Les sujets à surveiller, en un regard.
50 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 7 sujet(s) en rouge, 4 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel Shopify daté du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. L’avis Shopify repéré sur les listes d’adresses IP obligatoires est daté du 5 novembre 2026, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Wix. Aucun avis de sécurité, correctif, nouvelle vulnérabilité ou événement d’exploitation daté de la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00 n’a été identifié dans les résultats consultés. L’incident de service Wix retrouvé est daté du 2026-11-04 et se situe hors période; les résultats relatifs à WiX Toolset concernent un homonyme et ont été écartés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal pour la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu n’a pas fait apparaître d’avis de sécurité, de correctif, d’événement d’exploitation ni de changement substantiel vérifiable concernant Solocal dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a identifié six fiches NVD publiées le 8 novembre 2026 pour Craft CMS, couvrant des problèmes distincts de GraphQL, lecture de fichiers, permissions, exécution de commandes et accès aux volumes. Les avis du dépôt Craft CMS consultés sur GitHub affichent des dates de publication antérieures à la période ; aucun élément consulté ne confirme une exploitation active pendant celle-ci. Les deux candidats fournis décrivent des vulnérabilités de Craft CMS dont les fiches NVD portent une date de publication au 8 novembre 2026 : une exécution de code à distance et un contournement d’autorisation, tous deux concernant les versions antérieures à 5.11.2.
Craft CMS : accès à des entrées hors périmètre via les champs GraphQL prev/next
Craft CMS 5.0.0 à 5.11.1 présente un contrôle d’autorisation insuffisant sur les champs GraphQL `prev` et `next`, qui peut permettre à un client anonyme de consulter des entrées appartenant à des sections hors périmètre. Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure; en attendant, restreindre ou désactiver l’accès GraphQL anonyme.
Action recommandée : Mettre à niveau Craft CMS vers 5.11.2 ou ultérieur; restreindre l’accès GraphQL anonyme jusqu’à la mise à niveau.
CVE-2026-124428 — lecture arbitraire de fichiers SVG
Une faille de lecture de fichiers permet à un utilisateur authentifié du panneau de contrôle de lire des fichiers SVG accessibles au processus PHP. Craft CMS 5.7.0 à 5.11.1 est concerné ; mettre à jour vers 5.11.2 ou une version ultérieure.
Action recommandée : Mettre à jour Craft CMS vers la version 5.11.2 ou ultérieure.
CVE-2026-124429 — récupération d’un compte désactivé et de ses permissions
Une faille de réattribution de compte peut permettre à une inscription publique de récupérer un compte non administrateur désactivé et ses permissions directes. Craft CMS 5.0.0 à 5.11.1 est concerné ; mettre à jour vers 5.11.2 ou une version ultérieure.
Action recommandée : Mettre à jour Craft CMS vers la version 5.11.2 ou ultérieure.
Exécution de code à distance dans Craft CMS
Craft CMS de la branche 5.10.x avant 5.11.2 présente une vulnérabilité d’exécution de code à distance exploitable par un utilisateur non-administrateur du panneau de contrôle. La description fournie indique que l’exploitation peut conduire à l’exécution de commandes système avec les privilèges du processus PHP.
Action recommandée : Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure.
Craft CMS : divulgation de contenu hors périmètre via GraphQL
Craft CMS 5.0.0 à 5.11.1 présente un contournement d’autorisation dans l’API GraphQL : des clients non authentifiés peuvent lire du contenu de sites hors du périmètre du schéma en interrogeant le champ `localized` sans `siteId`. Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure; à défaut, restreindre ou désactiver l’accès GraphQL anonyme.
Action recommandée : Mettre à niveau Craft CMS vers 5.11.2 ou ultérieur; restreindre l’accès GraphQL anonyme jusqu’à la mise à niveau.
Contournement d’autorisation dans Craft CMS
Craft CMS de la branche 5.10.x avant 5.11.2 présente un contournement d’autorisation permettant à un utilisateur authentifié disposant de faibles privilèges de parcourir des volumes auxquels il n’a pas accès. Selon la description fournie, les structures de répertoires peuvent être consultées, mais pas le contenu des fichiers.
Action recommandée : Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure.
Ghost
Recherche du sujet effectuée
La recherche dédiée n’a pas vérifié de nouveauté de sécurité concernant Ghost (la plateforme Ghost) pour la période demandée. Le candidat CVE-2026-123602 concerne Hickory DNS et l’attaque dite « ghost domain names » : le mot « ghost » y décrit une technique DNS, pas le produit Ghost.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Aucune nouveauté de sécurité Strapi datée du 2026-11-08 n’a été établie dans les sources consultées. Les avis visibles sur GitHub et les CVE repérées sont datés hors de la période demandée; une mention de sécurité dans une version publiée le 2026-11-04 est également antérieure à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Directus, aux publications GitHub et aux versions du projet n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les résultats de sécurité repérés étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée à OpenCart n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel dont la date soit établie dans la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les résultats consultés recensent des informations antérieures à cette période; l’absence d’élément admissible dans ces résultats ne constitue pas une affirmation d’exhaustivité sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif, exploitation ou mise à jour substantielle de sécurité datée dans la période demandée n’a été vérifiée dans les sources cPanel consultées. Les avis de sécurité visibles dans la section consultée sont antérieurs à cette période; le journal des modifications consulté indique une dernière modification au 2026-11-05.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
La recherche n’a pas permis de vérifier d’avis ou de correctif Ruby daté dans la période demandée. Les avis Ruby officiels repérés sont datés du 27 août 2026, et plusieurs avis Rails repérés du 4 novembre 2026, donc hors période. Une information secondaire sur un avis Red Hat ne permet pas d’établir qu’il a été publié ou substantiellement mis à jour entre le 8 novembre à 00:00 et le 9 novembre 2026 à 00:00 (+02:00).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
La recherche dédiée aux avis Bun/GitHub, CVE/NVD et autres sources pertinentes n’a fait apparaître aucun nouvel avis, correctif, cas d’exploitation ou changement substantiel daté dans la période demandée, du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis Bun repérés dans GitHub Security Advisories sont datés des 23 et 24 octobre 2026, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Recherche web dédiée à Deno pour la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu : aucun nouvel avis de sécurité, correctif, événement d’exploitation ou changement substantiel daté dans cette fenêtre n’a été identifié dans les résultats consultés. Les avis de sécurité Deno visibles dans les résultats sont antérieurs à la période ; les problèmes GitHub datés du 8 novembre repérés ne sont pas présentés comme des événements de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
La recherche dédiée aux avis du projet Go, aux avis de sécurité GitHub et aux rapports de vulnérabilités Go n’a pas identifié de nouvel avis, correctif, exploitation ni changement substantiel daté du 8 novembre 2026 dans la période demandée. Les éléments de sécurité Go repérés dans les sources consultées sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kotlin
Recherche du sujet effectuée
Recherche effectuée pour Kotlin sur la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Je n’ai pas trouvé d’avis de sécurité, de correctif ou d’autre événement de sécurité Kotlin vérifié et daté dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche web dédiée a été réalisée. Les avis de sécurité visibles du projet Electron sont datés d’avant la période figée; les résultats consultés n’établissent aucun nouvel avis, correctif, exploitation ni changement substantiel Electron daté du 2026-11-08 au 2026-11-09T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
Les sources consultées n’ont fourni aucun avis, correctif, événement d’exploitation ni changement substantiel concernant jQuery daté de la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis jQuery repérés dans GitHub sont anciens; aucun n’est retenu pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche web consacrée à Laravel n’a pas trouvé de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de mise à jour substantielle daté du 2026-11-08 dans la période demandée. L’avis Laravel repéré est daté du 2026-11-04, donc antérieur à cette période, et n’est pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
Aucune vulnérabilité, publication de correctif ou autre évolution de sécurité concernant Svelte n’a pu être vérifiée comme ayant été datée dans la période demandée. Les résultats trouvés ne suffisent pas à distinguer une nouveauté effectivement publiée pendant cette période d’une simple publication ou mise à jour ultérieure de données CVE; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou correctif de sécurité Symfony daté du 2026-11-08 dans la période demandée. Les candidats concernent OpenEMR : la mention de Symfony BinaryFileResponse ne signifie pas que la vulnérabilité affecte Symfony. Les avis Symfony repérés dans les résultats consultés sont datés du 2026-11-04, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Django
Recherche du sujet effectuée
La recherche dédiée a repéré des avis de sécurité Django datés du 3 novembre 2026 et du 6 octobre 2026, donc hors de la période demandée. Aucun avis ou événement de sécurité Django daté du 2026-11-08 n’a été vérifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée sur FastAPI n’a relevé aucun avis de sécurité, correctif de sécurité, exploitation ni changement substantiel daté dans la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis et notes de version consultés mentionnent des éléments antérieurs à cette fenêtre, qui n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Aucun nouvel avis, correctif de sécurité, cas d’exploitation ou changement substantiel concernant Express daté de la période demandée n’a été identifié dans les résultats consultés. Les avis et publications Express visibles dans ces résultats sont antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS a été effectuée. Les avis et publications repérés datent d’avant la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00 ; aucun élément répondant aux critères de cette période n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
La recherche dédiée n’a fait ressortir aucun avis, correctif, signalement d’exploitation ni changement substantiel concernant MySQL daté de la période demandée. L’avis officiel MySQL retrouvé est celui du 20 octobre 2026, antérieur à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux publications NVD datées du 8 novembre 2026 concernent IBM CockroachDB PostgreSQL for IBM VPC : une SSRF (CVE-2026-18546) et une élévation de privilèges (CVE-2026-18893). Les candidats Babelfish ont été exclus : leurs dates de publication sont antérieures à la période et leurs mises à jour fournies sont datées du 7 novembre UTC, avant le début de la fenêtre en heure +02:00 ; aucun changement substantiel pendant la période n’est établi.
