Veille sécurité du 9 novembre 2026

Recherche du sujet effectuée

Niveau relevé : Élevée

La recherche dédiée a relevé sept avis Go publiés le 9 novembre 2026 dans la fenêtre demandée : traQ (deux CVE), Pocket ID, Remark42, ezBookkeeping et Telepresence (deux CVE). Les avis SiYuan, Gogs et Nginx UI fournis comme candidats avaient une date de publication antérieure à la période ; leur mise à jour administrative du 9 novembre ne suffit pas à établir un événement de sécurité nouveau ou substantiel dans cette fenêtre.

• CVE-2026-63197Élevée

  traQ : XSS via l’API de récupération des fichiers téléversés

  Dans traQ avec le stockage local, l’API de récupération de fichiers pouvait afficher directement dans le navigateur des fichiers SVG ou HTML téléversés, permettant à leur contenu d’exécuter du JavaScript. Le correctif ajoute systématiquement l’en-tête `Content-Disposition`; des mesures temporaires consistent à utiliser un autre backend de stockage ou à demander les fichiers avec `dl=1`.

  Action recommandée : Mettre à niveau vers la version corrigée indiquée dans l’avis.

  Lire la fiche →Source : GitHub Advisory GHSA-p74g-f95m-7fx7 ↗
• CVE-2026-63198Élevée

  traQ : élévation de privilèges via une demande OAuth `prompt=none`

  Dans l’autorisation OAuth silencieuse (`prompt=none`), une portée absente ou vide pouvait être étendue à toutes les portées enregistrées pour le client, alors que le contrôle du consentement portait sur l’ensemble vide. Un client OAuth concerné pouvait ainsi obtenir sans nouveau consentement un jeton aux privilèges plus larges ; mettre à niveau vers la version corrigée et révoquer les jetons potentiellement concernés.

  Action recommandée : Mettre à niveau vers la version corrigée et révoquer les jetons OAuth susceptibles d’avoir été émis avec des portées excessives.

  Lire la fiche →Source : GHSA-8cfq-jgf7-8m27 — traQ: Privilege escalation by OAuth prompt=none request ↗
• CVE-2026-62662Élevée

  Pocket ID : audience arbitraire dans le flux OIDC client credentials

  Dans le flux `client_credentials` de Pocket ID, la valeur `resource` fournie par le client pouvait être placée dans l’audience (`aud`) du jeton sans vérifier qu’elle était autorisée. Un client OIDC authentifié pouvait donc demander un jeton signé destiné à une audience arbitraire ; mettre à niveau vers la version corrigée et vérifier les jetons émis avant le correctif.

  Action recommandée : Mettre à niveau vers la version corrigée et examiner les jetons et accès interservices concernés.

  Lire la fiche →Source : GHSA-q4xm-p75h-h9p3 — Pocket ID: The client credentials grant allows any OIDC client to obtain tokens for arbitrary audiences ↗
• CVE-2026-102339Élevée

  Telepresence : accès au tunnel d’une session active sans preuve de propriété

  L’endpoint gRPC `Tunnel` de Telepresence acceptait un identifiant de session fourni par l’appelant sans vérifier que celui-ci en était propriétaire. La possession d’un identifiant de session actif pouvait permettre d’obtenir un tunnel utilisant le contexte réseau du client concerné ; mettre à niveau vers 2.31.0.

  Action recommandée : Mettre à niveau vers Telepresence 2.31.0 ou ultérieure et protéger l’accès réseau au Traffic Manager.

  Lire la fiche →Source : GHSA-6j3h-rp73-6rvf — Telepresence: Tunnel endpoint accepts caller-supplied session ID with no ownership proof ↗
• CVE-2026-102340Élevée

  Telepresence : authentification et autorisation manquantes dans l’API gRPC du Traffic Manager

  Le 9 novembre 2026, un avis GitHub a signalé une absence d’authentification sur l’API gRPC du Traffic Manager Telepresence : un pod ayant accès au réseau du cluster pouvait s’enregistrer dans un espace de noms géré et intercepter des services sans autorisation Kubernetes correspondante. La version corrective indiquée est 2.31.0.

  Action recommandée : Mettre à jour Telepresence vers la version 2.31.0 ou ultérieure.

  Lire la fiche →Source : GitHub Advisory GHSA-j8j4-rw65-56r6 ↗
• CVE-2026-77463Moyenne

  Remark42 : contournement des limites par IP via des en-têtes transférés usurpés

  Remark42 appliquait globalement un middleware qui faisait confiance aux en-têtes d’adresse IP transférée, même lorsque la requête ne provenait pas d’un proxy de confiance. Un attaquant pouvait ainsi usurper son IP pour contourner les limites par IP et d’autres contrôles dépendant de cette adresse ; la correction est disponible en v1.16.2, mais il faut aussi configurer `–trusted-proxy` ou `TRUSTED_PROXY`.

  Action recommandée : Mettre à niveau vers v1.16.2 ou ultérieure et configurer explicitement les proxys de confiance.

  Lire la fiche →Source : GHSA-56×6-q882-mf27 — Remark42: Rate limit bypass via unconditional trust of X-Forwarded-For/X-Real-IP headers in direct-internet deployment ↗
• CVE-2026-86041Moyenne

  ezBookkeeping : contournement de listes d’autorisation IP via `X-Forwarded-For`

  Dans ezBookkeeping, les listes d’autorisation d’adresses IP pour MCP et les jetons API s’appuyaient sur l’adresse fournie par Gin, alors que les proxys n’étaient pas restreints aux proxys de confiance. Un attaquant pouvait présenter un `X-Forwarded-For` correspondant à une adresse autorisée pour franchir ces contrôles ; mettre à niveau vers 1.6.0.

  Action recommandée : Mettre à niveau vers 1.6.0 ou ultérieure et vérifier les configurations de proxys de confiance.

  Lire la fiche →Source : GHSA-wchh-mrv2-5h4q — ezBookkeeping: Source-IP allowlist is bypassable via a spoofed X-Forwarded-For header ↗

Recherche du sujet effectuée

Niveau relevé : Critique

La recherche dédiée a relevé trois avis publiés le 2026-11-09 concernant fastapi-code-generator, outil qui génère des applications FastAPI. Ils décrivent trois vecteurs distincts — clé de réponse, summary et chemin OpenAPI — et indiquent tous la version 0.8.1 comme correctif; ces avis concernent l’outil générateur, pas le framework FastAPI lui-même.

• CVE-2026-63469Critique

  fastapi-code-generator : injection de code dans les réponses générées (CVE-2026-63469)

  Une mise à jour substantielle de la fiche NVD décrit une injection de code Python dans le code généré par fastapi-code-generator : une clé de réponse secondaire non fiable peut faire exécuter une expression lors de l’import du module généré. Les versions antérieures à 0.8.1 sont concernées et la version 0.8.1 corrige le problème.

  Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou ultérieur et éviter de générer ou d’importer du code à partir de spécifications OpenAPI non fiables avant la mise à niveau.

  Lire la fiche →Source : GHSA-6xmv-cjr5-w3q8 — fastapi-code-generator ↗Source : NVD — CVE-2026-63469 ↗
• CVE-2026-63470Critique

  fastapi-code-generator : injection dans la docstring du gestionnaire (CVE-2026-63470)

  L’avis GHSA décrit une faille distincte dans fastapi-code-generator : le résumé de l’opération OpenAPI est inséré sans échappement dans la docstring du gestionnaire de route, ce qui peut y injecter une expression Python. L’expression s’exécute lorsque le gestionnaire est appelé; les versions antérieures à 0.8.1 sont concernées et 0.8.1 corrige le problème.

  Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou ultérieur et ne pas générer d’applications à partir de spécifications OpenAPI non fiables avec une version vulnérable.

  Lire la fiche →Source : GitHub Advisory Database — GHSA-h667-4jj2-cgv4 ↗
• CVE-2026-63471Critique

  fastapi-code-generator : exécution de code à l’import via un chemin de route non échappé

  Un chemin OpenAPI contenant un guillemet peut fermer le littéral de chaîne produit dans le décorateur de route et y injecter une expression Python. L’expression est évaluée à l’importation du module généré; mettre à niveau vers fastapi-code-generator 0.8.1 et ne pas traiter de spécifications non fiables avant le correctif.

  Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure; jusque-là, limiter la génération aux spécifications OpenAPI de confiance.

  Lire la fiche →Source : GHSA-p2mm-64f6-gmpp — fastapi-code-generator ↗

Vérification incomplète

Niveau relevé : Élevée

Un avis de sécurité Neo4j daté du 2026-11-09 concerne un défaut d’autorisation dans les filtres JWT de `@neo4j/graphql`, corrigé en version 7.6.7. Les autres candidats GraphQL fournis ne sont pas retenus : leurs dates de publication précèdent la période, et les éléments consultés ne permettent pas d’établir qu’une modification substantielle liée à la sécurité a eu lieu le 2026-11-09.

• CVE-2026-92683Élevée

  Neo4j GraphQL : contournement de conditions dans un filtre JWT

  Dans Neo4j `@neo4j/graphql`, l’évaluation incomplète d’un filtre JWT `where` à plusieurs conditions peut permettre à un détenteur d’un JWT valide de contourner les conditions après la première. Le défaut concerne les versions 7.x antérieures à 7.6.7; mettre à jour vers 7.6.7 ou une version ultérieure corrigée.

  Action recommandée : Mettre à jour `@neo4j/graphql` vers 7.6.7 ou une version ultérieure corrigée.

  Lire la fiche →Source : NVD — CVE-2026-92683 ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

La recherche a relevé huit nouvelles fiches CVE publiées le 9 novembre 2026 concernant des extensions WooCommerce ou des contrôles liés à des commandes WooCommerce. Aucun élément fourni ne permet de confirmer une exploitation active. Les deux candidats signalant uniquement des mises à jour NVD n’ont pas été retenus, faute d’élément établissant un changement substantiel dans la période. Les fiches NVD fournies indiquent trois vulnérabilités publiées le 2026-11-09 dans des extensions WooCommerce : deux XSS stockées et une XSS réfléchie. Aucune version corrigée ni information d’exploitation connue n’est établie par les données fournies.

