NVD — CVE-2026-121993
XSS stockée via les champs de scripts de CookieYes pour WordPress
Le plugin CookieYes pour WordPress antérieur à 3.5.8 ne restreint pas correctement l’écriture de champs de scripts de catégories et ne les assainit pas, permettant à un contributeur de stocker du JavaScript. Le script peut s’exécuter dans…
Source : NVD — CVE-2026-104719
Booking Package : réservation confirmée sans paiement
Avant la version 1.7.34, Booking Package pouvait enregistrer une réservation comme confirmée sans s’assurer que le paiement avait été effectué, malgré une configuration exigeant le paiement en ligne. Un utilisateur non authentifié pouvait…
Source : NVD — CVE-2026-106000
XSS stockée dans la configuration des boutons de Kali Forms
Kali Forms pour WordPress, avant la version 2.4.29, permet à des utilisateurs ayant le rôle Author ou un rôle supérieur de stocker du JavaScript dans la configuration d’un bouton de formulaire. Le script s’exécute dans la session du naviga…
Source : NVD — CVE-2026-106649
SSRF dans PowerPack Addons for Elementor
PowerPack Addons for Elementor ne valide pas une URL fournie par l’utilisateur avant de l’utiliser dans une requête HTTP côté serveur, permettant à un utilisateur ayant le rôle contributeur ou supérieur de lire des réponses provenant de re…
Source : NVD — CVE-2026-110692
Suppression de médias d’autrui dans Essential Real Estate
Essential Real Estate ne vérifie pas que la pièce jointe supprimée appartient à l’utilisateur demandeur, ce qui permet à un utilisateur auto-inscrit de niveau client de supprimer des médias appartenant à d’autres utilisateurs, y compris de…
Source : NVD — CVE-2026-110964
XSS réfléchie dans Duplicator et Duplicator Pro
Duplicator et Duplicator Pro ne neutralisent pas un paramètre avant de le refléter sur une page d’administration dans certaines configurations, ce qui entraîne une XSS réfléchie dans la session d’un administrateur qui ouvre un lien piégé.…
Source : NVD — CVE-2026-112243
Divulgation de chemins système dans Duplicator
Duplicator et Duplicator Pro permettent l’accès direct à certains fichiers PHP intégrés, qui peuvent renvoyer une trace d’erreur révélant les chemins absolus du système de fichiers. Mettre à jour le plugin concerné vers la version 5.1.0 ou…
Source : NVD — CVE-2026-112244
Contournement du nettoyage SVG dans Enable Media Replace
Enable Media Replace ne fait pas passer le fichier remplacé par le pipeline d’envoi WordPress et peut ainsi contourner le préfiltre de nettoyage SVG. Si l’extension permettant les SVG est active, un utilisateur autorisé à téléverser des fi…
Source : NVD — CVE-2026-114431
Suppression de tables de base de données via WPvivid
WPvivid ne vérifie pas qu’un identifiant de snapshot soumis correspond à un snapshot créé par le plugin avant de l’utiliser comme préfixe de tables, permettant à un administrateur authentifié de provoquer la suppression des tables correspo…
Source : NVD — CVE-2026-115241
Écriture de fichiers hors du répertoire WordPress via WPvivid
WPvivid ne nettoie pas correctement le dossier de destination fourni au gestionnaire de démarrage de staging, ce qui permet à un administrateur authentifié de faire écrire les fichiers copiés en dehors du répertoire WordPress. Mettre à jou…
Source : NVD — CVE-2026-115242
Téléversement de fichiers d’extension arbitraire dans WPvivid
WPvivid vérifie l’extension d’un champ de requête distinct au lieu de celle du fichier importé et désactive le contrôle de type de fichier lors de l’enregistrement. Un administrateur authentifié peut ainsi stocker dans le répertoire d’impo…
Source : NVD — CVE-2026-115243
All-in-One Video Gallery : XSS stockée via des attributs de shortcode
All-in-One Video Gallery ne valide ni n’échappe correctement certains attributs de shortcode avant de les afficher dans une page ou un article. Des utilisateurs ayant au moins le rôle de contributeur peuvent provoquer une XSS stockée ; la…
Source : NVD — CVE-2026-118783
XSS stockée via des attributs de blocs dans VikWidgetsLoader
VikWidgetsLoader pour WordPress, avant la version 1.12.3, n’assainit ni n’échappe plusieurs attributs de blocs avant de les placer dans des attributs HTML; un contributeur peut ainsi stocker du JavaScript. Celui-ci peut s’exécuter dans le…