CVE-2026-18893 — élévation de privilèges dans IBM CockroachDB PostgreSQL for IBM VPC
IBM CockroachDB PostgreSQL for IBM VPC présente une vulnérabilité d’élévation de privilèges liée à une fonction définie par l’utilisateur. Les versions concernées sont 26.2.0 à 26.2.3, 25.4.0 à 25.4.12 et 25.2.0 à 25.2.20 ; la fiche consultée ne précise pas de version corrective ni de mesure temporaire.
Action recommandée : Vérifier si les versions concernées sont déployées et appliquer le correctif éditeur dès qu’il est disponible.
CVE-2026-18546 — SSRF dans IBM CockroachDB PostgreSQL for IBM VPC
IBM CockroachDB PostgreSQL for IBM VPC présente une vulnérabilité SSRF exploitable par un utilisateur authentifié, pouvant permettre l’envoi de requêtes non autorisées depuis le système. Les versions concernées sont 26.2.0 à 26.2.3, 25.4.0 à 25.4.12 et 25.2.0 à 25.2.20 ; la fiche consultée ne précise pas de version corrective ni de mesure temporaire.
Action recommandée : Vérifier si les versions concernées sont déployées et appliquer le correctif éditeur dès qu’il est disponible.
MongoDB
Recherche du sujet effectuée
La recherche web dédiée à MongoDB a été réalisée. Aucun avis ou changement de sécurité daté dans la période demandée n’a pu être confirmé à partir des éléments consultés; un résultat secondaire mentionnant une CVE datée du 8 novembre n’était pas suffisamment étayé par une source éditeur, CVE/NVD ou autre source primaire pour être retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
La recherche web dédiée à Redis a fait ressortir des avis Redis et des correctifs publiés à d’autres dates, notamment en août et octobre 2026, mais aucun élément vérifié comme nouveau ou substantiellement mis à jour pendant la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy a relevé des avis publiés et une version corrective datés du 4 novembre 2026, hors de la période demandée. Aucun élément vérifié ne répond donc au critère de date du 8 novembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée des avis de sécurité et des publications SvelteKit consultés n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel attribuable à SvelteKit et daté de la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les avis SvelteKit repérés dans les résultats de recherche portent des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée à Babel n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis de sécurité Babel visibles dans le dépôt officiel consulté sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche dédiée sur Elasticsearch n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté dans la période demandée, du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis de sécurité Elasticsearch trouvés dans les résultats consultés sont datés du 2026-11-03, donc antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée sur RabbitMQ n’a identifié aucun avis, correctif ou autre événement de sécurité daté du 2026-11-08 dans la période demandée. La page de sécurité RabbitMQ consultée répertorie des avis antérieurs, dont les plus récents visibles sont datés du 2026-10-25; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel concernant Memcached daté de la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les résultats concernant des vulnérabilités antérieures à cette période ont été écartés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié deux nouvelles vulnérabilités GraphQL de Craft CMS publiées par le NVD le 2026-11-08 dans la période demandée. La mise à jour NVD de CVE-2025-59358 ne fournit pas de preuve d’un changement substantiel survenu dans cette période et son avis initial est antérieur.
Craft CMS : accès à des entrées hors périmètre via les champs GraphQL prev/next
Craft CMS 5.0.0 à 5.11.1 présente un contrôle d’autorisation insuffisant sur les champs GraphQL `prev` et `next`, qui peut permettre à un client anonyme de consulter des entrées appartenant à des sections hors périmètre. Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure; en attendant, restreindre ou désactiver l’accès GraphQL anonyme.
Action recommandée : Mettre à niveau Craft CMS vers 5.11.2 ou ultérieur; restreindre l’accès GraphQL anonyme jusqu’à la mise à niveau.
Craft CMS : divulgation de contenu hors périmètre via GraphQL
Craft CMS 5.0.0 à 5.11.1 présente un contournement d’autorisation dans l’API GraphQL : des clients non authentifiés peuvent lire du contenu de sites hors du périmètre du schéma en interrogeant le champ `localized` sans `siteId`. Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure; à défaut, restreindre ou désactiver l’accès GraphQL anonyme.
Action recommandée : Mettre à niveau Craft CMS vers 5.11.2 ou ultérieur; restreindre l’accès GraphQL anonyme jusqu’à la mise à niveau.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Six avis de vulnérabilité liés à des extensions WooCommerce ont été publiés pendant la période examinée : trois concernent Razorpay for WooCommerce, et trois concernent des extensions de paiement, de billetterie et de gestion frontend. Les entrées NVD modifiées mais initialement publiées hors période n’ont pas été retenues, faute d’élément vérifiant un changement substantiel daté dans la période. Cinq vulnérabilités nouvellement publiées le 8 novembre 2026 dans des extensions ou intégrations WooCommerce sont retenues : trois concernent Razorpay for WooCommerce, une porte sur la falsification de notifications de paiement et une sur le transfert non autorisé de billets. Les autres candidats ont été exclus, car leur publication est antérieure à la période et leur mise à jour NVD du 8 novembre ne fournit pas de preuve d’un changement substantiel daté de cette période. Une vulnérabilité XSS stockée publiée pendant la période concerne WCFM – Frontend Manager for WooCommerce, jusqu’à la version 6.8.1 incluse. Les données fournies ne précisent ni version corrigée ni mesure d’atténuation.
Divulgation de la valeur de commandes dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 ne vérifie pas que la commande appartient à l’utilisateur avant de renvoyer un montant de remise calculé pour cette commande. Un attaquant non authentifié peut énumérer des identifiants de commande et en déduire leur valeur monétaire ; mettre à jour vers la version 4.8.9 ou ultérieure.
Action recommandée : Mettre à jour Razorpay for WooCommerce vers la version 4.8.9 ou ultérieure.
Injection SQL dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 utilise dans une requête SQL une valeur issue d’une requête webhook sans l’assainir ni l’échapper correctement. L’exploitation nécessite de pouvoir obtenir le secret webhook, par exemple en tant qu’administrateur ; mettre à jour vers la version 4.8.9 ou ultérieure.
Action recommandée : Mettre à jour Razorpay for WooCommerce vers la version 4.8.9 ou ultérieure et protéger le secret webhook.
Falsification de notifications de paiement dans Thanh Toán Quét Mã QR Code Tự Động
Thanh Toán Quét Mã QR Code Tự Động jusqu’à la version 2.0.1 ne vérifie pas correctement l’authenticité des notifications de virement bancaire sur une installation par défaut. Un attaquant non authentifié peut alors marquer des commandes WooCommerce arbitraires comme payées ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
Event Tickets Manager : transfert non autorisé de billets et divulgation de données
Event Tickets Manager for WooCommerce avant la version 1.6.0 ne vérifie ni les autorisations ni un nonce valide lors du transfert de billets. Un attaquant non authentifié peut transférer le billet d’un autre participant ayant utilisé le paiement invité, invalider son billet et faire envoyer à une adresse choisie le PDF contenant ses données personnelles.
Action recommandée : Mettre à jour Event Tickets Manager for WooCommerce vers la version 1.6.0 ou ultérieure.
XSS stockée dans WCFM – Frontend Manager for WooCommerce
Une vulnérabilité XSS stockée affecte WCFM – Frontend Manager for WooCommerce. Les données disponibles indiquent que les versions jusqu’à 6.8.1 sont touchées, sans préciser de correctif ni de mesure d’atténuation.
Action recommandée : Vérifier l’exposition de l’installation à WCFM – Frontend Manager for WooCommerce et appliquer un correctif éditeur lorsqu’il sera disponible.
Exécution de requête sous l’identité d’un autre utilisateur dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 expose une route REST sans contrôle d’autorisation et déduit l’identité de l’utilisateur d’un paramètre fourni dans une requête non authentifiée. Sous la condition qu’un coupon spécifique soit actif, un attaquant peut faire exécuter cette requête comme un autre compte pendant son traitement ; mettre à jour vers la version 4.8.9 ou ultérieure.