• CVE-2026-115256Élevée

  Mail Debug for WooCommerce : exposition des courriels envoyés

  Mail Debug for WooCommerce jusqu’à la version 1.3.0 expose une action de journalisation des courriels sans contrôle suffisant d’authentification ou de droits. Un visiteur non authentifié pourrait consulter le contenu de courriels envoyés, y compris des liens de réinitialisation de mot de passe ; désactiver le plugin ou le mettre à jour dès qu’un correctif est disponible.

  Action recommandée : Désactiver le plugin jusqu’à correction et considérer comme exposés les liens ou jetons présents dans les courriels enregistrés.

  Lire la fiche →Source : NVD — CVE-2026-115256 ↗
• CVE-2026-123463Élevée

  XSS stockée dans Checkout Files Upload for WooCommerce

  Une XSS stockée affecte Checkout Files Upload for WooCommerce jusqu’à la version 2.4.0 incluse. La fiche NVD indique une publication le 2026-11-09 ; aucune version corrigée ni mesure d’atténuation n’est précisée dans les données fournies.

  Action recommandée : Mettre à jour l’extension vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.

  Lire la fiche →Source : NVD — CVE-2026-123463 ↗
• CVE-2026-120856Élevée

  XSS réfléchie dans Invoice Gateway for WooCommerce – Invoice Payment Gateway

  Une XSS réfléchie affecte Invoice Gateway for WooCommerce – Invoice Payment Gateway jusqu’à la version 1.1.6 incluse. La fiche NVD indique une publication le 2026-11-09 ; les données fournies ne précisent ni correctif ni mesure d’atténuation.

  Action recommandée : Mettre à jour l’extension vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.

  Lire la fiche →Source : NVD — CVE-2026-120856 ↗
• CVE-2026-123145Moyenne

  WooCommerce Stripe Payment Gateway : mots de passe enregistrés en clair

  WooCommerce Stripe Payment Gateway en version 10.9.0 enregistrait en clair dans les métadonnées de commande le mot de passe choisi lors de la création d’un compte pendant un paiement express. La version 10.9.1 a empêché de nouveaux enregistrements, mais la version 11.1.0 supprime également les mots de passe déjà stockés; ceux-ci doivent être considérés comme exposés.

  Action recommandée : Mettre à jour vers la version 11.1.0 ou ultérieure et réinitialiser les mots de passe concernés, considérés comme exposés.

  Lire la fiche →Source : NVD — CVE-2026-123145 ↗
• CVE-2026-123088Moyenne

  UniPAY Payment Gateway : divulgation de données de commandes

  UniPAY Payment Gateway For WooCommerce avant 2.4 renvoie l’URL de confirmation d’une commande sans vérifier l’autorisation pour l’identifiant fourni. La fuite de la clé secrète de commande peut permettre à un attaquant non authentifié d’énumérer les commandes et d’accéder aux données personnelles des clients.

  Action recommandée : Mettre à jour le plugin vers la version 2.4 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123088 ↗
• CVE-2026-123129Moyenne

  Event Tickets Manager : modification non autorisée du prix des billets

  Event Tickets Manager for WooCommerce avant 1.6.0 ne valide pas le prix fourni à une action AJAX accessible sans authentification lorsque le produit concerné n’a aucun type de billet configuré. Le prix soumis peut être conservé à l’échelle du site et appliqué au prochain billet ajouté à un panier, permettant l’achat de billets à un prix arbitraire, y compris gratuitement.

  Action recommandée : Mettre à jour le plugin vers la version 1.6.0 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123129 ↗
• CVE-2026-106008Moyenne

  Contournement de la vérification SMS dans FraudLabs Pro SMS Verification

  Une faille permet à des utilisateurs non authentifiés de faire marquer comme vérifiée la vérification SMS d’une commande WooCommerce. Les versions 1.11.2 à 1.12.1 de FraudLabs Pro SMS Verification sont concernées ; aucun correctif n’est précisé dans les informations fournies.

  Action recommandée : Mettre à jour l’extension lorsqu’un correctif est disponible ; dans l’intervalle, ne pas considérer à lui seul l’état de vérification du plugin comme preuve fiable.

  Lire la fiche →Source : NVD — CVE-2026-106008 ↗
• CVE-2026-120855Moyenne

  XSS stockée dans TI WooCommerce Wishlist

  Une XSS stockée affecte TI WooCommerce Wishlist jusqu’à la version 2.14.0 incluse. La fiche NVD indique une publication le 2026-11-09 ; les données fournies ne précisent ni correctif ni mesure d’atténuation.

  Action recommandée : Mettre à jour l’extension vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.

  Lire la fiche →Source : NVD — CVE-2026-120855 ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

La recherche a relevé un nouvel avis Telepresence publié dans la période : CVE-2026-102340, corrigée en version 2.31.0. Les autres candidats ont été évalués individuellement ; les seules modifications NVD signalées pour eux ne suffisent pas à établir un événement substantiel dans la période, ou le sujet ne relève pas de Kubernetes.

• CVE-2026-102340Élevée

  Telepresence : authentification et autorisation manquantes dans l’API gRPC du Traffic Manager

  Le 9 novembre 2026, un avis GitHub a signalé une absence d’authentification sur l’API gRPC du Traffic Manager Telepresence : un pod ayant accès au réseau du cluster pouvait s’enregistrer dans un espace de noms géré et intercepter des services sans autorisation Kubernetes correspondante. La version corrective indiquée est 2.31.0.

  Action recommandée : Mettre à jour Telepresence vers la version 2.31.0 ou ultérieure.

  Lire la fiche →Source : GitHub Advisory GHSA-j8j4-rw65-56r6 ↗

Vérification incomplète

Niveau relevé : Exploitation active

Pour la période du 2026-11-09T00:00:00+02:00 au 2026-11-10T00:00:00+02:00, les candidats fournis correspondent à dix publications de fiches CVE NVD datées du 9 novembre concernant des extensions WordPress. Les mises à jour NVD datées du 10 novembre sont postérieures à la borne de fin ; aucune exploitation active n’est confirmée par les éléments consultés. Dix nouvelles fiches NVD relatives à WordPress ont été publiées pendant la période, avec des vulnérabilités touchant des extensions de réservation, paiement, gestion des rôles et téléversement de fichiers. Une des fiches signale une exploitation active; les mises à jour NVD postérieures à la période n’ont pas été prises comme événements de la journée. Six nouvelles fiches NVD concernant des extensions WordPress ont été publiées pendant la période : elles décrivent notamment des XSS stockées, un contournement de vérification SMS, une persistance de jetons, une exécution de code PHP et une élévation de privilèges. Les candidats fournis sont des modifications de fiches NVD datées du 9 novembre 2026, mais les vulnérabilités décrites ont été publiées le 19 août 2026. Le lot ne fournit pas d’élément montrant qu’une modification substantielle, un correctif, un avis de sécurité ou une exploitation nouvelle est survenu pendant la période demandée; une mise à jour administrative NVD seule ne suffit pas. Une nouvelle vulnérabilité CVE-2026-121764, de type XSS stockée dans le plugin FV Flowplayer Video Player, a été publiée par la NVD pendant la période. Les autres candidats examinés sont des fiches antérieurement publiées dont les données fournies n’établissent qu’une modification NVD, sans preuve d’un changement substantiel pendant la période. Les deux candidats concernent des fiches NVD modifiées pendant la période, mais les é…

• CVE-2026-123751Critique

  WP Duplicate : écriture de fichiers arbitraires et exploitation active

  WP Duplicate jusqu’à la version 1.1.11 ne vérifie pas correctement une valeur d’authentification de requête et ne valide ni le chemin ni le type des fichiers téléversés. Cela permet à un attaquant non authentifié d’écrire des fichiers arbitraires sur le serveur et potentiellement d’exécuter du code à distance; la fiche signale une exploitation active.

  Action recommandée : Désactiver ou retirer le plugin vulnérable et appliquer un correctif dès qu’il est disponible; vérifier le serveur à la recherche de fichiers non autorisés.

  Lire la fiche →Source : NVD — CVE-2026-123751 ↗
• CVE-2026-115213Critique

  EASY-JS-WPAPI : divulgation d’identifiants administrateur

  EASY-JS-WPAPI Client HANDLE for the WordPress REST-API jusqu’à la version 2.0 expose des identifiants d’administrateur et ne vérifie pas correctement l’authentification. Un attaquant non authentifié pourrait obtenir ces identifiants et accéder au site avec des privilèges d’administrateur ; désactiver le plugin ou le mettre à jour dès qu’un correctif est disponible.

  Action recommandée : Désactiver le plugin jusqu’à l’installation d’une version corrigée et renouveler les identifiants administrateur potentiellement exposés.

  Lire la fiche →Source : NVD — CVE-2026-115213 ↗
• CVE-2026-115237Critique

  Grand Job : réinitialisation non autorisée de mots de passe

  Grand Job jusqu’à la version 1.2.1 vérifie incorrectement le code de réinitialisation avant de modifier le mot de passe d’un utilisateur. Un attaquant non authentifié pourrait définir le mot de passe d’un compte arbitraire, y compris administrateur ; désactiver le plugin ou appliquer son correctif dès qu’il est disponible.

  Action recommandée : Désactiver le plugin jusqu’à l’application d’un correctif ; vérifier les comptes et réinitialisations suspectes.

  Lire la fiche →Source : NVD — CVE-2026-115237 ↗
• CVE-2026-115252Critique

  Exécution de code PHP à distance via Confection WordPress Cable

  Une absence de vérification des capacités et du nonce permet à des utilisateurs non authentifiés de modifier les réglages de Confection WordPress Cable. Les versions 0.4.0 à 0.4.7 peuvent ainsi permettre l’exécution de code PHP arbitraire sur le serveur ; aucun correctif n’est mentionné dans les informations fournies.

  Action recommandée : Désactiver l’extension jusqu’à la disponibilité d’un correctif, puis installer une version corrigée.

  Lire la fiche →Source : NVD — CVE-2026-115252 ↗
• CVE-2026-115256Élevée

  Mail Debug for WooCommerce : exposition des courriels envoyés

  Mail Debug for WooCommerce jusqu’à la version 1.3.0 expose une action de journalisation des courriels sans contrôle suffisant d’authentification ou de droits. Un visiteur non authentifié pourrait consulter le contenu de courriels envoyés, y compris des liens de réinitialisation de mot de passe ; désactiver le plugin ou le mettre à jour dès qu’un correctif est disponible.

