Les sujets à surveiller, en un regard.
159 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 16 sujet(s) en rouge, 7 en orange.
Shopify
Recherche du sujet effectuée
Aucune nouveauté de sécurité Shopify datée du 2026-11-10 n’a été vérifiée dans les résultats consultés. Les entrées Shopify repérées dans les bases de vulnérabilités consultées étaient antérieures à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Les recherches effectuées pour la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00 n’ont pas permis d’identifier d’avis ou de vulnérabilité attribuable à la plateforme Wix et daté de cette période. Un avis concernant le paquet npm « hissakdx-wix-ssr-callback-canary » a été repéré, mais les éléments consultés ne démontrent pas de lien avec Wix ; son seul nom ne suffit pas à l’attribuer au sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a identifié aucun avis de sécurité, correctif, vulnérabilité ou événement d’exploitation vérifié comme nouveau ou substantiellement mis à jour pendant la période demandée. Les résultats consultés ne fournissent pas de preuve d’un événement répondant aux critères.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée a retrouvé les six avis Craft CMS correspondant aux candidats. Leurs dates de publication indiquées sont antérieures à la période demandée; les seules dates dans la fenêtre sont des mises à jour NVD, sans élément consulté établissant qu’elles correspondent à un changement substantiel plutôt qu’à une modification administrative. Aucun item n’est donc retenu pour le 2026-11-10.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche web dédiée a repéré le changelog officiel de Ghost daté du 10 novembre 2026, mais les résultats consultés ne montrent pas de nouvel avis de sécurité, correctif de sécurité, exploitation ni changement substantiel de sécurité pour Ghost pendant la période demandée. Les CVE Ghost visibles dans les résultats renvoient à des avis antérieurs; elles ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, exploitation, publication d’avis de sécurité ou correction Strapi répondant aux critères n’a été vérifiée pour la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. Une page tierce signale une modification de la page de confiance de Strapi Cloud le 10 novembre, mais cette modification de contrôles organisationnels ne prouve pas un changement de pratiques de sécurité et ne constitue pas un événement qualifiant selon les critères du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
Recherche dédiée effectuée sur Directus. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel vérifié ne correspond à la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. L’avis Directus GHSA-97xr-jchp-xm3c trouvé est antérieur à la période (publié le 2026-08-05 selon la page des avis GitHub) ; le CVE-2026-126539 associé est daté du 2026-11-11 à 00:58 UTC, soit après la borne de fin, le 2026-11-11 à 00:00 +02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun avis, correctif ou événement de sécurité OpenCart daté du 2026-11-10 dans les résultats consultés. Les entrées OpenCart récentes repérées sont antérieures à la période demandée; l’avis GitHub du projet consulté n’affiche aucun avis publié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de confirmer de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant cPanel daté de la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. Les avis cPanel visibles dans les sources consultées et les entrées de journal de modifications repérées portent sur des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Élevée
Neuf avis Ruby/Rack/Rails publiés le 10 novembre 2026 dans la période ont été retenus : quatre concernant Rack, trois Nokogiri et deux Active Support. Le candidat CVE-2026-122006 a été exclu : son avis initial date du 4 novembre et le candidat ne documente qu’une mise à jour administrative NVD antérieure au début de la période, sans changement substantiel établi dans celle-ci. Les candidats fournis documentent des avis de sécurité Rack, Nokogiri et Active Support dont les dates de publication ou de mise à jour substantielle tombent dans la période demandée après conversion en +02:00. L’avis GHSA de Nokogiri est rattaché à CVE-2026-126064, sans créer de doublon. Un avis GitHub publié pendant la période signale CVE-2026-126080, un risque de déni de service dans Active Support safe_constantize. Les versions corrigées indiquées sont 8.0.5.2 et 8.1.4.1.
Rack : épuisement mémoire par croissance du tampon multipart
Le parseur multipart de Rack peut conserver des données déjà analysées dans son tampon StringScanner lorsque la lecture s’arrête autour des en-têtes multipart. Un attaquant non authentifié peut provoquer une croissance excessive du tampon avec de nombreuses petites parties et épuiser la mémoire d’un worker ; mettre à niveau Rack.
Action recommandée : Mettre à niveau Rack vers 2.2.25, 3.1.23 ou 3.2.8, selon la branche utilisée.
Déni de service possible via ActiveSupport safe_constantize
Une expression régulière construite à partir du nom de constante fourni pouvait provoquer un défaut du compilateur d’expressions régulières et faire planter le processus Ruby, entraînant un déni de service. Le risque concerne notamment les applications exposant Action Cable sans authentification; mettre à niveau Active Support vers une version corrigée ou appliquer les mesures d’atténuation indiquées dans l’avis.
Action recommandée : Mettre à niveau activesupport vers 8.0.5.2 ou 8.1.4.1, selon la branche utilisée. À défaut, appliquer les mesures d’atténuation décrites dans l’avis.
Rack : autorité HTTP contrôlable dans les URL générées par la requête
Dans Rack 3.0, les méthodes host_with_port, base_url et url de Rack::Request peuvent renvoyer directement une autorité invalide contrôlée par l’attaquant depuis les en-têtes Host, X-Forwarded-Host ou Forwarded. Selon l’usage applicatif, cela peut manipuler des redirections, contourner une vérification de liste d’autorisation fondée sur des chaînes ou refléter du contenu non échappé ; mettre à niveau Rack, et noter que Rails surcharge ces méthodes et n’est pas attendu comme affecté.
Action recommandée : Mettre à niveau Rack vers 3.1.23 ou 3.2.8 et valider indépendamment les hôtes acceptés.
Rack : règles d’en-têtes contournables par normalisation du chemin
Rack::Static peut appliquer ses règles d’en-têtes à un chemin décodé mais non normalisé, alors que le fichier servi est déterminé après normalisation du chemin. Une requête avec des segments dot peut ainsi obtenir un fichier connu sans des en-têtes de sécurité spécifiques au chemin ; mettre à niveau Rack, en particulier si l’application utilise header_rules dépendant du chemin.
Action recommandée : Mettre à niveau Rack vers une version corrigée ; vérifier l’usage de règles header_rules spécifiques aux chemins.
Active Support : état HTML sûr restauré à tort après sérialisation MessagePack
Dans Active Support 8.1, la sérialisation MessagePack peut restaurer comme sûre pour HTML une SafeBuffer qui avait perdu cet état, par exemple après modification en place. Si une telle valeur contient des données non fiables puis est rendue, l’échappement automatique ERB peut être contourné ; mettre à niveau vers 8.1.4.1 et vérifier l’usage de MessagePack avec ces buffers.
Action recommandée : Mettre à niveau Active Support vers 8.1.4.1 et examiner les sérialiseurs MessagePack utilisant des SafeBuffer non fiables.
Rack : contournement possible de l’inspection d’en-têtes multipart
Dans Rack, le parseur multipart peut ignorer un paramètre de boundary initial vide ou entre guillemets et accepter un paramètre ultérieur, contrairement à ce qu’un intermédiaire conforme pourrait interpréter. Des champs ou fichiers peuvent ainsi parvenir à l’application sans l’inspection prévue par le proxy ou le pare-feu applicatif ; mettre à niveau Rack vers une version corrigée.
Action recommandée : Mettre à niveau Rack vers 2.2.25, 3.1.23 ou 3.2.8, selon la branche utilisée.
Nokogiri sur JRuby : contournement de la restriction réseau NONET
Sur JRuby, Nokogiri peut contourner la restriction NONET lors de l’analyse de XML non fiable avec certaines options DTD, notamment lorsque des identifiants externes utilisent des formes particulières d’hôtes IPv4 ou des chemins absolus résolus contre une URL réseau. Cela peut permettre une requête réseau côté serveur ; mettre à niveau vers Nokogiri 1.19.5, sachant que CRuby et les options d’analyse par défaut ne sont pas affectés.
Action recommandée : Mettre à niveau Nokogiri vers 1.19.5 ou ultérieur ; examiner l’usage des options DTD sur JRuby.
Nokogiri — XSS par mutation lors de la sérialisation HTML5
Dans certaines conditions, le sérialiseur HTML5 de Nokogiri n’échappait pas le texte des éléments `noscript` ni les chevrons dans les valeurs d’attributs, ce qui pouvait conduire à une XSS par mutation dans le navigateur. Sont concernés Nokogiri 1.12.0 à 1.19.4 sur CRuby et TruffleRuby, lorsque l’application autorise `noscript` dans du HTML non fiable ; JRuby n’est pas concerné.
Action recommandée : Mettre à niveau vers Nokogiri 1.19.5 ou ultérieur ; à défaut, appliquer la mesure de contournement indiquée.
Nokogiri : risque d’utilisation après libération lors du remplacement d’un attribut
L’extension native CRuby de Nokogiri peut laisser des wrappers Ruby référencer des nœuds natifs libérés après le remplacement d’une valeur d’attribut, si les nœuds enfants de cet attribut ont été consultés auparavant. Leur utilisation ultérieure peut provoquer une lecture invalide ou un plantage ; mettre à niveau vers 1.19.5 ou éviter cet enchaînement d’opérations, et noter que JRuby n’est pas affecté.
Action recommandée : Mettre à niveau Nokogiri vers 1.19.5 ou ultérieur.
Bun
Vérification incomplète
Un avis de sécurité mis à jour le 2026-11-10 mentionne Bun comme potentiellement concerné par CVE-2026-111497, une vulnérabilité du décodeur Brotli. Les sources consultées ne permettent pas d’établir les versions Bun affectées ni une version Bun corrigée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Deno
Recherche du sujet effectuée
La recherche dédiée sur Deno n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif de sécurité ni d’événement d’exploitation daté dans la période demandée, du 2026-11-10T00:00:00+02:00 inclus au 2026-11-11T00:00:00+02:00 exclu. Les avis de sécurité visibles dans le dépôt Deno consulté étaient antérieurs à cette période; aucune information postérieure à la borne de fin n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Vérification incomplète
Niveau relevé : Élevée
La recherche web dédiée a été lancée, mais les résultats obtenus ne permettent pas de vérifier les avis candidats ni de confirmer les événements de sécurité du Go datés dans la période demandée. Aucun item n’est donc retenu sans vérification suffisante. Trois avis de sécurité Go datés du 10 novembre 2026 dans le lot fourni : lecture de fichiers hors périmètre via MCP dans Dagu, panique possible de sous-décodeurs SCTP dans gopacket et attestation TLS devenue obsolète après modification de l’état dans Cocos AI. Les deux autres candidats sont antérieurs à la période pour leur publication, et leur modification dans le lot ne constitue pas un nouvel événement daté dans la période.
Cocos AI : l’attestation TLS ne détecte pas les changements d’état ultérieurs
Cocos AI effectue l’attestation TLS à l’établissement de la connexion, puis ne détecte pas les changements ultérieurs de l’état du workload attesté. Un attaquant capable de modifier cet état pendant une connexion persistante peut amener le pair à continuer de faire confiance à un état devenu obsolète; mettez à niveau vers 0.9.0 ou utilisez une ré-attestation périodique comme mesure de contournement.
Action recommandée : Mettre à niveau Cocos AI vers la version 0.9.0 ou ultérieure; en attendant, mettre en œuvre une ré-attestation périodique ou déclenchée par l’utilisateur.
Dagu : lecture de fichiers YAML hors périmètre via MCP
Dagu ne vérifie pas correctement le confinement de chemin ni l’isolation des espaces de travail lors de la lecture d’une spécification DAG via son outil MCP. Un utilisateur doté d’une clé de rôle viewer peut lire des fichiers YAML hors des emplacements autorisés; mettez à niveau Dagu vers 2.11.0.
Action recommandée : Mettre à niveau Dagu vers la version 2.11.0 ou ultérieure.
gopacket : panique possible dans les sous-décodeurs SCTP
Dans gopacket, certains sous-décodeurs SCTP ne vérifient pas que la longueur déclarée du segment permet les lectures et boucles qu’ils effectuent, ce qui peut provoquer une panique lors du décodage de paquets forgés. Le défaut concerne les versions jusqu’à v1.7.1; passez à v1.7.2, ou conservez la récupération de panique activée en attendant la mise à niveau.
Action recommandée : Mettre à niveau gopacket vers v1.7.2 ou ultérieure.
Kotlin
Recherche du sujet effectuée
La recherche a identifié CVE-2026-123310, concernant IntelliJ IDEA et des scripts Kotlin dans des projets non fiables. La vulnérabilité a été publiée le 2026-11-06, avant la période demandée; les éléments consultés ne confirment pas qu’une modification datée du 2026-11-10 constitue un changement substantiel de sécurité admissible pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Aucun avis de sécurité, correctif ou changement substantiel concernant le projet Electron n’a été vérifié pour la période du 2026-11-10T00:00:00+02:00 inclus au 2026-11-11T00:00:00+02:00 exclu. Les avis Electron consultés étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
Aucune nouveauté de sécurité concernant la bibliothèque jQuery n’a été vérifiée dans la période demandée. L’avis candidat concerne Winter CMS, et non jQuery; sa mise à jour datée du 2026-11-10 ne le rend donc pas pertinent pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche a trouvé des avis publiés le 10 novembre 2026 concernant Winter CMS, qui est construit avec Laravel, mais les vulnérabilités décrites concernent Winter CMS et non le framework Laravel lui-même. Le candidat concernant 2FAuth est également hors sujet, et sa mise à jour NVD est antérieure à la période demandée. Aucun élément vérifié ne concerne une vulnérabilité du produit Laravel pendant la période. Les trois CVE portent sur Winter CMS, qui utilise Laravel, mais visent des composants de Winter CMS. L’avis Laravel TokenGuard a été publié avant la période ; les informations fournies ne permettent pas d’établir que sa mise à jour du 10 novembre constitue un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche web dédiée à Svelte et aux dépôts d’avis officiels consultés n’a pas identifié de nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté dans la période demandée. Les résultats repérés concernant des avis Svelte étaient antérieurs à cette période; cela ne constitue pas une affirmation d’exhaustivité sur l’ensemble du Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche a identifié des avis Symfony concernant plusieurs CVE candidates, mais leurs avis ou publications initiales sont datés d’avant la période demandée. Les mises à jour NVD signalées le 10 novembre ne suffisent pas, à elles seules, à établir un nouvel événement de sécurité substantiel dans cette période. Aucun item ne répond donc aux critères de date et de périmètre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Flask et aux publications du projet n’a fait ressortir aucun avis ou changement de sécurité Flask daté de la période demandée. Le candidat CVE-2026-123813 concerne pyLoad et l’utilisation de sessions Flask par cette application, et non une vulnérabilité du projet Flask ; sa publication NVD est indiquée au 2026-11-09T22:18:37.587Z, soit le 2026-11-10T00:18:37.587+02:00, dans la période, mais il est hors sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche n’a identifié aucun avis de sécurité Django ni changement substantiel relevant de la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. Les éléments liés à Wagtail et djust concernent des correctifs ou avis publiés antérieurement; leur apparition ou mise à jour dans NVD ne suffit pas à établir un nouvel événement de sécurité dans la période. Aucun élément du lot ne concerne une vulnérabilité du produit Django lui-même : les deux candidats portent respectivement sur djust et Kiwi TCMS, des produits tiers. Leurs dates de publication sont dans la période, mais cela ne les rend pas pertinents pour le sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Aucune vulnérabilité, exploitation ni publication de sécurité FastAPI n’a pu être confirmée comme répondant aux critères pour la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. Les notes de version officielles signalent des versions publiées le 10 novembre, mais les changements listés ne sont pas présentés comme des correctifs de sécurité; une mention secondaire de CVE-2026-126244 n’a pas été corroborée par une source éditeur ou projet consultable.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée sur Express.js n’a identifié aucun nouvel avis de sécurité, correctif, événement d’exploitation ni changement substantiel daté du 2026-11-10 dans la période demandée. Les résultats consultés comprennent des avis Express antérieurs à cette période; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a pas identifié de nouvel avis, correctif de sécurité, exploitation ni changement substantiel daté du 2026-11-10 dans la période demandée. Les avis NestJS consultés étaient antérieurs à cette période; les candidats fournis étaient vides.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a identifié trois avis publiés dans la fenêtre demandée portant sur des vulnérabilités d’applications dont l’impact décrit dépend de MySQL ou de son traitement des données. Aucun avis MySQL Community Edition daté du 10 novembre n’a été trouvé dans les résultats consultés ; l’avis MySQL Community Edition affiché par le site officiel est daté du 20 octobre 2026 et n’est donc pas retenu. Un avis publié dans la période concerne Active Storage : un nom de fichier contenant un octet NUL peut causer un déni de service sur les configurations utilisant notamment MySQL/MariaDB. Les versions corrigées indiquées sont 8.1.4.1 et 8.0.5.2.
Craft CMS : injection SQL dans la recherche sur les installations MySQL/MariaDB
Une injection SQL non authentifiée dans la fonction de recherche Craft peut permettre de lire ou modifier la base de données et d’obtenir des privilèges administrateur. Le problème concerne les installations utilisant MySQL ou MariaDB ; mettez à jour Craft vers une version corrigée.
Action recommandée : Mettre à jour Craft vers 4.18.9 ou 5.11.2, selon la branche utilisée.
Rails Active Storage : déni de service via un nom de fichier contenant NUL sur MySQL
Active Storage peut conserver un nom de fichier contenant un octet NUL sur les bases qui l’acceptent, notamment MySQL, puis provoquer des erreurs lors du traitement ou de l’affichage de la pièce jointe. Un utilisateur autorisé à téléverser des fichiers peut ainsi entraîner un déni de service persistant sur les pages concernées ; les versions corrigées sont 8.1.4.1 et 8.0.5.2.
Action recommandée : Mettre à jour Rails vers une version corrigée ; vérifier les pièces jointes téléversées et traiter les noms de fichiers concernés.
DataRoom : injection SQL dans la génération de requêtes pour MySQL
Une injection SQL dans DataRoom peut être déclenchée par un utilisateur doté du rôle sharer en fournissant des paramètres de jeu de données spécialement construits. Le défaut concerne la génération de requêtes et les échappements SQL utilisés avec MySQL ; la fiche fournie ne précise pas de version corrigée.
Action recommandée : Évaluer l’exposition de DataRoom et appliquer le correctif éditeur dès qu’il est disponible ; éviter les paramètres de dataset contrôlés par des utilisateurs non fiables.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié sept avis publiés le 10 novembre concernant des vulnérabilités dans des outils pgEdge pour PostgreSQL : trois dans Postgres MCP Server, une dans Control Plane et trois dans RAG Server. Aucun nouvel avis de sécurité du projet PostgreSQL lui-même daté de cette période n’a été relevé dans les sources consultées. Trois avis NVD publiés le 10 novembre concernent pgEdge Postgres MCP Server et sont corrigés en version 1.1.0. Les autres candidats examinés ne constituent pas, d’après les éléments fournis, un nouvel événement de sécurité PostgreSQL dans la période : mises à jour NVD sans changement substantiel établi, produit explicitement non affecté, ou produit distinct. Aucun candidat ne documente une vulnérabilité du produit PostgreSQL lui-même. Les candidats pgEdge concernent des produits distincts utilisant ou gérant PostgreSQL; les autres indiquent explicitement que PostgreSQL n’est pas affecté ou ne concernent pas PostgreSQL.
pgEdge Control Plane : règles trust dangereuses dans pg_hba.conf généré
Dans pgEdge Control Plane, les fichiers pg_hba.conf générés comportaient des règles trust pour les connexions socket Unix et loopback, placées avant les règles fournies par l’opérateur. Avec l’orchestrateur systemd, un compte local sans privilège sur l’hôte pouvait ainsi se connecter comme n’importe quel rôle PostgreSQL, y compris superutilisateur.
Action recommandée : Mettre à niveau vers 0.11.0 ou ultérieur; pour les versions affectées, contrôler les règles effectives de pg_hba.conf et restreindre les comptes locaux sur les hôtes concernés.
pgEdge RAG Server : risque de déni de service par requêtes non limitées
Dans pgEdge RAG Server, l’endpoint de requête non authentifié pouvait lire tout le corpus filtré sans limite, puis reconstruire un index BM25 en mémoire à chaque requête. Des requêtes distantes peu coûteuses pouvaient ainsi provoquer une charge CPU et base de données proportionnelle à la taille du corpus et épuiser les ressources du service.
Action recommandée : Mettre à niveau vers pgEdge RAG Server 2.0.0 ou ultérieur; limiter l’accès réseau à l’API jusqu’à la mise à jour.
pgEdge Postgres MCP Server : validation Origin absente sur le transport HTTP
Dans pgEdge Postgres MCP Server, le transport HTTP ne validait pas l’en-tête Origin, ce qui pouvait permettre, via DNS rebinding, à une page malveillante d’atteindre le serveur local et de lire des schémas et résultats de requêtes. Le problème concerne les déploiements utilisant le transport HTTP; le transport stdio par défaut n’est pas concerné par ce scénario.
Action recommandée : Mettre à niveau vers pgEdge Postgres MCP Server 1.1.0 ou ultérieur; éviter d’exposer le transport HTTP vulnérable avant mise à jour.
pgEdge Postgres MCP Server : contournement de la limitation des tentatives de connexion
Dans pgEdge Postgres MCP Server, le mécanisme de limitation des tentatives d’authentification utilisait la première valeur fournie par le client dans X-Forwarded-For comme adresse IP. Un attaquant non authentifié pouvait ainsi contourner ou perturber cette limitation en faisant varier ou en usurpant cette valeur.
Action recommandée : Mettre à niveau vers la version 1.1.0 ou ultérieure; vérifier l’exposition du transport HTTP et la configuration de l’authentification.
pgEdge Postgres MCP Server : inférence de données via count_rows
Dans pgEdge Postgres MCP Server, le paramètre where de l’outil count_rows acceptait des sous-requêtes visant d’autres tables que celle désignée par l’appel. Un utilisateur de l’outil pouvait exploiter les nombres de lignes retournés pour inférer des données d’autres tables accessibles au rôle PostgreSQL connecté.
Action recommandée : Mettre à niveau vers la version 1.1.0 ou ultérieure.
pgEdge RAG Server : fuite inter-tenant par concurrence de requêtes BM25
Dans pgEdge RAG Server, l’index BM25 partagé entre les requêtes pouvait être vidé, rempli et consulté au moyen d’opérations verrouillées séparément. Des requêtes concurrentes pouvaient alors chercher dans le corpus chargé par une autre requête et renvoyer des documents d’un autre client ou tenant.
Action recommandée : Mettre à niveau vers pgEdge RAG Server 2.0.0 ou ultérieur.
pgEdge RAG Server : divulgation partielle de clé API via les erreurs LLM
Dans pgEdge RAG Server, l’API de requête non authentifiée renvoyait le texte d’erreur provenant d’appels au fournisseur LLM. Une erreur d’authentification provoquée à distance pouvait révéler une partie d’une clé API opérateur partiellement masquée dans le message retourné.