Action recommandée : Mettre à jour Razorpay for WooCommerce vers la version 4.8.9 ou ultérieure.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press n’a identifié aucun nouvel avis ou événement de sécurité vérifiable daté de la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les avis et vulnérabilités antérieurs repérés n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Niveau relevé : Faible
Un avis publié dans la période concerne l’usage de références Docker mutables dans les cibles de publication de Vikunja. Il s’agit d’un risque de chaîne d’approvisionnement affectant le processus de publication Vikunja, et non d’une faille propre au produit Docker.
CVE-2026-123508 — références mutables dans les cibles de publication de Vikunja
Le 8 novembre 2026, une fiche CVE a signalé un risque de chaîne d’approvisionnement dans les cibles de publication Mage de Vikunja : elles récupéraient le module xgo et une image Docker à l’aide de références mutables « latest ». Si une source amont ou son registre était compromis, du code malveillant pouvait être intégré aux binaires Vikunja publiés et signés.
Action recommandée : Utiliser Vikunja 2.7.1 ou une version ultérieure.
Kubernetes
Recherche du sujet effectuée
La recherche dédiée n’a permis de vérifier aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel Kubernetes daté de la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Le candidat fourni concerne une fiche publiée en 2025; les éléments consultés ne démontrent pas que sa modification NVD du 8 novembre 2026 correspond à un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche dédiée a repéré des versions stables du noyau publiées le 2026-11-06, hors de la période demandée. Pour les candidats fournis, les dates de publication indiquées sont en juillet 2026 et les seules dates dans la fenêtre sont des mises à jour NVD; les éléments consultés ne démontrent pas qu’elles correspondent à un changement substantiel de sécurité daté du 2026-11-08. Un résultat de recherche secondaire mentionne CVE-2026-99281 à cette date, mais les éléments disponibles ne suffisent pas à confirmer un avis ou un correctif du noyau pertinent pour la période; il n’est donc pas retenu. Aucune nouveauté ou modification substantielle datée dans la période n’est établie par les éléments fournis. Les fiches indiquent des dates de publication antérieures et une date de mise à jour NVD, sans préciser de changement substantiel intervenu ce jour-là. L’avis Debian DSA-6616-1, daté du 8 novembre 2026, signale plusieurs vulnérabilités du noyau Linux pouvant entraîner une élévation de privilèges, un déni de service ou une fuite d’informations. La source fournie ne donne pas les CVE ni les versions concernées.
Debian publie l’avis de sécurité DSA-6616-1 pour le noyau Linux
Debian a publié un avis de sécurité concernant plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une fuite d’informations. L’avis fourni ne précise ni les CVE concernées, ni les versions affectées, ni les versions corrigées.
Action recommandée : Consulter l’avis Debian et appliquer les mises à jour de sécurité correspondant à la distribution concernée.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Recherche effectuée dans les avis de sécurité Debian et les résultats NVD pour la période demandée. DSA-6616-1 annonce le 8 novembre une mise à jour de sécurité du noyau Linux couvrant CVE-2026-100080, CVE-2026-100081 et CVE-2026-100082; Debian indique le correctif 6.12.116-1 pour trixie. Les deux candidats Contact Form 7 concernent une extension WordPress, et non une vulnérabilité du projet Debian; le candidat vim signale une correction de régression de construction de paquets, sans nouvelle faille de sécurité identifiée dans son résumé.
Debian corrige une vulnérabilité du noyau Linux (CVE-2026-100080)
Debian a publié DSA-6616-1 le 2026-11-08 pour plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une divulgation d’informations. L’avis indique que les problèmes sont corrigés dans la version 6.12.116-1 pour trixie et recommande de mettre à niveau les paquets Linux; il ne détaille pas dans son résumé public l’impact propre à chaque CVE.
Action recommandée : Mettre à niveau les paquets Linux vers la version corrigée indiquée par Debian pour la distribution concernée.
Debian corrige une vulnérabilité du noyau Linux (CVE-2026-100081)
Debian a publié DSA-6616-1 le 2026-11-08 pour plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une divulgation d’informations. L’avis indique que les problèmes sont corrigés dans la version 6.12.116-1 pour trixie et recommande de mettre à niveau les paquets Linux; il ne détaille pas dans son résumé public l’impact propre à chaque CVE.
Action recommandée : Mettre à niveau les paquets Linux vers la version corrigée indiquée par Debian pour la distribution concernée.
Debian corrige une vulnérabilité du noyau Linux (CVE-2026-100082)
Debian a publié DSA-6616-1 le 2026-11-08 pour plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une divulgation d’informations. L’avis indique que les problèmes sont corrigés dans la version 6.12.116-1 pour trixie et recommande de mettre à niveau les paquets Linux; il ne détaille pas dans son résumé public l’impact propre à chaque CVE.
Action recommandée : Mettre à niveau les paquets Linux vers la version corrigée indiquée par Debian pour la distribution concernée.
Alpine Linux
Recherche du sujet effectuée
Les sources consultées datent la publication de l’avis Alpine Linux et du correctif OpenSSH associés à CVE-2026-123158 du 2026-11-05, avant la période demandée. La mise à jour NVD du 2026-11-08 ne suffit pas, à elle seule, à établir un changement substantiel pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
La recherche a identifié la publication par le projet Apache HTTP Server de la version 2.4.70 le 2026-11-06, avant la période demandée. Les avis de sécurité consultés recensent des vulnérabilités antérieures, sans élément trouvé établissant un nouvel avis, correctif, exploitation ou changement substantiel daté du 2026-11-08 dans la fenêtre indiquée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
La recherche dédiée dans les avis de sécurité officiels de nginx, les résultats relatifs aux avis de sécurité et aux CVE, ainsi que les avis Ubuntu consultés n’a pas identifié de nouveauté nginx datée du 2026-11-08 dans la période demandée. Les avis nginx trouvés portent sur des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
La recherche web dédiée au sujet PHP et aux avis du projet n’a fait ressortir aucun avis, correctif ou changement de sécurité PHP daté de la période demandée. Les candidats fournis concernent des vulnérabilités de plugins ou d’applications qui utilisent PHP, et non du projet PHP lui-même. Aucune vulnérabilité propre à PHP (langage, interpréteur ou PHP-FPM) n’est établie par les candidats fournis. Les entrées concernent OpenEMR ou MRBS, et non le sujet demandé. Aucun candidat fourni ne concerne une vulnérabilité du langage ou du runtime PHP : les publications portent sur des applications distinctes (OpenEMR et Student Record System). Les deux entrées NVD modifiées concernent des vulnérabilités publiées en 2025 et les informations fournies ne démontrent aucun changement substantiel dans la période. Les candidats concernent des vulnérabilités de produits tiers PHPGurukul ou Kashipara, et non du langage ou du runtime PHP. Les seules dates d’événement fournies sont des mises à jour NVD ; aucun changement substantiel daté dans la période n’est établi par les informations du lot. Aucun candidat ne concerne le sujet demandé, PHP ou PHP-FPM en tant que produit. Les candidats portent sur des vulnérabilités de Pluck CMS, TastyIgniter ou d’extensions WordPress; leurs mises à jour NVD ne constituent pas, à elles seules, des événements de sécurité PHP dans la période. Aucun candidat fourni ne concerne une vulnérabilité, un correctif ou un avis de sécurité de PHP lui-même ou de PHP-FPM. Les candidats portent sur des extensions WordPress ou d’autres produits ; leur implémentation en PHP ne suffit pas à les rattacher au sujet demandé. Aucun candidat du lot ne concerne PHP ou php-fpm en tant que langage ou composant : les entrées décrivent des vulnérabilités de Craft CMS et d’OpenEMR. E…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WordPress
Vérification incomplète
Niveau relevé : Critique
Dix vulnérabilités de plugins WordPress ont été retenues, chacune associée à un CVE publié dans la période UTC+02 demandée. Les éléments fournis indiquent des défauts de contrôle d’accès, de validation de paiements, d’exposition de données, de XSS et d’injection SQL; les correctifs ne sont explicitement indiqués que pour certains plugins. L’exploitation active n’est pas connue d’après les informations vérifiées. Onze nouvelles fiches NVD concernant des vulnérabilités de plugins WordPress ont été publiées dans la période examinée. Elles touchent Userplace, Contact Form 7, WP Recipe Maker, Pronamic Pay, Event Tickets Manager for WooCommerce, FV Flowplayer Video Player, Pie Register et Secure Custom Fields. Deux nouvelles fiches NVD datées du 2026-11-08 concernent Secure Custom Fields avant la version 6.9.8 : une divulgation d’informations sur des publications non publiques et une injection de script via une définition de champ. Les candidats fournis sont des fiches NVD publiées avant la période et modifiées pendant celle-ci. Les informations transmises ne précisent pas quels champs ont changé ni ne permettent d’établir que ces modifications étaient substantielles; aucune nouveauté WordPress datée de la période ne peut donc être confirmée à partir de ce lot. Aucun événement WordPress répondant aux critères de la période n’est établi par les candidats fournis : les CVE ont été publiées avant la période et les données fournies indiquent seulement une mise à jour de fiches NVD, sans décrire de changement substantiel intervenu pendant celle-ci. Les candidats fournis indiquent des mises à jour de fiches NVD datées du 8 novembre 2026, mais ne documentent pas le contenu antérieur permettant d’établir qu’un changement substantiel a eu lieu pendant la période. Aucun item n’est don…
Userplace : prise de contrôle possible par une action AJAX non autorisée
Le plugin Userplace jusqu’à la version 1.2.0 expose une action AJAX sans contrôle d’autorisation et divulgue publiquement le nonce qui la protège. Un attaquant non authentifié peut ainsi créer un compte administrateur ou modifier des options du site, jusqu’à en prendre le contrôle.