  Action recommandée : Désactiver le plugin jusqu’à correction et considérer comme exposés les liens ou jetons présents dans les courriels enregistrés.

  Lire la fiche →Source : NVD — CVE-2026-115256 ↗
• CVE-2026-115204Élevée

  AZEXO Store Locator : écriture de fichiers arbitraires

  Le plugin AZEXO Store Locator jusqu’à la version 1.4 ne vérifie pas correctement les droits ni le nonce de ses actions AJAX et utilise un en-tête non assaini pour construire un chemin de fichier. Un utilisateur authentifié peu privilégié peut ainsi écrire un fichier arbitraire, avec un risque d’exécution de code ; mettre à jour vers une version corrigée dès qu’elle est disponible.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est publiée ; à défaut, désactiver le plugin et limiter les comptes authentifiés.

  Lire la fiche →Source : NVD — CVE-2026-115204 ↗
• CVE-2026-115212Élevée

  mView : téléversement de fichier PHP arbitraire

  mView jusqu’à la version 1.0.3 ne valide pas suffisamment le fichier récupéré à distance ni les autorisations avant de l’enregistrer dans un répertoire accessible depuis le Web. Un utilisateur authentifié peu privilégié peut téléverser un fichier PHP arbitraire et potentiellement exécuter du code sur le serveur ; mettre à jour dès qu’un correctif est disponible.

  Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité ; sinon désactiver le plugin et restreindre les comptes authentifiés.

  Lire la fiche →Source : NVD — CVE-2026-115212 ↗
• CVE-2026-121764Élevée

  XSS stockée dans FV Flowplayer Video Player

  Une XSS stockée affecte l’extension FV Flowplayer Video Player. Les versions jusqu’à 7.5.56.7212 sont concernées ; aucune version corrigée n’est indiquée dans les informations fournies.

  Action recommandée : Vérifier l’utilisation de l’extension et appliquer une version corrigée dès qu’elle est disponible.

  Lire la fiche →Source : NVD — CVE-2026-121764 ↗
• CVE-2026-106466Élevée

  Jetons de renouvellement non invalidés dans JWT Auth

  Les jetons de renouvellement déjà émis ne sont pas invalidés lors d’un changement ou d’une réinitialisation de mot de passe, ni lors du retrait d’un appareil connecté. Dans JWT Auth jusqu’à la version 3.0.2, un détenteur d’un tel jeton peut conserver l’accès au compte et obtenir de nouveaux jetons d’accès.

  Action recommandée : Mettre à jour l’extension lorsqu’un correctif est disponible et révoquer les sessions ou jetons potentiellement exposés.

  Lire la fiche →Source : NVD — CVE-2026-106466 ↗
• CVE-2026-123460Élevée

  XSS stockée dans WordPress File Upload

  Une XSS stockée affecte l’extension WordPress File Upload. Les versions jusqu’à 5.2.2 sont concernées ; aucune version corrigée n’est indiquée dans les informations fournies.

  Action recommandée : Vérifier l’utilisation de l’extension et appliquer une version corrigée dès qu’elle est disponible.

  Lire la fiche →Source : NVD — CVE-2026-123460 ↗
• CVE-2026-121576Élevée

  Élévation de privilèges dans MCP Server for WordPress

  Une attribution incorrecte de privilèges dans MCP Server for WordPress peut permettre une élévation de privilèges. Les versions jusqu’à 2.0.1 sont concernées ; aucun correctif ni détail supplémentaire sur les conditions d’exploitation n’est fourni.

  Action recommandée : Vérifier l’utilisation de l’extension et appliquer une version corrigée dès qu’elle est disponible.

  Lire la fiche →Source : NVD — CVE-2026-121576 ↗
• CVE-2026-118201Élevée

  Limit Login Attempts Security : contournement du second facteur

  Limit Login Attempts Security avant la version 3.4.1 n’applique pas l’authentification à deux facteurs sur toutes les voies de connexion par mot de passe. Une personne disposant déjà du mot de passe d’un utilisateur protégé pourrait contourner le second facteur par une interface alternative ; mettre à jour au moins vers la version 3.4.1.

  Action recommandée : Mettre à jour vers la version 3.4.1 ou ultérieure ; demander aux utilisateurs concernés de changer les mots de passe susceptibles d’avoir été compromis.

  Lire la fiche →Source : NVD — CVE-2026-118201 ↗
• CVE-2026-118202Élevée

  Limit Login Attempts Security : validation incorrecte de l’étape 2FA

  Limit Login Attempts Security avant la version 3.4.1 peut finaliser une connexion sans confirmer que l’étape d’authentification à deux facteurs a réussi, notamment lorsque sa construction échoue. Un attaquant connaissant déjà le mot de passe d’un compte protégé pourrait ainsi contourner le second facteur ; mettre à jour au moins vers la version 3.4.1.

  Action recommandée : Mettre à jour vers la version 3.4.1 ou ultérieure et vérifier les connexions des comptes protégés.

  Lire la fiche →Source : NVD — CVE-2026-118202 ↗
• CVE-2026-121874Élevée

  Post Duplicator : modification d’options arbitraires en multisite

  Post Duplicator avant la version 3.0.18 ne limite pas l’enregistrement de ses réglages à ses propres options. Dans un réseau multisite, un administrateur de site qui n’est pas super-administrateur pourrait modifier des options arbitraires de son site, notamment des rôles, et tenter d’obtenir des capacités étendues ; mettre à jour au moins vers 3.0.18.

  Action recommandée : Mettre à jour vers la version 3.0.18 ou ultérieure et examiner les options et rôles du site multisite.

  Lire la fiche →Source : NVD — CVE-2026-121874 ↗
• CVE-2026-121875Élevée

  Post Duplicator : attribution de capacités privilégiées sur multisite

  Dans Post Duplicator avant 3.0.18, les permissions configurées pour les rôles ne sont pas correctement validées. Sur un réseau multisite, un administrateur qui n’est pas Super Admin peut ainsi attribuer à un rôle des capacités de gestion du réseau réservées au Super Admin.

  Action recommandée : Mettre à jour Post Duplicator vers la version 3.0.18 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-121875 ↗
• CVE-2026-123064Élevée

  WP BASE Booking : création non autorisée de comptes administrateur

  WP BASE Booking of Appointments, Services and Events avant 6.5.1 ne restreint pas correctement une action de création d’utilisateurs. Un utilisateur authentifié ayant au moins le rôle Subscriber peut créer un compte administrateur et élever ses privilèges.

  Action recommandée : Mettre à jour le plugin vers la version 6.5.1 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123064 ↗
• CVE-2026-123091Élevée

  Vigilant : contournement du second facteur sur certains formulaires

  Vigilant avant 2.11.0 n’applique pas l’authentification à deux facteurs sur les formulaires de connexion autres que celui de WordPress par défaut. Un attaquant connaissant le mot de passe d’un utilisateur peut contourner le second facteur via ces formulaires.

  Action recommandée : Mettre à jour Vigilant vers la version 2.11.0 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123091 ↗
• CVE-2026-123145Moyenne

  WooCommerce Stripe Payment Gateway : mots de passe enregistrés en clair

  WooCommerce Stripe Payment Gateway en version 10.9.0 enregistrait en clair dans les métadonnées de commande le mot de passe choisi lors de la création d’un compte pendant un paiement express. La version 10.9.1 a empêché de nouveaux enregistrements, mais la version 11.1.0 supprime également les mots de passe déjà stockés; ceux-ci doivent être considérés comme exposés.

  Action recommandée : Mettre à jour vers la version 11.1.0 ou ultérieure et réinitialiser les mots de passe concernés, considérés comme exposés.

  Lire la fiche →Source : NVD — CVE-2026-123145 ↗
• CVE-2026-123088Moyenne

  UniPAY Payment Gateway : divulgation de données de commandes

  UniPAY Payment Gateway For WooCommerce avant 2.4 renvoie l’URL de confirmation d’une commande sans vérifier l’autorisation pour l’identifiant fourni. La fuite de la clé secrète de commande peut permettre à un attaquant non authentifié d’énumérer les commandes et d’accéder aux données personnelles des clients.

  Action recommandée : Mettre à jour le plugin vers la version 2.4 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123088 ↗
• CVE-2026-123129Moyenne

  Event Tickets Manager : modification non autorisée du prix des billets

  Event Tickets Manager for WooCommerce avant 1.6.0 ne valide pas le prix fourni à une action AJAX accessible sans authentification lorsque le produit concerné n’a aucun type de billet configuré. Le prix soumis peut être conservé à l’échelle du site et appliqué au prochain billet ajouté à un panier, permettant l’achat de billets à un prix arbitraire, y compris gratuitement.

  Action recommandée : Mettre à jour le plugin vers la version 1.6.0 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123129 ↗
• CVE-2026-106008Moyenne

  Contournement de la vérification SMS dans FraudLabs Pro SMS Verification

  Une faille permet à des utilisateurs non authentifiés de faire marquer comme vérifiée la vérification SMS d’une commande WooCommerce. Les versions 1.11.2 à 1.12.1 de FraudLabs Pro SMS Verification sont concernées ; aucun correctif n’est précisé dans les informations fournies.

  Action recommandée : Mettre à jour l’extension lorsqu’un correctif est disponible ; dans l’intervalle, ne pas considérer à lui seul l’état de vérification du plugin comme preuve fiable.

  Lire la fiche →Source : NVD — CVE-2026-106008 ↗
• CVE-2026-120409Moyenne

  All-in-One Video Gallery : accès à des vidéos protégées

  All-in-One Video Gallery avant la version 5.1.1 ne vérifie pas si une vidéo est protégée par mot de passe avant de la servir via sa page de lecture autonome ou son lien de téléchargement. Des visiteurs non authentifiés pourraient accéder à la source de médias protégés ; mettre à jour au moins vers la version 5.1.1.

  Action recommandée : Mettre à jour vers la version 5.1.1 ou ultérieure ; revoir les liens de médias sensibles éventuellement exposés.

  Lire la fiche →Source : NVD — CVE-2026-120409 ↗
• CVE-2026-121759Moyenne

  Fusion Page Builder : suppression non autorisée de contenu

  Fusion Page Builder avant la version 1.7.1 ne vérifie pas que l’utilisateur est propriétaire du contenu qu’il place dans la corbeille. Un utilisateur ayant un rôle aussi limité que Contributeur pourrait déplacer des publications ou pages arbitraires dans la corbeille, voire les supprimer définitivement si la corbeille est désactivée ; mettre à jour au moins vers 1.7.1.