Action recommandée : Mettre à niveau vers pgEdge RAG Server 2.0.0 ou ultérieur; examiner et renouveler les clés API potentiellement exposées si l’endpoint concerné était accessible.
MongoDB
Vérification incomplète
Niveau relevé : Critique
Les avis MongoDB consultés et les notes de version signalent plusieurs vulnérabilités publiées le 10 novembre 2026, avec des correctifs pour plusieurs branches de MongoDB Server. Les candidats titra et Mongoose fournis ont des dates de publication antérieures à la période; la seule date de mise à jour NVD fournie pour CVE-2026-125117 ne suffit pas à établir un changement substantiel dans la période. Dix fiches NVD MongoDB fournies ont été publiées le 2026-11-10 dans la période demandée. Elles décrivent des vulnérabilités affectant l’authentification, TLS, les moteurs de requêtes, le chiffrement côté client, le sharding, l’autorisation et la réplication; les données fournies ne précisent pas les versions corrigées. Neuf vulnérabilités MongoDB Server ont été publiées par le NVD le 10 novembre 2026 et sont dans la période demandée. Le candidat CVE-2026-63497 concerne le projet titra, et sa publication précède la période; il n’est pas retenu comme vulnérabilité de MongoDB. Les sources fournies documentent cinq vulnérabilités Mongoose dans la période retenue : une confusion de types dans les discriminateurs, une écriture via propriétés héritées, une pollution de prototype liée aux chemins virtuels, un défaut de `sanitizeFilter` au niveau de connexion et un défaut de filtrage dans `countDocuments()`. Les avis disponibles indiquent des versions corrigées; aucune information fournie ne confirme une exploitation active.
MongoDB sur macOS : validation TLS contournée vers des pairs IPv6
La fiche NVD publiée le 2026-11-10 décrit un contournement de la validation de la chaîne de confiance TLS dans le client MongoDB sur macOS utilisant Apple SecureTransport, lors de connexions vers des adresses IPv6. Un attaquant en position d’interception pourrait présenter un certificat non fiable et intercepter ou modifier le trafic; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; vérifier l’usage de SecureTransport sur macOS pour les connexions IPv6.
MongoDB Server : lecture après libération dans la réplication
La fiche NVD publiée le 2026-11-10 décrit une lecture après libération dans le composant de réplication de MongoDB Server, au terme du rattrapage d’un nouveau primaire élu. Des requêtes ne nécessitant pas d’authentification peuvent déclencher la condition et entraîner un arrêt du serveur ou, dans certaines circonstances, une exécution de code; les membres de replica set sont concernés, mais pas les instances autonomes, et les versions corrigées ne sont pas précisées dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; identifier les membres de replica set concernés.
Mongoose : sanitizeFilter omis pour countDocuments()
Dans Mongoose, sanitizeFilter n’était pas appliqué aux requêtes countDocuments(), laissant ces requêtes exposées à des injections de sélecteur malgré l’utilisation de cette protection. Mettez à jour vers 9.9.2, 8.24.3, 7.8.12 ou 6.13.11 selon la branche ; l’avis propose aussi un middleware comme contournement.
Action recommandée : Mettre à jour vers la version corrigée correspondant à la branche Mongoose utilisée, ou appliquer le contournement middleware indiqué dans l’avis.
MongoDB : élévation possible de privilèges via l’authentification X.509
La fiche NVD publiée le 2026-11-10 signale un contournement possible d’un contrôle d’authentification X.509, pouvant conférer des privilèges internes élevés à un détenteur de certificat de membre du cluster. Le risque concerne une configuration X.509 non standard et des conditions particulières de recherche dans le cache utilisateur; aucune version corrigée ni mesure de contournement n’est précisée dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; vérifier les configurations d’authentification X.509 du cluster.
MongoDB Server : déni de service par allocations mémoire non bornées
La fiche NVD publiée le 2026-11-10 décrit un déni de service dans le framework d’agrégation de MongoDB Server, déclenchable par un utilisateur authentifié disposant de privilèges de lecture. Des paramètres spécialement construits peuvent entraîner des allocations mémoire sans limite lors d’évaluations concurrentes et faire terminer mongod; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; limiter l’accès aux utilisateurs authentifiés de confiance.
MongoDB CSFLE : métadonnées de chiffrement susceptibles d’être ignorées
La fiche NVD publiée le 2026-11-10 signale un défaut de traitement de schéma CSFLE pouvant supprimer silencieusement des métadonnées de chiffrement. Un acteur capable de fournir un schéma spécialement conçu au client CSFLE pourrait faire stocker en clair des données destinées au chiffrement; versions affectées et correctif non précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; vérifier la provenance et la confiance accordée aux schémas CSFLE.
MongoDB Server : élévation de privilèges dans le sous-système de sharding
La fiche NVD publiée le 2026-11-10 décrit un défaut de gestion des privilèges dans le sous-système de sharding de MongoDB Server. Un utilisateur authentifié disposant de certains privilèges d’administration au niveau d’un shard pourrait faire retraiter un état interne avec une autorité supérieure et affecter des données ou la configuration de sécurité du cluster; versions et correctif non précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; limiter les privilèges d’administration des shards.
MongoDB Server : contrôle d’autorisation incorrect et privilèges administratifs
La fiche NVD publiée le 2026-11-10 signale un contrôle d’autorisation incorrect dans MongoDB Server, pouvant permettre à une personne non authentifiée ayant un accès local à l’hôte d’obtenir des privilèges administratifs lorsque l’autorisation est activée. Cela peut conduire à un accès ou à une modification non autorisés des données et à une perte de disponibilité; versions affectées et correctif non précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; sécuriser l’accès local à l’hôte et vérifier la configuration d’autorisation.
MongoDB Server : condition de concurrence dans la validation de schéma (CVE-2026-120817)
Une condition de concurrence dans la validation de schéma de MongoDB Server peut provoquer l’arrêt inattendu du serveur lorsque des écritures concurrentes sont vérifiées par un validateur utilisant des opérateurs de requête géospatiale. Elle est déclenchable par un utilisateur authentifié disposant de droits d’écriture.
Lecture de mémoire après libération dans le JavaScript côté serveur de MongoDB
CVE-2026-120818 est une utilisation après libération dans la prise en charge JavaScript côté serveur de MongoDB, exploitable par un utilisateur authentifié au moyen d’une requête d’agrégation forgée. Elle peut exposer des données adjacentes de la mémoire du processus et, dans certains cas, affecter la disponibilité ; les versions concernées et le correctif ne sont pas précisés dans les informations fournies.
MongoDB Server : usage après libération dans un sous-pipeline d’agrégation (CVE-2026-120821)
Un usage après libération de mémoire dans le cadre d’agrégation de MongoDB Server peut se produire lorsque certaines expressions sont évaluées dans un sous-pipeline. Un utilisateur authentifié disposant de droits de lecture peut provoquer l’arrêt inattendu du serveur.
MongoDB Server : contrôle d’autorisation manquant sur une commande liée à la réplication (CVE-2026-120822)
MongoDB Server peut omettre un contrôle d’autorisation sur la ressource effectivement visée par une commande administrative liée à la réplication, le contrôle dépendant d’une valeur fournie par le client. Un utilisateur disposant de privilèges de sauvegarde et de restauration peut ainsi lire et déplacer des collections hors de son périmètre autorisé, avec un accès non prévu aux données et des modifications du catalogue de collections.
MongoDB Server : usage après libération dans les collections temporelles (CVE-2026-120824)
Un usage après libération de mémoire dans le composant des collections temporelles de MongoDB Server peut survenir lors de la validation à l’écriture d’un document de compartiment. Un utilisateur authentifié ayant le droit d’écrire directement des documents de compartiment peut provoquer l’arrêt du serveur ou, sous certaines conditions, l’exécution de code dans le contexte du processus serveur.
MongoDB Server : accès non autorisé à des collections via une vue d’agrégation (CVE-2026-120825)
Une faiblesse d’autorisation dans le cadre d’agrégation de MongoDB Server peut permettre à un utilisateur authentifié disposant de privilèges de base sur une base de lire des collections auxquelles il n’a pas accès. La validation de définition d’une vue ne vérifie pas les privilèges sur une partie imbriquée du pipeline, ce qui peut exposer des données, notamment des éléments d’authentification stockés.
MongoDB Server : use-after-free dans l’accumulateur SBE `$locf`
MongoDB a publié le 10 novembre 2026 un avis décrivant un use-after-free dans l’accumulateur de fenêtre `$locf` du moteur SBE. Un utilisateur authentifié disposant de droits readWrite peut provoquer une lecture hors limites sur le tas ou un arrêt du serveur au moyen d’un pipeline d’agrégation spécialement construit.
Action recommandée : Mettre à niveau MongoDB Server vers une version corrigée, notamment 9.0.7 ou 8.3.16 selon la branche.
MongoDB Enterprise pour Windows : épuisement de ressources via Kerberos
MongoDB a publié le 10 novembre 2026 un avis concernant une fuite de ressources dans le gestionnaire d’authentification SSPI Kerberos des versions Enterprise pour Windows. Des requêtes Kerberos répétées, sans authentification préalable, peuvent épuiser les ressources et empêcher les authentifications Kerberos suivantes jusqu’au redémarrage du serveur.
Action recommandée : Mettre à niveau vers une version corrigée; si une mise à niveau immédiate est impossible, surveiller les échecs d’authentification Kerberos et prévoir le redémarrage comme mesure de rétablissement.
MongoDB Server : références de rôles résiduelles après suppression d’un rôle
MongoDB a publié le 10 novembre 2026 un avis concernant la suppression incomplète de références d’autorisations lorsqu’un rôle est supprimé. Si un rôle du même nom est ensuite recréé avec d’autres privilèges, des utilisateurs précédemment associés peuvent hériter de ces nouveaux privilèges sans attribution explicite.
Action recommandée : Mettre à niveau vers une version corrigée et vérifier les associations de rôles après suppression puis recréation de rôles.
Mongoose — écriture via des propriétés héritées pouvant altérer des objets partagés
Lors de l’hydratation de documents, de l’affectation de chemins ou de la fusion de mises à jour, Mongoose peut parcourir des propriétés héritées et écrire dans des fonctions intégrées ou des objets internes partagés. Cela peut provoquer un déni de service affectant les requêtes du processus ou altérer l’état de schéma partagé; l’avis GitHub confirme ces impacts et les versions corrigées.
Action recommandée : Mettre à niveau Mongoose vers la version corrigée de la branche utilisée.
Mongoose : sanitizeFilter configuré au niveau de la connexion n’est pas appliqué
L’option sanitizeFilter configurée au niveau d’une connexion Mongoose est signalée comme activée, mais n’est pas appliquée aux requêtes. Une application qui compte sur cette protection et accepte des filtres contrôlés par un utilisateur peut être exposée à une injection de sélecteur, notamment à un contournement de contrôle par mot de passe.
Action recommandée : Mettre à niveau Mongoose vers la version corrigée de la branche utilisée et vérifier la configuration de sanitizeFilter ainsi que la validation des filtres issus d’entrées utilisateur.
MongoDB : lecture après libération dans le moteur SBE
La fiche NVD publiée le 2026-11-10 signale une lecture après libération dans le moteur SBE lors du traitement de pipelines d’agrégation utilisant $unwind sur des collections time-series. Un utilisateur authentifié pourrait provoquer une lecture de mémoire serveur ou un arrêt du serveur, sous réserve de conditions particulières et de l’activation d’un paramètre SBE non défini par défaut; correctifs et versions affectées ne sont pas indiqués dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; évaluer si le paramètre SBE non standard concerné est activé.
MongoDB Server : lecture après libération dans le cache de plans
La fiche NVD publiée le 2026-11-10 signale une lecture après libération dans le cache du planificateur de requêtes classique de MongoDB Server. Dans certaines conditions, une commande de diagnostic exécutée par un utilisateur authentifié peut exposer des données de mémoire du processus, voire provoquer un plantage; versions affectées et correctif non précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; restreindre l’accès aux commandes de diagnostic.
MongoDB Server : déni de service par récursion dans les requêtes time-series
La fiche NVD publiée le 2026-11-10 décrit une récursion incontrôlée dans le traitement des requêtes de MongoDB Server, susceptible de provoquer un déni de service sur des collections time-series. Un utilisateur authentifié ayant des privilèges de lecture peut déclencher l’épuisement de la pile et l’arrêt du processus; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Consulter l’avis de l’éditeur et appliquer un correctif dès qu’il est disponible; limiter les privilèges de lecture aux utilisateurs nécessaires.
Divulgation de mémoire dans l’exécution JavaScript côté serveur de MongoDB
CVE-2026-120819 est une faille de gestion mémoire du composant d’exécution JavaScript côté serveur de MongoDB, qu’un utilisateur authentifié disposant de droits de lecture peut déclencher avec une commande spécialement construite. Elle peut renvoyer une quantité limitée de mémoire adjacente non autorisée ; les versions concernées et le correctif ne sont pas précisés dans les informations fournies.
MongoDB Server : consommation mémoire par accumulation d’espaces de noms (CVE-2026-120820)
MongoDB Server conserve des statistiques en mémoire pour des espaces de noms transmis dans des requêtes comportant des informations de champs chiffrés, sans limite ni mécanisme de retrait pour les espaces de noms inexistants. Un utilisateur ayant des droits de lecture peut multiplier ces entrées, entraînant une consommation croissante de mémoire et un ralentissement du chemin de code concerné; la mémoire n’est récupérée qu’au redémarrage du processus.
Mongoose — confusion de types via des clés de discriminateur héritées
Mongoose ne vérifie pas que certaines clés de discriminateur, dont `__t`, sont des propriétés propres avant de les utiliser dans ses registres, ce qui peut provoquer une confusion de types lors de la construction, de l’hydratation et du traitement de documents. Dans le chemin `bulkWrite()` avec `skipValidation`, une valeur `constructor` peut aussi permettre l’enregistrement d’un document sans validation ni filtrage strict, susceptible de faire échouer les requêtes qui l’hydratent.
Action recommandée : Mettre à niveau Mongoose vers la version corrigée correspondant à la branche utilisée.
Mongoose : pollution de prototypes via les chemins virtuels de schéma
Mongoose ne vérifie pas certains noms de propriétés spéciales lors de la création de chemins virtuels, ce qui peut permettre une pollution de prototypes si un attaquant peut influencer les noms de champs d’un schéma dynamique. Cette pollution peut affecter les vérifications de propriétés héritées et d’autres composants JavaScript ; les branches concernées disposent de versions corrigées.
Action recommandée : Mettre à jour vers la version corrigée correspondant à la branche utilisée.
MongoDB Server : autorisation insuffisante sur les métadonnées Queryable Encryption
MongoDB a publié le 10 novembre 2026 un avis sur un contrôle d’autorisation insuffisant lors d’écritures internes de métadonnées Queryable Encryption. Un utilisateur authentifié autorisé à insérer dans une collection peut, sous certaines conditions, rediriger ces écritures vers les métadonnées d’une autre collection chiffrée de la même base.
Action recommandée : Mettre à niveau vers une version corrigée.
MongoDB Server : lecture non autorisée de configuration de déploiement (CVE-2026-120823)
Un contrôle d’autorisation manquant dans le cadre d’agrégation de MongoDB Server peut permettre à un utilisateur muni d’identifiants valides, même sans rôle attribué, de lire des données de configuration des requêtes à l’échelle du déploiement. Ces informations sont normalement réservées à un privilège de niveau cluster et peuvent révéler des éléments de configuration et de schéma.
Redis
Recherche du sujet effectuée
La recherche dédiée n’a pas fait ressortir d’avis ou de correctif Redis daté de la période du 2026-11-10. Les deux candidats fournis concernent respectivement RAGFlow et Chartbrew, et non une vulnérabilité de Redis lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy n’a pas identifié de nouvel avis, correctif, exploitation ni changement substantiel publié entre le 2026-11-10T00:00:00+02:00 inclus et le 2026-11-11T00:00:00+02:00 exclu. Les avis Caddy trouvés dans les résultats étaient datés du 2026-11-04 ou d’autres périodes, donc hors de la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée sur SvelteKit n’a pas fait ressortir de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de mise à jour substantielle datés dans la période demandée. Les avis SvelteKit repérés dans les résultats consultés étaient datés du 29 octobre 2026 ou du 5 octobre 2026, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel n’a fait ressortir aucun nouvel avis, correctif de sécurité, cas d’exploitation ou changement substantiel daté dans la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. Les avis Babel trouvés sur GitHub sont antérieurs à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Elastic/Elasticsearch, au dépôt GitHub du projet et aux CVE n’a identifié aucun avis, correctif ou autre changement substantiel concernant Elasticsearch daté du 2026-11-10 dans la période demandée. Les avis Elasticsearch visibles dans les résultats consultés sont datés du 2026-11-03, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié deux avis publiés pendant la période pour rabbitmq-c : une lecture hors limites sur systèmes 32 bits et un dépassement de tampon sur le tas lors de la sérialisation de certaines trames. Les deux correctifs sont indiqués dans la version 0.17.0. Les entrées NVD de type « mise à jour » fournies pour ces mêmes CVE ne décrivent pas de changement substantiel distinct.
rabbitmq-c — dépassement de tampon dans amqp_send_frame()
L’API amqp_send_frame() peut provoquer un dépassement de tampon sur le tas lorsque la bibliothèque sérialise une trame AMQP_FRAME_BODY trop volumineuse, entraînant un crash ou une corruption mémoire. Les versions antérieures à 0.17.0 sont concernées; la correction est disponible dans rabbitmq-c 0.17.0.
Action recommandée : Mettre à niveau rabbitmq-c vers la version 0.17.0 ou une version ultérieure; examiner les appels à amqp_send_frame() dans les applications concernées.
rabbitmq-c — lecture hors limites sur systèmes 32 bits
Une vérification de bornes vulnérable dans amqp_decode_bytes peut provoquer une lecture hors limites sur les systèmes 32 bits, avec risque de divulgation d’informations ou de déni de service. Les versions antérieures à 0.17.0 sont concernées; la correction figure dans rabbitmq-c 0.17.0.
Action recommandée : Mettre à niveau rabbitmq-c vers la version 0.17.0 ou une version ultérieure; vérifier en priorité les déploiements 32 bits.
Memcached
Recherche du sujet effectuée
La recherche dédiée aux avis du projet Memcached, aux CVE/NVD, à CISA et aux résultats GitHub n’a identifié aucun avis, correctif, événement d’exploitation ni changement substantiel daté dans la période demandée. Les résultats pertinents repérés concernent des événements antérieurs à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux nouvelles vulnérabilités GraphQL ont été publiées le 2026-11-10 : une mutation Parabol permettant la modification non autorisée de réactions entre organisations, et un contournement d’authentification dans les agrégations de @neo4j/graphql. Les autres candidats ont été écartés faute d’élément établissant une nouvelle vulnérabilité GraphQL ou un changement substantiel dans la période. Une vulnérabilité de lecture de données protégées dans les agrégations de @neo4j/graphql a été publiée pendant la période; les versions corrigées indiquées sont 5.12.17 et 7.6.8.
Neo4j GraphQL : contournement de restrictions d’authentification dans les agrégations
Dans `@neo4j/graphql`, certaines requêtes d’agrégation ne respectent pas les restrictions d’authentification et peuvent divulguer des données protégées à des appelants non authentifiés. Les branches 5.x avant 5.12.17 et 7.x avant 7.6.8 sont concernées ; appliquer la mise à jour correspondante.
Action recommandée : Mettre à jour `@neo4j/graphql` vers 5.12.17 ou 7.6.8, selon la branche utilisée.
Parabol : contrôle d’autorisation manquant dans une mutation GraphQL
Une vérification d’autorisation manquante dans la mutation GraphQL `addReactjiToReactable` permet à un utilisateur authentifié de modifier les réactions associées au contenu d’une autre organisation. Les versions antérieures à 15.21.2 sont concernées ; mettre à jour Parabol vers la version corrigée.
Action recommandée : Mettre à jour Parabol vers 15.21.2 ou une version ultérieure.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Deux nouvelles fiches NVD publiées le 10 novembre 2026 concernent des extensions WooCommerce : une exposition de données dans Extend B2B et un contrôle d’accès insuffisant dans Cargo Shipping Location for WooCommerce. Les mises à jour NVD de fiches plus anciennes fournies parmi les candidats ne sont pas retenues, faute d’élément indiquant une modification substantielle datée dans la période. Aucun événement de sécurité substantiel daté de la période n’est établi par les candidats fournis. Les fiches indiquent une mise à jour NVD le 10 novembre, mais leur contenu décrit des vulnérabilités publiées avant la période et ne précise pas de changement substantiel intervenu ce jour-là. La source NVD fournie indique la publication, pendant la période demandée, de CVE-2026-96769, une vulnérabilité de divulgation de données sensibles dans Extend B2B pour WooCommerce, affectant les versions jusqu’à 2.1.4 incluse.
Extend B2B : exposition de données sensibles
Le plugin Extend B2B – Companies and Users Management for WooCommerce expose, sans authentification, des données sensibles de sociétés, notamment des courriels de facturation, soldes et historiques de crédits. Sont concernées les versions jusqu’à 2.1.4 incluse ; aucune version corrigée n’a été vérifiée.
Action recommandée : Mettre à jour le plugin dès qu’un correctif éditeur vérifié est disponible ; dans l’intervalle, envisager sa désactivation si la fonctionnalité n’est pas indispensable.
CVE-2026-106025 : contrôle d’accès insuffisant dans Cargo Shipping Location for WooCommerce
Une vérification insuffisante des autorisations sur un endpoint REST du plugin Cargo Shipping Location for WooCommerce permet à un utilisateur non authentifié de modifier les statuts d’expédition et des métadonnées de commande. Les versions antérieures à 6.0 sont concernées ; mettre à jour vers la version 6.0 ou une version ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 6.0 ou ultérieure.
Simple:Press
Recherche du sujet effectuée
Les recherches ciblées sur Simple:Press n’ont fait apparaître aucun avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-11-10 dans la période demandée. Les résultats consultés mentionnent des vulnérabilités et mises à jour antérieures, qui ne sont pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
Niveau relevé : Élevée
Deux avis concernant Docker ou son projet amont Moby ont été retenus pour la période : un défaut de journalisation de jetons dans Docker Desktop et un défaut de restauration des règles des réseaux overlay chiffrés dans Moby. Les candidats relatifs à pyLoad, compose-lint, pgEdge Control Plane et NocoBase ont été écartés car ils concernent des projets distincts, et non une vulnérabilité du produit Docker. Une nouvelle fiche NVD publiée pendant la période concerne Docker Desktop : des jetons Docker Hub pouvaient être consignés en clair avant la version 4.94.0. Le correctif expurge les charges concernées, mais ne réécrit pas les anciens journaux. Le lot contient une vulnérabilité Moby affectant les règles de chiffrement des réseaux overlay après certains événements firewalld. Les autres candidats ont été écartés car ils ne décrivent pas une vulnérabilité Docker/Moby pertinente dans la période, ou leur date est antérieure à celle-ci. Aucun candidat ne concerne Docker comme produit. Les références aux images Docker décrivent uniquement des environnements ou modes de déploiement d’autres logiciels; elles ne constituent pas des vulnérabilités Docker. Le candidat examiné concerne l’action GitHub compose-lint, et précise que le package, le hook pre-commit et l’image Docker ne sont pas concernés. Il ne constitue donc pas une information de sécurité sur Docker.