Action recommandée : Mettre à jour Userplace vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin.
Contact Form 7 : téléversement de fichiers arbitraires sans authentification
Contact Form 7 avant la version 6.2.4 ne valide pas le type ou l’extension des fichiers envoyés et peut les laisser sur le disque après leur traitement. Un attaquant non authentifié peut déposer un fichier arbitraire; selon la configuration du serveur, il peut être exécuté ou servi comme contenu actif.
Action recommandée : Mettre à jour Contact Form 7 vers la version 6.2.4 ou ultérieure.
Subscribe2 — XSS stockée non authentifiée
La faille permet à des attaquants non authentifiés d’injecter du JavaScript persistant via le paramètre `data[ip]`, exécuté lorsqu’une page infectée est consultée. Elle concerne Subscribe2 jusqu’à la version 10.47 incluse; aucune version corrigée n’est précisée dans les éléments vérifiés.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est confirmée par l’éditeur; à défaut, désactiver le plugin jusqu’à disponibilité d’un correctif.
Prise de contrôle de comptes dans Ecommerce Affiliate
Ecommerce Affiliate jusqu’à la version 1.0.0 ne réserve pas l’émission et la vérification des mots de passe à usage unique au propriétaire du compte et ne limite pas les tentatives de vérification. Un attaquant non authentifié peut prendre le contrôle de comptes, y compris administrateurs ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
XSS stockée dans Turisbook Booking System
Le plugin Turisbook Booking System jusqu’à la version 1.3.8 ne vérifie pas correctement les droits ni les requêtes CSRF lors de l’enregistrement de ses réglages et ne sécurise pas une valeur affichée dans l’administration. Un attaquant non authentifié peut ainsi provoquer une XSS stockée visant les administrateurs ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
Injection SQL dans Productive Commerce
Productive Commerce avant la version 1.1.54 ne nettoie ni n’échappe correctement un paramètre avant de l’utiliser dans une requête SQL. Un attaquant non authentifié peut exploiter une injection SQL ; mettre à jour vers la version 1.1.54 ou ultérieure.
Action recommandée : Mettre à jour Productive Commerce vers la version 1.1.54 ou ultérieure.
Divulgation de la valeur de commandes dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 ne vérifie pas que la commande appartient à l’utilisateur avant de renvoyer un montant de remise calculé pour cette commande. Un attaquant non authentifié peut énumérer des identifiants de commande et en déduire leur valeur monétaire ; mettre à jour vers la version 4.8.9 ou ultérieure.
Action recommandée : Mettre à jour Razorpay for WooCommerce vers la version 4.8.9 ou ultérieure.
Injection SQL dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 utilise dans une requête SQL une valeur issue d’une requête webhook sans l’assainir ni l’échapper correctement. L’exploitation nécessite de pouvoir obtenir le secret webhook, par exemple en tant qu’administrateur ; mettre à jour vers la version 4.8.9 ou ultérieure.
Action recommandée : Mettre à jour Razorpay for WooCommerce vers la version 4.8.9 ou ultérieure et protéger le secret webhook.
Falsification de notifications de paiement dans Thanh Toán Quét Mã QR Code Tự Động
Thanh Toán Quét Mã QR Code Tự Động jusqu’à la version 2.0.1 ne vérifie pas correctement l’authenticité des notifications de virement bancaire sur une installation par défaut. Un attaquant non authentifié peut alors marquer des commandes WooCommerce arbitraires comme payées ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
Event Tickets Manager : transfert non autorisé de billets et divulgation de données
Event Tickets Manager for WooCommerce avant la version 1.6.0 ne vérifie ni les autorisations ni un nonce valide lors du transfert de billets. Un attaquant non authentifié peut transférer le billet d’un autre participant ayant utilisé le paiement invité, invalider son billet et faire envoyer à une adresse choisie le PDF contenant ses données personnelles.
Action recommandée : Mettre à jour Event Tickets Manager for WooCommerce vers la version 1.6.0 ou ultérieure.
Divulgation de données de commandes dans Antom Payments
Antom Payments jusqu’à la version 2.0.11 divulgue à des visiteurs non authentifiés un lien de confirmation de commande contenant une clé secrète, sans vérifier la propriété de la commande. Cette faiblesse peut exposer les détails personnels des clients ; mettre à jour vers une version corrigée, si disponible.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
Contrôle d’accès insuffisant dans Sync Post With Other Site
Sync Post With Other Site avant la version 1.9.4 n’autorise pas correctement certaines actions de gestion de contenu pour les types de publication autres que les pages. Des utilisateurs disposant au minimum du rôle Contributeur peuvent créer ou modifier des types de contenu personnalisés et réattribuer leur auteur ; mettre à jour vers la version 1.9.4 ou ultérieure.
Action recommandée : Mettre à jour Sync Post With Other Site vers la version 1.9.4 ou ultérieure.
WP Recipe Maker : divulgation de recettes d’articles protégés
WP Recipe Maker avant la version 10.9.2 ne vérifie pas si l’article contenant une recette est protégé par mot de passe avant de fournir la recette via son API REST et ses données structurées. Un utilisateur non authentifié peut donc lire le contenu de recettes présentes dans des articles protégés.
Action recommandée : Mettre à jour WP Recipe Maker vers la version 10.9.2 ou ultérieure.
Pronamic Pay : accès non autorisé aux soumissions de formulaires
Pronamic Pay avant 11.1.0 et Pronamic Pay doneren met Mollie avant 1.7.1 ne restreignent pas l’accès aux soumissions de formulaires conservées via l’API REST. Un utilisateur non authentifié peut lire les messages envoyés par les visiteurs.
Action recommandée : Mettre à jour les plugins concernés vers Pronamic Pay 11.1.0 et Pronamic Pay doneren met Mollie 1.7.1, selon le plugin installé.
FV Flowplayer Video Player : modification de contenu par des utilisateurs à faibles privilèges
FV Flowplayer Video Player avant 7.5.57.7212 expose une action AJAX qui réécrit le contenu à l’échelle du site sans contrôle d’autorisation. Tout utilisateur authentifié, y compris un abonné, peut déclencher des modifications groupées d’articles qu’il n’est pas autorisé à modifier.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.57.7212 ou ultérieure.
Pie Register : réinitialisation non autorisée des paramètres et destruction de données
Pie Register jusqu’à la version 3.8.4.15 incluse ne protège pas un gestionnaire de requêtes par des contrôles d’authentification, de nonce ou de capacité. Un attaquant non authentifié peut réinitialiser les paramètres du plugin, désactiver des protections d’inscription et détruire sa table de données.
Action recommandée : Mettre à jour Pie Register lorsqu’une version corrigée est disponible; en attendant, désactiver le plugin si possible.
Exécution de requête sous l’identité d’un autre utilisateur dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 expose une route REST sans contrôle d’autorisation et déduit l’identité de l’utilisateur d’un paramètre fourni dans une requête non authentifiée. Sous la condition qu’un coupon spécifique soit actif, un attaquant peut faire exécuter cette requête comme un autre compte pendant son traitement ; mettre à jour vers la version 4.8.9 ou ultérieure.
Action recommandée : Mettre à jour Razorpay for WooCommerce vers la version 4.8.9 ou ultérieure.
Secure Custom Fields : divulgation d’informations sur des publications non publiées (CVE-2026-97194)
Dans Secure Custom Fields, l’absence de contrôle de permission de lecture sur les champs relationnels peut révéler à des utilisateurs ayant accès à la modification de publications les titres et statuts non publics de publications non publiées. La vulnérabilité concerne les versions antérieures à 6.9.8 ; mettez le plugin à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour Secure Custom Fields vers la version 6.9.8 ou ultérieure.
Secure Custom Fields : XSS persistante dans les définitions de champs
Secure Custom Fields avant 6.9.8 ne nettoie pas une définition de champ persistée avant de l’utiliser comme nom d’attribut HTML, ce qui peut permettre l’exécution de JavaScript dans le navigateur d’une personne consultant la page. Sur un site multisite, un administrateur de site sans la capacité unfiltered_html peut ainsi affecter les sessions d’autres utilisateurs.
Action recommandée : Mettre à jour vers la version 6.9.8 ou ultérieure.
Pie Register : modification de codes d’invitation par un contributeur
Pie Register jusqu’à la version 3.8.4.15 incluse ne vérifie pas les autorisations dans une action AJAX. Un utilisateur disposant au minimum du rôle de contributeur peut modifier des enregistrements de codes d’invitation créés par un administrateur.