Source : NVD — CVE-2026-118983
XSS stockée dans le shortcode de Simple CAPTCHA with Cloudflare Turnstile
Le plugin Simple CAPTCHA with Cloudflare Turnstile pour WordPress, dans les versions jusqu’à 1.44.3 incluses, permet une XSS stockée via l’attribut id du shortcode [gravity-simple-turnstile]. Un contributeur authentifié ou un utilisateur d…
Source : NVD — CVE-2026-93900
Accès non autorisé au diagnostic du plugin Sender
Le plugin Sender ne vérifie pas correctement les autorisations avant de fournir un fichier de diagnostic. Tout utilisateur authentifié, y compris un abonné, peut ainsi accéder à des informations sur l’installation, les extensions et le com…
Source : NVD — CVE-2026-119745
Contournement d’autorisation sur les factures GetPaid
Le plugin GetPaid permet à un attaquant non authentifié d’accéder à une facture d’un autre utilisateur et d’en manipuler l’état au moyen du paramètre `maybe_use_invoice`. Il peut notamment consulter les données de tarification et lancer un…
Source : NVD — CVE-2026-119748
CVE-2026-115250 — XSS stocké dans Text Typing
Text Typing stocke puis affiche sans échappement correct un attribut de bloc, ce qui permet à un contributeur ou à un rôle supérieur d’injecter du contenu exécuté dans le navigateur des visiteurs de la page. Mettre à jour le plugin vers la…
Source : NVD — CVE-2026-115250
CVE-2026-115257 — Écriture non autorisée des rosters dans WP Roster
WP Roster n’effectue pas de vérification de capacité ni de nonce avant l’écriture des données de roster, permettant à un attaquant non authentifié de modifier, effacer ou restaurer le contenu d’un roster. Mettre à jour vers la version 2.36…
Source : NVD — CVE-2026-115257
CVE-2026-115262 — Injection SQL pendant une restauration Duplicator
Duplicator et Duplicator Pro ne limitent pas à des instructions de schéma la réécriture du jeu de caractères et de la collation pendant une restauration. Dans les conditions décrites, une valeur de profil contrôlée par un abonné peut perme…
Source : NVD — CVE-2026-115262
CVE-2026-115426 — Traversée de répertoires dans WPvivid
WPvivid ne valide pas correctement le chemin du répertoire de stockage d’une sauvegarde avant de créer des répertoires et d’écrire des fichiers, ce qui permet à un administrateur de faire sortir ces opérations de l’emplacement prévu. Mettr…
Source : NVD — CVE-2026-115426
Premium Packages : chargement non autorisé de paniers sauvegardés
Le chargement d’un panier sauvegardé ne vérifie ni sa propriété ni son lien avec la session, ce qui peut exposer son contenu à un utilisateur non authentifié disposant de l’identifiant du panier. Les versions concernées de Premium Packages…
Source : NVD — CVE-2026-118404
Premium Packages : appropriation de commandes invitées
La prise en charge d’une commande invitée ne vérifie pas que l’utilisateur qui la revendique en est l’acheteur d’origine. Un utilisateur authentifié peut ainsi s’approprier une commande non revendiquée et accéder aux informations de factur…
Source : NVD — CVE-2026-118407
EventPrime : exposition de contenus en attente de révision
EventPrime ne préserve pas le caractère non public du statut intégré « Pending Review », ce qui peut rendre accessibles sans authentification des contenus en attente de révision. Le problème concerne les versions antérieures à 4.3.6.1 ; me…
Source : NVD — CVE-2026-118523
Mollie Payments for WooCommerce : réduction non autorisée du total des commandes
Dans Mollie Payments for WooCommerce, une vérification manquante permet à un utilisateur non authentifié de réduire le total d’une commande avant son paiement. Le problème concerne les versions antérieures à 8.2.0 ; mettez à jour le plugin…
Source : NVD — CVE-2026-101165
Mollie Payments for WooCommerce : commande possible pour un produit non publié
Mollie Payments for WooCommerce peut créer une commande pour un produit en brouillon ou non publié via son point de terminaison PayPal express-checkout. La faille concerne les versions antérieures à 8.2.0 ; mettez à jour le plugin vers cet…
Source : NVD — CVE-2026-101166
FV Flowplayer Video Player : accès indu aux enregistrements d’autres utilisateurs