Moby : perte de règles IPsec pour les réseaux overlay après un événement firewalld
Une anomalie du pilote réseau overlay de Moby peut laisser des datagrammes VXLAN sortir sans chiffrement IPsec après un événement firewalld. Elle expose aussi le réseau au trafic VXLAN entrant en clair jusqu’au redémarrage de dockerd ou au renouvellement d’un endpoint local du réseau concerné.
Action recommandée : Redémarrer dockerd ou retirer puis recréer un endpoint local du réseau overlay chiffré pour rétablir les règles ; vérifier l’état des réseaux concernés après chaque événement firewalld.
Docker Desktop : exposition du jeton Docker Hub dans les journaux et diagnostics
Avant Docker Desktop 4.94.0, certains journaux et bundles de diagnostic pouvaient enregistrer en clair le jeton d’accès Docker Hub de l’utilisateur connecté. Une personne ayant accès à ces fichiers pouvait utiliser le jeton valide pour lire ou modifier les données Docker Hub de cet utilisateur; la mise à niveau ne supprime pas les jetons éventuellement présents dans les anciens fichiers.
Action recommandée : Mettre à niveau vers Docker Desktop 4.94.0 ou une version ultérieure. Après la mise à niveau, tenir compte du fait que les anciens journaux et bundles peuvent encore contenir le jeton et les traiter comme des données sensibles.
Kubernetes
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée a identifié une publication NVD datée du 10 novembre concernant Microsoft Azure Kubernetes Service. Aucun autre candidat n’a été retenu faute d’élément vérifié établissant un nouvel événement de sécurité ou une modification substantielle dans la période.
Microsoft Azure Kubernetes Service : élévation locale de privilèges
Une vulnérabilité de gestion incorrecte des privilèges dans Microsoft Azure Kubernetes Service permet à un attaquant autorisé d’élever localement ses privilèges. La fiche NVD a été publiée pendant la période demandée; les sources consultées ne précisent pas ici les versions touchées, la correction ni de détails techniques supplémentaires.
Action recommandée : Consulter l’avis de sécurité Microsoft et appliquer les mises à jour recommandées pour les versions concernées.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Quatre publications NVD datées du 10 novembre 2026 concernent le noyau Linux : une correction de nft_byteorder, une correction de recherches TCP établies et deux corrections de xen-netback associées aux avis Xen XSA-531 et XSA-532. Les sources consultées ne permettent pas d’établir les versions affectées ou corrigées ni une exploitation confirmée. Aucun événement Linux noyau admissible n’est établi pour cette période à partir des candidats fournis. Les fiches décrivent des vulnérabilités publiées en 2024 et leur seule mise à jour datée du 10 novembre 2026 est une modification NVD; aucun changement substantiel survenu pendant la période n’est indiqué dans les éléments fournis. Aucun candidat ne documente une nouvelle vulnérabilité, un correctif ou avis de sécurité, une exploitation, ou un changement substantiel daté de la période demandée. Les fiches fournies portent sur des vulnérabilités publiées entre 2024 et 2025; leur mise à jour NVD du 2026-11-10 est administrative et ne suffit pas à établir un événement de sécurité pertinent dans la période. Les candidats sont des fiches NVD publiées antérieurement dont la date de mise à jour tombe dans la période. Les éléments fournis ne montrent aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté de cette période ; une mise à jour administrative NVD seule ne constitue pas un événement à retenir. Les candidats fournis concernent des CVE publiées en 2025 ou en 2024. Leur horodatage de mise à jour NVD du 10 novembre 2026 ne démontre pas, à lui seul, un nouvel avis, un correctif ou un changement substantiel durant la période ; aucun élément admissible n’est établi à partir de ce lot. Aucun événement Linux (noyau) admissible n’est établi pour la période. Les candidats sont des fiches NVD mises à jou…
Linux : course dans les recherches de sockets TCP établis (CVE-2026-99288)
Une course dans les recherches TCP établies IPv4/IPv6 pouvait faire retourner un socket réutilisé mais non inséré dans la table de hachage, entraînant notamment un déréférencement NULL et un crash du noyau. Le correctif vérifie l’état du socket après prise de référence et relance la recherche si nécessaire ; les versions affectées et la version corrigée ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible pour la branche utilisée ; vérifier les avis du fournisseur de la distribution pour connaître les versions affectées et corrigées.
Linux xen-netback : correction du nettoyage après échec de connexion XenBus
Une défaillance du nettoyage après échec de connexion XenBus pouvait laisser des lecteurs accéder à des files d’attente invalides. La correction rend le nombre de files indisponible avant la synchronisation réseau, afin que les lecteurs en cours terminent avant le nettoyage.
Action recommandée : Appliquer une mise à jour du noyau intégrant la correction.
Linux xen-netback : remise à zéro des pointeurs d’anneaux après démontage
En cas d’échec de mappage des anneaux Xen déjà mappés, le chemin de nettoyage pouvait tenter de les démonter une seconde fois. La correction remet à zéro les pointeurs des anneaux après leur démontage.
Action recommandée : Appliquer une mise à jour du noyau intégrant la correction.
Linux : correction des conversions multi-registres dans nft_byteorder
Une conversion d’ordre des octets sur plusieurs registres nftables pouvait produire des résultats incorrects. Le noyau supprime cette prise en charge multi-registre ; certains jeux de règles générés par d’anciennes versions de nftables peuvent alors échouer au chargement.
Action recommandée : Mettre à jour le noyau vers une version intégrant la correction et vérifier les règles nftables utilisant les conversions d’ordre des octets avec une ancienne version de nftables.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Les pages d’information de sécurité Debian et Debian LTS consultées ne montrent aucun avis publié le 10 novembre 2026 : leurs avis les plus récents affichés sont datés du 9 novembre. Aucun élément fourni ne justifie une entrée pour cette période : les candidats sont d’anciennes CVE dont seule une modification NVD est signalée le 10 novembre, sans avis ou changement substantiel Debian vérifié à cette date. Aucun candidat ne documente un nouvel avis ou changement de sécurité Debian daté de la période demandée. Les candidats sont des fiches NVD relatives au noyau Linux, publiées avant la période ; leur date de mise à jour NVD, à elle seule, ne démontre pas un changement substantiel intervenu pendant celle-ci. Les candidats fournis portent sur des vulnérabilités du noyau Linux publiées en 2025. Leur seule date dans la période est une mise à jour NVD du 10 novembre 2026; les éléments fournis ne montrent aucun changement substantiel daté de cette période. Ils ne sont donc pas retenus. Les candidats sont des fiches NVD publiées antérieurement dont la date de mise à jour tombe dans la période. Les informations fournies ne montrent pas de changement substantiel daté de cette période ; ces seules modifications de fiches ne constituent pas de nouvelles vulnérabilités ni des avis de sécurité Debian à retenir. Dans la période demandée, l’avis Debian DLA-4890-1 annonce un correctif de sécurité pour srt, concernant CVE-2026-55868 et CVE-2026-55869.
DLA-4890-1 : faille de chiffrement dans srt
Une requête de matériel de clé (KMREQ) qui échoue à installer une clé peut placer un récepteur SRT déjà sécurisé dans un état de chiffrement défaillant. Un attaquant pouvant joindre le socket peut alors provoquer un plantage ou faire accepter des paquets en clair, ce qui permet d’interrompre ou de remplacer le flux.
Action recommandée : Appliquer la mise à jour Debian de srt correspondant à la version utilisée.
DLA-4890-1 : débordement de tampon dans srt
Le traitement d’un paquet de contrôle KMREQ ou KMRSP copie dans un tampon de pile de taille fixe une longueur fournie par le paquet. Un paquet surdimensionné peut déborder ce tampon et faire planter le processus qui traite le socket SRT.
Action recommandée : Appliquer la mise à jour Debian de srt correspondant à la version utilisée.
Alpine Linux
Recherche du sujet effectuée
La recherche n’a pas établi de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant Alpine Linux daté de la période demandée. CVE-2026-123158 concerne bien OpenSSH sur des systèmes utilisant musl sans PAM, configuration pouvant inclure Alpine, mais les sources consultées situent l’annonce et le correctif Alpine au 2026-11-05, hors période ; la modification NVD signalée par le candidat ne suffit pas à établir un événement substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée à Apache HTTP Server n’a trouvé, dans les résultats consultés, aucun nouvel avis, correctif ou événement substantiel daté de la période demandée. Les éléments repérés concernent notamment des avis antérieurs à cette période; le candidat fourni porte sur Munin, et non sur Apache HTTP Server.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouvel avis, correctif, exploitation ou changement substantiel concernant Nginx daté de la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. Les candidats qui mentionnent Nginx concernent d’autres produits ou projets, ou ne documentent pas un événement Nginx dans cette période. L’examen des candidats fournis n’a identifié aucun avis ou événement de sécurité concernant Nginx dans la période demandée. Les références à nginx présentes dans certains avis décrivent des exemples de fichiers Compose, et non des vulnérabilités de Nginx.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée sur PHP et PHP-FPM n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant le moteur PHP daté de la période demandée (du 2026-11-10T00:00:00+02:00 inclus au 2026-11-11T00:00:00+02:00 exclu). Les avis PHP retrouvés dans les résultats de recherche étaient antérieurs à cette période. Les candidats fournis concernent d’autres produits — même lorsque leurs vulnérabilités touchent des fichiers PHP ou des extensions WordPress — et ne sont donc pas retenus pour le sujet unique demandé. Aucun candidat du lot ne concerne une vulnérabilité du langage ou du moteur PHP lui-même : ils portent sur des extensions WordPress ou des applications distinctes écrites en PHP. Aucun item correspondant au sujet demandé n’est donc retenu. Deux vulnérabilités Winter CMS ont été publiées par la NVD le 2026-11-10 : une injection XSS conditionnelle à l’usage d’un plugin tiers et un accès en lecture à des données de profils par un utilisateur authentifié du panneau d’administration. Les fiches indiquent que les deux problèmes sont corrigés dans Winter CMS 1.2.14. Aucun candidat ne concerne une vulnérabilité du langage ou du runtime PHP : les dix entrées portent sur SuiteCRM ou OpenEMR. Elles sont donc hors du sujet demandé. Aucun candidat ne concerne le langage ou le moteur PHP (y compris PHP-FPM) : les dix fiches portent sur des vulnérabilités d’OpenEMR, une application écrite en PHP. Elles sont donc hors du sujet demandé. Aucun candidat fourni ne documente une vulnérabilité, un correctif ou un avis concernant PHP ou PHP-FPM lui-même dans la période demandée. Les autres candidats portent sur des produits hors sujet; les modifications NVD seules ne constituent pas de nouvelles failles. Aucune information vérifiée ne concerne une v…
Winter CMS : lecture non autorisée des profils d’autres utilisateurs backend
Winter CMS ne limite pas correctement la consultation de certaines fiches utilisateur du backend : un utilisateur backend authentifié peut lire des données de profil appartenant à un autre utilisateur en fournissant son identifiant. La vulnérabilité concerne la version 1.2.13 ; elle est corrigée en 1.2.14.
Action recommandée : Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.
Winter CMS : XSS stockée via le CSS personnalisé mis en cache
Winter CMS présente une XSS stockée dans le rendu du CSS personnalisé : après mise en cache, une sortie LESS non assainie peut être injectée dans les pages d’administration. Les versions antérieures à 1.2.14 sont concernées ; mettre à niveau vers 1.2.14.
Action recommandée : Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.
Winter CMS : contournement CSRF par invocation de handlers via GET
Dans Winter CMS, des méthodes de gestion backend accessibles comme actions GET peuvent déclencher des opérations sensibles sans jeton CSRF, si un utilisateur autorisé est amené à suivre un lien forgé. Les versions de 1.0.319 à celles antérieures à 1.2.14 sont concernées ; mettre à niveau vers 1.2.14.
Action recommandée : Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.
Winter CMS : XSS réfléchie via le paramètre de recherche du widget Table
Winter CMS ne neutralise pas une valeur de recherche avant de l’insérer dans un template script d’un widget Table ; une URL GET construite à cette fin peut déclencher une XSS dans le backend lorsqu’un utilisateur autorisé la consulte. Les versions de 1.0.420 à celles antérieures à 1.2.14 sont concernées ; mettre à niveau vers 1.2.14.
Action recommandée : Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.
Winter CMS : XSS dans les colonnes image de listes d’extensions tierces
Dans Winter CMS, une valeur d’image contrôlée par un attaquant peut être insérée sans échappement dans l’attribut source d’une image de liste, permettant une XSS dans certaines extensions tierces. Les versions de 1.1.0 à celles antérieures à 1.2.14 sont concernées ; le cœur de Winter CMS ne fournit pas cette colonne, et la mise à niveau vers 1.2.14 corrige le problème.
Action recommandée : Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure ; vérifier également les extensions tierces utilisant des colonnes image.
WordPress
Vérification incomplète
Niveau relevé : Élevée
Les candidats fournis correspondent à des fiches CVE WordPress publiées par NVD le 10 novembre 2026, donc dans la période indiquée. Pour Everest Forms, Patchstack indique également la version 3.6.3 comme corrigée ; les éléments consultés ne confirment pas de correctif pour les autres vulnérabilités retenues. Deux nouvelles fiches NVD concernant des extensions WordPress ont été publiées le 10 novembre 2026 : l’une décrit une modification non autorisée de données d’expédition, l’autre une lecture de fichiers arbitraires sous certaines conditions. Les autres candidats fournis sont des fiches de vulnérabilités plus anciennes dont la seule date de la période est une mise à jour NVD, sans preuve d’un changement substantiel. Aucun événement WordPress admissible pour la période n’est établi par les candidats fournis : ils décrivent des vulnérabilités publiées en 2023 et signalent seulement une mise à jour NVD le 10 novembre 2026, sans preuve d’un changement substantiel. Les candidats fournis signalent des mises à jour de fiches NVD datées du 10 novembre 2026, mais aucun élément ne montre qu’elles correspondent à une nouvelle vulnérabilité, à un correctif, à un avis de sécurité, à une exploitation ou à un changement substantiel. Conformément au périmètre demandé, ces seules modifications de fiches ne sont pas retenues. Aucun changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats indiquent des mises à jour de fiches NVD, mais ne précisent pas de modification de fond survenue dans la période. Les dix candidats concernent des CVE publiées avant la période. Les seules dates fournies dans la période sont des dates de mise à jour NVD, sans information sur un changement substantiel; ces modifications administratives seules ne constituent pas un…
Everest Forms : lecture arbitraire de fichiers via les pièces jointes de notification
Everest Forms présente une vulnérabilité de lecture arbitraire de fichiers dans `attach_entry_files()`, qui peut joindre à un courriel le contenu d’un chemin contrôlé sans validation suffisante. L’exploitation exige notamment Everest Forms Pro, une notification avec pièces jointes, un champ dont la clé correspond à `signature_` et un acheminement du courriel vers l’adresse de l’attaquant.
Action recommandée : Vérifier les notifications avec pièces jointes et les champs signature; mettre à jour Everest Forms et Everest Forms Pro dès qu’un correctif est disponible.
Ultra Addons for Contact Form 7 : lecture de fichiers arbitraires
Ultra Addons for Contact Form 7 peut permettre la lecture de fichiers arbitraires du serveur par un attaquant non authentifié. La faille concerne les versions jusqu’à 3.5.54, sous certaines conditions : l’extension PDF Generator doit être active et un modèle de corps PDF doit être configuré pour le formulaire ciblé.
Action recommandée : Vérifier la présence et la configuration de PDF Generator ; appliquer un correctif éditeur dès sa disponibilité.
WPML : contournement d’authentification par condition de concurrence SSO
WPML Multilingual CMS présente une vulnérabilité de contournement d’authentification liée à une condition de concurrence dans le mécanisme SSO par domaine. Un attaquant non authentifié peut, pendant la fenêtre de déconnexion d’un utilisateur, obtenir une session à son compte, y compris un compte administrateur, si les conditions décrites pour le SSO multilingue sont réunies.
Action recommandée : Mettre à jour WPML vers une version corrigée dès qu’elle est disponible; dans l’intervalle, évaluer l’exposition du SSO par domaine.
Avada Builder : XSS persistante via formulaires et médias
Avada (Fusion) Builder est vulnérable à une injection XSS persistante en raison d’un assainissement insuffisant des entrées et d’un échappement incomplet des sorties. L’exploitation nécessite notamment un formulaire Fusion intégré à une page créée par un administrateur et un élément Post Cards public configuré pour afficher des pièces jointes.
Action recommandée : Mettre à jour Avada Builder dès qu’un correctif est disponible et vérifier les pages utilisant les configurations de formulaire et Post Cards concernées.
ARMember Premium : XSS stockée dans un champ de profil
ARMember Premium présente une XSS stockée liée à un champ personnalisé de profil (couverture) lors de l’inscription, en raison d’un nettoyage et d’un échappement insuffisants. Les versions jusqu’à 7.8.1 sont indiquées comme vulnérables ; aucune version corrigée n’a été vérifiée.
Action recommandée : Désactiver ou limiter le champ concerné jusqu’à l’application d’un correctif éditeur.
Everest Forms : suppression arbitraire de fichiers sous uploads
Everest Forms est vulnérable à la suppression de fichiers en raison d’une validation insuffisante du chemin dans `remove_csv_file_after_email_send`. La faille peut permettre à un attaquant non authentifié de supprimer des fichiers sous `wp-content/uploads`, mais son exploitation exige l’extension Save-and-Continue active et le réglage « Disable storing entry information » activé sur le formulaire concerné.
Action recommandée : Vérifier l’utilisation de Save-and-Continue et le réglage de stockage des entrées; appliquer une mise à jour du plugin lorsqu’un correctif est disponible.
Extend B2B : exposition de données sensibles
Le plugin Extend B2B – Companies and Users Management for WooCommerce expose, sans authentification, des données sensibles de sociétés, notamment des courriels de facturation, soldes et historiques de crédits. Sont concernées les versions jusqu’à 2.1.4 incluse ; aucune version corrigée n’a été vérifiée.
Action recommandée : Mettre à jour le plugin dès qu’un correctif éditeur vérifié est disponible ; dans l’intervalle, envisager sa désactivation si la fonctionnalité n’est pas indispensable.
CVE-2026-106025 : contrôle d’accès insuffisant dans Cargo Shipping Location for WooCommerce
Une vérification insuffisante des autorisations sur un endpoint REST du plugin Cargo Shipping Location for WooCommerce permet à un utilisateur non authentifié de modifier les statuts d’expédition et des métadonnées de commande. Les versions antérieures à 6.0 sont concernées ; mettre à jour vers la version 6.0 ou une version ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 6.0 ou ultérieure.
Zion Builder : exécution de JavaScript via un SVG téléversé
Le module Zion Builder jusqu’à 3.6.17 ne nettoie pas les fichiers SVG téléversés avant de les servir depuis une adresse publique de même origine que le site. Un utilisateur authentifié ayant le rôle Auteur ou supérieur peut ainsi déposer un SVG contenant du JavaScript ; mettre à jour le module vers une version corrigée, non précisée par les sources consultées.
Action recommandée : Mettre à jour Zion Builder vers une version corrigée et limiter les téléversements SVG jusqu’à l’application du correctif.
All in One Addons for WPBakery : inclusion de fichiers locaux
All in One Addons For WPBakery Page Builder ne valide pas un attribut de shortcode utilisé pour construire un chemin de fichier inclus et exécuté. Les versions jusqu’à 1.2 sont concernées ; une exploitation peut permettre à un utilisateur disposant du rôle Contributeur ou supérieur d’exécuter des fichiers PHP locaux.
Action recommandée : Limiter l’accès aux shortcodes concernés et appliquer un correctif éditeur dès sa disponibilité.
BulletProof Security : exposition possible des journaux
BulletProof Security protège insuffisamment certains journaux et peut y inscrire des données d’authentification sensibles, que des attaquants non authentifiés pourraient lire selon la configuration du serveur web. Les versions jusqu’à 7.2 sont indiquées comme concernées ; aucun correctif n’a été vérifié dans les éléments consultés.
Action recommandée : Vérifier les accès aux journaux et leur configuration ; appliquer un correctif éditeur dès sa disponibilité.
FraudLabs Pro SMS Verification : abus possible d’envois SMS
FraudLabs Pro SMS Verification ne fait pas respecter côté serveur la limite de nouvelles tentatives SMS, permettant à des utilisateurs non authentifiés de déclencher des envois répétés vers des numéros choisis. Les versions jusqu’à 1.12.1 sont concernées ; aucun correctif n’a été vérifié.
Action recommandée : Limiter ou désactiver temporairement les envois SMS exposés et appliquer un correctif éditeur dès sa disponibilité.
PrestaShop
Recherche du sujet effectuée
La recherche dédiée a fait remonter des avis du dépôt PrestaShop datés du 9 novembre 2026 et un signalement de skimmer publié le 5 novembre 2026. Ces dates sont antérieures à la période figée, qui commence le 10 novembre 2026 à 00:00 (+02:00) ; aucun événement PrestaShop daté dans la période n’a été établi à partir des résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Vérification incomplète
Une nouvelle vulnérabilité de cockpit-storaged, CVE-2026-125672, a été publiée pendant la période. Les deux CVE SAP concernant le NWDI Cockpit ont été exclues car elles concernent un composant SAP distinct du projet Cockpit; la modification NVD de CVE-2026-125672 n’est pas comptée comme un événement séparé.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée sur CloudPanel n’a pas mis en évidence de vulnérabilité nouvelle, d’avis/correctif de sécurité, d’exploitation confirmée ni de changement substantiel daté dans la période demandée, du 2026-11-10T00:00:00+02:00 inclus au 2026-11-11T00:00:00+02:00 exclu. Les éléments de sécurité retrouvés concernent des dates antérieures à cette fenêtre; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche sur les avis de sécurité GitHub du projet Uptime Kuma n’a relevé aucun avis publié pendant la période demandée. Les avis repérés datent du 31 octobre et du 2 novembre 2026, donc sont antérieurs au 10 novembre; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche ciblée sur les avis de sécurité du projet MariaDB et les résultats CVE disponibles n’a pas identifié de nouvel avis, correctif, exploitation ni changement substantiel concernant MariaDB daté dans la période du 2026-11-10T00:00:00+02:00 inclus au 2026-11-11T00:00:00+02:00 exclu. Les candidats fournis concernent des applications ou composants distincts qui peuvent utiliser MariaDB, et non une vulnérabilité de MariaDB elle-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Vérification incomplète
La recherche a relevé un avis daté du 2026-11-10 signalant un contournement conditionnel de la 2FA WebAuthn dans phpMyAdmin 5.2.3. Le candidat fourni concerne Easy!Appointments et n’est pas une information sur phpMyAdmin; il a été exclu du sujet.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
pgAdmin
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni aucun changement substantiel concernant pgAdmin n’a été vérifié dans la période du 2026-11-10T00:00:00+02:00 au 2026-11-11T00:00:00+02:00. La page de sécurité de pgAdmin affiche une mise à jour le 2026-11-10 à 03:17 UTC, mais les avis qui y sont répertoriés ont des dates de publication antérieures ; cette actualisation ne suffit pas à établir un nouvel événement de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a relevé une divulgation dans la période pour Webmin : une XSS stockée liée à l’affichage des enregistrements DNS peut concerner les propriétaires de domaines Virtualmin disposant de droits délégués. Le numéro CVE est CVE-2026-125392; les candidats « publié » et « modifié » renvoient à la même faille, et la modification n’est pas comptée comme événement distinct.