Action recommandée : Mettre à jour Pie Register lorsqu’une version corrigée est disponible; limiter les rôles contributeurs aux personnes de confiance.
Secure Custom Fields : contournement des règles d’accès aux champs personnalisés
Secure Custom Fields avant 6.9.8 ne réapplique pas les règles de localisation des groupes de champs lors de l’enregistrement depuis l’éditeur d’article. Des utilisateurs ayant au moins le rôle de contributeur peuvent écrire sur leurs propres articles des champs personnalisés réservés par le site aux administrateurs.
Action recommandée : Mettre à jour Secure Custom Fields vers la version 6.9.8 ou ultérieure.
Secure Custom Fields : modification de relations sur des objets non autorisés
Secure Custom Fields avant 6.9.8 ne vérifie pas qu’un utilisateur est autorisé à modifier l’objet cible lors de la synchronisation de relations bidirectionnelles. Un utilisateur ayant au moins le rôle de contributeur peut ajouter ou supprimer une référence à son propre objet sur des articles, utilisateurs ou termes qu’il ne peut normalement pas modifier.
Action recommandée : Mettre à jour Secure Custom Fields vers la version 6.9.8 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée sur PrestaShop n’a fait ressortir aucun avis, correctif, exploitation ni changement substantiel dont la date soit établie dans la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les résultats consultés comprennent des avis et alertes antérieurs à cette période; ils ne sont donc pas retenus comme événements du bulletin. Cette conclusion porte sur les résultats obtenus et ne constitue pas une preuve d’absence de tout événement.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel vérifié comme daté du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les résultats pertinents consultés concernent des événements datés hors de cette période et ont donc été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée à CloudPanel n’a identifié aucun avis, correctif ou changement de sécurité dont la date de publication ou de mise à jour soit vérifiée dans la période demandée, du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Le résultat trouvé pour le problème de configuration NGINX est daté du 1er novembre 2026, donc antérieur à la période; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
Les sources consultées indiquent plusieurs avis de sécurité Uptime Kuma publiés avant la période demandée, dont GHSA-v2p3-6f5h-6hhf (2 novembre 2026). Aucun élément consulté ne vérifie une nouvelle vulnérabilité, un correctif, un avis ou un changement substantiel daté du 8 novembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée n’a trouvé aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel concernant MariaDB daté dans la période demandée, du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les résultats repérés concernaient des informations publiées avant cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée sur phpMyAdmin n’a pas identifié d’avis, de correctif, d’exploitation ni de changement substantiel daté du 8 novembre 2026 dans la période demandée. Les résultats repérés concernant plusieurs vulnérabilités de phpMyAdmin les datent du 30 octobre 2026, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel concernant pgAdmin n’a été vérifié pour la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. La page de sécurité officielle consultée présente des avis publiés le 2026-05-11, hors de la période demandée; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche ciblée sur Virtualmin n’a relevé aucun nouvel avis, correctif de sécurité, exploitation ou changement substantiel publié dans la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les annonces Virtualmin repérées le 8 novembre concernent des versions de modules, sans indication de sécurité dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité nouvelle, CVE-2026-124552, a été publiée pendant la période pour Webmin. Les éléments consultés décrivent une XSS stockée dans les modules Shorewall et Shorewall6, affectant les versions jusqu’à 2.670; aucun correctif confirmé ni exploitation active confirmée n’a été établi.
Webmin : XSS stockée dans les modules Shorewall et Shorewall6
Webmin jusqu’à la version 2.670 n’échappe pas certains champs de table et lignes COMMENT des pages list.cgi des modules Shorewall et Shorewall6. Un utilisateur authentifié autorisé à modifier les tables peut stocker du JavaScript qui s’exécute lorsque d’autres utilisateurs, y compris root, consultent la liste.
Action recommandée : Consulter l’avis Webmin pour le correctif; dans l’intervalle, restreindre les droits d’édition des tables et commentaires concernés.
Vue.js
Recherche du sujet effectuée
Recherche web dédiée effectuée sur Vue.js et ses avis de sécurité. Les résultats consultés font notamment état d’un avis GitHub publié le 2026-08-31, hors de la période demandée ; aucun événement admissible daté du 2026-11-08 dans la période indiquée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité de Vite et aux références CVE/NVD n’a identifié aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les avis Vite repérés dans les résultats consultés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée sur Nuxt n’a repéré aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis Nuxt visibles dans les résultats consultés sont antérieurs à cette période; cette synthèse porte sur les sources effectivement recherchées et ne prétend pas couvrir tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche web dédiée n’a relevé aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel Next.js daté du 2026-11-08 dans la période demandée. Les avis et correctifs Next.js repérés dans les résultats sont datés du 2026-11-03, donc antérieurs à cette période; ils ne sont pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
La recherche dédiée n’a fait apparaître aucun nouvel avis, correctif ou événement de sécurité concernant React daté de la période demandée (du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu). Les avis React visibles dans le registre GitHub consulté sont antérieurs à cette fenêtre; les vulnérabilités KendoReact repérées sont datées du 2026-11-06 et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Angular, aux CVE et aux dépôts du projet n’a identifié aucun avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis Angular repérés dans les résultats étaient datés avant cette période; les changements de dépôt repérés le 8 novembre ne semblaient pas liés à la sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée a porté sur les avis de sécurité du projet Astro, son blog et les résultats concernant son dépôt GitHub. Les avis Astro visibles dans les résultats consultés étaient datés au plus tard du 12 octobre 2026 ; aucun avis, correctif de sécurité ou autre événement répondant aux critères et daté du 8 novembre 2026 n’a été vérifié. Un problème de sécurité CSP ouvert sur GitHub le 7 novembre apparaît comme un ticket de suivi, sans avis de vulnérabilité ni correctif de sécurité vérifié dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié d’avis, correctif, exploitation ni changement substantiel concernant TypeScript daté de la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les résultats pertinents repérés étaient antérieurs à cette période ou concernaient d’autres projets; aucun n’a été retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée a identifié, dans la période du 8 novembre 2026, des avis concernant des XSS ou d’autres injections de JavaScript dans Secure Custom Fields, OpenRemote, OpenEMR, SunEditor, Webmin et IBM Tivoli Netcool/OMNIbus. Les avis SunEditor indiquent un correctif en version 3.4.0; les versions correctrices sont également indiquées pour Secure Custom Fields, OpenRemote et OpenEMR. La mise à jour NVD de CVE-2025-57538 concernant Proxmox est administrative dans les éléments disponibles et ne constitue pas une nouveauté retenue. Une vulnérabilité publiée dans la période concerne l’exécution de JavaScript injecté dans l’interface Web d’IBM Tivoli Netcool/OMNIbus.
SunEditor : XSS à l’initialisation du mode document:header
SunEditor avant 3.4.0 insère sans échappement dans innerHTML le texte des en-têtes h1 à h6 lors de l’initialisation du mode document:header. Un contenu préparé peut ainsi exécuter du JavaScript dans le navigateur des utilisateurs de l’éditeur configuré dans ce mode.
Action recommandée : Mettre à jour vers SunEditor 3.4.0 ou ultérieure; vérifier en particulier les éditeurs configurés en mode document:header.
SunEditor : contournement du nettoyage des URL par entité HTML
SunEditor avant 3.4.0 peut laisser passer un schéma JavaScript dans un lien, car son nettoyage d’URL traite incorrectement des entités nommées telles que :. Un utilisateur qui clique sur un lien stocké ainsi préparé peut déclencher l’exécution de JavaScript.
Action recommandée : Mettre à jour vers SunEditor 3.4.0 ou ultérieure.
SunEditor : XSS dans la liste de signets de la fenêtre de lien
SunEditor avant 3.4.0 insère dans innerHTML de la liste de signets le texte décodé des en-têtes, sans échappement. Une charge persistée dans ces en-têtes peut s’exécuter quand une victime ouvre la fenêtre de lien et saisit # dans le champ URL.
Action recommandée : Mettre à jour vers SunEditor 3.4.0 ou ultérieure.
Webmin : XSS stockée dans les modules Shorewall et Shorewall6
Webmin jusqu’à la version 2.670 n’échappe pas certains champs de table et lignes COMMENT des pages list.cgi des modules Shorewall et Shorewall6. Un utilisateur authentifié autorisé à modifier les tables peut stocker du JavaScript qui s’exécute lorsque d’autres utilisateurs, y compris root, consultent la liste.
Action recommandée : Consulter l’avis Webmin pour le correctif; dans l’intervalle, restreindre les droits d’édition des tables et commentaires concernés.
OpenRemote : XSS persistante via téléversement HTML/SVG
OpenRemote avant 1.32.2 permet à un utilisateur authentifié disposant de write:admin de téléverser des fichiers HTML ou SVG contenant du JavaScript. Lorsqu’une victime consulte le fichier servi par le point de récupération, le script peut s’exécuter dans l’origine de l’application.
Action recommandée : Mettre à jour vers OpenRemote 1.32.2 ou ultérieure.