  Action recommandée : Mettre à jour vers la version 1.7.1 ou ultérieure et contrôler les contenus récemment supprimés.

  Lire la fiche →Source : NVD — CVE-2026-121759 ↗
• CVE-2026-123131Moyenne

  GemBooking : capacités administratives temporaires accordées à tort

  GemBooking avant 1.7.1 ne vérifie pas suffisamment qu’une requête REST vise ses propres routes avant d’accorder temporairement des capacités administratives à des membres du personnel. Un utilisateur ayant le rôle Staff de GemBooking peut alors supprimer des publications arbitraires et modifier les réglages du site.

  Action recommandée : Mettre à jour GemBooking vers la version 1.7.1 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123131 ↗
• CVE-2026-81422Moyenne

  Advanced Appointment Booking & Scheduling : création publique de comptes

  Advanced Appointment Booking & Scheduling avant 2.7 ne respecte pas le paramètre de WordPress désactivant l’inscription d’utilisateurs lors de la création de comptes via un shortcode public. Un attaquant non authentifié peut créer des comptes et être connecté automatiquement, même lorsque l’inscription est désactivée sur le site.

  Action recommandée : Mettre à jour le plugin vers la version 2.7 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-81422 ↗
• CVE-2026-123128Faible

  GemBooking : réservations simultanées qui se chevauchent

  GemBooking avant 1.7.1 ne sérialise pas les demandes de réservation simultanées pour un même membre de l’équipe. Des utilisateurs non authentifiés peuvent ainsi provoquer la confirmation de réservations qui se chevauchent pour cette personne.

  Action recommandée : Mettre à jour GemBooking vers la version 1.7.1 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-123128 ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

La recherche web dédiée a relevé huit avis de sécurité PrestaShop datés du 2026-11-09 dans la période demandée, dont sept sans CVE attribuée dans les avis fournis et un associé à CVE-2026-71519. La fiche NVD CVE-2026-124916 recoupe l’avis GHSA sur l’injection PHP; sa mise à jour NVD n’est pas comptée comme un événement distinct. La recherche a aussi fait remonter une alerte PrestaShop sur un skimmer, publiée le 2026-02-17, hors période et donc non retenue. Aucun incident ou avis de module daté de la période n’a été établi par les résultats consultés; cela ne constitue pas une preuve d’absence exhaustive. Le lot contient 11 avis de sécurité PrestaShop publiés le 9 novembre 2026 : dix avis sans CVE et un avis associé à CVE-2026-71531. Les correctifs indiqués sont 9.2.1 et/ou 8.2.9 selon l’avis; aucune exploitation active n’est établie par les informations fournies. Deux versions de sécurité de PrestaShop publiées le 9 novembre 2026 sont signalées : 9.2.1 et 8.2.9. Les avis font état respectivement de dix-huit et quinze vulnérabilités corrigées, sans fournir de CVE dans les informations reçues.

• CVE-2026-124916Élevée

  Injection de code PHP via les réglages Debug du back-office

  Une injection de code PHP dans les champs de cookie du mode Debug pouvait permettre à un employé du back-office autorisé à modifier les réglages Performance d’exécuter du code avec les privilèges du serveur web. Le correctif est PrestaShop 9.2.1 ; à défaut, réserver ces permissions aux profils de confiance.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1.

  Lire la fiche →Source : Avis PrestaShop GHSA-95f5-jc9c-gg3q ↗Source : NVD — CVE-2026-124916 ↗
• GHSA-wrmc-gmx5-9hhcÉlevée

  Traversée de chemin dans les pièces jointes

  Une traversée de chemin dans la gestion des pièces jointes pouvait exposer des fichiers hors du répertoire prévu et permettre leur suppression via le Webservice. Mettre à niveau vers 9.2.1 ou 8.2.9 et ne pas accorder à des clés Webservice non fiables le droit d’écrire des pièces jointes.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.

  Lire la fiche →Source : Avis PrestaShop GHSA-wrmc-gmx5-9hhc ↗
• GHSA-r246-6gw4-pj3pÉlevée

  Contournement des limites d’utilisation des règles de panier par concurrence

  Une condition de concurrence lors de la validation des commandes pouvait permettre d’utiliser plusieurs fois une règle de panier limitée. Mettre à niveau vers 9.2.1 ou 8.2.9; l’avis ne précise aucun contournement.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.

  Lire la fiche →Source : Avis PrestaShop GHSA-r246-6gw4-pj3p ↗
• GHSA-p292-3rh4-vm4pÉlevée

  Élévation des privilèges des clients de l’Admin API

  Un client de l’Admin API possédant le droit api_client_write pouvait s’attribuer d’autres portées installées, dont celles permettant l’écriture de modules ou de comptes clients. Mettre à niveau vers 9.2.1 et vérifier les portées accordées aux clients API existants.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 et auditer les portées des clients API.

  Lire la fiche →Source : Avis PrestaShop GHSA-p292-3rh4-vm4p ↗
• CVE-2026-71519Élevée

  Accès inter-boutiques aux dossiers clients via le Webservice

  Une clé Webservice limitée à une boutique pouvait accéder aux dossiers clients d’autres boutiques de la même installation et modifier leurs données. Mettre à niveau vers 9.2.1 ou 8.2.9; désactiver le Webservice s’il est inutilisé et limiter les droits des clés.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.

  Lire la fiche →Source : Avis PrestaShop GHSA-hjwq-7qvv-qxj4 ↗
• GHSA-h2q4-7fp7-m5jpÉlevée

  Injection d’objet PHP non authentifiée via le cookie de session de l’installateur

  Si le dossier d’installation restait présent sur le serveur, une faiblesse dans le cookie de session de l’installateur pouvait permettre à un attaquant non authentifié d’obtenir l’exécution de code. Mettre à niveau vers 9.2.1 ou 8.2.9 et supprimer le dossier install après l’installation.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9 et supprimer le dossier install.

  Lire la fiche →Source : Avis PrestaShop GHSA-h2q4-7fp7-m5jp ↗
• GHSA-99cp-c6mm-p7h5Élevée

  GHSA-99cp-c6mm-p7h5 : XSS stockée via téléversement de fichiers SVG

  Un fichier SVG contenant du JavaScript pouvait être téléversé par un employé autorisé via le gestionnaire de fichiers ou l’outil d’envoi de logo, puis exécuté depuis l’origine de la boutique lorsqu’un employé plus privilégié l’ouvrait. Mettre à niveau vers une version corrigée et limiter ces droits d’envoi aux employés de confiance.

  Action recommandée : Mettre à niveau PrestaShop vers 9.2.1 ou 8.2.9; restreindre les droits d’envoi concernés.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-99cp-c6mm-p7h5 ↗
• GHSA-95w6-v2wq-cv8wÉlevée

  GHSA-95w6-v2wq-cv8w : exécution de code via l’import de thème depuis le Web

  Un employé du back-office autorisé à importer des thèmes pouvait exploiter l’import depuis le Web pour déposer un fichier exécutable dans un répertoire accessible au serveur, permettant l’exécution de code. Mettre à niveau et réserver l’importation de thèmes à des personnes de confiance; privilégier l’import d’une archive locale.

  Action recommandée : Mettre à niveau vers 9.2.1 ou 8.2.9 et restreindre les droits d’import de thèmes.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-95w6-v2wq-cv8w ↗
• GHSA-7q68-ch46-pxmcÉlevée

  GHSA-7q68-ch46-pxmc : traversée de chemin lors de l’import de thèmes et modules

  L’import de thèmes ou de modules ne validait pas suffisamment les chemins d’extraction, permettant à un employé autorisé d’écrire hors du répertoire prévu et potentiellement d’écraser des fichiers exécutables. Mettre à niveau et limiter ces permissions d’import aux employés de confiance.

  Action recommandée : Mettre à niveau vers 9.2.1 ou 8.2.9 et limiter les droits d’import.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-7q68-ch46-pxmc ↗
• GHSA-8rxw-79mh-gmm5Élevée

  GHSA-8rxw-79mh-gmm5 : relance de l’installateur et écrasement de la configuration

  L’installateur Web pouvait être relancé sans vérifier que la boutique était déjà installée, si son répertoire restait accessible, et permettre la lecture d’identifiants de base de données ou la réinstallation avec un compte administrateur contrôlé par l’attaquant. Supprimer le répertoire d’installation et mettre à niveau vers une version corrigée.

  Action recommandée : Mettre à niveau vers 9.2.1 ou 8.2.9 et vérifier que le répertoire install a été supprimé.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-8rxw-79mh-gmm5 ↗
• GHSA-5p6p-mx64-96jfÉlevée

  GHSA-5p6p-mx64-96jf : écriture arbitraire de fichier via les traductions d’e-mails

  La sauvegarde des traductions d’e-mails pouvait écrire un fichier à un emplacement choisi dans les limites d’écriture du serveur, notamment en écrasant un modèle front-office et en permettant l’exécution de code. Mettre à niveau et réserver le droit de modifier les traductions aux employés de confiance.

  Action recommandée : Mettre à niveau vers 9.2.1 ou 8.2.9 et restreindre les droits de traduction.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-5p6p-mx64-96jf ↗
• CVE-2026-71531Élevée

  CVE-2026-71531 : contournement de portée multiboutique de l’API Webservice

  Une clé Webservice restreinte à une boutique pouvait accéder aux données d’autres boutiques en demandant le contexte de toutes les boutiques ou d’un groupe. Mettre à niveau; en attendant, désactiver l’API Webservice si elle n’est pas nécessaire et considérer les clés limitées à une boutique comme ayant une portée globale.

  Action recommandée : Mettre à niveau vers 9.2.1 ou 8.2.9; désactiver l’API si elle n’est pas utilisée d’ici là.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-3f36-4qv4-vfgh ↗
• GHSA-2676-hc74-gg7vÉlevée

  GHSA-2676-hc74-gg7v : création répétée de commandes gratuites par condition de concurrence

  Des contrôles non atomiques lors de la confirmation d’une commande gratuite permettaient à plusieurs requêtes concurrentes de créer plusieurs commandes à partir d’un même panier. Mettre à niveau vers une version corrigée; aucun contournement n’est indiqué dans l’avis.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-2676-hc74-gg7v ↗
• GHSA-fxq4-2mc8-99prÉlevée

  GHSA-fxq4-2mc8-99pr : inclusion de fichier et exécution de code via la page de traduction

  Le nom du module fourni à la page historique de traduction du back-office était utilisé pour construire un chemin de fichier inclus sans validation par rapport aux modules installés; combiné à un fichier téléversé par un employé, cela pouvait permettre l’exécution de code. Mettre à niveau et limiter les permissions de traduction et d’import aux employés de confiance.