XSS stockée dans le module BIND8 de Webmin
Webmin jusqu’à la version 2.670 présente une XSS stockée dans le module BIND8 : des valeurs d’enregistrements DNS peuvent être affichées sans échappement en vue ALL et exécuter du script dans le navigateur d’un administrateur. Un utilisateur délégué pouvant gérer une zone peut ainsi viser les administrateurs qui consultent ses enregistrements ; aucune version corrigée n’a pu être confirmée dans les sources consultées.
Action recommandée : Mettre à niveau vers une version corrigée dès qu’elle est confirmée par le projet ; limiter la gestion déléguée des zones et la consultation des enregistrements non fiables.
Webmin
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche Web dédiée à Webmin a identifié deux vulnérabilités publiées dans la période : CVE-2026-125391, injection de commandes dans le module Samba, et CVE-2026-125392, XSS stockée dans le module BIND8. Les sources consultées ne permettent pas de confirmer une version corrigée ni une exploitation active.
Injection de commandes dans le module Samba de Webmin
Webmin jusqu’à la version 2.670 présente une injection de commandes dans le module Samba : un utilisateur authentifié disposant des droits de maintenance des comptes Samba peut faire exécuter des commandes avec les privilèges root. La faille concerne les options de compte transmises sans validation adéquate ; aucune version corrigée n’a pu être confirmée dans les sources consultées.
Action recommandée : Mettre à niveau vers une version corrigée dès qu’elle est confirmée par le projet ; limiter les droits de maintenance des comptes Samba aux personnes de confiance.
XSS stockée dans le module BIND8 de Webmin
Webmin jusqu’à la version 2.670 présente une XSS stockée dans le module BIND8 : des valeurs d’enregistrements DNS peuvent être affichées sans échappement en vue ALL et exécuter du script dans le navigateur d’un administrateur. Un utilisateur délégué pouvant gérer une zone peut ainsi viser les administrateurs qui consultent ses enregistrements ; aucune version corrigée n’a pu être confirmée dans les sources consultées.
Action recommandée : Mettre à niveau vers une version corrigée dès qu’elle est confirmée par le projet ; limiter la gestion déléguée des zones et la consultation des enregistrements non fiables.
Vue.js
Recherche du sujet effectuée
Aucune nouveauté de sécurité Vue.js datée du 2026-11-10 n’a été vérifiée dans les résultats consultés. Les avis repérés pour Vue.js et les vulnérabilités mentionnant des bibliothèques Vue concernent d’autres dates; ils sont donc hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Vérification incomplète
L’avis de sécurité du projet Vite publié le 10 novembre 2026 signale une faille critique d’exécution de code à distance touchant, sous certaines conditions, le serveur de développement. Les versions concernées et la version corrigée ne sont pas établies par les informations consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nuxt
Vérification incomplète
Niveau relevé : Élevée
Deux informations de sécurité Nuxt datées dans la période ont été vérifiées : CVE-2026-123808 pour Nuxt UI et CVE-2026-102650 pour Nuxt Content. Les correctifs indiqués sont respectivement Nuxt UI 4.8.1 et @nuxt/content 3.15.2.
Nuxt Content : déni de service via l’API de requête SQL
L’API de requête de Nuxt Content permet à une personne non authentifiée de soumettre une requête SQL qui peut entraîner une forte consommation de mémoire et de CPU. Mettre à niveau `@nuxt/content` vers la version 3.15.2 ou ultérieure.
Action recommandée : Mettre à niveau `@nuxt/content` vers la version 3.15.2 ou ultérieure.
Nuxt UI : risque de fuite d’identifiants des formulaires avant hydratation
Avant Nuxt UI 4.8.1, le HTML rendu côté serveur par UForm omet les attributs method et action ; si un formulaire d’authentification est soumis avant l’hydratation Vue, le navigateur peut envoyer les champs nommés, y compris le mot de passe, dans l’URL. Cela peut exposer les identifiants dans l’historique, les journaux intermédiaires ou des en-têtes Referer ; mettre à jour vers 4.8.1 ou une version ultérieure.
Action recommandée : Mettre Nuxt UI à jour vers 4.8.1 ou une version ultérieure et vérifier les journaux et systèmes intermédiaires si des formulaires concernés étaient exposés.
Next.js
Recherche du sujet effectuée
Aucune nouveauté de sécurité Next.js datée du 10 novembre 2026 n’a été vérifiée dans les résultats consultés. Les avis Next.js visibles dans la liste GitHub consultée sont datés du 3 novembre 2026, hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Vérification incomplète
Un avis React Server Components déjà publié le 14 octobre a été mis à jour le 10 novembre 2026, date également rapportée pour la publication du CVE-2026-126187. Les versions corrigées indiquées sont antérieures à la période examinée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Angular
Vérification incomplète
La recherche dédiée a repéré un avis Angular publié le 9 novembre 2026 et des fiches CVE déjà publiées auparavant. Les éléments consultés ne permettent pas d’établir qu’un avis ou une modification substantielle concernant Angular est intervenu pendant la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Astro
Recherche du sujet effectuée
La recherche ciblée sur Astro a repéré des avis publiés le 9 novembre 2026, avant la période demandée, ainsi que des publications de versions Astro le 10 novembre. Les éléments consultés ne documentent pas de vulnérabilité, d’avis ou de changement de sécurité daté dans la fenêtre du 10 novembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche web dédiée n’a pas vérifié de nouvel avis ou correctif de sécurité concernant TypeScript publié dans la période du 2026-11-10 au 2026-11-11 à 00:00 +02:00. Les résultats portant sur d’autres projets écrits en TypeScript n’ont pas été retenus comme des vulnérabilités de TypeScript lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche a vérifié des publications CVE datées dans la période ainsi que les avis Mozilla du 10 novembre. Elle a identifié des défauts dans des bibliothèques JavaScript, des logiciels qui exécutent ou traitent du JavaScript, et des correctifs Mozilla pour des composants JavaScript ; les détails non confirmés, notamment les versions affectées lorsqu’elles ne sont pas indiquées, restent vides. Les candidats pertinents pour JavaScript comprennent une vulnérabilité du moteur JavaScript de Firefox, une faille de Microsoft Authentication Library for JavaScript, cinq vulnérabilités node-forge et deux failles du JavaScript côté serveur de MongoDB. Le candidat Group-Office est écarté : la description porte sur une XSS de l’application, et non sur une vulnérabilité d’un composant JavaScript identifié comme sujet. Aucun événement admissible relatif à JavaScript n’est établi pour la période à partir de ce lot : les candidats sont des fiches NVD préexistantes dont la date de mise à jour tombe dans la période, sans preuve fournie d’un changement substantiel plutôt que d’une modification administrative. Les mises à jour NVD datées du 2026-11-10 fournies dans ce lot décrivent des informations substantielles pour neuf CVE touchant node-forge, toutes corrigées en version 1.4.1. La modification NVD de CVE-2026-118007 n’est pas retenue, car le lot ne fournit pas d’élément établissant un changement substantiel. Aucun candidat ne documente une nouvelle vulnérabilité, un correctif ou un avis de sécurité daté de la période demandée. Les mises à jour NVD fournies sont des modifications de fiches publiées avant le début de la période; pour CVE-2026-122146, le résumé indique en outre que le mainteneur conteste la qualification de vulnérabilité, sans établir de changement substantiel pertinen…
Mongoose : sanitizeFilter omis pour countDocuments()
Dans Mongoose, sanitizeFilter n’était pas appliqué aux requêtes countDocuments(), laissant ces requêtes exposées à des injections de sélecteur malgré l’utilisation de cette protection. Mettez à jour vers 9.9.2, 8.24.3, 7.8.12 ou 6.13.11 selon la branche ; l’avis propose aussi un middleware comme contournement.
Action recommandée : Mettre à jour vers la version corrigée correspondant à la branche Mongoose utilisée, ou appliquer le contournement middleware indiqué dans l’avis.
node-opcua : une politique de permissions de namespace peut être ignorée, autorisant des accès Anonymous
Dans node-opcua, une politique de permissions par défaut déclarée au niveau d’un espace de noms peut être ignorée par le chemin d’application des autorisations, et le contrôle peut alors accorder des opérations d’écriture ou d’appel à un client Anonymous. Mettez à jour les paquets node-opcua concernés vers 2.180.0 ou une version ultérieure, en vérifiant particulièrement les espaces de noms pour lesquels une politique par défaut a été configurée.
Action recommandée : Mettre à jour node-opcua, node-opcua-address-space et node-opcua-server vers 2.180.0 ou une version ultérieure ; vérifier les permissions effectives des espaces de noms configurés.
Lecture de mémoire après libération dans le JavaScript côté serveur de MongoDB
CVE-2026-120818 est une utilisation après libération dans la prise en charge JavaScript côté serveur de MongoDB, exploitable par un utilisateur authentifié au moyen d’une requête d’agrégation forgée. Elle peut exposer des données adjacentes de la mémoire du processus et, dans certains cas, affecter la disponibilité ; les versions concernées et le correctif ne sont pas précisés dans les informations fournies.
Usurpation locale du démon Tencent BrowserSkill permettant l’exécution de JavaScript dans le navigateur
Tencent BrowserSkill jusqu’à la version 0.4.2 ne vérifie pas l’identité du service auquel sa connexion WebSocket locale se rattache. Un attaquant local peut ainsi usurper le démon et obtenir les capacités de l’extension, notamment l’exécution de JavaScript dans des onglets de navigateur connectés.
Action recommandée : Éviter d’exposer le service local à des processus non fiables et appliquer une mise à jour du projet dès qu’une version corrigée est disponible.
Mongoose : sanitizeFilter configuré au niveau de la connexion n’est pas appliqué
L’option sanitizeFilter configurée au niveau d’une connexion Mongoose est signalée comme activée, mais n’est pas appliquée aux requêtes. Une application qui compte sur cette protection et accepte des filtres contrôlés par un utilisateur peut être exposée à une injection de sélecteur, notamment à un contournement de contrôle par mot de passe.
Action recommandée : Mettre à niveau Mongoose vers la version corrigée de la branche utilisée et vérifier la configuration de sanitizeFilter ainsi que la validation des filtres issus d’entrées utilisateur.
Muhammara : déni de service lors de l’analyse de certains PDF
Muhammara peut planter lorsqu’il traite un PDF non fiable contenant un flux LZWDecode dont le dictionnaire DecodeParms ne comporte pas la clé EarlyChange. Le correctif est disponible dans la version 6.0.5 ; mettre à jour les applications qui analysent des PDF non fiables.
Action recommandée : Mettre à jour Muhammara vers 6.0.5 ou une version ultérieure.
ManageEngine DDI Central : publication de CVE pour l’injection HTML/JavaScript dans les PDF
Une injection HTML/JavaScript dans la génération de PDF analytiques de ManageEngine DDI Central peut conduire à la divulgation de fichiers locaux. Le défaut concerne les versions jusqu’au build 6200 et le correctif est disponible dans le build 6201 ; l’avis éditeur indique que la vulnérabilité était corrigée avant la période, mais la publication de la fiche CVE est intervenue pendant celle-ci.
Action recommandée : Vérifier que DDI Central et ses Node Agent sont au build 6201 ou ultérieur.
Correctif d’une erreur de conditions aux limites dans le ramasse-miettes JavaScript
Une erreur de conditions aux limites dans le composant JavaScript: GC de Firefox et Thunderbird a été corrigée. Appliquez les versions corrigées indiquées par l’éditeur.
Action recommandée : Mettre à jour Firefox, Firefox ESR, Thunderbird ou Thunderbird ESR vers les versions corrigées indiquées.
Use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une use-after-free dans le composant GC du moteur JavaScript de Firefox et Thunderbird a été signalée. Mozilla indique que le problème est corrigé dans les versions mentionnées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une use-after-free dans le composant GC du moteur JavaScript de Firefox et Thunderbird a été signalée. Mozilla indique que le problème est corrigé dans les versions mentionnées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une use-after-free dans le composant GC du moteur JavaScript de Firefox et Thunderbird a été signalée. Mozilla indique que le problème est corrigé dans les versions mentionnées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
node-forge : contraintes de nom X.509 non appliquées lors de la validation des certificats
Avant la version 1.4.3, node-forge ne vérifie pas l’extension X.509 nameConstraints lors de la validation des chaînes de certificats, et peut accepter un certificat dont le nom sort du périmètre autorisé par une autorité de certification à contraintes non critiques. Mettez à jour vers 1.4.3 ou une version ultérieure ; l’exploitation nécessite notamment une autorité contrainte liée à une racine de confiance et la capacité d’obtenir ou d’émettre un certificat hors périmètre.
Action recommandée : Mettre à jour node-forge vers 1.4.3 ou ultérieure.
CVE-2026-118007 : use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une vulnérabilité d’utilisation après libération affecte le composant GC de JavaScript dans Firefox et Thunderbird. Les versions correctives indiquées sont Firefox et Thunderbird 159, ainsi que Firefox ESR et Thunderbird ESR 153.7.
Action recommandée : Mettre à jour Firefox et Thunderbird vers les versions correctives indiquées.
CVE-2026-118779 : déni de service par analyse PEM dans node-forge
Dans node-forge avant 1.4.1, des expressions régulières utilisées par pem.decode() pouvaient avoir un temps d’exécution polynomial sur des entrées PEM malformées. Un attaquant non authentifié pouvant fournir une telle entrée à un parseur de haut niveau pouvait consommer excessivement le processeur et provoquer un déni de service.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
CVE-2026-118782 : contournement d’intégrité et clés prévisibles PKCS#12 dans node-forge
Dans node-forge avant 1.4.1, des compteurs d’itérations PKCS#12 nuls ou négatifs pouvaient conduire à une clé constante, indépendante du mot de passe et du sel, et permettre de contourner des contrôles d’intégrité sur des entrées construites. Le problème concerne aussi la prévisibilité de clés et vecteurs d’initialisation pour certains modes PBE PKCS#12; les contenus chiffrés PBES2/PBKDF2 sont indiqués comme non affectés.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
CVE-2026-119188 : plantage possible lors du traitement de handshakes TLS dans node-forge
Dans node-forge avant 1.4.1, le traitement continuait après qu’un enregistrement TLS d’un autre type de contenu interrompait un message de handshake fragmenté. Un pair distant pouvait provoquer une TypeError non interceptée et faire échouer la connexion ou le processus hébergeant l’application.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
CVE-2026-119190 : interprétation incorrecte d’extensions X.509 dans node-forge
Dans node-forge avant 1.4.1, des OID d’extensions X.509 obsolètes étaient interprétés comme basicConstraints et la première extension ainsi nommée pouvait être utilisée lors de la validation de chaîne. Un certificat construit à partir d’une extension permissive obsolète pouvait alors être accepté comme CA et servir à émettre des certificats pour des noms arbitraires, sous les conditions indiquées dans la fiche.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure; examiner la manière dont les autorités de certification traitent les extensions copiées depuis les demandes de signature.
OHIF Viewers : XSS DOM via le type MIME d’un document DICOM
OHIF Viewers peut traiter comme type MIME une valeur contrôlée par l’attaquant dans un objet DICOM encapsulé, puis afficher le document dans un contexte où du contenu HTML peut exécuter du JavaScript dans l’origine OHIF. Mettez à jour l’extension @ohif/extension-dicom-pdf vers la version corrigée correspondant à votre branche : 3.12.18, 3.13.10 ou 3.14.0-beta.36.
Action recommandée : Mettre à jour @ohif/extension-dicom-pdf vers la version corrigée applicable à la branche utilisée.
Divulgation de mémoire dans l’exécution JavaScript côté serveur de MongoDB
CVE-2026-120819 est une faille de gestion mémoire du composant d’exécution JavaScript côté serveur de MongoDB, qu’un utilisateur authentifié disposant de droits de lecture peut déclencher avec une commande spécialement construite. Elle peut renvoyer une quantité limitée de mémoire adjacente non autorisée ; les versions concernées et le correctif ne sont pas précisés dans les informations fournies.
Mongoose : pollution de prototypes via les chemins virtuels de schéma
Mongoose ne vérifie pas certains noms de propriétés spéciales lors de la création de chemins virtuels, ce qui peut permettre une pollution de prototypes si un attaquant peut influencer les noms de champs d’un schéma dynamique. Cette pollution peut affecter les vérifications de propriétés héritées et d’autres composants JavaScript ; les branches concernées disposent de versions corrigées.
Action recommandée : Mettre à jour vers la version corrigée correspondant à la branche utilisée.
Zion Builder : exécution de JavaScript via un SVG téléversé
Le module Zion Builder jusqu’à 3.6.17 ne nettoie pas les fichiers SVG téléversés avant de les servir depuis une adresse publique de même origine que le site. Un utilisateur authentifié ayant le rôle Auteur ou supérieur peut ainsi déposer un SVG contenant du JavaScript ; mettre à jour le module vers une version corrigée, non précisée par les sources consultées.
Action recommandée : Mettre à jour Zion Builder vers une version corrigée et limiter les téléversements SVG jusqu’à l’application du correctif.
XSS dans Microsoft Authentication Library for JavaScript
Une faille de type XSS dans Microsoft Authentication Library for JavaScript permet à un attaquant non autorisé d’effectuer une usurpation à travers le réseau. La source fournie ne précise ni les versions concernées ni le correctif.
node-forge : plantage du client TLS avec une compression ServerHello non prise en charge
Le client TLS de node-forge accepte un algorithme de compression ServerHello qu’il n’a pas proposé, puis peut lever une exception non interceptée pendant le handshake. Un serveur malveillant ou un attaquant sur le chemin peut faire tomber le processus; mettre à niveau vers node-forge 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; à défaut, intercepter les exceptions de traitement TLS.
node-forge : ReDoS dans le traitement des en-têtes et cookies HTTP
La suppression des espaces de fin dans les en-têtes de réponse HTTP et les cookies de `forge.http` utilisait une expression régulière dont le temps d’exécution peut croître de façon quadratique. Un serveur ou un attaquant sur le chemin peut bloquer le client avec un en-tête suffisamment long; mettre à niveau node-forge vers 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; pour les versions non corrigées, limiter la taille des en-têtes transmis à `forge.http`.
node-forge : plantage du client TLS sur un ServerHello reçu sans session
Un client TLS de node-forge peut lever une exception non interceptée en recevant un message ServerHello alors qu’aucune session n’existe, notamment après la fermeture de la connexion. Un serveur malveillant ou un attaquant sur le chemin peut ainsi faire tomber le processus; mettre à niveau vers node-forge 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; à défaut, appliquer le contournement documenté.
CVE-2026-118778 : déni de service possible dans le client TLS de node-forge
Dans node-forge avant 1.4.1, le client TLS vérifiait la mauvaise propriété pour détecter l’absence du certificat serveur. Un serveur TLS malveillant ou un pair sur le chemin pouvait provoquer une exception non interceptée et interrompre la connexion ou le processus.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
CVE-2026-119186 : validation AES-GCM insuffisante dans node-forge
Dans node-forge avant 1.4.1, le déchiffrement AES-GCM ne validait pas l’option tagLength fournie à createDecipher(). Lorsque cette valeur était dérivée de données reçues ou devenait nulle, une étiquette d’authentification vide ou absente pouvait être acceptée; les applications utilisant le défaut 128 bits ou une longueur fixe valide ne sont pas affectées.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure; éviter de dériver tagLength de données reçues et utiliser une longueur valide fixe.
CVE-2026-119189 : contrainte de longueur de chaîne CA non appliquée dans node-forge
Dans node-forge avant 1.4.1, la contrainte pathLenConstraint d’un certificat CA n’était appliquée que si le certificat possédait aussi une extension keyUsage. Sous certaines conditions dans une PKI privée, une chaîne dépassant la longueur autorisée pouvait être acceptée; le correctif est disponible dans la version 1.4.1.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure; vérifier les certificats CA des PKI privées, notamment ceux dépourvus de keyUsage.
Kubeflow Pipelines : XSS réfléchie dans les erreurs des routes de pods
Les réponses d’erreur HTML de certaines routes Kubernetes de Kubeflow Pipelines reflétaient des noms de pods et espaces de noms non fiables, permettant une XSS réfléchie lorsqu’une victime suivait un lien spécialement construit. La correction est incluse dans KFP 2.15.0 ou ultérieur et remplace notamment les valeurs invalides par un message constant.
Action recommandée : Mettre à niveau Kubeflow Pipelines vers la version 2.15.0 ou ultérieure.
Altair : XSS DOM via des URL de scripts contrôlées dans la sandbox iframe
Altair accepte une configuration de plugins depuis le paramètre de requête iframe-sandbox et peut charger une URL de script fournie par un attaquant dans l’origine de l’application. Mettez à jour les paquets Altair concernés vers 8.5.8 ou une version ultérieure.
Action recommandée : Mettre à jour les paquets Altair concernés vers 8.5.8 ou une version ultérieure.
node-forge : vérification Ed25519 acceptant des clés publiques d’ordre faible
`ed25519.verify()` de node-forge acceptait des clés publiques Ed25519 d’ordre faible, permettant de fabriquer des signatures valides sans clé privée dans certaines situations. Le défaut concerne les applications qui vérifient des signatures avec des clés publiques contrôlées par des tiers; mettre à niveau vers node-forge 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; valider les clés publiques non fiables si une mise à niveau immédiate est impossible.
CVE-2026-118780 : altération du magasin de certificats dans node-forge
Dans node-forge avant 1.4.1, une vérification de chaîne de certificats pouvait retirer du magasin des certificats d’autorité de certification approuvés lorsque plusieurs certificats partageaient un sujet. Une vérification échouée pouvait ainsi faire échouer ultérieurement des chaînes valides dans les applications réutilisant ce magasin.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
CVE-2026-118781 : boucle infinie dans modInverse() de node-forge
Dans node-forge avant 1.4.1, BigInteger.prototype.modInverse() pouvait entrer dans une boucle infinie avec une valeur ou un module négatif. Un attaquant capable de contrôler l’exposant public RSA fourni à la génération de clés, ou directement un opérande de modInverse(), pouvait bloquer la boucle d’événements Node.js en consommant le processeur.