OpenEMR : XSS dans les notes du rapport Eye Exam
OpenEMR avant 8.3.0 contient une XSS persistante dans la génération du rapport patient Eye Exam : des notes de document non échappées peuvent contenir du script. Un utilisateur ayant le droit d’écrire ces notes peut provoquer son exécution lorsqu’un clinicien génère le rapport concerné.
Action recommandée : Mettre à jour vers OpenEMR 8.3.0 ou ultérieure.
SunEditor : XSS via le nom d’un fichier téléversé
SunEditor avant 3.4.0 insère sans échappement les noms de fichiers retournés par le serveur dans innerHTML du plugin FileUpload. Un nom de fichier forgé peut entraîner l’exécution de JavaScript lorsque le contenu ou une galerie est affiché.
Action recommandée : Mettre à jour vers SunEditor 3.4.0 ou ultérieure.
XSS stockée dans IBM Tivoli Netcool/OMNIbus
IBM Tivoli Netcool/OMNIbus 8.1.0 à 8.1.0.41 présente une vulnérabilité de XSS stockée permettant à un utilisateur authentifié d’insérer du JavaScript dans l’interface Web. Cela peut altérer son fonctionnement et potentiellement exposer des identifiants dans une session de confiance.
Action recommandée : Appliquer le correctif IBM correspondant après confirmation de la version et de son applicabilité.
Secure Custom Fields : XSS persistante dans les définitions de champs
Secure Custom Fields avant 6.9.8 ne nettoie pas une définition de champ persistée avant de l’utiliser comme nom d’attribut HTML, ce qui peut permettre l’exécution de JavaScript dans le navigateur d’une personne consultant la page. Sur un site multisite, un administrateur de site sans la capacité unfiltered_html peut ainsi affecter les sessions d’autres utilisateurs.
Action recommandée : Mettre à jour vers la version 6.9.8 ou ultérieure.
HTML5
Recherche du sujet effectuée
Aucune vulnérabilité, publication de correctif, avis de sécurité, exploitation ou évolution substantielle liée au sujet HTML5 n’a été vérifiée pour la période demandée dans les résultats consultés. Des résultats portant sur des avis publiés avant cette période ont été écartés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée au sujet CSS3 n’a pas identifié de vulnérabilité, d’avis/correctif, d’exploitation ni de changement substantiel vérifié comme daté dans la période demandée. Les résultats CSS repérés concernent des événements hors période ou ne permettent pas d’établir un lien avec un événement de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif de sécurité ou d’exploitation de Tailwind CSS daté dans la période demandée. La page de sécurité GitHub du projet n’affiche aucun avis publié; la version 4.3.5, publiée le 6 novembre, décrit des corrections ordinaires, sans indication qu’elles soient liées à la sécurité. ([github.com](https://github.com/tailwindlabs/tailwindcss/security?utm_source=openai))
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée sur Bootstrap n’a identifié aucun avis de sécurité ou correctif de sécurité du projet daté de la période demandée. La page des avis de sécurité GitHub consultée indique qu’aucun avis n’y est publié; les résultats consultés pour les activités du projet sur cette période ne montrent pas d’annonce de sécurité pertinente.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
Recherche Web dédiée effectuée sur Webpack et ses projets associés. Les sources consultées font état d’avis antérieurs à la période demandée; aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-08 (+02:00) n’a été identifié dans les résultats vérifiés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche web dédiée sur esbuild n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté dans la période du 2026-11-08T00:00:00+02:00 au 2026-11-09T00:00:00+02:00. Les avis de sécurité et correctifs trouvés sur le dépôt officiel sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée a repéré des signalements Parcel sur GitHub datés du 7 octobre? Non : les résultats indiquent des signalements ouverts les 7 novembre 2026, mais ne permettent pas d’établir qu’il s’agit d’une vulnérabilité, d’un avis de sécurité ou d’un correctif publié pendant la période demandée. Aucun item de sécurité ne peut donc être retenu sur les éléments consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
La recherche dédiée a repéré CVE-2026-123562, concernant le paquet JavaScript devalue. Toutefois, l’avis de sécurité GitHub correspondant indique une publication antérieure à la période demandée; aucune vulnérabilité, correction ou évolution substantielle datée du 8 novembre 2026 n’a donc été retenue pour Node.js.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Python
Vérification incomplète
Niveau relevé : Critique
Un avis publié le 2026-11-08 signale un paquet PyPI malveillant, blender-headless 9.99.9, qui transmet des informations par DNS à l’installation ou à l’importation. Un autre candidat dont la mise à jour est datée du 2026-11-08 n’a pas pu être classé avec certitude quant au caractère substantiel de cette mise à jour.
Code malveillant dans le paquet PyPI blender-headless
Un avis GHSA signale du code malveillant dans le paquet PyPI `blender-headless` version 9.99.9. Le signalement décrit une balise DNS révélant le nom de la machine lors de l’installation ou de l’importation; aucune version corrigée n’est indiquée dans les éléments consultés.
Action recommandée : Éviter la version 9.99.9; si elle a été installée ou importée, examiner les machines concernées et leur activité DNS. Aucun correctif n’est identifié dans les éléments consultés.
Java
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé cinq vulnérabilités publiées le 8 novembre 2026 dans des logiciels Java : OpenAM, Dinky et FlowCI flow-core-x. L’avis OpenAM consulté confirme le correctif en version 16.1.4 ; aucun correctif pour les quatre autres vulnérabilités n’a été établi par les sources consultées.
OpenAM : déni de service par données Java sérialisées non bornées
OpenAM antérieur à 16.1.4 accepte des données Java sérialisées sans limites suffisantes, ce qui permet à un attaquant non authentifié d’épuiser les ressources du serveur et de perturber des fonctions d’authentification et de gestion de session. Mettre à niveau vers OpenAM 16.1.4 ; l’avis recommande aussi des mesures d’atténuation avant la mise à niveau.
Action recommandée : Mettre à niveau vers OpenAM 16.1.4 ou une version ultérieure.
DataLinkDC Dinky : traversée de chemin lors de l’envoi au catalogue
DataLinkDC Dinky jusqu’à la version 1.2.5 présente un traversée de chemin dans le traitement du nom de fichier lors de l’envoi au Catalogue Upload. La fiche NVD signale une divulgation publique, mais les éléments consultés ne permettent pas d’établir une version corrigée ; vérifier les avis du projet avant déploiement.
Action recommandée : Vérifier auprès du projet ou de l’éditeur la disponibilité d’un correctif et limiter l’exposition de la fonction d’envoi concernée.
FlowCI flow-core-x : injection de code dans l’évaluation Groovy
FlowCI flow-core-x jusqu’à 1.23.49 présente une injection de code dans l’évaluation Groovy de ConditionManagerImpl.run. La fiche NVD signale une divulgation publique ; aucune version corrigée n’est établie par les éléments consultés.
Action recommandée : Rechercher un correctif auprès du projet et limiter l’accès aux fonctions FlowCI qui évaluent des conditions Groovy.
FlowCI flow-core-x : traversée de chemin lors de la décompression
FlowCI flow-core-x jusqu’à 1.23.49 présente une traversée de chemin dans FileHelper.unzip. La fiche NVD rapporte une divulgation publique, mais les éléments consultés ne précisent pas de version corrigée.
Action recommandée : Rechercher un correctif auprès du projet et limiter l’accès aux fonctions de décompression des archives.
FlowCI flow-core-x : traversée de chemin dans LocalFileManager
FlowCI flow-core-x jusqu’à 1.23.49 présente une traversée de chemin dans LocalFileManager, affectant les opérations exist, save, read et remove. La fiche NVD mentionne une divulgation publique, sans version corrigée identifiée dans les éléments consultés.
Action recommandée : Rechercher un correctif auprès du projet et limiter l’exposition des opérations de gestion des fichiers.