Avant la version 7.5.56.7212, FV Flowplayer Video Player ne vérifiait pas correctement la propriété des enregistrements avant leur modification ou suppression. Des utilisateurs authentifiés ayant au moins le rôle Contributeur pouvaient mod…
Source : NVD — CVE-2026-108067
FV Flowplayer Video Player : divulgation et modification en masse lors de la migration vidéo
Avant la version 7.5.56.7212, une fonction de migration vidéo de FV Flowplayer Video Player était protégée par un nonce, sans contrôle d’autorisation suffisant. Des utilisateurs authentifiés ayant au moins le rôle Contributeur pouvaient di…
Source : NVD — CVE-2026-108068
Divulgation de publications privées dans Post Duplicator
Post Duplicator ne vérifie pas si l’utilisateur demandeur est autorisé à consulter chaque publication avant de renvoyer une liste, ce qui peut exposer les titres et la hiérarchie de brouillons et publications privées. Mettre à jour le plug…
Source : NVD — CVE-2026-111740
Exposition de fichiers d’export dans WP Remote Users Sync
WP Remote Users Sync place des fichiers d’export d’utilisateurs sous la racine web sans en restreindre suffisamment l’accès, en s’appuyant sur une règle Apache ignorée par certains autres serveurs web. Un attaquant non authentifié peut réc…
Source : NVD — CVE-2026-111962
Premium Packages : accès non autorisé aux détails de commandes invitées
Une vérification insuffisante permet à un visiteur non authentifié connaissant l’identifiant d’une commande invitée d’en consulter le statut, le statut de paiement et le montant total. Le problème concerne Premium Packages avant la version…
Source : NVD — CVE-2026-118403
Simple Download Monitor : divulgation de métadonnées de contenus non publics
Un shortcode de Simple Download Monitor ne vérifie pas correctement la visibilité du contenu qu’il référence. Un utilisateur ayant au moins le rôle de contributeur peut ainsi divulguer le titre et la description de contenus privés, brouill…
Source : NVD — CVE-2026-118637
Systèmes & serveurs
7 alerte(s)Debian publie DLA-4880-1 pour une vulnérabilité dans APT
Une vulnérabilité dans APT peut permettre à un attaquant intermédiaire de faire remplacer un paquet après sa vérification, en exploitant des téléchargements HTTP redirigés et repris. Debian a publié l’avis DLA-4880-1 pour corriger le probl…
Source : DLA-4880-1 apt – security update
Debian DSA-6611-1 : mise à jour de sécurité pour ImageMagick
Debian a publié DSA-6611-1 pour plusieurs vulnérabilités d’ImageMagick. Le traitement d’images malformées pourrait entraîner un déni de service, un contournement de restrictions de politique, une divulgation d’informations ou potentielleme…
Debian DSA-6610-1 : mise à jour de sécurité pour Xen
Debian a publié DSA-6610-1 pour plusieurs vulnérabilités de l’hyperviseur Xen, susceptibles de permettre une élévation de privilèges d’un invité vers l’hôte ou une divulgation d’informations. Les CVE et versions corrigées ne figurent pas d…
Source : DSA-6610-1 xen – security update
Debian DSA-6609-1 : mise à jour de sécurité pour trapperkeeper-authorization-clojure
Debian a publié DSA-6609-1 pour un défaut de validation des listes de contrôle d’accès par nom d’hôte dans le service d’autorisation Trapperkeeper. Un client Puppet pourrait ainsi télécharger le catalogue d’un autre hôte; les versions corr…
Source : DSA-6609-1 trapperkeeper-authorization-clojure – security update
Debian DSA-6608-1 : mise à jour de sécurité pour puppet-agent
Debian a publié DSA-6608-1 pour un défaut de validation des données d’événement dans l’agent Puppet. Ce défaut pourrait permettre l’exécution de code sur le serveur Puppet; les versions corrigées ne sont pas précisées dans les éléments fou…
Debian DSA-6607-1 : mise à jour de sécurité pour APT
Debian a publié DSA-6607-1 pour une vulnérabilité d’APT liée à la fusion de téléchargements après une redirection HTTP et à la reprise incorrecte d’un téléchargement. Un attaquant intermédiaire pourrait remplacer un paquet après sa vérific…
Source : DSA-6607-1 apt – security update
Debian DLA-4881-1 : mise à jour de sécurité pour Xen
Debian a publié DLA-4881-1, un avis de sécurité concernant Xen. Les détails sur les vulnérabilités, les versions concernées et les correctifs ne sont pas présents dans les éléments fournis.