Action recommandée : Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
OctoPrint : XSS stockée via les paramètres de connexion série
OctoPrint 2.0.0rc1 à 2.0.0rc6 est vulnérable à une XSS stockée via des paramètres port ou baudrate spécialement construits dans les réglages par défaut du plugin Serial Connector. Mettez à jour vers 2.0.0rc7 et vérifiez les valeurs correspondantes dans config.yaml pour retirer d’éventuels fragments JavaScript.
Action recommandée : Mettre à jour OctoPrint vers 2.0.0rc7 ou ultérieure et inspecter les paramètres de connexion enregistrés.
Erreur de compilation JIT dans Firefox et Thunderbird
Une erreur de compilation JIT dans le moteur JavaScript de Firefox et Thunderbird a été signalée. La source indique que le problème est corrigé dans les versions mentionnées, sans préciser davantage son impact ni son score.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers une version corrective indiquée.
Pointeur invalide dans le JIT de Firefox et Thunderbird
Un pointeur invalide dans le composant JIT du moteur JavaScript de Firefox et Thunderbird a été signalé. La source indique que le problème est corrigé dans Firefox 160 et Thunderbird 160, sans fournir d’autres précisions sur l’impact.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers la version corrective indiquée.
HTML5
Recherche du sujet effectuée
Niveau relevé : Moyenne
Deux publications NVD datées du 10 novembre 2026 concernent des vulnérabilités liées au traitement ou à la sérialisation HTML5 : Nokogiri (CVE-2026-126063) et Action View (CVE-2026-126079). Les avis associés indiquent les conditions d’exposition et les versions correctives. Aucun élément fourni ou consulté ne confirme une exploitation active.
Action View — XSS possible dans les helpers de texte
Une XSS pouvait survenir dans les helpers Action View `highlight` et, avec `html_options`, `simple_format`, lorsque le sanitiseur HTML5 était utilisé avec des entrées non fiables. Les versions concernées sont antérieures à 8.1.4.1 et 8.0.5.2 ; le défaut dépend notamment d’une sérialisation Nokogiri qui laisse certains chevrons non échappés dans les valeurs d’attributs.
Action recommandée : Mettre à niveau Action View vers une version corrective et mettre à jour ses dépendances de sanitisation selon l’avis Rails.
Nokogiri — XSS par mutation lors de la sérialisation HTML5
Dans certaines conditions, le sérialiseur HTML5 de Nokogiri n’échappait pas le texte des éléments `noscript` ni les chevrons dans les valeurs d’attributs, ce qui pouvait conduire à une XSS par mutation dans le navigateur. Sont concernés Nokogiri 1.12.0 à 1.19.4 sur CRuby et TruffleRuby, lorsque l’application autorise `noscript` dans du HTML non fiable ; JRuby n’est pas concerné.
Action recommandée : Mettre à niveau vers Nokogiri 1.19.5 ou ultérieur ; à défaut, appliquer la mesure de contournement indiquée.
CSS3
Vérification incomplète
Deux avis liés au traitement CSS dans Firefox ont été identifiés comme publiés le 10 novembre 2026. Les informations disponibles confirment les composants concernés et certaines versions corrigées, mais ne permettent pas d’établir les versions affectées ni la gravité propre à chaque CVE.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Tailwind CSS
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis ou correctif de sécurité concernant le projet Tailwind CSS lui-même pendant la période demandée. Les résultats concernant des paquets tiers portant « Tailwind » dans leur nom ne suffisent pas à établir une vulnérabilité du projet Tailwind CSS.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée au projet Bootstrap (framework front-end) n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel daté du 2026-11-10 dans la période demandée. Les candidats fournis concernent d’autres produits; les occurrences de « bootstrap » dans leurs descriptions ne désignent pas le projet Bootstrap.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, exploitation ni changement substantiel concernant webpack daté dans la période demandée (du 2026-11-10T00:00:00+02:00 inclus au 2026-11-11T00:00:00+02:00 exclu). Les avis webpack visibles dans les résultats consultés sont antérieurs à cette période; aucun n’a été retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Recherche web effectuée sur esbuild : les résultats consultés font apparaître des avis de sécurité antérieurs à la période demandée, notamment ceux du 11 juin 2026, mais aucun avis, correctif, événement d’exploitation ni changement substantiel daté du 10 novembre 2026 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Vérification incomplète
La recherche a identifié un avis publié le 10 novembre 2026 concernant CVE-2026-126187, qui touche notamment le paquet React Server Components `react-server-dom-parcel`.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé des avis publiés dans la période pour des composants Node.js, dont le service Node.js de provisionnement Versa VOS, SAP Cloud SDK for AI, MSAL pour Node.js, node-forge et @augment-vir/node. Les deux avis node-forge indiquent un correctif en version 1.4.3; les autres versions correctives ne sont pas précisées dans les éléments vérifiés. Quatre vulnérabilités concernant des composants de l’écosystème Node.js ont été publiées par le NVD pendant la période : node-forge, postal-mime, fast-xml-parser et le SDK Auth0 pour Node.js. Les éléments fournis décrivent des dénis de service pour les trois premières et une redirection de requêtes Management API pour le SDK Auth0. Aucun événement répondant aux critères n’est établi pour Node.js dans ce lot : les candidats sont des fiches NVD publiées avant la période, dont seule la date de mise à jour est indiquée dans celle-ci, sans preuve d’un changement substantiel pendant la période. Les fiches node-forge concernent en outre une bibliothèque distincte, pas Node.js lui-même. Les candidats fournis portent sur des CVE publiées avant la période. Le lot indique des mises à jour NVD le 10 novembre, mais ne fournit pas d’élément permettant d’établir qu’elles correspondent à un changement substantiel plutôt qu’à une modification administrative; aucune n’est donc retenue. Les candidats vérifiés signalent une injection de commande dans @augment-vir/node, un problème de divulgation d’informations dans MSAL pour Node.js et trois vulnérabilités de node-forge corrigées en 1.4.3. Les cinq avis sont datés de la période demandée après conversion des horodatages UTC en +02:00. Sept avis publiés le 10 novembre 2026 concernent des composants JavaScript utilisés dans l’écosystème Node.js : fast-xml-parser, Nuxt Content et node-forg…
Injection de commandes dans le service Node.js de provisionnement Versa VOS
Le point de terminaison /authenticate transmet des valeurs utilisateur à une commande exécutée par child_process.exec(), et la neutralisation ne supprime pas les retours à la ligne. Un attaquant non authentifié peut exploiter cette faiblesse si le service Node.js de provisionnement est activé; désactiver ce service après le provisionnement conformément aux recommandations Versa.
Action recommandée : Désactiver le service Web Node.js de VOS après le provisionnement initial.
Identifiants par défaut dans le service Node.js de provisionnement Versa VOS
Le service Node.js de provisionnement VOS accepte des identifiants par défaut avec HTTP Basic Authentication, permettant à un acteur disposant d’un accès réseau et connaissant ces identifiants d’effectuer des actions de provisionnement. Versa recommande de désactiver ce service après le provisionnement initial; la fiche candidate indique que la vulnérabilité ne s’applique pas lorsque le service est désactivé.
Action recommandée : Désactiver le service Web Node.js après le provisionnement initial et remplacer les identifiants par défaut si le service doit rester accessible.
Secret de session partagé dans le service Node.js Versa VOS
Le service utilise un secret codé en dur et partagé entre les appliances VOS pour signer les cookies de session, ce qui peut permettre la falsification d’un cookie si un identifiant de session valide est obtenu. Versa recommande de désactiver le service Web Node.js après le provisionnement initial.
Action recommandée : Désactiver le service Web Node.js après le provisionnement initial et appliquer les mesures de durcissement Versa.
Création de session authentifiée sans identifiants dans Versa VOS
Le point de terminaison /decryptTest peut créer une session authentifiée avant le middleware d’authentification, à l’aide d’une clé et d’un vecteur d’initialisation codés en dur et partagés. Désactiver le service Web Node.js après le provisionnement initial, comme le recommande Versa.
Action recommandée : Désactiver le service Web Node.js après le provisionnement initial.
Divulgation d’identifiants dans les erreurs du SAP Cloud SDK for AI pour Node.js
Dans certaines conditions d’échec, des messages d’erreur d’opérations internes peuvent inclure des identifiants d’authentification sensibles. Un attaquant de faible privilège ayant accès aux journaux ou aux erreurs transférées pourrait tenter de réutiliser ces identifiants pendant leur durée de validité; appliquer le correctif SAP correspondant.
Action recommandée : Appliquer la mise à jour SAP corrigeant la vulnérabilité et limiter l’accès aux journaux et sorties d’erreur; faire tourner les identifiants potentiellement exposés.
Nuxt Content : déni de service via l’API de requête SQL
L’API de requête de Nuxt Content permet à une personne non authentifiée de soumettre une requête SQL qui peut entraîner une forte consommation de mémoire et de CPU. Mettre à niveau `@nuxt/content` vers la version 3.15.2 ou ultérieure.
Action recommandée : Mettre à niveau `@nuxt/content` vers la version 3.15.2 ou ultérieure.
CVE-2026-63496 — injection de commande dans @augment-vir/node
@augment-vir/node est vulnérable à une injection de commande dans `grep()` lorsque le motif fourni par l’appelant contient une substitution de commande Bash. Mettez à jour vers la version 31.73.5 ou ultérieure, et évitez de transmettre des motifs non fiables aux versions vulnérables.
Action recommandée : Mettre à jour @augment-vir/node vers la version 31.73.5 ou ultérieure.
node-forge : épuisement de ressources lors du décodage ASN.1 des BIT STRING
Dans node-forge, le décodage ASN.1 des BIT STRING ne respectait pas la limite de récursion `maxDepth` et pouvait recopier les contenus imbriqués de façon coûteuse. Une entrée DER ou PEM spécialement construite pouvait épuiser le CPU et la mémoire; mettre à niveau vers node-forge 1.4.1 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure; pour les appels directs concernés, utiliser le contournement documenté si la mise à niveau n’est pas possible.
node-forge : plantage du client TLS avec une compression ServerHello non prise en charge
Le client TLS de node-forge accepte un algorithme de compression ServerHello qu’il n’a pas proposé, puis peut lever une exception non interceptée pendant le handshake. Un serveur malveillant ou un attaquant sur le chemin peut faire tomber le processus; mettre à niveau vers node-forge 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; à défaut, intercepter les exceptions de traitement TLS.
node-forge : ReDoS dans le traitement des en-têtes et cookies HTTP
La suppression des espaces de fin dans les en-têtes de réponse HTTP et les cookies de `forge.http` utilisait une expression régulière dont le temps d’exécution peut croître de façon quadratique. Un serveur ou un attaquant sur le chemin peut bloquer le client avec un en-tête suffisamment long; mettre à niveau node-forge vers 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; pour les versions non corrigées, limiter la taille des en-têtes transmis à `forge.http`.
node-forge : plantage du client TLS sur un ServerHello reçu sans session
Un client TLS de node-forge peut lever une exception non interceptée en recevant un message ServerHello alors qu’aucune session n’existe, notamment après la fermeture de la connexion. Un serveur malveillant ou un attaquant sur le chemin peut ainsi faire tomber le processus; mettre à niveau vers node-forge 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; à défaut, appliquer le contournement documenté.
CVE-2026-108470 — divulgation d’informations dans MSAL pour Node.js
Une insuffisance de protection des identifiants dans Microsoft Authentication Library (MSAL) pour Node.js peut permettre à un attaquant non autorisé de divulguer des informations sur le réseau. Les informations fournies ne précisent ni les versions touchées ni le correctif disponible; consultez l’avis lié pour déterminer les versions concernées et les mesures applicables.
Action recommandée : Vérifier l’avis du fournisseur pour connaître les versions touchées et appliquer le correctif disponible.
postal-mime : déni de service par analyse de courriels multipart imbriqués
postal-mime présente une vulnérabilité de déni de service permettant à un attaquant distant non authentifié de provoquer une forte consommation CPU avec un courriel multipart profondément imbriqué. Le traitement peut bloquer la boucle d’événements Node.js pendant plusieurs secondes par message; la version 4.2.1 corrige le problème.
Action recommandée : Mettre à jour postal-mime vers la version 4.2.1 ou ultérieure.
node-forge : vérification Ed25519 acceptant des clés publiques d’ordre faible
`ed25519.verify()` de node-forge acceptait des clés publiques Ed25519 d’ordre faible, permettant de fabriquer des signatures valides sans clé privée dans certaines situations. Le défaut concerne les applications qui vérifient des signatures avec des clés publiques contrôlées par des tiers; mettre à niveau vers node-forge 1.4.3 ou ultérieure.
Action recommandée : Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; valider les clés publiques non fiables si une mise à niveau immédiate est impossible.
fast-xml-parser : déni de service par rescannage quadratique avec `stopNodes`
fast-xml-parser présente un déni de service par épuisement CPU lorsque l’option non activée par défaut `stopNodes` est utilisée et que l’entrée XML comporte des fragments de balises sans fermeture. Mettre à niveau vers la version 5.12.0 ou ultérieure.
Action recommandée : Mettre à niveau fast-xml-parser vers la version 5.12.0 ou ultérieure; vérifier les usages de l’option `stopNodes`.
Identifiants de session prévisibles dans le service Node.js Versa VOS
Le service concerné produit des identifiants de session UUIDv1, dérivés notamment de l’heure et de l’adresse MAC, ce qui peut les rendre prévisibles et permettre le détournement d’une session. Désactiver le service Node.js après le provisionnement initial, comme le recommande Versa.
Action recommandée : Désactiver le service Web Node.js après le provisionnement initial.
SDK Auth0 Node.js : redirection possible de requêtes Management API
Le client Management API du SDK Auth0 pour Node.js ne neutralise pas correctement certains paramètres de chemin. Une requête et son jeton d’accès peuvent ainsi être redirigés vers un autre endpoint du même tenant, donnant accès aux données ou opérations déjà autorisées par les portées du jeton.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche web dédiée a relevé dix avis de sécurité concernant des projets Python dont la publication NVD tombe dans la période demandée. Les avis portent notamment sur AsyncSSH, python-tuf, pyLoad, aiohttp, pympp et Seahub ; l’exploitation active n’est pas établie par les éléments examinés. Quatre vulnérabilités liées à Python ont été publiées dans la période : vérification de JWT dans SAP Cloud SDK for Python, masquage de modules lors du décompactage par les CLI Python, chemin de recherche non fiable dans OpenJD Sessions for Python, et filtrage d’autorisations FGA dans auth0-ai-python. Les candidats signalent des mises à jour de fiches NVD dans la période, mais les éléments fournis ne décrivent pas les changements apportés aux fiches. Il n’est donc pas possible de confirmer qu’un changement substantiel lié à Python a eu lieu. Six avis concernant des composants Python ont une date de publication qui, convertie en +02:00, tombe dans la période demandée. Pour quatre autres candidats, les éléments fournis indiquent une mise à jour NVD pendant la période, mais ne permettent pas d’établir si le changement était substantiel; ils restent donc à confirmer. Les sources fournies rapportent des publications d’avis ou de fiches de vulnérabilité entre le 10 novembre 2026 à 00:00 et le 11 novembre à 00:00 (+02:00). Les éléments retenus concernent AIOHTTP, pympp, AsyncSSH, Seahub, SAP Cloud SDK for Python, OpenJD Sessions for Python, fast-agent, code-graph-rag, Kubeflow Pipelines et AG2. Un nouvel avis publié dans la période concerne une exposition de secrets dans compose-lint 0.32.0 lorsque l’analyse dépasse sa limite de constats. Les autres candidats ont été examinés mais leurs événements sont antérieurs à la période, même lorsque leur fiche a été mise à jour pendant celle-ci.
pyLoad : extraction d’entrées TAR spéciales non filtrées
Dans pyLoad avant 0.5.0b3.dev102, l’extraction de certains types spéciaux d’entrées TAR n’était pas bloquée; des utilisateurs ayant les permissions ADD et STATUS pouvaient ainsi provoquer l’extraction d’archives conçues à cet effet. Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure; la source signale un risque accru lorsque pyLoad s’exécute avec des privilèges élevés, notamment dans le déploiement Docker officiel.
Action recommandée : Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure et éviter de l’exécuter avec des privilèges élevés.
OpenJD Sessions for Python : exécution de code via un PATH manipulé
Sous Linux, un chemin de recherche non fiable dans le lanceur de processus inter-utilisateurs d’OpenJD Sessions for Python pouvait permettre à un utilisateur distant authentifié et autorisé à soumettre des tâches d’exécuter du code comme l’utilisateur système de l’agent. Une tâche manipulant PATH pouvait aussi exposer les identifiants AWS de l’agent; mettre à niveau l’agent Deadline Cloud vers 0.33.0 ou ultérieur, qui inclut OpenJD Sessions 0.11.0.
Action recommandée : Mettre à niveau les flottes gérées par le client vers l’agent AWS Deadline Cloud 0.33.0 ou ultérieur.
SAP Cloud SDK for Python : revendications IAS JWT non vérifiées
Le fournisseur IASContextProvider du SAP Cloud SDK for Python décodait des revendications de JWT sans vérifier la signature, puis les plaçait dans le contexte d’exécution. Un appelant distant pouvait forger une identité de locataire ou d’utilisateur qui serait répercutée dans des journaux, événements d’audit, attributs de traces et décisions de routage; les données fournies ne précisent pas la version corrigée.
Action recommandée : Examiner l’usage du SAP Cloud SDK for Python et appliquer le correctif éditeur; ne pas considérer les revendications IAS comme authentifiées sans validation de signature.
AsyncSSH : contournement du chroot SFTP
Dans AsyncSSH avant 2.24.1, un utilisateur SFTP authentifié pouvait contourner le chroot en fournissant un chemin commençant par deux barres obliques, ce qui permettait de lire ou modifier des fichiers accessibles au compte du serveur. Mettre AsyncSSH à jour vers la version 2.24.1 ou ultérieure.
Action recommandée : Mettre AsyncSSH à jour vers la version 2.24.1 ou ultérieure.
pyLoad : sessions conservant des permissions révoquées
Dans pyLoad avant 0.5.0b3.dev102, les sessions Flask existantes n’étaient pas invalidées après un changement de permissions ou de mot de passe, ce qui pouvait laisser subsister des privilèges révoqués pendant la durée de vie de la session. Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure; l’authentification par clé API n’est pas concernée selon la source.
Action recommandée : Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure.
pyLoad : validation de clé API contournable via le cache
Dans pyLoad avant 0.5.0b3.dev101, le cache de validation des clés API était indexé uniquement par un identifiant contrôlable, ce qui pouvait permettre à un attaquant distant sans authentification de profiter d’une entrée déjà en cache. Mettre pyLoad à jour vers la version 0.5.0b3.dev101 ou ultérieure.
Action recommandée : Mettre pyLoad à jour vers la version 0.5.0b3.dev101 ou ultérieure.
AIOHTTP : consommation mémoire excessive via les trames WebSocket fragmentées
AIOHTTP conserve des objets mémoire pendant la réassemblage d’une trame WebSocket incomplète, ce qui permet à un pair malveillant de provoquer une consommation mémoire excessive ou un déni de service en fragmentant la trame en très petites lectures. Le problème concerne les serveurs recevant des trames d’un client malveillant et les clients recevant celles d’un serveur malveillant; mettre à niveau vers AIOHTTP 3.14.4 ou ultérieur.
Action recommandée : Mettre à niveau AIOHTTP vers la version 3.14.4 ou ultérieure.
code-graph-rag : accès et écriture hors racine via des liens symboliques
Dans code-graph-rag, les outils structural_search et structural_replace suivaient des liens symboliques sortant de la racine du projet, car le contrôle de confinement était lexical et ne résolvait pas les chemins. Un attaquant capable de faire analyser un dépôt contenant un tel lien pouvait lire des fichiers hors racine et, avec structural_replace sans dry_run, en écraser; mettre à niveau vers 0.0.587 ou ultérieur.
Action recommandée : Mettre à niveau code-graph-rag vers la version 0.0.587 ou ultérieure.
AG2 : contournement des restrictions de commandes par injection de saut de ligne
Dans AG2, un saut de ligne dans une commande permettait de contourner les restrictions de SandboxShellTool configurées avec une liste de commandes autorisées ou readonly=True, car le filtre ne traitait pas ce caractère comme un opérateur shell. La commande brute était ensuite exécutée par sh -c; mettre à niveau ag2 vers 1.1.1 ou ultérieur, ou utiliser autogen jusqu’à 0.14.1 inclus, pour lequel aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à niveau ag2 vers 1.1.1 ou ultérieur; vérifier également l’usage d’autogen dans la plage affectée et suivre les correctifs disponibles.
Kubeflow Pipelines : XSS réfléchie dans les erreurs des routes de pods
Les réponses d’erreur HTML de certaines routes Kubernetes de Kubeflow Pipelines reflétaient des noms de pods et espaces de noms non fiables, permettant une XSS réfléchie lorsqu’une victime suivait un lien spécialement construit. La correction est incluse dans KFP 2.15.0 ou ultérieur et remplace notamment les valeurs invalides par un message constant.
Action recommandée : Mettre à niveau Kubeflow Pipelines vers la version 2.15.0 ou ultérieure.
python-tuf : vérification incorrecte des délégations sous Windows
Dans python-tuf avant 7.0.0, la vérification des délégations de chemin pouvait devenir insensible à la casse sous Windows, permettant dans certaines configurations d’accepter une cible provenant d’une délégation incorrecte. Le problème concerne les clients Windows utilisant des délégations de chemins qui diffèrent uniquement par la casse; la version 7.0.0 corrige le défaut.
Action recommandée : Mettre à jour python-tuf vers la version 7.0.0 ou ultérieure.
pyLoad : requête forgée vers une destination interne via les notifications
Dans pyLoad avant 0.5.0b3.dev102, un utilisateur authentifié non administrateur disposant de la permission SETTINGS pouvait configurer une notification Windows Phone pour provoquer une requête HTTP POST du serveur vers une destination interne choisie. Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure.
Action recommandée : Mettre pyLoad à jour vers la version 0.5.0b3.dev102 ou ultérieure.
pympp : coûts de gaz gonflés par des octets calldata supplémentaires
Dans pympp, lorsqu’un serveur agit comme fee_payer, la validation tolère des octets supplémentaires après les données calldata et la politique ne vérifie pas leur longueur. Un demandeur peut ainsi gonfler le coût de la transaction cosignée et diffusée, au risque d’épuiser le portefeuille fee-payer; corriger en passant à pympp 0.9.1 ou ultérieur.
Action recommandée : Mettre à niveau pympp vers la version 0.9.1 ou ultérieure.
AsyncSSH : écriture hors du répertoire cible lors de copies SFTP récursives
Lors de copies SFTP récursives vers une destination locale, AsyncSSH faisait confiance aux noms retournés par le serveur distant, ce qui pouvait permettre à un serveur malveillant ou compromis d’écrire hors du répertoire demandé. Les versions antérieures à 2.24.1 sont concernées; mettre à niveau vers 2.24.1 ou ultérieure.