TYPO3
Recherche du sujet effectuée
La recherche dédiée sur TYPO3 n’a pas fait apparaître d’avis de sécurité, de correctif, d’exploitation ni de changement substantiel daté du 2026-11-08 dans les sources consultées. Les avis TYPO3 repérés comme récents sont datés du 2026-11-03, donc antérieurs à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité Drupal.org, les avis Drupal Core et les annonces de sécurité. Aucun avis ou événement Drupal daté du 2026-11-08 dans la période demandée n’a été identifié; les avis Drupal visibles dans les résultats consultés étaient datés du 2026-11-04 ou d’avant.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Vérification incomplète
La recherche dédiée a repéré trois CVE attribuées à Balbooa Gridbox pour Joomla et signalées le 8 novembre 2026 comme faisant partie d’un lot corrigé en version 2.20.5.0. Les détails individuels et les caractéristiques d’impact ne sont pas fournis par la source consultée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Magento et Adobe Commerce n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-11-08 dans la période demandée. Les résultats consultés mentionnent notamment des bulletins antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée sur Adobe Commerce n’a pas permis de vérifier de nouveauté de sécurité datée dans la période du 2026-11-08T00:00:00+02:00 inclus au 2026-11-09T00:00:00+02:00 exclu. Les avis Adobe repérés concernent des dates antérieures à cette période; un résultat NVD repéré porte une date postérieure à la borne de fin et n’a donc pas été retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée à Fooocus n’a fait ressortir aucun avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté dans la période demandée. Les résultats repérés concernant des vulnérabilités Fooocus sont antérieurs à cette période et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
8 alerte(s)SunEditor : XSS à l’initialisation du mode document:header
SunEditor avant 3.4.0 insère sans échappement dans innerHTML le texte des en-têtes h1 à h6 lors de l’initialisation du mode document:header. Un contenu préparé peut ainsi exécuter du JavaScript dans le navigateur des utilisateurs de l’édit…
Source : NVD — CVE-2026-124493
SunEditor : contournement du nettoyage des URL par entité HTML
SunEditor avant 3.4.0 peut laisser passer un schéma JavaScript dans un lien, car son nettoyage d’URL traite incorrectement des entités nommées telles que :. Un utilisateur qui clique sur un lien stocké ainsi préparé peut déclencher l…
Source : NVD — CVE-2026-124494
SunEditor : XSS dans la liste de signets de la fenêtre de lien
SunEditor avant 3.4.0 insère dans innerHTML de la liste de signets le texte décodé des en-têtes, sans échappement. Une charge persistée dans ces en-têtes peut s’exécuter quand une victime ouvre la fenêtre de lien et saisit # dans le champ…
Source : NVD — CVE-2026-124492
Webmin : XSS stockée dans les modules Shorewall et Shorewall6
Webmin jusqu’à la version 2.670 n’échappe pas certains champs de table et lignes COMMENT des pages list.cgi des modules Shorewall et Shorewall6. Un utilisateur authentifié autorisé à modifier les tables peut stocker du JavaScript qui s’exé…
Source : NVD — CVE-2026-124552
OpenRemote : XSS persistante via téléversement HTML/SVG
OpenRemote avant 1.32.2 permet à un utilisateur authentifié disposant de write:admin de téléverser des fichiers HTML ou SVG contenant du JavaScript. Lorsqu’une victime consulte le fichier servi par le point de récupération, le script peut…
Source : NVD — CVE-2026-124435
OpenEMR : XSS dans les notes du rapport Eye Exam
OpenEMR avant 8.3.0 contient une XSS persistante dans la génération du rapport patient Eye Exam : des notes de document non échappées peuvent contenir du script. Un utilisateur ayant le droit d’écrire ces notes peut provoquer son exécution…
Source : NVD — CVE-2026-124452
SunEditor : XSS via le nom d’un fichier téléversé
SunEditor avant 3.4.0 insère sans échappement les noms de fichiers retournés par le serveur dans innerHTML du plugin FileUpload. Un nom de fichier forgé peut entraîner l’exécution de JavaScript lorsque le contenu ou une galerie est affiché.
Source : NVD — CVE-2026-124491
XSS stockée dans IBM Tivoli Netcool/OMNIbus
IBM Tivoli Netcool/OMNIbus 8.1.0 à 8.1.0.41 présente une vulnérabilité de XSS stockée permettant à un utilisateur authentifié d’insérer du JavaScript dans l’interface Web. Cela peut altérer son fonctionnement et potentiellement exposer des…
Source : NVD — CVE-2026-115554
Backend & données
10 alerte(s)Code malveillant dans le paquet PyPI blender-headless
Un avis GHSA signale du code malveillant dans le paquet PyPI `blender-headless` version 9.99.9. Le signalement décrit une balise DNS révélant le nom de la machine lors de l’installation ou de l’importation; aucune version corrigée n’est in…
Craft CMS : accès à des entrées hors périmètre via les champs GraphQL prev/next
Craft CMS 5.0.0 à 5.11.1 présente un contrôle d’autorisation insuffisant sur les champs GraphQL `prev` et `next`, qui peut permettre à un client anonyme de consulter des entrées appartenant à des sections hors périmètre. Mettre à niveau ve…
Source : NVD — CVE-2026-124427
CVE-2026-18893 — élévation de privilèges dans IBM CockroachDB PostgreSQL for IBM VPC
IBM CockroachDB PostgreSQL for IBM VPC présente une vulnérabilité d’élévation de privilèges liée à une fonction définie par l’utilisateur. Les versions concernées sont 26.2.0 à 26.2.3, 25.4.0 à 25.4.12 et 25.2.0 à 25.2.20 ; la fiche consul…
Source : NVD — CVE-2026-18893
OpenAM : déni de service par données Java sérialisées non bornées
OpenAM antérieur à 16.1.4 accepte des données Java sérialisées sans limites suffisantes, ce qui permet à un attaquant non authentifié d’épuiser les ressources du serveur et de perturber des fonctions d’authentification et de gestion de ses…
Source : Fiche NVD CVE-2026-123543
Craft CMS : divulgation de contenu hors périmètre via GraphQL
Craft CMS 5.0.0 à 5.11.1 présente un contournement d’autorisation dans l’API GraphQL : des clients non authentifiés peuvent lire du contenu de sites hors du périmètre du schéma en interrogeant le champ `localized` sans `siteId`. Mettre à n…
Source : NVD — CVE-2026-124426
CVE-2026-18546 — SSRF dans IBM CockroachDB PostgreSQL for IBM VPC
IBM CockroachDB PostgreSQL for IBM VPC présente une vulnérabilité SSRF exploitable par un utilisateur authentifié, pouvant permettre l’envoi de requêtes non autorisées depuis le système. Les versions concernées sont 26.2.0 à 26.2.3, 25.4.0…
Source : NVD — CVE-2026-18546
DataLinkDC Dinky : traversée de chemin lors de l’envoi au catalogue
DataLinkDC Dinky jusqu’à la version 1.2.5 présente un traversée de chemin dans le traitement du nom de fichier lors de l’envoi au Catalogue Upload. La fiche NVD signale une divulgation publique, mais les éléments consultés ne permettent pa…
Source : Fiche NVD CVE-2026-124326
FlowCI flow-core-x : injection de code dans l’évaluation Groovy
FlowCI flow-core-x jusqu’à 1.23.49 présente une injection de code dans l’évaluation Groovy de ConditionManagerImpl.run. La fiche NVD signale une divulgation publique ; aucune version corrigée n’est établie par les éléments consultés.
Source : Fiche NVD CVE-2026-124328
FlowCI flow-core-x : traversée de chemin lors de la décompression
FlowCI flow-core-x jusqu’à 1.23.49 présente une traversée de chemin dans FileHelper.unzip. La fiche NVD rapporte une divulgation publique, mais les éléments consultés ne précisent pas de version corrigée.
Source : Fiche NVD CVE-2026-124329
FlowCI flow-core-x : traversée de chemin dans LocalFileManager
FlowCI flow-core-x jusqu’à 1.23.49 présente une traversée de chemin dans LocalFileManager, affectant les opérations exist, save, read et remove. La fiche NVD mentionne une divulgation publique, sans version corrigée identifiée dans les élé…
Source : Fiche NVD CVE-2026-124330
CMS & e-commerce
27 alerte(s)Userplace : prise de contrôle possible par une action AJAX non autorisée
Le plugin Userplace jusqu’à la version 1.2.0 expose une action AJAX sans contrôle d’autorisation et divulgue publiquement le nonce qui la protège. Un attaquant non authentifié peut ainsi créer un compte administrateur ou modifier des optio…
Source : NVD — CVE-2026-110963
Contact Form 7 : téléversement de fichiers arbitraires sans authentification
Contact Form 7 avant la version 6.2.4 ne valide pas le type ou l’extension des fichiers envoyés et peut les laisser sur le disque après leur traitement. Un attaquant non authentifié peut déposer un fichier arbitraire; selon la configuratio…
Source : NVD — CVE-2026-114432
Subscribe2 — XSS stockée non authentifiée
La faille permet à des attaquants non authentifiés d’injecter du JavaScript persistant via le paramètre `data[ip]`, exécuté lorsqu’une page infectée est consultée. Elle concerne Subscribe2 jusqu’à la version 10.47 incluse; aucune version c…
Source : NVD — CVE-2026-120531
Prise de contrôle de comptes dans Ecommerce Affiliate
Ecommerce Affiliate jusqu’à la version 1.0.0 ne réserve pas l’émission et la vérification des mots de passe à usage unique au propriétaire du compte et ne limite pas les tentatives de vérification. Un attaquant non authentifié peut prendre…
Source : NVD — CVE-2026-106015
XSS stockée dans Turisbook Booking System
Le plugin Turisbook Booking System jusqu’à la version 1.3.8 ne vérifie pas correctement les droits ni les requêtes CSRF lors de l’enregistrement de ses réglages et ne sécurise pas une valeur affichée dans l’administration. Un attaquant non…
Source : NVD — CVE-2026-103303
CVE-2026-124428 — lecture arbitraire de fichiers SVG
Une faille de lecture de fichiers permet à un utilisateur authentifié du panneau de contrôle de lire des fichiers SVG accessibles au processus PHP. Craft CMS 5.7.0 à 5.11.1 est concerné ; mettre à jour vers 5.11.2 ou une version ultérieure.