  Action recommandée : Mettre à niveau vers 9.2.1 ou 8.2.9 et limiter les permissions concernées.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-fxq4-2mc8-99pr ↗
• GHSA-6c2j-pgwm-95m9Élevée

  GHSA-6c2j-pgwm-95m9 : désactivation et révocation inefficaces pour les clients Admin API

  L’état désactivé d’un client de l’Admin API n’empêchait pas l’émission de nouveaux jetons, et les jetons déjà émis ne pouvaient pas être révoqués par ce mécanisme. Mettre à niveau; à défaut, supprimer le client API ou renouveler son secret plutôt que de simplement le désactiver.

  Action recommandée : Mettre à niveau vers 9.2.1; supprimer les clients exposés ou renouveler leurs secrets en attendant.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-6c2j-pgwm-95m9 ↗
• GHSA-mgcf-mrg4-mcxvMoyenne

  Modification de commandes existantes avec une permission de création seule

  La permission de créer des commandes était utilisée à tort pour autoriser l’ajout de produits à une commande existante. Un employé autorisé à créer, mais pas à modifier, des commandes pouvait ainsi altérer les lignes, les totaux et le stock; mettre à niveau vers 9.2.1 ou 8.2.9.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.

  Lire la fiche →Source : Avis PrestaShop GHSA-mgcf-mrg4-mcxv ↗
• GHSA-g6p7-cx52-hcrjMoyenne

  Jeton prévisible de réinitialisation du mot de passe client

  Le jeton de réinitialisation du mot de passe client était dérivé de valeurs prévisibles plutôt que généré aléatoirement. Un attaquant connaissant l’identifiant et la clé sécurisée du client pouvait calculer un jeton et réinitialiser son mot de passe; mettre à niveau vers 9.2.1 ou 8.2.9.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.

  Lire la fiche →Source : Avis PrestaShop GHSA-g6p7-cx52-hcrj ↗
• GHSA-fg9q-mm4c-h5xcMoyenne

  GHSA-fg9q-mm4c-h5xc : divulgation de fichiers de personnalisation de clients

  Une vérification de propriété incorrectement groupée permettait à une personne non authentifiée connaissant une référence de commande et le nom d’un fichier de personnalisation de télécharger le fichier d’un autre client. Mettre à niveau vers une version corrigée; aucun contournement n’est indiqué.

  Action recommandée : Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.

  Lire la fiche →Source : Avis de sécurité PrestaShop GHSA-fg9q-mm4c-h5xc ↗
• PrestaShop 9.2.1 security releaseNon déterminée

  PrestaShop 9.2.1 corrige dix-huit vulnérabilités

  PrestaShop 9.2.1 corrige dix-huit vulnérabilités signalées dans le cadre d’une divulgation coordonnée, dont quinze sont qualifiées de gravité élevée dans l’avis. Plusieurs seraient exploitables sans compte ; la mise à jour est recommandée.

  Action recommandée : Mettre à jour vers PrestaShop 9.2.1.

  Source : PrestaShop 9.2.1 is available ↗
• PrestaShop 8.2.9 security releaseNon déterminée

  PrestaShop 8.2.9 corrige quinze vulnérabilités

  PrestaShop 8.2.9 est une version de sécurité de la branche 8.2 qui corrige quinze vulnérabilités, dont douze sont qualifiées de gravité élevée dans l’avis. Plusieurs seraient exploitables sans compte ; la mise à jour est recommandée.

  Action recommandée : Mettre à jour vers PrestaShop 8.2.9.

  Source : PrestaShop 8.2.9 is available ↗

Recherche du sujet effectuée

Niveau relevé : Critique

Deux avis GitHub publiés le 2026-11-09 signalent des paquets npm malveillants dont le nom les rattache à l’écosystème React. Aucun CVE ni correctif n’est indiqué dans ces avis.

• GHSA-4g97-x239-ch6rCritique

  Logiciel malveillant dans react-bootstrap-table2-toolkit-bg

  GitHub a publié un avis signalant que le paquet npm `react-bootstrap-table2-toolkit-bg` contient un logiciel malveillant. L’avis recommande de considérer comme compromis tout ordinateur où il a été installé ou exécuté, de retirer le paquet et de renouveler les secrets depuis un appareil sain.

  Action recommandée : Rechercher le paquet dans les dépendances et systèmes concernés; le retirer, isoler les machines touchées et renouveler les secrets depuis un appareil sain.

  Lire la fiche →Source : GHSA-4g97-x239-ch6r — Malware in react-bootstrap-table2-toolkit-bg ↗
• GHSA-2gfg-q28v-5gh9Critique

  Logiciel malveillant dans react-bootstrap-table-next-bg

  GitHub a publié un avis signalant que le paquet npm `react-bootstrap-table-next-bg` contient un logiciel malveillant. L’avis recommande de considérer comme compromis tout ordinateur où il a été installé ou exécuté, de retirer le paquet et de renouveler les secrets depuis un appareil sain.

  Action recommandée : Rechercher le paquet dans les dépendances et systèmes concernés; le retirer, isoler les machines touchées et renouveler les secrets depuis un appareil sain.

  Lire la fiche →Source : GHSA-2gfg-q28v-5gh9 — Malware in react-bootstrap-table-next-bg ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

Trois vulnérabilités liées à l’exécution de JavaScript ont été publiées le 2026-11-09 dans la période examinée : une XSS stockée dans un formulaire de profil, une XSS réfléchie dans WidzialniCMS et une exécution de script via les diagnostics de langium-sprotty. Les autres candidats fournis correspondent à des fiches publiées avant la période et dont la modification NVD du 2026-11-09 n’est pas, au vu des éléments disponibles, établie comme un changement substantiel. Aucun changement substantiel lié à JavaScript n’est établi pour la période. Les candidats sont des fiches NVD publiées avant celle-ci; leur seule date de mise à jour ne permet pas de conclure à un nouvel avis ou à un changement substantiel. Trois informations pertinentes datées de la période ont été retenues : deux nouvelles fiches NVD relatives à des XSS dans WidzialniCMS et Eclipse Langium, et un avis GitHub concernant une XSS dans traQ. Les autres mises à jour NVD du lot ne fournissent pas de preuve d’un changement substantiel dans la période; l’avis Gogs a une date de publication antérieure et le lot ne permet pas d’établir la nature de sa mise à jour récente. L’avis GHSA-xrmj-5g4g-8987, concernant une injection de template dans @dynatrace-oss/dynatrace-mcp-server, porte une date de mise à jour comprise dans la période demandée. L’avis indique que les versions antérieures à 2.0.0 sont affectées et que la version 2.0.0 corrige le problème ; la nature précise de la mise à jour du 9 novembre n’est pas détaillée dans la source fournie.

• CVE-2026-63197Élevée

  traQ : XSS via l’API de récupération des fichiers téléversés

  Dans traQ avec le stockage local, l’API de récupération de fichiers pouvait afficher directement dans le navigateur des fichiers SVG ou HTML téléversés, permettant à leur contenu d’exécuter du JavaScript. Le correctif ajoute systématiquement l’en-tête `Content-Disposition`; des mesures temporaires consistent à utiliser un autre backend de stockage ou à demander les fichiers avec `dl=1`.

  Action recommandée : Mettre à niveau vers la version corrigée indiquée dans l’avis.

  Lire la fiche →Source : GitHub Advisory GHSA-p74g-f95m-7fx7 ↗
• CVE-2026-124637Moyenne

  XSS stockée dans un formulaire de modification de profil

  Une faille XSS stockée dans le formulaire de modification du profil permettrait d’exécuter du JavaScript dans le navigateur d’une personne consultant les données affectées. Les éléments fournis indiquent que les champs cliNom et cliCognoms ne sont pas correctement validés ou échappés ; produit, versions concernées et correctif ne sont pas précisés.

  Lire la fiche →Source : NVD — CVE-2026-124637 ↗
• CVE-2026-112204Moyenne

  WidzialniCMS : XSS réfléchie corrigée en version 2.5

  WidzialniCMS présente une XSS réfléchie dans le point de terminaison `/index.php` : une URL spécialement construite peut déclencher l’exécution de JavaScript dans le navigateur de la victime. La version 2.5 corrige le problème.

  Action recommandée : Mettre à niveau WidzialniCMS vers la version 2.5.

  Lire la fiche →Source : NVD — CVE-2026-112204 ↗
• CVE-2026-123809Moyenne

  Injection de template dans @dynatrace-oss/dynatrace-mcp-server

  L’avis GHSA-xrmj-5g4g-8987 décrit une injection de template dans `@dynatrace-oss/dynatrace-mcp-server` : des paramètres fournis à `create_workflow_for_notification` peuvent être interprétés comme des expressions Jinja2 et exposer des données d’événement via un workflow persistant. Les versions antérieures à 2.0.0 sont indiquées comme affectées ; mettre à jour vers 2.0.0 ou une version ultérieure.

  Action recommandée : Mettre à jour @dynatrace-oss/dynatrace-mcp-server vers la version 2.0.0 ou ultérieure.

  Lire la fiche →Source : GHSA-xrmj-5g4g-8987 — @dynatrace-oss/dynatrace-mcp-server ↗
• CVE-2026-118492Faible

  Eclipse Langium : XSS dans les fenêtres contextuelles de diagnostic

  Eclipse Langium est affecté par une XSS dans les fenêtres contextuelles de diagnostic de `langium-sprotty` : certains textes de référence non résolus peuvent inclure du HTML non échappé. Lorsqu’un utilisateur survole le marqueur d’erreur correspondant dans un diagramme Sprotty ouvert à partir d’un fichier source malveillant, du JavaScript peut s’exécuter dans son navigateur ou sa webview.