Action recommandée : Mettre à niveau AsyncSSH vers la version 2.24.1 ou ultérieure.
Python : exécution possible d’un module extrait lors du décompactage en ligne de commande
Lors du décompactage d’archives avec les interfaces en ligne de commande de tarfile ou zipfile, un fichier Python extrait pouvait masquer un module de la bibliothèque standard ; une erreur au décompactage d’un fichier suivant pouvait alors provoquer son exécution. Appliquer la correction des interfaces de ligne de commande de gzip, tarfile et zipfile, qui retire sys.path[0] pour empêcher ce masquage.
Action recommandée : Installer une version de Python intégrant la correction des interfaces gzip, tarfile et zipfile en ligne de commande.
fast-agent : serveur MCP sans authentification et exécution de commandes avec –shell
L’outil fast-agent serve exposait par défaut un serveur HTTP sans authentification sur toutes les interfaces; avec l’option –shell, un client distant pouvait faire exécuter des commandes sur l’hôte. Mettre à niveau fast-agent-mcp vers 0.7.21 ou ultérieur; à défaut, ne pas exposer ce serveur sans authentification et limiter son écoute à une interface locale.
Action recommandée : Mettre à niveau fast-agent-mcp vers 0.7.21 ou ultérieur et éviter toute exposition réseau sans authentification.
Seahub : prédiction possible des mots de passe de liens de partage en lot
Seahub utilisait random.choices(), un générateur non cryptographique, pour produire des mots de passe de liens de partage en lot. Un utilisateur authentifié autorisé à créer des liens pouvait demander de nombreux mots de passe et prédire ceux d’autres utilisateurs; les informations fournies ne précisent pas de version corrective.
Action recommandée : Évaluer l’exposition de Seahub et appliquer un correctif éditeur dès qu’une version corrigée est disponible.
compose-lint : fuite de secrets lorsque l’analyse atteint sa limite de constats
Une limite de 20 000 constats peut interrompre l’analyse avant la protection qui masque les valeurs d’un fichier `.env`, exposant ainsi des secrets dans les sorties texte, JSON ou SARIF. Le problème concerne compose-lint 0.32.0 et ses distributions correspondantes; la version 0.33.0 est indiquée comme corrigée.
Action recommandée : Mettre à jour vers compose-lint 0.33.0; en attendant, appliquer les mesures de contournement et éviter d’exposer des secrets aux analyses de pull requests non fiables.
auth0-ai-python : documents refusés par FGA inclus dans le contexte du modèle
Le récupérateur FGA de auth0-ai-python ne distinguait pas correctement les contrôles d’autorisation selon l’utilisateur, la relation ou les conditions lors du filtrage des documents. Des documents refusés par Auth0 FGA pouvaient ainsi être inclus dans le contexte du modèle et utilisés dans la réponse générée ; appliquer la version corrigée indiquée par le fournisseur.
Action recommandée : Mettre à jour auth0-ai-python vers une version corrigée et vérifier les autorisations FGA avant d’inclure des documents dans le contexte du modèle.
Java
Recherche du sujet effectuée
Niveau relevé : Élevée
Sept vulnérabilités publiées pendant la période ont été retenues : six concernant SAP NetWeaver AS Java et une Eclipse Kura. Les trois candidats Android ont été exclus : leur description désigne des composants Android, et la mention de fichiers .java ne suffit pas à établir qu’il s’agit de vulnérabilités du langage ou de l’écosystème Java. Trois nouvelles fiches NVD publiées dans la période concernent du code Java et décrivent une élévation de privilèges à distance, une divulgation locale d’informations et une élévation locale de privilèges. Les candidats correspondant à des mises à jour de fiches antérieures ne présentent pas, dans les éléments fournis, de changement substantiel établi. Les candidats fournis concernent des fiches NVD de vulnérabilités Android publiées le 2026-11-02 et mises à jour le 2026-11-10. Les données fournies n’établissent ni une nouveauté ou un changement substantiel daté de la période, ni un avis portant sur le langage Java lui-même. Aucun élément du lot ne concerne une vulnérabilité du produit ou de la plateforme Java : les descriptions portent sur des composants du système Android. Les dates de mise à jour NVD fournies ne suffisent pas, à elles seules, à établir un changement substantiel. Aucun candidat ne fournit de preuve qu’un changement substantiel relatif à une vulnérabilité Java a eu lieu pendant la période. Les fiches indiquent des dates de publication antérieures et des dates de mise à jour NVD, sans préciser la nature du changement; une mise à jour administrative seule ne suffit pas à retenir un événement. Deux nouvelles fiches NVD publiées pendant la période concernent des vulnérabilités liées à Java : un déni de service dans Eclipse Kura et une élévation locale de privilèges dans PackageSignatureChecker. Les cinq candidats fourni…
SAP NetWeaver AS Java EDM : requêtes accessibles sans authentification
L’application EDM de SAP NetWeaver AS Java ne vérifie pas l’authentification pour certaines requêtes de service web. Un attaquant non authentifié peut envoyer une requête spécialement construite pour obtenir des informations métier sensibles ; consulter l’avis SAP pour le périmètre exact et la correction.
Action recommandée : Consulter les recommandations SAP et appliquer les mises à jour pertinentes.
Eclipse Kura : déni de service via l’API Service Listing V1
Dans Eclipse Kura 5.4.0 à 5.6.2, l’API REST Service Listing V1 traite le corps JSON avant l’authentification et sans limite de taille, ce qui peut permettre à un attaquant distant non authentifié de provoquer un déni de service. Des requêtes JSON très volumineuses peuvent épuiser le tas Java, tandis qu’une imbrication profonde peut provoquer un débordement de pile; le correctif et la mesure de mitigation ne sont pas précisés dans les éléments fournis.
Action recommandée : Mettre à niveau vers une version corrigée lorsqu’elle sera identifiée auprès du fournisseur; dans l’intervalle, limiter l’accès réseau à l’API Service Listing V1.
SAP NetWeaver Java NWDI Cockpit : contrôle d’autorisation insuffisant
Dans SAP NetWeaver Application Server Java, le NWDI Cockpit ne contrôle pas suffisamment l’autorisation de certaines fonctions qui récupèrent des informations sensibles. Un attaquant disposant de faibles privilèges peut accéder aux données d’autres utilisateurs ; consulter l’avis SAP pour les versions concernées et les mesures correctives.
Action recommandée : Consulter la note SAP 3839977 et appliquer les instructions du fournisseur.
SAP NetWeaver Java NWDI Cockpit : modifications non autorisées
Dans le NWDI Cockpit de SAP NetWeaver Application Server Java, des contrôles insuffisants avant le traitement de certaines requêtes peuvent permettre des modifications non autorisées. Le résumé NVD décrit un impact élevé sur l’intégrité ; consulter la note SAP pour déterminer les versions touchées et le correctif applicable.
Action recommandée : Consulter les recommandations SAP et appliquer le correctif prescrit pour les versions concernées.
SAP Web Dynpro Java : validation insuffisante de paramètres de style
Web Dynpro Java dans SAP NetWeaver Application Server Java ne valide pas suffisamment certains paramètres de requête utilisés pour résoudre des ressources de style. Un lien malveillant, s’il est ouvert par une personne authentifiée, peut charger du contenu contrôlé par l’attaquant dans le contexte de l’application ; consulter SAP pour les versions et le correctif.
Action recommandée : Consulter les recommandations SAP et appliquer le correctif prescrit.
SAP NetWeaver AS Java : contrôle d’accès insuffisant sur des opérations SOAP
SAP NetWeaver AS Java expose certaines opérations SOAP sur HTTP sans contrôle d’accès adéquat. Un attaquant non authentifié pourrait invoquer ces opérations et divulguer des informations accessibles via le service ; consulter SAP pour les versions concernées et les mesures correctives.
Action recommandée : Consulter les recommandations SAP et appliquer les correctifs appropriés.
SAP NetWeaver AS Java : SSRF dans les services web
Une vulnérabilité SSRF dans les services web de SAP NetWeaver AS Java permet à un attaquant non authentifié de provoquer l’envoi d’une requête SOAP vers une URL qu’il contrôle. La réponse peut révéler des informations sur les systèmes connectés ; consulter l’avis SAP pour les versions touchées et le correctif.
Action recommandée : Consulter les recommandations SAP et appliquer les correctifs prescrits.
Android : élévation de privilèges à distance dans EuiccPort (CVE-2026-57005)
Une vulnérabilité dans `EuiccPort.buildUiccAccessRule` peut permettre une confusion de mandataire et une élévation de privilèges à distance. La description fournie mentionne des privilèges d’exécution requis ainsi qu’une interaction de l’utilisateur, sans préciser les versions touchées ni le correctif.
Action recommandée : Consulter les avis Android et appliquer les mises à jour de sécurité dès qu’elles sont disponibles; la source fournie ne précise pas de version corrective.
Android : divulgation locale d’informations dans TimerAgent (CVE-2026-58702)
Une vulnérabilité dans `createIntent` de `TimerAgent.java` peut permettre un contournement de permissions par confusion de mandataire et la divulgation locale d’informations. Selon la description fournie, aucun privilège d’exécution supplémentaire ni interaction de l’utilisateur n’est requis.
Action recommandée : Consulter les avis Android et appliquer les mises à jour de sécurité dès qu’elles sont disponibles; la source fournie ne précise pas de version corrective.
Android : conservation indue de permissions de gestion de tunnels (CVE-2026-59597)
Une erreur de logique dans `bindDataService` de `DataServiceManager.java` peut permettre de conserver des permissions privilégiées de gestion de tunnels lors de mises à jour de configuration. La description fournie indique une élévation locale de privilèges sans privilèges d’exécution supplémentaires ni interaction de l’utilisateur.
Action recommandée : Consulter les avis Android et appliquer les mises à jour de sécurité dès qu’elles sont disponibles; la source fournie ne précise pas de version corrective.
PackageSignatureChecker : élévation locale de privilèges par lancement d’activité en arrière-plan
Dans PackageSignatureChecker, une confusion de rôle peut permettre le lancement d’une activité en arrière-plan et entraîner une élévation locale de privilèges. L’exploitation nécessite une interaction de l’utilisateur; les versions affectées et la version corrigée ne sont pas indiquées dans les éléments fournis.
Action recommandée : Consulter les avis du fournisseur pour identifier les versions concernées et appliquer le correctif dès qu’il est disponible.
Android : falsification du résultat de changement d’abonnement (CVE-2026-56926)
Android présente une vulnérabilité dans plusieurs fonctions de `PssSubscriptionManager.java` permettant de falsifier le résultat d’un changement d’abonnement et de provoquer le redémarrage de l’appareil. Selon la description fournie, cela peut entraîner une élévation locale de privilèges sans privilèges d’exécution supplémentaires ni interaction de l’utilisateur.
Action recommandée : Consulter les avis Android et appliquer les mises à jour de sécurité dès qu’elles sont disponibles; la source fournie ne précise pas de version corrective.
Android : divulgation locale d’informations par contournement de permission (CVE-2026-56947)
Une vulnérabilité dans `getCarrierRestrictionStatus` de `PhoneInterfaceManager.java` peut permettre un contournement de permissions et la divulgation locale d’informations. La description fournie indique qu’aucun privilège d’exécution supplémentaire ni interaction de l’utilisateur n’est requis.
Action recommandée : Consulter les avis Android et appliquer les mises à jour de sécurité dès qu’elles sont disponibles; la source fournie ne précise pas de version corrective.
TYPO3
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucune vulnérabilité, aucun avis de sécurité ni aucun correctif de sécurité TYPO3 daté du 2026-11-10 dans la période demandée. Les résultats consultés signalent des versions TYPO3 publiées ce jour-là, présentées comme des mises à jour de maintenance, sans élément établissant qu’il s’agit de correctifs de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée a consulté l’index des avis de sécurité Drupal et les résultats disponibles pour la période demandée. Les avis Drupal.org visibles dans les résultats sont datés du 4 novembre 2026 ou d’avant; aucun événement Drupal daté du 10 novembre 2026 dans la période figée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié une vulnérabilité nouvellement publiée pendant la période dans J2Store, extension de commerce électronique pour Joomla : CVE-2026-102803. Les éléments consultés décrivent la réutilisation possible de bons cadeaux ou coupons à usage unique dans plusieurs commandes; aucune version corrigée n’a été confirmée pour cette période.
J2Store : réutilisation possible de bons cadeaux et coupons à usage unique
CVE-2026-102803 permet à un client connecté de réutiliser sur plusieurs commandes un bon cadeau ou un coupon à usage unique, en ouvrant plusieurs sessions de paiement avant de confirmer les commandes. J2Store 6.0.0 à 6.6.5 est indiqué comme affecté; la recherche n’a pas établi de version corrigée ni de mesure de contournement publiée pour la période.
Action recommandée : Vérifier si J2Store 6.0.0 à 6.6.5 est installé et suivre les annonces de l’éditeur pour appliquer une version corrigée dès sa publication.
Magento
Recherche du sujet effectuée
La recherche dédiée n’a pas permis d’identifier de nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Magento daté du 2026-11-10 dans la période demandée. Les résultats pertinents consultés renvoient à des bulletins antérieurs; notamment, une échéance CISA au 2026-11-10 concernant CVE-2026-48356 ne constitue pas une nouvelle addition au catalogue à cette date, l’ajout indiqué étant du 2026-10-27.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche web dédiée à Adobe Commerce n’a pas établi de nouvel avis, correctif, événement d’exploitation ni changement substantiel daté de la période demandée. Les candidats concernent des CVE publiées le 2026-10-13 ; leurs mises à jour NVD ne suffisent pas, à elles seules, à démontrer un événement de sécurité admissible pendant la période. L’échéance CISA du 2026-11-10 repérée pour CVE-2026-48356 n’est pas une date d’ajout au catalogue ni, en soi, un nouvel événement de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche web dédiée à Fooocus n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté de la période demandée (2026-11-10T00:00:00+02:00 inclus au 2026-11-11T00:00:00+02:00 exclu). Les vulnérabilités Fooocus remontées par la recherche sont antérieures à cette fenêtre et ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
27 alerte(s)node-opcua : une politique de permissions de namespace peut être ignorée, autorisant des accès Anonymous
Dans node-opcua, une politique de permissions par défaut déclarée au niveau d’un espace de noms peut être ignorée par le chemin d’application des autorisations, et le contrôle peut alors accorder des opérations d’écriture ou d’appel à un c…
Usurpation locale du démon Tencent BrowserSkill permettant l’exécution de JavaScript dans le navigateur
Tencent BrowserSkill jusqu’à la version 0.4.2 ne vérifie pas l’identité du service auquel sa connexion WebSocket locale se rattache. Un attaquant local peut ainsi usurper le démon et obtenir les capacités de l’extension, notamment l’exécut…
Source : NVD — CVE-2026-125361
Muhammara : déni de service lors de l’analyse de certains PDF
Muhammara peut planter lorsqu’il traite un PDF non fiable contenant un flux LZWDecode dont le dictionnaire DecodeParms ne comporte pas la clé EarlyChange. Le correctif est disponible dans la version 6.0.5 ; mettre à jour les applications q…
Source : NVD — CVE-2026-125107
ManageEngine DDI Central : publication de CVE pour l’injection HTML/JavaScript dans les PDF
Une injection HTML/JavaScript dans la génération de PDF analytiques de ManageEngine DDI Central peut conduire à la divulgation de fichiers locaux. Le défaut concerne les versions jusqu’au build 6200 et le correctif est disponible dans le b…
Source : NVD — CVE-2026-12574
Correctif d’une erreur de conditions aux limites dans le ramasse-miettes JavaScript
Une erreur de conditions aux limites dans le composant JavaScript: GC de Firefox et Thunderbird a été corrigée. Appliquez les versions corrigées indiquées par l’éditeur.
Source : NVD — CVE-2026-124870
Use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une use-after-free dans le composant GC du moteur JavaScript de Firefox et Thunderbird a été signalée. Mozilla indique que le problème est corrigé dans les versions mentionnées.
Source : NVD — CVE-2026-124884
Use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une use-after-free dans le composant GC du moteur JavaScript de Firefox et Thunderbird a été signalée. Mozilla indique que le problème est corrigé dans les versions mentionnées.
Source : NVD — CVE-2026-124892
Use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une use-after-free dans le composant GC du moteur JavaScript de Firefox et Thunderbird a été signalée. Mozilla indique que le problème est corrigé dans les versions mentionnées.
Source : NVD — CVE-2026-124897
node-forge : contraintes de nom X.509 non appliquées lors de la validation des certificats
Avant la version 1.4.3, node-forge ne vérifie pas l’extension X.509 nameConstraints lors de la validation des chaînes de certificats, et peut accepter un certificat dont le nom sort du périmètre autorisé par une autorité de certification à…
Source : NVD — CVE-2026-125336
CVE-2026-118007 : use-after-free dans le GC JavaScript de Firefox et Thunderbird
Une vulnérabilité d’utilisation après libération affecte le composant GC de JavaScript dans Firefox et Thunderbird. Les versions correctives indiquées sont Firefox et Thunderbird 159, ainsi que Firefox ESR et Thunderbird ESR 153.7.
Source : NVD — CVE-2026-118007
CVE-2026-118779 : déni de service par analyse PEM dans node-forge
Dans node-forge avant 1.4.1, des expressions régulières utilisées par pem.decode() pouvaient avoir un temps d’exécution polynomial sur des entrées PEM malformées. Un attaquant non authentifié pouvant fournir une telle entrée à un parseur d…
Source : NVD — CVE-2026-118779
CVE-2026-118782 : contournement d’intégrité et clés prévisibles PKCS#12 dans node-forge
Dans node-forge avant 1.4.1, des compteurs d’itérations PKCS#12 nuls ou négatifs pouvaient conduire à une clé constante, indépendante du mot de passe et du sel, et permettre de contourner des contrôles d’intégrité sur des entrées construit…
Source : NVD — CVE-2026-118782
CVE-2026-119188 : plantage possible lors du traitement de handshakes TLS dans node-forge
Dans node-forge avant 1.4.1, le traitement continuait après qu’un enregistrement TLS d’un autre type de contenu interrompait un message de handshake fragmenté. Un pair distant pouvait provoquer une TypeError non interceptée et faire échoue…
Source : NVD — CVE-2026-119188
CVE-2026-119190 : interprétation incorrecte d’extensions X.509 dans node-forge
Dans node-forge avant 1.4.1, des OID d’extensions X.509 obsolètes étaient interprétés comme basicConstraints et la première extension ainsi nommée pouvait être utilisée lors de la validation de chaîne. Un certificat construit à partir d’un…
Source : NVD — CVE-2026-119190
OHIF Viewers : XSS DOM via le type MIME d’un document DICOM
OHIF Viewers peut traiter comme type MIME une valeur contrôlée par l’attaquant dans un objet DICOM encapsulé, puis afficher le document dans un contexte où du contenu HTML peut exécuter du JavaScript dans l’origine OHIF. Mettez à jour l’ex…
Nuxt UI : risque de fuite d’identifiants des formulaires avant hydratation
Avant Nuxt UI 4.8.1, le HTML rendu côté serveur par UForm omet les attributs method et action ; si un formulaire d’authentification est soumis avant l’hydratation Vue, le navigateur peut envoyer les champs nommés, y compris le mot de passe…
Source : NVD — CVE-2026-123808
XSS dans Microsoft Authentication Library for JavaScript
Une faille de type XSS dans Microsoft Authentication Library for JavaScript permet à un attaquant non autorisé d’effectuer une usurpation à travers le réseau. La source fournie ne précise ni les versions concernées ni le correctif.
Source : NVD — CVE-2026-108469
CVE-2026-118778 : déni de service possible dans le client TLS de node-forge
Dans node-forge avant 1.4.1, le client TLS vérifiait la mauvaise propriété pour détecter l’absence du certificat serveur. Un serveur TLS malveillant ou un pair sur le chemin pouvait provoquer une exception non interceptée et interrompre la…
Source : NVD — CVE-2026-118778
CVE-2026-119186 : validation AES-GCM insuffisante dans node-forge
Dans node-forge avant 1.4.1, le déchiffrement AES-GCM ne validait pas l’option tagLength fournie à createDecipher(). Lorsque cette valeur était dérivée de données reçues ou devenait nulle, une étiquette d’authentification vide ou absente p…
Source : NVD — CVE-2026-119186
CVE-2026-119189 : contrainte de longueur de chaîne CA non appliquée dans node-forge
Dans node-forge avant 1.4.1, la contrainte pathLenConstraint d’un certificat CA n’était appliquée que si le certificat possédait aussi une extension keyUsage. Sous certaines conditions dans une PKI privée, une chaîne dépassant la longueur…
Source : NVD — CVE-2026-119189
Action View — XSS possible dans les helpers de texte
Une XSS pouvait survenir dans les helpers Action View `highlight` et, avec `html_options`, `simple_format`, lorsque le sanitiseur HTML5 était utilisé avec des entrées non fiables. Les versions concernées sont antérieures à 8.1.4.1 et 8.0.5…
Source : NVD — CVE-2026-126079
Altair : XSS DOM via des URL de scripts contrôlées dans la sandbox iframe
Altair accepte une configuration de plugins depuis le paramètre de requête iframe-sandbox et peut charger une URL de script fournie par un attaquant dans l’origine de l’application. Mettez à jour les paquets Altair concernés vers 8.5.8 ou…
CVE-2026-118780 : altération du magasin de certificats dans node-forge
Dans node-forge avant 1.4.1, une vérification de chaîne de certificats pouvait retirer du magasin des certificats d’autorité de certification approuvés lorsque plusieurs certificats partageaient un sujet. Une vérification échouée pouvait a…
Source : NVD — CVE-2026-118780
CVE-2026-118781 : boucle infinie dans modInverse() de node-forge
Dans node-forge avant 1.4.1, BigInteger.prototype.modInverse() pouvait entrer dans une boucle infinie avec une valeur ou un module négatif. Un attaquant capable de contrôler l’exposant public RSA fourni à la génération de clés, ou directem…
Source : NVD — CVE-2026-118781
OctoPrint : XSS stockée via les paramètres de connexion série
OctoPrint 2.0.0rc1 à 2.0.0rc6 est vulnérable à une XSS stockée via des paramètres port ou baudrate spécialement construits dans les réglages par défaut du plugin Serial Connector. Mettez à jour vers 2.0.0rc7 et vérifiez les valeurs corresp…
Erreur de compilation JIT dans Firefox et Thunderbird
Une erreur de compilation JIT dans le moteur JavaScript de Firefox et Thunderbird a été signalée. La source indique que le problème est corrigé dans les versions mentionnées, sans préciser davantage son impact ni son score.
Source : NVD — CVE-2026-124939
Pointeur invalide dans le JIT de Firefox et Thunderbird
Un pointeur invalide dans le composant JIT du moteur JavaScript de Firefox et Thunderbird a été signalé. La source indique que le problème est corrigé dans Firefox 160 et Thunderbird 160, sans fournir d’autres précisions sur l’impact.