Source : NVD — CVE-2026-124428
CVE-2026-124429 — récupération d’un compte désactivé et de ses permissions
Une faille de réattribution de compte peut permettre à une inscription publique de récupérer un compte non administrateur désactivé et ses permissions directes. Craft CMS 5.0.0 à 5.11.1 est concerné ; mettre à jour vers 5.11.2 ou une versi…
Source : NVD — CVE-2026-124429
Exécution de code à distance dans Craft CMS
Craft CMS de la branche 5.10.x avant 5.11.2 présente une vulnérabilité d’exécution de code à distance exploitable par un utilisateur non-administrateur du panneau de contrôle. La description fournie indique que l’exploitation peut conduire…
Source : NVD — CVE-2026-124430
Injection SQL dans Productive Commerce
Productive Commerce avant la version 1.1.54 ne nettoie ni n’échappe correctement un paramètre avant de l’utiliser dans une requête SQL. Un attaquant non authentifié peut exploiter une injection SQL ; mettre à jour vers la version 1.1.54 ou…
Source : NVD — CVE-2026-109925
Contournement d’autorisation dans Craft CMS
Craft CMS de la branche 5.10.x avant 5.11.2 présente un contournement d’autorisation permettant à un utilisateur authentifié disposant de faibles privilèges de parcourir des volumes auxquels il n’a pas accès. Selon la description fournie,…
Source : NVD — CVE-2026-124431
Divulgation de la valeur de commandes dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 ne vérifie pas que la commande appartient à l’utilisateur avant de renvoyer un montant de remise calculé pour cette commande. Un attaquant non authentifié peut énumérer des identifiants de co…
Source : NVD — CVE-2026-104337
Injection SQL dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 utilise dans une requête SQL une valeur issue d’une requête webhook sans l’assainir ni l’échapper correctement. L’exploitation nécessite de pouvoir obtenir le secret webhook, par exemple en t…
Source : NVD — CVE-2026-104639
Falsification de notifications de paiement dans Thanh Toán Quét Mã QR Code Tự Động
Thanh Toán Quét Mã QR Code Tự Động jusqu’à la version 2.0.1 ne vérifie pas correctement l’authenticité des notifications de virement bancaire sur une installation par défaut. Un attaquant non authentifié peut alors marquer des commandes Wo…
Source : NVD — CVE-2026-105970
Event Tickets Manager : transfert non autorisé de billets et divulgation de données
Event Tickets Manager for WooCommerce avant la version 1.6.0 ne vérifie ni les autorisations ni un nonce valide lors du transfert de billets. Un attaquant non authentifié peut transférer le billet d’un autre participant ayant utilisé le pa…
Source : NVD — CVE-2026-122085
XSS stockée dans WCFM – Frontend Manager for WooCommerce
Une vulnérabilité XSS stockée affecte WCFM – Frontend Manager for WooCommerce. Les données disponibles indiquent que les versions jusqu’à 6.8.1 sont touchées, sans préciser de correctif ni de mesure d’atténuation.
Source : NVD — CVE-2026-61987
Divulgation de données de commandes dans Antom Payments
Antom Payments jusqu’à la version 2.0.11 divulgue à des visiteurs non authentifiés un lien de confirmation de commande contenant une clé secrète, sans vérifier la propriété de la commande. Cette faiblesse peut exposer les détails personnel…
Source : NVD — CVE-2026-103375
Contrôle d’accès insuffisant dans Sync Post With Other Site
Sync Post With Other Site avant la version 1.9.4 n’autorise pas correctement certaines actions de gestion de contenu pour les types de publication autres que les pages. Des utilisateurs disposant au minimum du rôle Contributeur peuvent cré…
Source : NVD — CVE-2026-110132
WP Recipe Maker : divulgation de recettes d’articles protégés
WP Recipe Maker avant la version 10.9.2 ne vérifie pas si l’article contenant une recette est protégé par mot de passe avant de fournir la recette via son API REST et ses données structurées. Un utilisateur non authentifié peut donc lire l…
Source : NVD — CVE-2026-122060
Pronamic Pay : accès non autorisé aux soumissions de formulaires
Pronamic Pay avant 11.1.0 et Pronamic Pay doneren met Mollie avant 1.7.1 ne restreignent pas l’accès aux soumissions de formulaires conservées via l’API REST. Un utilisateur non authentifié peut lire les messages envoyés par les visiteurs.
Source : NVD — CVE-2026-122062
FV Flowplayer Video Player : modification de contenu par des utilisateurs à faibles privilèges
FV Flowplayer Video Player avant 7.5.57.7212 expose une action AJAX qui réécrit le contenu à l’échelle du site sans contrôle d’autorisation. Tout utilisateur authentifié, y compris un abonné, peut déclencher des modifications groupées d’ar…
Source : NVD — CVE-2026-85344
Pie Register : réinitialisation non autorisée des paramètres et destruction de données
Pie Register jusqu’à la version 3.8.4.15 incluse ne protège pas un gestionnaire de requêtes par des contrôles d’authentification, de nonce ou de capacité. Un attaquant non authentifié peut réinitialiser les paramètres du plugin, désactiver…
Source : NVD — CVE-2026-96961
Exécution de requête sous l’identité d’un autre utilisateur dans Razorpay for WooCommerce
Razorpay for WooCommerce avant la version 4.8.9 expose une route REST sans contrôle d’autorisation et déduit l’identité de l’utilisateur d’un paramètre fourni dans une requête non authentifiée. Sous la condition qu’un coupon spécifique soi…
Source : NVD — CVE-2026-104338
Secure Custom Fields : divulgation d’informations sur des publications non publiées (CVE-2026-97194)
Dans Secure Custom Fields, l’absence de contrôle de permission de lecture sur les champs relationnels peut révéler à des utilisateurs ayant accès à la modification de publications les titres et statuts non publics de publications non publi…
Source : NVD — CVE-2026-97194
Secure Custom Fields : XSS persistante dans les définitions de champs
Secure Custom Fields avant 6.9.8 ne nettoie pas une définition de champ persistée avant de l’utiliser comme nom d’attribut HTML, ce qui peut permettre l’exécution de JavaScript dans le navigateur d’une personne consultant la page. Sur un s…
Source : NVD — CVE-2026-97195
Pie Register : modification de codes d’invitation par un contributeur
Pie Register jusqu’à la version 3.8.4.15 incluse ne vérifie pas les autorisations dans une action AJAX. Un utilisateur disposant au minimum du rôle de contributeur peut modifier des enregistrements de codes d’invitation créés par un admini…
Source : NVD — CVE-2026-96963
Secure Custom Fields : contournement des règles d’accès aux champs personnalisés
Secure Custom Fields avant 6.9.8 ne réapplique pas les règles de localisation des groupes de champs lors de l’enregistrement depuis l’éditeur d’article. Des utilisateurs ayant au moins le rôle de contributeur peuvent écrire sur leurs propr…
Source : NVD — CVE-2026-97192
Secure Custom Fields : modification de relations sur des objets non autorisés
Secure Custom Fields avant 6.9.8 ne vérifie pas qu’un utilisateur est autorisé à modifier l’objet cible lors de la synchronisation de relations bidirectionnelles. Un utilisateur ayant au moins le rôle de contributeur peut ajouter ou suppri…
Source : NVD — CVE-2026-97193
Systèmes & serveurs
4 alerte(s)Debian publie l’avis de sécurité DSA-6616-1 pour le noyau Linux
Debian a publié un avis de sécurité concernant plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une fuite d’informations. L’avis fourni ne précise ni les CVE concernées, n…
Source : DSA-6616-1 linux – security update
Debian corrige une vulnérabilité du noyau Linux (CVE-2026-100080)
Debian a publié DSA-6616-1 le 2026-11-08 pour plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une divulgation d’informations. L’avis indique que les problèmes sont corrig…
Source : DSA-6616-1 — linux security update
Debian corrige une vulnérabilité du noyau Linux (CVE-2026-100081)
Debian a publié DSA-6616-1 le 2026-11-08 pour plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une divulgation d’informations. L’avis indique que les problèmes sont corrig…
Source : DSA-6616-1 — linux security update
Debian corrige une vulnérabilité du noyau Linux (CVE-2026-100082)
Debian a publié DSA-6616-1 le 2026-11-08 pour plusieurs vulnérabilités du noyau Linux, susceptibles d’entraîner une élévation de privilèges, un déni de service ou une divulgation d’informations. L’avis indique que les problèmes sont corrig…
Source : DSA-6616-1 — linux security update
Cloud & DevOps
1 alerte(s)CVE-2026-123508 — références mutables dans les cibles de publication de Vikunja
Le 8 novembre 2026, une fiche CVE a signalé un risque de chaîne d’approvisionnement dans les cibles de publication Mage de Vikunja : elles récupéraient le module xgo et une image Docker à l’aide de références mutables « latest ». Si une so…
Source : NVD — CVE-2026-123508