Source : DLA-4881-1 xen – security update
Cloud & DevOps
8 alerte(s)Docker Desktop / WSL2 : contournement seccomp d’AF_VSOCK depuis un conteneur
Dans Docker Desktop pour Windows avec backend WSL2, un conteneur Linux non privilégié peut contourner la restriction seccomp par défaut visant AF_VSOCK et atteindre des services ou fichiers hôte accessibles à l’utilisateur. Pour corriger c…
Source : CVE-2026-112917 — NVD
Docker Sandboxes : exécution de commandes hôte via la configuration Git du dépôt
Une configuration Git contrôlée par un dépôt peut provoquer l’exécution d’un programme sur l’hôte lors de certaines commandes Git effectuées par Docker Sandboxes. Le programme s’exécute avec les droits de l’utilisateur hôte, hors de l’isol…
Source : CVE-2026-121614 — NVD
Telepresence : rattachement non autorisé à un tunnel de session actif
Avant Telepresence 2.31.0, un appelant pouvant obtenir un identifiant de session actif peut rattacher un tunnel routé à cette session sans vérification de propriété. Mettez à jour Telepresence vers 2.31.0 ou une version ultérieure.
Source : NVD — CVE-2026-102339
Telepresence : contrôle d’accès insuffisant à l’API du Traffic Manager
Avant Telepresence 2.31.0, un pod pouvant joindre le Traffic Manager peut appeler son API gRPC sans authentification et créer des interceptions dans des espaces de noms gérés sans contrôle des autorisations Kubernetes de la session. Mettez…
Source : NVD — CVE-2026-102340
Docker Buildx : contournement de l’autorisation de lecture de fichiers avec Bake
Une définition Bake non fiable qui construit plusieurs cibles peut contourner l’approbation `fs.read` et exposer des fichiers accessibles au client Buildx. Le correctif est Buildx 0.38.1 ; éviter d’exécuter des définitions Bake non fiables…
Source : CVE-2026-121541 — NVD
Warpgate : réutilisation d’une autorisation Kubernetes après recréation d’un compte
Entre les versions 0.21.0 et 0.29.0, Warpgate peut réutiliser une autorisation Kubernetes encore en mémoire après la suppression d’un compte et la création d’un autre portant le même nom. Mettez à jour vers Warpgate 0.29.0 ou une version u…
Source : NVD — CVE-2026-91168
Docker Buildx : contrôle `fs.read` contournable pour certains chemins Bake
Une définition Bake non fiable peut, dans certaines conditions, faire ignorer le contrôle d’autorisation `fs.read` pour des chemins voisins dont le nom commence par celui du répertoire de travail. Le risque dépend notamment de la présence…
Source : CVE-2026-121542 — NVD
Warpgate : fuite de diagnostics internes dans le protocole Kubernetes
Avant la version 0.29.0, le service Kubernetes de Warpgate peut renvoyer à un client non authentifié des diagnostics internes lors d’échecs d’authentification ou de recherche, sans journaliser certaines requêtes. Mettez à jour Warpgate ver…
Source : NVD — CVE-2026-91163