Source : NVD — CVE-2026-124946
Backend & données
108 alerte(s)MongoDB sur macOS : validation TLS contournée vers des pairs IPv6
La fiche NVD publiée le 2026-11-10 décrit un contournement de la validation de la chaîne de confiance TLS dans le client MongoDB sur macOS utilisant Apple SecureTransport, lors de connexions vers des adresses IPv6. Un attaquant en position…
Source : NVD — CVE-2026-120808
MongoDB Server : lecture après libération dans la réplication
La fiche NVD publiée le 2026-11-10 décrit une lecture après libération dans le composant de réplication de MongoDB Server, au terme du rattrapage d’un nouveau primaire élu. Des requêtes ne nécessitant pas d’authentification peuvent déclenc…
Source : NVD — CVE-2026-118383
Craft CMS : injection SQL dans la recherche sur les installations MySQL/MariaDB
Une injection SQL non authentifiée dans la fonction de recherche Craft peut permettre de lire ou modifier la base de données et d’obtenir des privilèges administrateur. Le problème concerne les installations utilisant MySQL ou MariaDB ; me…
Source : NVD — CVE-2026-115934
Mongoose : sanitizeFilter omis pour countDocuments()
Dans Mongoose, sanitizeFilter n’était pas appliqué aux requêtes countDocuments(), laissant ces requêtes exposées à des injections de sélecteur malgré l’utilisation de cette protection. Mettez à jour vers 9.9.2, 8.24.3, 7.8.12 ou 6.13.11 se…
rabbitmq-c — dépassement de tampon dans amqp_send_frame()
L’API amqp_send_frame() peut provoquer un dépassement de tampon sur le tas lorsque la bibliothèque sérialise une trame AMQP_FRAME_BODY trop volumineuse, entraînant un crash ou une corruption mémoire. Les versions antérieures à 0.17.0 sont…
Source : NVD — CVE-2026-61547
pyLoad : extraction d’entrées TAR spéciales non filtrées
Dans pyLoad avant 0.5.0b3.dev102, l’extraction de certains types spéciaux d’entrées TAR n’était pas bloquée; des utilisateurs ayant les permissions ADD et STATUS pouvaient ainsi provoquer l’extraction d’archives conçues à cet effet. Mettre…
Source : NVD — CVE-2026-123815
OpenJD Sessions for Python : exécution de code via un PATH manipulé
Sous Linux, un chemin de recherche non fiable dans le lanceur de processus inter-utilisateurs d’OpenJD Sessions for Python pouvait permettre à un utilisateur distant authentifié et autorisé à soumettre des tâches d’exécuter du code comme l…
Source : NVD — CVE-2026-126087
MongoDB : élévation possible de privilèges via l’authentification X.509
La fiche NVD publiée le 2026-11-10 signale un contournement possible d’un contrôle d’authentification X.509, pouvant conférer des privilèges internes élevés à un détenteur de certificat de membre du cluster. Le risque concerne une configur…
Source : NVD — CVE-2026-120807
MongoDB Server : déni de service par allocations mémoire non bornées
La fiche NVD publiée le 2026-11-10 décrit un déni de service dans le framework d’agrégation de MongoDB Server, déclenchable par un utilisateur authentifié disposant de privilèges de lecture. Des paramètres spécialement construits peuvent e…
Source : NVD — CVE-2026-120810
MongoDB CSFLE : métadonnées de chiffrement susceptibles d’être ignorées
La fiche NVD publiée le 2026-11-10 signale un défaut de traitement de schéma CSFLE pouvant supprimer silencieusement des métadonnées de chiffrement. Un acteur capable de fournir un schéma spécialement conçu au client CSFLE pourrait faire s…
Source : NVD — CVE-2026-120813
MongoDB Server : élévation de privilèges dans le sous-système de sharding
La fiche NVD publiée le 2026-11-10 décrit un défaut de gestion des privilèges dans le sous-système de sharding de MongoDB Server. Un utilisateur authentifié disposant de certains privilèges d’administration au niveau d’un shard pourrait fa…
Source : NVD — CVE-2026-120814
MongoDB Server : contrôle d’autorisation incorrect et privilèges administratifs
La fiche NVD publiée le 2026-11-10 signale un contrôle d’autorisation incorrect dans MongoDB Server, pouvant permettre à une personne non authentifiée ayant un accès local à l’hôte d’obtenir des privilèges administratifs lorsque l’autorisa…
Source : NVD — CVE-2026-120815
MongoDB Server : condition de concurrence dans la validation de schéma (CVE-2026-120817)
Une condition de concurrence dans la validation de schéma de MongoDB Server peut provoquer l’arrêt inattendu du serveur lorsque des écritures concurrentes sont vérifiées par un validateur utilisant des opérateurs de requête géospatiale. El…
Source : NVD — CVE-2026-120817
Lecture de mémoire après libération dans le JavaScript côté serveur de MongoDB
CVE-2026-120818 est une utilisation après libération dans la prise en charge JavaScript côté serveur de MongoDB, exploitable par un utilisateur authentifié au moyen d’une requête d’agrégation forgée. Elle peut exposer des données adjacente…
Source : NVD — CVE-2026-120818
MongoDB Server : usage après libération dans un sous-pipeline d’agrégation (CVE-2026-120821)
Un usage après libération de mémoire dans le cadre d’agrégation de MongoDB Server peut se produire lorsque certaines expressions sont évaluées dans un sous-pipeline. Un utilisateur authentifié disposant de droits de lecture peut provoquer…
Source : NVD — CVE-2026-120821
MongoDB Server : contrôle d’autorisation manquant sur une commande liée à la réplication (CVE-2026-120822)
MongoDB Server peut omettre un contrôle d’autorisation sur la ressource effectivement visée par une commande administrative liée à la réplication, le contrôle dépendant d’une valeur fournie par le client. Un utilisateur disposant de privil…
Source : NVD — CVE-2026-120822
MongoDB Server : usage après libération dans les collections temporelles (CVE-2026-120824)
Un usage après libération de mémoire dans le composant des collections temporelles de MongoDB Server peut survenir lors de la validation à l’écriture d’un document de compartiment. Un utilisateur authentifié ayant le droit d’écrire directe…
Source : NVD — CVE-2026-120824
MongoDB Server : accès non autorisé à des collections via une vue d’agrégation (CVE-2026-120825)
Une faiblesse d’autorisation dans le cadre d’agrégation de MongoDB Server peut permettre à un utilisateur authentifié disposant de privilèges de base sur une base de lire des collections auxquelles il n’a pas accès. La validation de défini…
Source : NVD — CVE-2026-120825
Injection de commandes dans le service Node.js de provisionnement Versa VOS
Le point de terminaison /authenticate transmet des valeurs utilisateur à une commande exécutée par child_process.exec(), et la neutralisation ne supprime pas les retours à la ligne. Un attaquant non authentifié peut exploiter cette faibles…
Source : NVD — CVE-2026-107240
Identifiants par défaut dans le service Node.js de provisionnement Versa VOS
Le service Node.js de provisionnement VOS accepte des identifiants par défaut avec HTTP Basic Authentication, permettant à un acteur disposant d’un accès réseau et connaissant ces identifiants d’effectuer des actions de provisionnement. Ve…
Source : NVD — CVE-2026-107241
Secret de session partagé dans le service Node.js Versa VOS
Le service utilise un secret codé en dur et partagé entre les appliances VOS pour signer les cookies de session, ce qui peut permettre la falsification d’un cookie si un identifiant de session valide est obtenu. Versa recommande de désacti…
Source : NVD — CVE-2026-107243
Création de session authentifiée sans identifiants dans Versa VOS
Le point de terminaison /decryptTest peut créer une session authentifiée avant le middleware d’authentification, à l’aide d’une clé et d’un vecteur d’initialisation codés en dur et partagés. Désactiver le service Web Node.js après le provi…
Source : NVD — CVE-2026-107244
Divulgation d’identifiants dans les erreurs du SAP Cloud SDK for AI pour Node.js
Dans certaines conditions d’échec, des messages d’erreur d’opérations internes peuvent inclure des identifiants d’authentification sensibles. Un attaquant de faible privilège ayant accès aux journaux ou aux erreurs transférées pourrait ten…
Source : NVD — CVE-2026-120012
SAP Cloud SDK for Python : revendications IAS JWT non vérifiées
Le fournisseur IASContextProvider du SAP Cloud SDK for Python décodait des revendications de JWT sans vérifier la signature, puis les plaçait dans le contexte d’exécution. Un appelant distant pouvait forger une identité de locataire ou d’u…
Source : NVD — CVE-2026-109799
SAP NetWeaver AS Java EDM : requêtes accessibles sans authentification
L’application EDM de SAP NetWeaver AS Java ne vérifie pas l’authentification pour certaines requêtes de service web. Un attaquant non authentifié peut envoyer une requête spécialement construite pour obtenir des informations métier sensibl…
Source : NVD — CVE-2026-89114
Eclipse Kura : déni de service via l’API Service Listing V1
Dans Eclipse Kura 5.4.0 à 5.6.2, l’API REST Service Listing V1 traite le corps JSON avant l’authentification et sans limite de taille, ce qui peut permettre à un attaquant distant non authentifié de provoquer un déni de service. Des requêt…
Source : NVD — CVE-2026-112186
Rack : épuisement mémoire par croissance du tampon multipart
Le parseur multipart de Rack peut conserver des données déjà analysées dans son tampon StringScanner lorsque la lecture s’arrête autour des en-têtes multipart. Un attaquant non authentifié peut provoquer une croissance excessive du tampon…
Source : NVD — CVE-2026-125111
Déni de service possible via ActiveSupport safe_constantize
Une expression régulière construite à partir du nom de constante fourni pouvait provoquer un défaut du compilateur d’expressions régulières et faire planter le processus Ruby, entraînant un déni de service. Le risque concerne notamment les…
Source : GHSA-8474-xrp6-wh69 — Active Support: Possible DoS vulnerability in Active Support safe_constantize
Cocos AI : l’attestation TLS ne détecte pas les changements d’état ultérieurs
Cocos AI effectue l’attestation TLS à l’établissement de la connexion, puis ne détecte pas les changements ultérieurs de l’état du workload attesté. Un attaquant capable de modifier cet état pendant une connexion persistante peut amener le…
pgEdge Control Plane : règles trust dangereuses dans pg_hba.conf généré
Dans pgEdge Control Plane, les fichiers pg_hba.conf générés comportaient des règles trust pour les connexions socket Unix et loopback, placées avant les règles fournies par l’opérateur. Avec l’orchestrateur systemd, un compte local sans pr…
Source : NVD — CVE-2026-125323
pgEdge RAG Server : risque de déni de service par requêtes non limitées
Dans pgEdge RAG Server, l’endpoint de requête non authentifié pouvait lire tout le corpus filtré sans limite, puis reconstruire un index BM25 en mémoire à chaque requête. Des requêtes distantes peu coûteuses pouvaient ainsi provoquer une c…
Source : NVD — CVE-2026-125327
MongoDB Server : use-after-free dans l’accumulateur SBE `$locf`
MongoDB a publié le 10 novembre 2026 un avis décrivant un use-after-free dans l’accumulateur de fenêtre `$locf` du moteur SBE. Un utilisateur authentifié disposant de droits readWrite peut provoquer une lecture hors limites sur le tas ou u…
Source : NVD — CVE-2026-120803
MongoDB Enterprise pour Windows : épuisement de ressources via Kerberos
MongoDB a publié le 10 novembre 2026 un avis concernant une fuite de ressources dans le gestionnaire d’authentification SSPI Kerberos des versions Enterprise pour Windows. Des requêtes Kerberos répétées, sans authentification préalable, pe…
Source : NVD — CVE-2026-120804
MongoDB Server : références de rôles résiduelles après suppression d’un rôle
MongoDB a publié le 10 novembre 2026 un avis concernant la suppression incomplète de références d’autorisations lorsqu’un rôle est supprimé. Si un rôle du même nom est ensuite recréé avec d’autres privilèges, des utilisateurs précédemment…
Source : NVD — CVE-2026-120806
Mongoose — écriture via des propriétés héritées pouvant altérer des objets partagés
Lors de l’hydratation de documents, de l’affectation de chemins ou de la fusion de mises à jour, Mongoose peut parcourir des propriétés héritées et écrire dans des fonctions intégrées ou des objets internes partagés. Cela peut provoquer un…
Mongoose : sanitizeFilter configuré au niveau de la connexion n’est pas appliqué
L’option sanitizeFilter configurée au niveau d’une connexion Mongoose est signalée comme activée, mais n’est pas appliquée aux requêtes. Une application qui compte sur cette protection et accepte des filtres contrôlés par un utilisateur pe…
Source : GHSA-gg4r-jv3p-qx3c — Mongoose: Connection-level sanitizeFilter not applied
rabbitmq-c — lecture hors limites sur systèmes 32 bits
Une vérification de bornes vulnérable dans amqp_decode_bytes peut provoquer une lecture hors limites sur les systèmes 32 bits, avec risque de divulgation d’informations ou de déni de service. Les versions antérieures à 0.17.0 sont concerné…
Source : NVD — CVE-2026-59986
Neo4j GraphQL : contournement de restrictions d’authentification dans les agrégations
Dans `@neo4j/graphql`, certaines requêtes d’agrégation ne respectent pas les restrictions d’authentification et peuvent divulguer des données protégées à des appelants non authentifiés. Les branches 5.x avant 5.12.17 et 7.x avant 7.6.8 son…
Source : NVD — CVE-2026-92684
Nuxt Content : déni de service via l’API de requête SQL
L’API de requête de Nuxt Content permet à une personne non authentifiée de soumettre une requête SQL qui peut entraîner une forte consommation de mémoire et de CPU. Mettre à niveau `@nuxt/content` vers la version 3.15.2 ou ultérieure.
CVE-2026-63496 — injection de commande dans @augment-vir/node
@augment-vir/node est vulnérable à une injection de commande dans `grep()` lorsque le motif fourni par l’appelant contient une substitution de commande Bash. Mettez à jour vers la version 31.73.5 ou ultérieure, et évitez de transmettre des…
Source : NVD — CVE-2026-63496
node-forge : épuisement de ressources lors du décodage ASN.1 des BIT STRING
Dans node-forge, le décodage ASN.1 des BIT STRING ne respectait pas la limite de récursion `maxDepth` et pouvait recopier les contenus imbriqués de façon coûteuse. Une entrée DER ou PEM spécialement construite pouvait épuiser le CPU et la…
AsyncSSH : contournement du chroot SFTP
Dans AsyncSSH avant 2.24.1, un utilisateur SFTP authentifié pouvait contourner le chroot en fournissant un chemin commençant par deux barres obliques, ce qui permettait de lire ou modifier des fichiers accessibles au compte du serveur. Met…
Source : NVD — CVE-2026-102643
pyLoad : sessions conservant des permissions révoquées
Dans pyLoad avant 0.5.0b3.dev102, les sessions Flask existantes n’étaient pas invalidées après un changement de permissions ou de mot de passe, ce qui pouvait laisser subsister des privilèges révoqués pendant la durée de vie de la session.…
Source : NVD — CVE-2026-123813
pyLoad : validation de clé API contournable via le cache
Dans pyLoad avant 0.5.0b3.dev101, le cache de validation des clés API était indexé uniquement par un identifiant contrôlable, ce qui pouvait permettre à un attaquant distant sans authentification de profiter d’une entrée déjà en cache. Met…
Source : NVD — CVE-2026-123816
AIOHTTP : consommation mémoire excessive via les trames WebSocket fragmentées
AIOHTTP conserve des objets mémoire pendant la réassemblage d’une trame WebSocket incomplète, ce qui permet à un pair malveillant de provoquer une consommation mémoire excessive ou un déni de service en fragmentant la trame en très petites…
Source : NVD — CVE-2026-123817
code-graph-rag : accès et écriture hors racine via des liens symboliques
Dans code-graph-rag, les outils structural_search et structural_replace suivaient des liens symboliques sortant de la racine du projet, car le contrôle de confinement était lexical et ne résolvait pas les chemins. Un attaquant capable de f…
Source : GitHub Advisory GHSA-85gg-2gfq-q95m
AG2 : contournement des restrictions de commandes par injection de saut de ligne
Dans AG2, un saut de ligne dans une commande permettait de contourner les restrictions de SandboxShellTool configurées avec une liste de commandes autorisées ou readonly=True, car le filtre ne traitait pas ce caractère comme un opérateur s…
Source : GitHub Advisory GHSA-2h4w-29cv-2cmv
Rack : autorité HTTP contrôlable dans les URL générées par la requête
Dans Rack 3.0, les méthodes host_with_port, base_url et url de Rack::Request peuvent renvoyer directement une autorité invalide contrôlée par l’attaquant depuis les en-têtes Host, X-Forwarded-Host ou Forwarded. Selon l’usage applicatif, ce…
Source : NVD — CVE-2026-125109
Rack : règles d’en-têtes contournables par normalisation du chemin
Rack::Static peut appliquer ses règles d’en-têtes à un chemin décodé mais non normalisé, alors que le fichier servi est déterminé après normalisation du chemin. Une requête avec des segments dot peut ainsi obtenir un fichier connu sans des…
Source : NVD — CVE-2026-125110
Active Support : état HTML sûr restauré à tort après sérialisation MessagePack
Dans Active Support 8.1, la sérialisation MessagePack peut restaurer comme sûre pour HTML une SafeBuffer qui avait perdu cet état, par exemple après modification en place. Si une telle valeur contient des données non fiables puis est rendu…
Source : NVD — CVE-2026-126075
Dagu : lecture de fichiers YAML hors périmètre via MCP
Dagu ne vérifie pas correctement le confinement de chemin ni l’isolation des espaces de travail lors de la lecture d’une spécification DAG via son outil MCP. Un utilisateur doté d’une clé de rôle viewer peut lire des fichiers YAML hors des…
gopacket : panique possible dans les sous-décodeurs SCTP
Dans gopacket, certains sous-décodeurs SCTP ne vérifient pas que la longueur déclarée du segment permet les lectures et boucles qu’ils effectuent, ce qui peut provoquer une panique lors du décodage de paquets forgés. Le défaut concerne les…
Source : GHSA-358w-w75h-x6rx — gopacket: SCTP chunk sub-decoder out-of-bounds panics on crafted segments
Rails Active Storage : déni de service via un nom de fichier contenant NUL sur MySQL
Active Storage peut conserver un nom de fichier contenant un octet NUL sur les bases qui l’acceptent, notamment MySQL, puis provoquer des erreurs lors du traitement ou de l’affichage de la pièce jointe. Un utilisateur autorisé à téléverser…
Source : GHSA-p2pm-g2h6-7j5j — Active Storage: Possible DoS vulnerability in Active Storage filename handling
DataRoom : injection SQL dans la génération de requêtes pour MySQL
Une injection SQL dans DataRoom peut être déclenchée par un utilisateur doté du rôle sharer en fournissant des paramètres de jeu de données spécialement construits. Le défaut concerne la génération de requêtes et les échappements SQL utili…
Source : NVD — CVE-2026-125381
pgEdge Postgres MCP Server : validation Origin absente sur le transport HTTP
Dans pgEdge Postgres MCP Server, le transport HTTP ne validait pas l’en-tête Origin, ce qui pouvait permettre, via DNS rebinding, à une page malveillante d’atteindre le serveur local et de lire des schémas et résultats de requêtes. Le prob…
Source : NVD — CVE-2026-125320
pgEdge Postgres MCP Server : contournement de la limitation des tentatives de connexion
Dans pgEdge Postgres MCP Server, le mécanisme de limitation des tentatives d’authentification utilisait la première valeur fournie par le client dans X-Forwarded-For comme adresse IP. Un attaquant non authentifié pouvait ainsi contourner o…
Source : NVD — CVE-2026-125321
pgEdge Postgres MCP Server : inférence de données via count_rows
Dans pgEdge Postgres MCP Server, le paramètre where de l’outil count_rows acceptait des sous-requêtes visant d’autres tables que celle désignée par l’appel. Un utilisateur de l’outil pouvait exploiter les nombres de lignes retournés pour i…
Source : NVD — CVE-2026-125322
pgEdge RAG Server : fuite inter-tenant par concurrence de requêtes BM25
Dans pgEdge RAG Server, l’index BM25 partagé entre les requêtes pouvait être vidé, rempli et consulté au moyen d’opérations verrouillées séparément. Des requêtes concurrentes pouvaient alors chercher dans le corpus chargé par une autre req…
Source : NVD — CVE-2026-125325
pgEdge RAG Server : divulgation partielle de clé API via les erreurs LLM
Dans pgEdge RAG Server, l’API de requête non authentifiée renvoyait le texte d’erreur provenant d’appels au fournisseur LLM. Une erreur d’authentification provoquée à distance pouvait révéler une partie d’une clé API opérateur partiellemen…
Source : NVD — CVE-2026-125326
MongoDB : lecture après libération dans le moteur SBE
La fiche NVD publiée le 2026-11-10 signale une lecture après libération dans le moteur SBE lors du traitement de pipelines d’agrégation utilisant $unwind sur des collections time-series. Un utilisateur authentifié pourrait provoquer une le…
Source : NVD — CVE-2026-120809
MongoDB Server : lecture après libération dans le cache de plans
La fiche NVD publiée le 2026-11-10 signale une lecture après libération dans le cache du planificateur de requêtes classique de MongoDB Server. Dans certaines conditions, une commande de diagnostic exécutée par un utilisateur authentifié p…
Source : NVD — CVE-2026-120811
MongoDB Server : déni de service par récursion dans les requêtes time-series
La fiche NVD publiée le 2026-11-10 décrit une récursion incontrôlée dans le traitement des requêtes de MongoDB Server, susceptible de provoquer un déni de service sur des collections time-series. Un utilisateur authentifié ayant des privil…
Source : NVD — CVE-2026-120812
Divulgation de mémoire dans l’exécution JavaScript côté serveur de MongoDB
CVE-2026-120819 est une faille de gestion mémoire du composant d’exécution JavaScript côté serveur de MongoDB, qu’un utilisateur authentifié disposant de droits de lecture peut déclencher avec une commande spécialement construite. Elle peu…
Source : NVD — CVE-2026-120819
MongoDB Server : consommation mémoire par accumulation d’espaces de noms (CVE-2026-120820)
MongoDB Server conserve des statistiques en mémoire pour des espaces de noms transmis dans des requêtes comportant des informations de champs chiffrés, sans limite ni mécanisme de retrait pour les espaces de noms inexistants. Un utilisateu…
Source : NVD — CVE-2026-120820
Mongoose — confusion de types via des clés de discriminateur héritées
Mongoose ne vérifie pas que certaines clés de discriminateur, dont `__t`, sont des propriétés propres avant de les utiliser dans ses registres, ce qui peut provoquer une confusion de types lors de la construction, de l’hydratation et du tr…
Source : NVD — CVE-2026-125116
Mongoose : pollution de prototypes via les chemins virtuels de schéma
Mongoose ne vérifie pas certains noms de propriétés spéciales lors de la création de chemins virtuels, ce qui peut permettre une pollution de prototypes si un attaquant peut influencer les noms de champs d’un schéma dynamique. Cette pollut…