  Lire la fiche →Source : NVD — CVE-2026-118492 ↗

Vérification incomplète

Niveau relevé : Élevée

La recherche dédiée a identifié, dans la période figée, la publication d’un avis Langium concernant un déni de service dans certains composants de tokenisation utilisés en environnement Node.js, ainsi qu’un avis GitHub nouvellement publié pour l’allocation mémoire incontrôlée dans le paquet npm ag-psd. Les autres candidats fournis ne sont pas retenus : leur publication initiale est antérieure à la période, et les éléments consultés ne démontrent pas de changement de sécurité substantiel dans celle-ci. Deux avis GitHub publiés le 9 novembre 2026 signalent des vulnérabilités distinctes dans le mode HTTP de `@tsparticles/mcp-server` : épuisement mémoire par corps de requête sans limite (CVE-2026-63655) et arrêt du processus sur JSON malformé (CVE-2026-76892). Les deux avis indiquent la version 4.3.1 comme corrigée.

• CVE-2026-124683Élevée

  CVE-2026-124683 — déni de service par complexité algorithmique dans Langium

  Langium présente un risque de déni de service lorsque les composants opt-in `IndentationAwareTokenBuilder` et `IndentationAwareLexer` tokenisent des documents à indentation variable : le recalcul répété des numéros de ligne peut bloquer la boucle d’événements Node.js. Les versions 3.2.0 à 4.4.0 sont concernées; les configurations utilisant `DefaultLexer` et `DefaultTokenBuilder` ne le sont pas.

  Action recommandée : Vérifier si l’application utilise les composants concernés pour traiter des documents non fiables; appliquer le correctif Langium dès qu’une version corrigée est disponible.

  Lire la fiche →Source : NVD — CVE-2026-124683 ↗
• CVE-2026-63501Élevée

  CVE-2026-63501 — allocation mémoire incontrôlée dans ag-psd

  Dans `ag-psd`, la limite mémoire fournie à `readPsd()` n’est pas transmise au chemin d’allocation des images de calque, ce qui peut permettre une allocation mémoire incontrôlée lors de l’analyse d’un fichier PSD non fiable. Les versions jusqu’à 31.0.0 sont concernées et la version 31.0.1 corrige le problème.

  Action recommandée : Mettre à jour ag-psd vers la version 31.0.1 ou ultérieure avant d’analyser des fichiers PSD non fiables.

  Lire la fiche →Source : Avis GitHub — GHSA-6w3r-6hpr-hp6p ↗
• CVE-2026-63655Élevée

  CVE-2026-63655 — accumulation sans limite du corps HTTP dans tsParticles MCP Server

  Une requête HTTP non authentifiée envoyée à `POST /mcp` peut épuiser la mémoire du processus en transmettant un corps sans limite de taille. La version 4.3.1 est indiquée comme corrigée ; mettre à niveau `@tsparticles/mcp-server` vers cette version ou une version ultérieure.

  Action recommandée : Mettre à niveau `@tsparticles/mcp-server` vers 4.3.1 ou une version ultérieure.

  Lire la fiche →Source : GHSA-447x-qqwf-m7xq — tsParticles: Unbounded HTTP Request Body Buffering in @tsparticles/mcp-server Leads to Remote DoS ↗
• CVE-2026-76892Élevée

  CVE-2026-76892 — arrêt du processus sur JSON malformé dans tsParticles MCP Server

  Dans le mode HTTP, un corps JSON malformé adressé à `POST /mcp` peut provoquer une exception non interceptée et arrêter le processus. L’avis indique que la version 4.3.1 traite les JSON invalides en renvoyant HTTP 400 ; mettre à niveau `@tsparticles/mcp-server` vers cette version ou une version ultérieure.

  Action recommandée : Mettre à niveau `@tsparticles/mcp-server` vers 4.3.1 ou une version ultérieure.

  Lire la fiche →Source : GHSA-4p8p-pjpq-2w7h — tsParticles: Malformed JSON requests can terminate the @tsparticles/mcp-server HTTP process ↗

Vérification incomplète

Niveau relevé : Critique

Deux candidats décrivent des vulnérabilités liées à du code Python et indiquent une publication NVD le 2026-11-09. Les détails des deux avis n’ont pas pu être corroborés par les résultats de recherche obtenus; les autres candidats concernent des mises à jour de fiches publiées avant la période, sans preuve disponible d’un changement substantiel survenu pendant celle-ci. Dix vulnérabilités Python ou affectant des outils Python ont été retenues à partir des mises à jour substantielles NVD datées du 9 novembre et d’un avis de sécurité GitHub publié ce jour-là. Les éléments couvrent fastapi-code-generator, ModSecurity et ses parseurs d’applications Python, Pillow, Black, filelock, otterdog et un DAG d’exemple d’Apache Airflow. Deux avis publiés pendant la période concernent fastapi-code-generator : une injection par clé de code de statut de réponse et une injection par chemin de route, toutes deux susceptibles d’entraîner une exécution de code à l’importation. Le correctif indiqué pour chacune est fastapi-code-generator 0.8.1.

• CVE-2026-123870Critique

  otterdog : exécution de code à distance si le secret de webhook est absent (CVE-2026-123870)

  CVE-2026-123870 décrit une exécution de code Python à distance dans l’application web otterdog lorsque le secret de webhook est absent ou vide. Dans cette configuration, la vérification HMAC est entièrement ignorée et un client réseau non authentifié peut atteindre l’évaluation de l’entrée JSON.

  Action recommandée : Configurer un secret GITHUB_WEBHOOK_SECRET non vide et mettre à niveau vers une version corrigée dès qu’elle est identifiée; ne pas exposer l’application avec la vérification de signature désactivée.

  Lire la fiche →Source : NVD — CVE-2026-123870 ↗
• CVE-2026-63469Critique

  fastapi-code-generator : injection de code dans les réponses générées (CVE-2026-63469)

  Une mise à jour substantielle de la fiche NVD décrit une injection de code Python dans le code généré par fastapi-code-generator : une clé de réponse secondaire non fiable peut faire exécuter une expression lors de l’import du module généré. Les versions antérieures à 0.8.1 sont concernées et la version 0.8.1 corrige le problème.

  Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou ultérieur et éviter de générer ou d’importer du code à partir de spécifications OpenAPI non fiables avant la mise à niveau.

  Lire la fiche →Source : GHSA-6xmv-cjr5-w3q8 — fastapi-code-generator ↗Source : NVD — CVE-2026-63469 ↗
• CVE-2026-63470Critique

  fastapi-code-generator : injection dans la docstring du gestionnaire (CVE-2026-63470)

  L’avis GHSA décrit une faille distincte dans fastapi-code-generator : le résumé de l’opération OpenAPI est inséré sans échappement dans la docstring du gestionnaire de route, ce qui peut y injecter une expression Python. L’expression s’exécute lorsque le gestionnaire est appelé; les versions antérieures à 0.8.1 sont concernées et 0.8.1 corrige le problème.

  Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou ultérieur et ne pas générer d’applications à partir de spécifications OpenAPI non fiables avec une version vulnérable.

  Lire la fiche →Source : GitHub Advisory Database — GHSA-h667-4jj2-cgv4 ↗
• CVE-2026-63471Critique

  fastapi-code-generator : exécution de code à l’import via un chemin de route non échappé

  Un chemin OpenAPI contenant un guillemet peut fermer le littéral de chaîne produit dans le décorateur de route et y injecter une expression Python. L’expression est évaluée à l’importation du module généré; mettre à niveau vers fastapi-code-generator 0.8.1 et ne pas traiter de spécifications non fiables avant le correctif.

  Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure; jusque-là, limiter la génération aux spécifications OpenAPI de confiance.

  Lire la fiche →Source : GHSA-p2mm-64f6-gmpp — fastapi-code-generator ↗
• CVE-2026-104269Élevée

  ModSecurity : divergence d’interprétation des noms de fichiers multipart (CVE-2026-104269)

  Une mise à jour substantielle de la fiche NVD signale une discordance d’interprétation des noms de fichiers multipart entre ModSecurity et les parseurs courants, notamment ceux utilisés par des applications Python. Un nom encodé dans filename* peut être retenu par l’application alors que le WAF inspecte le nom filename; la version 3.0.17 est indiquée comme corrective.

  Action recommandée : Mettre à niveau ModSecurity vers 3.0.17 ou ultérieur et vérifier que les contrôles de sécurité de l’application et du WAF interprètent de manière cohérente les paramètres filename et filename*.

  Lire la fiche →Source : NVD — CVE-2026-104269 ↗
• CVE-2026-112902Élevée

  Pillow : lecture mémoire invalide dans l’encodeur TIFF (CVE-2026-112902)

  Une mise à jour substantielle de la fiche NVD signale un défaut dans l’encodeur TIFF de Pillow pouvant provoquer des lectures mémoire invalides lorsque des métadonnées contrôlées par un attaquant sont réencodées. La sortie peut divulguer de la mémoire du processus, ou le processus peut planter; la version 13.0.0 corrige le problème.

  Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; limiter le réencodage de TIFF non fiables avec conservation de métadonnées tant que la mise à niveau n’est pas effectuée.

  Lire la fiche →Source : NVD — CVE-2026-112902 ↗
• CVE-2026-114134Élevée

  Black : exécution de code dans l’action GitHub via required-version (CVE-2026-114134)

  Une mise à jour substantielle de la fiche NVD décrit un risque d’exécution de code dans les workflows GitHub Actions utilisant l’action Black avec use_pyproject activé. Avant Black 26.10.1, une valeur tool.black.required-version non validée peut référencer du code contrôlé par un attaquant; la version 26.10.1 corrige le problème.

  Action recommandée : Mettre à niveau vers Black 26.10.1 ou ultérieur; examiner les workflows qui utilisent use_pyproject et restreindre l’exécution de workflows sur des contributions non fiables.

  Lire la fiche →Source : NVD — CVE-2026-114134 ↗
• CVE-2026-112899Moyenne

  Pillow : consommation excessive de ressources lors du rendu EPS (CVE-2026-112899)

  Une mise à jour substantielle de la fiche NVD indique que Pillow peut engager des ressources excessives lors du rendu EPS si l’application choisit une échelle supérieure à un. Les versions 2.3.0 à 12.3.0 sont concernées et le correctif est indiqué en version 13.0.0.

  Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; en attendant, éviter de traiter des fichiers EPS/PostScript non fiables avec une échelle de rendu supérieure à un.