Source : NVD — CVE-2026-125118
Parabol : contrôle d’autorisation manquant dans une mutation GraphQL
Une vérification d’autorisation manquante dans la mutation GraphQL `addReactjiToReactable` permet à un utilisateur authentifié de modifier les réactions associées au contenu d’une autre organisation. Les versions antérieures à 15.21.2 sont…
Source : NVD — CVE-2026-125748
Winter CMS : lecture non autorisée des profils d’autres utilisateurs backend
Winter CMS ne limite pas correctement la consultation de certaines fiches utilisateur du backend : un utilisateur backend authentifié peut lire des données de profil appartenant à un autre utilisateur en fournissant son identifiant. La vul…
Source : CVE-2026-126061 — NVD
Winter CMS : XSS stockée via le CSS personnalisé mis en cache
Winter CMS présente une XSS stockée dans le rendu du CSS personnalisé : après mise en cache, une sortie LESS non assainie peut être injectée dans les pages d’administration. Les versions antérieures à 1.2.14 sont concernées ; mettre à nive…
Source : CVE-2026-125338 — NVD
Winter CMS : contournement CSRF par invocation de handlers via GET
Dans Winter CMS, des méthodes de gestion backend accessibles comme actions GET peuvent déclencher des opérations sensibles sans jeton CSRF, si un utilisateur autorisé est amené à suivre un lien forgé. Les versions de 1.0.319 à celles antér…
Source : CVE-2026-125339 — NVD
Winter CMS : XSS réfléchie via le paramètre de recherche du widget Table
Winter CMS ne neutralise pas une valeur de recherche avant de l’insérer dans un template script d’un widget Table ; une URL GET construite à cette fin peut déclencher une XSS dans le backend lorsqu’un utilisateur autorisé la consulte. Les…
Source : CVE-2026-125340 — NVD
node-forge : plantage du client TLS avec une compression ServerHello non prise en charge
Le client TLS de node-forge accepte un algorithme de compression ServerHello qu’il n’a pas proposé, puis peut lever une exception non interceptée pendant le handshake. Un serveur malveillant ou un attaquant sur le chemin peut faire tomber…
node-forge : ReDoS dans le traitement des en-têtes et cookies HTTP
La suppression des espaces de fin dans les en-têtes de réponse HTTP et les cookies de `forge.http` utilisait une expression régulière dont le temps d’exécution peut croître de façon quadratique. Un serveur ou un attaquant sur le chemin peu…
node-forge : plantage du client TLS sur un ServerHello reçu sans session
Un client TLS de node-forge peut lever une exception non interceptée en recevant un message ServerHello alors qu’aucune session n’existe, notamment après la fermeture de la connexion. Un serveur malveillant ou un attaquant sur le chemin pe…
Kubeflow Pipelines : XSS réfléchie dans les erreurs des routes de pods
Les réponses d’erreur HTML de certaines routes Kubernetes de Kubeflow Pipelines reflétaient des noms de pods et espaces de noms non fiables, permettant une XSS réfléchie lorsqu’une victime suivait un lien spécialement construit. La correct…
Source : GitHub Advisory GHSA-g3qx-frcg-j979
CVE-2026-108470 — divulgation d’informations dans MSAL pour Node.js
Une insuffisance de protection des identifiants dans Microsoft Authentication Library (MSAL) pour Node.js peut permettre à un attaquant non autorisé de divulguer des informations sur le réseau. Les informations fournies ne précisent ni les…
Source : NVD — CVE-2026-108470
postal-mime : déni de service par analyse de courriels multipart imbriqués
postal-mime présente une vulnérabilité de déni de service permettant à un attaquant distant non authentifié de provoquer une forte consommation CPU avec un courriel multipart profondément imbriqué. Le traitement peut bloquer la boucle d’év…
Source : NVD — CVE-2026-124016
python-tuf : vérification incorrecte des délégations sous Windows
Dans python-tuf avant 7.0.0, la vérification des délégations de chemin pouvait devenir insensible à la casse sous Windows, permettant dans certaines configurations d’accepter une cible provenant d’une délégation incorrecte. Le problème con…
Source : NVD — CVE-2026-123806
pyLoad : requête forgée vers une destination interne via les notifications
Dans pyLoad avant 0.5.0b3.dev102, un utilisateur authentifié non administrateur disposant de la permission SETTINGS pouvait configurer une notification Windows Phone pour provoquer une requête HTTP POST du serveur vers une destination inte…
Source : NVD — CVE-2026-123814
pympp : coûts de gaz gonflés par des octets calldata supplémentaires
Dans pympp, lorsqu’un serveur agit comme fee_payer, la validation tolère des octets supplémentaires après les données calldata et la politique ne vérifie pas leur longueur. Un demandeur peut ainsi gonfler le coût de la transaction cosignée…
Source : NVD — CVE-2026-63634
AsyncSSH : écriture hors du répertoire cible lors de copies SFTP récursives
Lors de copies SFTP récursives vers une destination locale, AsyncSSH faisait confiance aux noms retournés par le serveur distant, ce qui pouvait permettre à un serveur malveillant ou compromis d’écrire hors du répertoire demandé. Les versi…
Source : NVD — CVE-2026-77473
Python : exécution possible d’un module extrait lors du décompactage en ligne de commande
Lors du décompactage d’archives avec les interfaces en ligne de commande de tarfile ou zipfile, un fichier Python extrait pouvait masquer un module de la bibliothèque standard ; une erreur au décompactage d’un fichier suivant pouvait alors…
Source : NVD — CVE-2026-115791
SAP NetWeaver Java NWDI Cockpit : contrôle d’autorisation insuffisant
Dans SAP NetWeaver Application Server Java, le NWDI Cockpit ne contrôle pas suffisamment l’autorisation de certaines fonctions qui récupèrent des informations sensibles. Un attaquant disposant de faibles privilèges peut accéder aux données…
Source : NVD — CVE-2026-109801
SAP NetWeaver Java NWDI Cockpit : modifications non autorisées
Dans le NWDI Cockpit de SAP NetWeaver Application Server Java, des contrôles insuffisants avant le traitement de certaines requêtes peuvent permettre des modifications non autorisées. Le résumé NVD décrit un impact élevé sur l’intégrité ;…
Source : NVD — CVE-2026-109809
SAP Web Dynpro Java : validation insuffisante de paramètres de style
Web Dynpro Java dans SAP NetWeaver Application Server Java ne valide pas suffisamment certains paramètres de requête utilisés pour résoudre des ressources de style. Un lien malveillant, s’il est ouvert par une personne authentifiée, peut c…
Source : NVD — CVE-2026-109810
SAP NetWeaver AS Java : contrôle d’accès insuffisant sur des opérations SOAP
SAP NetWeaver AS Java expose certaines opérations SOAP sur HTTP sans contrôle d’accès adéquat. Un attaquant non authentifié pourrait invoquer ces opérations et divulguer des informations accessibles via le service ; consulter SAP pour les…
Source : NVD — CVE-2026-89128
SAP NetWeaver AS Java : SSRF dans les services web
Une vulnérabilité SSRF dans les services web de SAP NetWeaver AS Java permet à un attaquant non authentifié de provoquer l’envoi d’une requête SOAP vers une URL qu’il contrôle. La réponse peut révéler des informations sur les systèmes conn…
Source : NVD — CVE-2026-89129
fast-agent : serveur MCP sans authentification et exécution de commandes avec –shell
L’outil fast-agent serve exposait par défaut un serveur HTTP sans authentification sur toutes les interfaces; avec l’option –shell, un client distant pouvait faire exécuter des commandes sur l’hôte. Mettre à niveau fast-agent-mcp vers 0.7…
Source : GitHub Advisory GHSA-9vhv-g5hf-m7m7
Rack : contournement possible de l’inspection d’en-têtes multipart
Dans Rack, le parseur multipart peut ignorer un paramètre de boundary initial vide ou entre guillemets et accepter un paramètre ultérieur, contrairement à ce qu’un intermédiaire conforme pourrait interpréter. Des champs ou fichiers peuvent…
Source : NVD — CVE-2026-125108
Nokogiri sur JRuby : contournement de la restriction réseau NONET
Sur JRuby, Nokogiri peut contourner la restriction NONET lors de l’analyse de XML non fiable avec certaines options DTD, notamment lorsque des identifiants externes utilisent des formes particulières d’hôtes IPv4 ou des chemins absolus rés…
Source : NVD — CVE-2026-126062
Nokogiri — XSS par mutation lors de la sérialisation HTML5
Dans certaines conditions, le sérialiseur HTML5 de Nokogiri n’échappait pas le texte des éléments `noscript` ni les chevrons dans les valeurs d’attributs, ce qui pouvait conduire à une XSS par mutation dans le navigateur. Sont concernés No…
Source : NVD — CVE-2026-126063
Nokogiri : risque d’utilisation après libération lors du remplacement d’un attribut
L’extension native CRuby de Nokogiri peut laisser des wrappers Ruby référencer des nœuds natifs libérés après le remplacement d’une valeur d’attribut, si les nœuds enfants de cet attribut ont été consultés auparavant. Leur utilisation ulté…
MongoDB Server : autorisation insuffisante sur les métadonnées Queryable Encryption
MongoDB a publié le 10 novembre 2026 un avis sur un contrôle d’autorisation insuffisant lors d’écritures internes de métadonnées Queryable Encryption. Un utilisateur authentifié autorisé à insérer dans une collection peut, sous certaines c…
Source : NVD — CVE-2026-120805
MongoDB Server : lecture non autorisée de configuration de déploiement (CVE-2026-120823)
Un contrôle d’autorisation manquant dans le cadre d’agrégation de MongoDB Server peut permettre à un utilisateur muni d’identifiants valides, même sans rôle attribué, de lire des données de configuration des requêtes à l’échelle du déploie…
Source : NVD — CVE-2026-120823
Winter CMS : XSS dans les colonnes image de listes d’extensions tierces
Dans Winter CMS, une valeur d’image contrôlée par un attaquant peut être insérée sans échappement dans l’attribut source d’une image de liste, permettant une XSS dans certaines extensions tierces. Les versions de 1.1.0 à celles antérieures…
Source : CVE-2026-125341 — NVD
node-forge : vérification Ed25519 acceptant des clés publiques d’ordre faible
`ed25519.verify()` de node-forge acceptait des clés publiques Ed25519 d’ordre faible, permettant de fabriquer des signatures valides sans clé privée dans certaines situations. Le défaut concerne les applications qui vérifient des signature…
fast-xml-parser : déni de service par rescannage quadratique avec `stopNodes`
fast-xml-parser présente un déni de service par épuisement CPU lorsque l’option non activée par défaut `stopNodes` est utilisée et que l’entrée XML comporte des fragments de balises sans fermeture. Mettre à niveau vers la version 5.12.0 ou…
Source : NVD — CVE-2026-126066
Seahub : prédiction possible des mots de passe de liens de partage en lot
Seahub utilisait random.choices(), un générateur non cryptographique, pour produire des mots de passe de liens de partage en lot. Un utilisateur authentifié autorisé à créer des liens pouvait demander de nombreux mots de passe et prédire c…
Source : NVD — CVE-2026-125362
compose-lint : fuite de secrets lorsque l’analyse atteint sa limite de constats
Une limite de 20 000 constats peut interrompre l’analyse avant la protection qui masque les valeurs d’un fichier `.env`, exposant ainsi des secrets dans les sorties texte, JSON ou SARIF. Le problème concerne compose-lint 0.32.0 et ses dist…
Source : GHSA-rm8w-w798-g545 — compose-lint
Identifiants de session prévisibles dans le service Node.js Versa VOS
Le service concerné produit des identifiants de session UUIDv1, dérivés notamment de l’heure et de l’adresse MAC, ce qui peut les rendre prévisibles et permettre le détournement d’une session. Désactiver le service Node.js après le provisi…
Source : NVD — CVE-2026-107242
SDK Auth0 Node.js : redirection possible de requêtes Management API
Le client Management API du SDK Auth0 pour Node.js ne neutralise pas correctement certains paramètres de chemin. Une requête et son jeton d’accès peuvent ainsi être redirigés vers un autre endpoint du même tenant, donnant accès aux données…
Source : NVD — CVE-2026-126128
auth0-ai-python : documents refusés par FGA inclus dans le contexte du modèle
Le récupérateur FGA de auth0-ai-python ne distinguait pas correctement les contrôles d’autorisation selon l’utilisateur, la relation ou les conditions lors du filtrage des documents. Des documents refusés par Auth0 FGA pouvaient ainsi être…
Source : NVD — CVE-2026-108167
Android : élévation de privilèges à distance dans EuiccPort (CVE-2026-57005)
Une vulnérabilité dans `EuiccPort.buildUiccAccessRule` peut permettre une confusion de mandataire et une élévation de privilèges à distance. La description fournie mentionne des privilèges d’exécution requis ainsi qu’une interaction de l’u…
Source : NVD — CVE-2026-57005
Android : divulgation locale d’informations dans TimerAgent (CVE-2026-58702)
Une vulnérabilité dans `createIntent` de `TimerAgent.java` peut permettre un contournement de permissions par confusion de mandataire et la divulgation locale d’informations. Selon la description fournie, aucun privilège d’exécution supplé…
Source : NVD — CVE-2026-58702
Android : conservation indue de permissions de gestion de tunnels (CVE-2026-59597)
Une erreur de logique dans `bindDataService` de `DataServiceManager.java` peut permettre de conserver des permissions privilégiées de gestion de tunnels lors de mises à jour de configuration. La description fournie indique une élévation lo…
Source : NVD — CVE-2026-59597
PackageSignatureChecker : élévation locale de privilèges par lancement d’activité en arrière-plan
Dans PackageSignatureChecker, une confusion de rôle peut permettre le lancement d’une activité en arrière-plan et entraîner une élévation locale de privilèges. L’exploitation nécessite une interaction de l’utilisateur; les versions affecté…
Source : NVD — CVE-2026-56919
Android : falsification du résultat de changement d’abonnement (CVE-2026-56926)
Android présente une vulnérabilité dans plusieurs fonctions de `PssSubscriptionManager.java` permettant de falsifier le résultat d’un changement d’abonnement et de provoquer le redémarrage de l’appareil. Selon la description fournie, cela…
Source : NVD — CVE-2026-56926
Android : divulgation locale d’informations par contournement de permission (CVE-2026-56947)
Une vulnérabilité dans `getCarrierRestrictionStatus` de `PhoneInterfaceManager.java` peut permettre un contournement de permissions et la divulgation locale d’informations. La description fournie indique qu’aucun privilège d’exécution supp…
Source : NVD — CVE-2026-56947
CMS & e-commerce
13 alerte(s)Everest Forms : lecture arbitraire de fichiers via les pièces jointes de notification
Everest Forms présente une vulnérabilité de lecture arbitraire de fichiers dans `attach_entry_files()`, qui peut joindre à un courriel le contenu d’un chemin contrôlé sans validation suffisante. L’exploitation exige notamment Everest Forms…
Source : NVD — CVE-2026-115483
Ultra Addons for Contact Form 7 : lecture de fichiers arbitraires
Ultra Addons for Contact Form 7 peut permettre la lecture de fichiers arbitraires du serveur par un attaquant non authentifié. La faille concerne les versions jusqu’à 3.5.54, sous certaines conditions : l’extension PDF Generator doit être…
Source : NVD — CVE-2026-100386
WPML : contournement d’authentification par condition de concurrence SSO
WPML Multilingual CMS présente une vulnérabilité de contournement d’authentification liée à une condition de concurrence dans le mécanisme SSO par domaine. Un attaquant non authentifié peut, pendant la fenêtre de déconnexion d’un utilisate…
Source : NVD — CVE-2026-76877
Avada Builder : XSS persistante via formulaires et médias
Avada (Fusion) Builder est vulnérable à une injection XSS persistante en raison d’un assainissement insuffisant des entrées et d’un échappement incomplet des sorties. L’exploitation nécessite notamment un formulaire Fusion intégré à une pa…
Source : NVD — CVE-2026-84938
ARMember Premium : XSS stockée dans un champ de profil
ARMember Premium présente une XSS stockée liée à un champ personnalisé de profil (couverture) lors de l’inscription, en raison d’un nettoyage et d’un échappement insuffisants. Les versions jusqu’à 7.8.1 sont indiquées comme vulnérables ; a…
Source : NVD — CVE-2026-93427
Everest Forms : suppression arbitraire de fichiers sous uploads
Everest Forms est vulnérable à la suppression de fichiers en raison d’une validation insuffisante du chemin dans `remove_csv_file_after_email_send`. La faille peut permettre à un attaquant non authentifié de supprimer des fichiers sous `wp…
Source : NVD — CVE-2026-120513
Extend B2B : exposition de données sensibles
Le plugin Extend B2B – Companies and Users Management for WooCommerce expose, sans authentification, des données sensibles de sociétés, notamment des courriels de facturation, soldes et historiques de crédits. Sont concernées les versions…
Source : NVD — CVE-2026-96769
CVE-2026-106025 : contrôle d’accès insuffisant dans Cargo Shipping Location for WooCommerce
Une vérification insuffisante des autorisations sur un endpoint REST du plugin Cargo Shipping Location for WooCommerce permet à un utilisateur non authentifié de modifier les statuts d’expédition et des métadonnées de commande. Les version…
Source : NVD — CVE-2026-106025
Zion Builder : exécution de JavaScript via un SVG téléversé
Le module Zion Builder jusqu’à 3.6.17 ne nettoie pas les fichiers SVG téléversés avant de les servir depuis une adresse publique de même origine que le site. Un utilisateur authentifié ayant le rôle Auteur ou supérieur peut ainsi déposer u…
Source : NVD — CVE-2026-104676
All in One Addons for WPBakery : inclusion de fichiers locaux
All in One Addons For WPBakery Page Builder ne valide pas un attribut de shortcode utilisé pour construire un chemin de fichier inclus et exécuté. Les versions jusqu’à 1.2 sont concernées ; une exploitation peut permettre à un utilisateur…
Source : NVD — CVE-2026-110516
BulletProof Security : exposition possible des journaux
BulletProof Security protège insuffisamment certains journaux et peut y inscrire des données d’authentification sensibles, que des attaquants non authentifiés pourraient lire selon la configuration du serveur web. Les versions jusqu’à 7.2…
Source : NVD — CVE-2026-119273
FraudLabs Pro SMS Verification : abus possible d’envois SMS
FraudLabs Pro SMS Verification ne fait pas respecter côté serveur la limite de nouvelles tentatives SMS, permettant à des utilisateurs non authentifiés de déclencher des envois répétés vers des numéros choisis. Les versions jusqu’à 1.12.1…
Source : NVD — CVE-2026-106007
J2Store : réutilisation possible de bons cadeaux et coupons à usage unique
CVE-2026-102803 permet à un client connecté de réutiliser sur plusieurs commandes un bon cadeau ou un coupon à usage unique, en ouvrant plusieurs sessions de paiement avant de confirmer les commandes. J2Store 6.0.0 à 6.6.5 est indiqué comm…
Source : NVD — CVE-2026-102803
Systèmes & serveurs
8 alerte(s)Injection de commandes dans le module Samba de Webmin
Webmin jusqu’à la version 2.670 présente une injection de commandes dans le module Samba : un utilisateur authentifié disposant des droits de maintenance des comptes Samba peut faire exécuter des commandes avec les privilèges root. La fail…
Source : CVE-2026-125391 — NVD
XSS stockée dans le module BIND8 de Webmin
Webmin jusqu’à la version 2.670 présente une XSS stockée dans le module BIND8 : des valeurs d’enregistrements DNS peuvent être affichées sans échappement en vue ALL et exécuter du script dans le navigateur d’un administrateur. Un utilisate…
Source : CVE-2026-125392 — NVD
Linux : course dans les recherches de sockets TCP établis (CVE-2026-99288)
Une course dans les recherches TCP établies IPv4/IPv6 pouvait faire retourner un socket réutilisé mais non inséré dans la table de hachage, entraînant notamment un déréférencement NULL et un crash du noyau. Le correctif vérifie l’état du s…
Source : NVD — CVE-2026-99288
Linux xen-netback : correction du nettoyage après échec de connexion XenBus
Une défaillance du nettoyage après échec de connexion XenBus pouvait laisser des lecteurs accéder à des files d’attente invalides. La correction rend le nombre de files indisponible avant la synchronisation réseau, afin que les lecteurs en…
Source : NVD — CVE-2026-99286
Linux xen-netback : remise à zéro des pointeurs d’anneaux après démontage
En cas d’échec de mappage des anneaux Xen déjà mappés, le chemin de nettoyage pouvait tenter de les démonter une seconde fois. La correction remet à zéro les pointeurs des anneaux après leur démontage.
Source : NVD — CVE-2026-99287
Linux : correction des conversions multi-registres dans nft_byteorder
Une conversion d’ordre des octets sur plusieurs registres nftables pouvait produire des résultats incorrects. Le noyau supprime cette prise en charge multi-registre ; certains jeux de règles générés par d’anciennes versions de nftables peu…
Source : NVD — CVE-2026-99285
DLA-4890-1 : faille de chiffrement dans srt
Une requête de matériel de clé (KMREQ) qui échoue à installer une clé peut placer un récepteur SRT déjà sécurisé dans un état de chiffrement défaillant. Un attaquant pouvant joindre le socket peut alors provoquer un plantage ou faire accep…
Source : DLA-4890-1 srt – security update
DLA-4890-1 : débordement de tampon dans srt
Le traitement d’un paquet de contrôle KMREQ ou KMRSP copie dans un tampon de pile de taille fixe une longueur fournie par le paquet. Un paquet surdimensionné peut déborder ce tampon et faire planter le processus qui traite le socket SRT.
Source : DLA-4890-1 srt – security update
Cloud & DevOps
3 alerte(s)Moby : perte de règles IPsec pour les réseaux overlay après un événement firewalld
Une anomalie du pilote réseau overlay de Moby peut laisser des datagrammes VXLAN sortir sans chiffrement IPsec après un événement firewalld. Elle expose aussi le réseau au trafic VXLAN entrant en clair jusqu’au redémarrage de dockerd ou au…
Source : NVD — CVE-2026-115538
Microsoft Azure Kubernetes Service : élévation locale de privilèges
Une vulnérabilité de gestion incorrecte des privilèges dans Microsoft Azure Kubernetes Service permet à un attaquant autorisé d’élever localement ses privilèges. La fiche NVD a été publiée pendant la période demandée; les sources consultée…
Source : NVD — CVE-2026-122986
Docker Desktop : exposition du jeton Docker Hub dans les journaux et diagnostics
Avant Docker Desktop 4.94.0, certains journaux et bundles de diagnostic pouvaient enregistrer en clair le jeton d’accès Docker Hub de l’utilisateur connecté. Une personne ayant accès à ces fichiers pouvait utiliser le jeton valide pour lir…
Source : NVD — CVE-2026-123082