  Lire la fiche →Source : NVD — CVE-2026-112899 ↗
• CVE-2026-112910Moyenne

  filelock : permissions insuffisamment restreintes sur Windows (CVE-2026-112910)

  Une mise à jour substantielle de la fiche NVD signale que filelock sur Windows n’applique pas le mode de permissions demandé aux fichiers WindowsFileLock et à la base SQLite de ReadWriteLock. Les versions de 3.10.0 à 4.2.1 sont indiquées comme concernées; le correctif est en 4.2.1.

  Action recommandée : Mettre à niveau filelock vers 4.2.1 ou ultérieur et contrôler les ACL des fichiers de verrouillage et bases concernés sur Windows.

  Lire la fiche →Source : NVD — CVE-2026-112910 ↗
• CVE-2026-112938Moyenne

  filelock : suivi de liens symboliques par les verrous stricts POSIX (CVE-2026-112938)

  Une mise à jour substantielle de la fiche NVD décrit plusieurs problèmes de liens symboliques dans StrictSoftFileLock et AsyncStrictSoftFileLock sur POSIX, dont une course entre validation et accès au répertoire de coordination. La version 4.2.1 est indiquée comme corrective.

  Action recommandée : Mettre à niveau filelock vers 4.2.1 ou ultérieur; limiter l’accès local aux répertoires de coordination et éviter les opérations de récupération forcée non vérifiées.

  Lire la fiche →Source : NVD — CVE-2026-112938 ↗
• CVE-2026-101031Non déterminée

  Apache Airflow : injection de commande dans un DAG d’exemple (CVE-2026-101031)

  CVE-2026-101031 est une correction incomplète d’un problème antérieur dans l’exemple example_dag_decorator d’Apache Airflow : une valeur IPv6 avec identifiant de zone peut contourner la validation et être incorporée à une commande shell. Un utilisateur pouvant déclencher le DAG avec une URL choisie peut provoquer l’exécution de commandes sur le worker si les DAGs d’exemple sont chargés.

  Action recommandée : Mettre à niveau Apache Airflow vers 3.4.0 ou ultérieur, ou désactiver les DAGs d’exemple avec load_examples = False, en particulier en production.

  Source : NVD — CVE-2026-101031 ↗

Recherche du sujet effectuée

Niveau relevé : Critique

Les candidats fournis recensent dix vulnérabilités publiées par le NVD le 9 novembre 2026 dans des logiciels Java. Les descriptions fournies mentionnent notamment injections SQL, redirections ouvertes, SSRF, traversées de répertoires et défauts de contrôle d’accès ou de processus ; les correctifs ne sont pas indiqués pour tous les cas. Les candidats fournis documentent des publications NVD datées du 2026-11-09 pour trois logiciels Java et plusieurs vulnérabilités Apache Axis2/Java. Les avis Axis2 indiquent la version 2.0.2 comme correctif ; les autres candidats ne fournissent pas de version corrigée. Quatre vulnérabilités publiées par le NVD le 2026-11-09 dans des applications Java ou des composants Java sont retenues. Les fiches indiquent des défauts d’autorisation; deux signalent une divulgation publique d’exploit et deux SuperTokens donnent des versions corrigées. Les candidats fournis sont des fiches NVD publiées avant la période et signalées comme modifiées le 9 novembre. Les informations fournies ne démontrent pas que ces modifications constituent un changement substantiel daté dans la période; aucun item n’est donc retenu. Aucun événement répondant aux critères de nouveauté ou de changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats sont des modifications de fiches NVD, sans indication permettant de distinguer un changement substantiel d’une mise à jour administrative; les deux vulnérabilités décrites en détail avaient en outre été publiées avant la période. Cinq vulnérabilités nouvellement publiées le 9 novembre 2026 touchent des applications Java : injection SQL, redirection ouverte, SSRF et traversées de chemin. Les autres candidats ont été écartés car leur publication est antérieure à la période ou parce qu’ils concer…

• CVE-2026-123800Critique

  Défaut d’autorisation multi-tenant dans SuperTokens Core

  SuperTokens Core présentait un défaut d’autorisation dans les opérations de création ou mise à jour multi-tenant, pouvant permettre à une clé API d’application d’agir sur le domaine parent ou le tenant de base. Selon le chemin exploité, cela pouvait affecter les clés et données d’applications sœurs ou modifier des paramètres d’authentification ; appliquer le correctif correspondant à la branche utilisée.

  Action recommandée : Mettre à niveau SuperTokens Core vers la version corrective de la branche concernée ; examiner les changements de configuration, clés et comptes des applications sœurs si une exposition est suspectée.

  Lire la fiche →Source : NVD — CVE-2026-123800 ↗
• CVE-2026-124590Moyenne

  CVE-2026-124590 — contournement d’autorisation dans library_manager_system

  Une faille d’autorisation dans le système de gestion de bibliothèque de zhangbw409 permettrait à distance de contourner des contrôles d’accès. La fiche indique qu’un exploit a été rendu public, mais ne donne ni version corrigée ni version affectée précise.

  Action recommandée : Surveiller les mises à jour du projet et limiter l’accès aux fonctionnalités concernées; aucune version corrigée n’est indiquée.

  Lire la fiche →Source : NVD — CVE-2026-124590 ↗
• CVE-2026-124507Moyenne

  Conductor : SSRF dans la tâche PLANNER_CONTEXT_FETCH

  Une SSRF affecte le traitement de la tâche `PLANNER_CONTEXT_FETCH` de Conductor lorsque l’argument `url` est manipulé. La fiche indique que l’exploit a été rendu public ; aucun correctif n’est précisé dans les données fournies.

  Action recommandée : Évaluer l’exposition des tâches `PLANNER_CONTEXT_FETCH` et appliquer le correctif éditeur dès qu’il est disponible.

  Lire la fiche →Source : NVD — CVE-2026-124507 ↗
• CVE-2026-124508Moyenne

  Floci : traversée de chemin dans le traitement des artefacts

  Le traitement des artefacts dans Floci est vulnérable à une traversée de chemin via `buildspecOverride.artifacts.base-directory`. La fiche signale une divulgation publique de l’exploit ; aucun correctif n’est indiqué dans les données fournies.

  Action recommandée : Éviter de traiter des valeurs `base-directory` non fiables et appliquer un correctif éditeur lorsqu’il sera disponible.

  Lire la fiche →Source : NVD — CVE-2026-124508 ↗
• CVE-2026-124509Moyenne

  Floci : traversée de chemin dans la configuration S3

  Une traversée de chemin dans la configuration de destination S3 de Floci est déclenchée par la manipulation de `BucketARN`. La fiche indique que l’exploit est public ; la mise à niveau vers Floci 2.2.0 corrige le problème.

  Action recommandée : Mettre à niveau vers Floci 2.2.0.

  Lire la fiche →Source : NVD — CVE-2026-124509 ↗
• CVE-2026-124557Moyenne

  Traversée de chemin dans Chat2DB

  Chat2DB jusqu’à la version 5.3.8 présente une traversée de chemin dans le générateur de classes, déclenchée par le paramètre tableName. La description NVD indique que l’exploit a été rendu public et peut être utilisé; aucun correctif n’est mentionné.

  Action recommandée : Éviter les versions affectées et mettre à jour vers une version corrigée lorsqu’elle sera disponible.

  Lire la fiche →Source : NVD — CVE-2026-124557 ↗
• CVE-2026-124558Moyenne

  SSRF dans Apache Dinky

  Dinky jusqu’à la version 1.2.5 est vulnérable à une falsification de requête côté serveur (SSRF) dans l’endpoint sql-gateway. La description NVD signale une exploitation publique possible, mais ne précise ni version corrigée ni contournement.

  Action recommandée : Éviter les versions affectées et appliquer une mise à jour corrective dès sa disponibilité.

  Lire la fiche →Source : NVD — CVE-2026-124558 ↗
• CVE-2026-124572Moyenne

  Traversée de chemin dans l’API de téléversement de Dinky

  Dinky jusqu’à la version 1.2.5 présente une traversée de chemin dans l’API de téléversement du catalogue. La source indique une attaque distante et rapporte que le chercheur affirme avoir soumis un avis GHSA; aucun correctif n’est précisé.

  Action recommandée : Éviter les versions affectées et installer une version corrigée dès sa disponibilité.

  Lire la fiche →Source : NVD — CVE-2026-124572 ↗
• CVE-2026-120367Élevée

  Épuisement mémoire via des requêtes JSON dans Apache Axis2/Java

  Apache Axis2/Java jusqu’à la version 2.0.1 ne limitait pas la taille des corps JSON, ce qui pouvait permettre l’épuisement de la mémoire du serveur par une requête volumineuse. La version 2.0.2 corrige le problème en ajoutant la limite configurable jsonMaxRequestSize.

  Action recommandée : Mettre à niveau vers Apache Axis2/Java 2.0.2 et configurer jsonMaxRequestSize selon les besoins.

  Lire la fiche →Source : NVD — CVE-2026-120367 ↗
• CVE-2026-123797Élevée

  Contournement de contrôles d’accès dans SuperTokens Core

  Dans certaines versions de SuperTokens Core, des requêtes de gestion visant un tenant inconnu avec une ancienne version CDI pouvaient contourner des contrôles de clé API et de tenant public, permettant la création et l’énumération de rôles applicatifs sans authentification. Les correctifs sont disponibles dans les versions 11.3.6, 11.4.6 et 12.0.8 selon la branche ; appliquer la version corrigée appropriée.

  Action recommandée : Mettre à niveau SuperTokens Core vers la version corrigée correspondant à la branche utilisée et limiter l’accès réseau aux endpoints Core.

  Lire la fiche →Source : NVD — CVE-2026-123797 ↗
• CVE-2026-63436Élevée

  Traversée de répertoires lors de l’extraction avec l’API fluide de zt-zip

  L’API fluide de décompression de zt-zip ne vérifiait pas que les chemins des entrées ZIP restaient dans le répertoire cible, contrairement à une autre API du projet. Les versions antérieures à 1.18.0 sont concernées ; mettre à niveau vers 1.18.0 ou une version ultérieure.

  Action recommandée : Mettre à niveau org.zeroturnaround:zt-zip vers 1.18.0 ou une version ultérieure ; éviter l’extraction de ZIP non fiables avec l’API concernée avant mise à niveau.

  Lire la fiche →Source : GitHub Advisory — GHSA-52c6-99qm-3hqr ↗
• CVE-2026-75598Élevée

  Gradle Shadow : traversée de chemin dans les archives fat JAR produites

  L’avis signale que Shadow ne valide pas indépendamment les noms des entrées ZIP recopiées dans le fat JAR. Une dépendance malveillante peut donc introduire des chemins traversants dans l’archive produite, susceptibles d’exposer à un écrasement de fichiers chez des consommateurs qui extraient l’archive sans protection.

  Action recommandée : Mettre à niveau le plugin Shadow vers 9.6.0 ou une version ultérieure; examiner et extraire avec précaution les fat JAR issus de versions affectées.

  Lire la fiche →Source : GHSA-rr8v-fxxf-c986 — Gradle Shadow ↗
• CVE-2026-124621Faible

  CVE-2026-124621 — autorisations incorrectes dans Java_Library_Management_System

  Une faille d’autorisation dans l’interface Swing du Java_Library_Management_System de kongxin-github pourrait permettre à distance d’effectuer des opérations sans autorisation adéquate. La fiche indique que l’exploit a été divulgué publiquement; elle ne précise pas de version corrigée.

  Action recommandée : Éviter d’exposer à des réseaux non fiables les opérations concernées et surveiller les correctifs du projet.

  Lire la fiche →Source : NVD — CVE-2026-124621 ↗
• CVE-2026-124504Faible

  Erupt : injection SQL dans ReportService

  Une injection SQL dans `ReportService.queryBiData` permet à un attaquant distant de manipuler le paramètre de tri. La fiche indique que l’exploit a été rendu public ; passez à la version 2.4.0.

  Action recommandée : Mettre à niveau vers Erupt 2.4.0.

  Lire la fiche →Source : NVD — CVE-2026-124504 ↗
• CVE-2026-124505Faible

  Dianping CAT : redirection ouverte dans Handler.redirect

  La fonction `Handler.redirect` de Dianping CAT peut accepter une URL de redirection contrôlée par l’attaquant. La fiche signale une divulgation publique de l’exploit ; aucune version corrigée n’est indiquée dans les données fournies.

  Action recommandée : Vérifier les redirections utilisant `rtnUrl` et appliquer un correctif éditeur lorsqu’il sera disponible.

  Lire la fiche →Source : NVD — CVE-2026-124505 ↗
• CVE-2026-124556Faible

  Redirection ouverte dans kkFileView

  kkFileView jusqu’à la version 5.0.3 est vulnérable à une redirection ouverte via l’en-tête X-Base-Url. La description NVD indique qu’une exploitation publique est possible; aucune version corrigée ni mesure de contournement n’est précisée.

  Action recommandée : Éviter de déployer les versions affectées et appliquer une version corrigée dès qu’elle est disponible.

  Lire la fiche →Source : NVD — CVE-2026-124556 ↗
• CVE-2026-124565Moyenne

  Contrôle d’accès inadéquat dans Fuint

  Fuint présente un contrôle d’accès inadéquat dans la fonction confirm du contrôleur de commandes marchandes. La fiche indique une version affectée correspondant au commit fourni, mais précise que les versions corrigées ne sont pas disponibles en raison du cycle de publication continue.

  Action recommandée : Vérifier les contrôles d’accès de la fonction concernée et suivre les mises à jour du projet pour un correctif.

  Lire la fiche →Source : NVD — CVE-2026-124565 ↗
• CVE-2026-124566Moyenne

  Défaut de contrôle du flux Alipay dans Fuint

  Fuint présente une vulnérabilité dans le gestionnaire de rappel Alipay, décrite par la source comme une application inadéquate de l’ordre des étapes métier. La fiche ne fournit pas de versions corrigées; le produit utilise des publications continues.

  Action recommandée : Examiner et renforcer la validation du flux de rappel Alipay; surveiller la publication d’un correctif.

  Lire la fiche →Source : NVD — CVE-2026-124566 ↗
• CVE-2026-124567Moyenne

  Problème de gestion d’état dans Fuint

  Fuint présente une vulnérabilité de gestion d’état dans la fonction receipt du contrôleur de commandes client. La source indique une attaque distante et ne précise pas de version corrigée, le produit suivant un modèle de publication continue.

  Action recommandée : Examiner la validation des transitions d’état de la fonction concernée et appliquer un correctif dès sa disponibilité.

  Lire la fiche →Source : NVD — CVE-2026-124567 ↗
• CVE-2026-124569Moyenne

  Contrôle d’accès inadéquat dans FuintCatering

  FuintCatering présente un contrôle d’accès inadéquat dans updateCommissionCash. La source identifie un commit affecté, mais les versions corrigées ne sont pas disponibles en raison du modèle de publication continue.

  Action recommandée : Vérifier les autorisations appliquées à updateCommissionCash et suivre les mises à jour correctives.

  Lire la fiche →Source : NVD — CVE-2026-124569 ↗
• CVE-2026-63499Moyenne

  zt-zip : modification des permissions du répertoire lors de l’extraction ZIP

  L’avis signale qu’une entrée ZIP désignant le répertoire de sortie lui-même peut faire modifier ses permissions lors de l’extraction avec ZipUtil.unpack. Une archive non fiable peut ainsi rendre le répertoire accessible à d’autres utilisateurs du système.

  Action recommandée : Mettre à niveau vers zt-zip 1.18.1 ou une version ultérieure; éviter d’extraire des archives non fiables avec les versions affectées.

  Lire la fiche →Source : GHSA-v2g6-7r9j-v6px — zt-zip ↗
• CVE-2026-59171Moyenne

  JSON-java : déni de service par chaîne numérique non bornée

  L’avis décrit un déni de service par consommation excessive de ressources lors de l’analyse de chaînes numériques de longueur non bornée dans JSON-java. Une entrée contrôlée par un attaquant peut immobiliser le fil de traitement; l’avis indique que la correction est disponible dans la version 20260719.

  Action recommandée : Mettre à niveau org.json vers 20260719 ou une version ultérieure; limiter ou valider les entrées non fiables avant analyse.

  Lire la fiche →Source : GHSA-ghc9-756g-vrcv — JSON-java ↗
• CVE-2026-120761Non déterminée

  XXE lors du chargement de WSDL dans Apache Axis2/Java

  Apache Axis2/Java jusqu’à la version 2.0.1 ne restreignait pas correctement la résolution des entités XML externes lors du chargement d’un WSDL et de ses imports. La version 2.0.2 corrige la vulnérabilité; un WSDL contrôlé par un attaquant pouvait entraîner la lecture de fichiers locaux ou des requêtes réseau émises par la JVM.

  Action recommandée : Mettre à niveau vers Apache Axis2/Java 2.0.2 et ne pas charger de WSDL non fiables avec les versions affectées.

  Source : NVD — CVE-2026-120761 ↗
• CVE-2026-120832Non déterminée

  SSRF lors du traitement de WSDL dans Apache Axis2/Java

  Apache Axis2/Java présentait une SSRF lors de la construction d’une description de service à partir d’un WSDL : les URL absolues dans les imports WSDL et schémas pouvaient provoquer des requêtes depuis le serveur. La version 2.0.2 corrige le problème ; mettre à niveau les installations concernées.

  Action recommandée : Mettre à niveau Apache Axis2/Java vers 2.0.2.

  Source : NVD — CVE-2026-120832 ↗
• CVE-2026-123753Non déterminée

  SSRF via les adresses WS-Addressing dans Apache Axis2/Java

  Un appelant non authentifié pouvait fournir une adresse WS-Addressing non anonyme dans ReplyTo ou FaultTo et faire établir par Axis2 une connexion vers cette destination. Axis2 2.0.2 refuse ces réponses différées par défaut et encadre les destinations lorsqu’elles sont explicitement autorisées ; mettre à niveau les installations concernées.

  Action recommandée : Mettre à niveau Apache Axis2/Java vers 2.0.2 ; si les réponses non anonymes sont nécessaires, n’autoriser que des destinations de confiance.

  Source : NVD — CVE-2026-123753 ↗
• CVE-2026-123766Non déterminée

  XSS dans la page Swagger UI d’Apache Axis2/Java

  Dans le module OpenAPI d’Apache Axis2/Java 2.0.1, une valeur dérivée de l’en-tête Host était insérée sans encodage dans la page Swagger UI, permettant une injection de script dans l’origine Axis2. La version 2.0.2 corrige la faille ; mettre à niveau les installations concernées.

  Action recommandée : Mettre à niveau Apache Axis2/Java vers 2.0.2.

  Source : NVD — CVE-2026-123766 ↗
• CVE-2026-123770Non déterminée

  Épuisement de ressources via les corps de requête dans Apache Axis2/Java

  Les parseurs de requêtes multipart et URL-encoded d’Apache Axis2/Java ne limitaient pas la taille des corps lus directement depuis le flux de transport et ne supprimaient pas les fichiers temporaires multipart. Un appelant non authentifié pouvait épuiser la mémoire ou le disque ; la version 2.0.2 ajoute des limites configurables et le nettoyage des fichiers temporaires.

  Action recommandée : Mettre à niveau Apache Axis2/Java vers 2.0.2 et configurer des limites adaptées aux corps de requête.

  Source : NVD — CVE-2026-123770 ↗
• CVE-2026-123779Non déterminée

  Divulgation de métadonnées de services dans Apache Axis2/Java

  Dans Apache Axis2/Java jusqu’à 2.0.1, le paramètre désactivant l’exposition des métadonnées ne protégeait pas plusieurs routes et endpoints, qui pouvaient encore révéler des informations à des appelants anonymes. La version 2.0.2 corrige ces accès ; mettre à niveau les installations concernées.

  Action recommandée : Mettre à niveau Apache Axis2/Java vers 2.0.2 ; vérifier les métadonnées exposées sur les services concernés.

  Source : NVD — CVE-2026-123779 ↗
• DLA-4889-1Non déterminée

  Debian : mise à jour de sécurité de Tomcat 10

  Debian a publié une mise à jour de sécurité pour Tomcat 10, faisant état de vulnérabilités pouvant entraîner un déni de service, un contournement d’authentification ou une divulgation d’informations. Le texte fourni ne précise ni les CVE ni les versions Debian affectées ou corrigées.

  Action recommandée : Consulter l’avis Debian et appliquer la mise à jour adaptée à la version de Debian utilisée.

  Source : DLA-4889-1 tomcat10 – security update ↗