Les sujets à surveiller, en un regard.
191 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 15 sujet(s) en rouge, 3 en orange.
Shopify
Vérification incomplète
Une source consultée rapporte une extension, datée du 11 novembre 2026, des exigences de liste d’autorisation IP de Shopify pour certaines applications personnalisées. Les résultats de recherche du changelog officiel montrent également des changements Shopify datés du 11 novembre, mais ne suffisent pas à confirmer davantage les détails de cet événement. Aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Wix
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de vulnérabilité, d’avis de sécurité ou d’incident concernant Wix (l’entreprise ou ses services) dans la période demandée. Le candidat porte sur un paquet npm malveillant dont le nom contient « wix », mais les éléments consultés ne démontrent pas qu’il s’agit d’un produit Wix ni qu’il existe un lien avec l’entreprise.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal pour la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00 n’a pas fait ressortir de vulnérabilité, d’avis ou de correctif de sécurité, d’exploitation, ni de changement substantiel daté dans cette fenêtre parmi les résultats consultés. Les résultats relatifs à Solocal repérés ne documentent pas un événement de sécurité répondant aux critères.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée à Craft CMS n’a pas établi de nouvel avis, correctif, exploitation ou changement substantiel daté de la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Le candidat concerne une modification de fiche NVD, tandis que les éléments disponibles situent la publication de la vulnérabilité avant cette période; aucune preuve consultée ne montre un événement substantiel survenu pendant la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié, dans les sources consultées, de nouveauté Ghost correspondant à la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Le candidat fourni concerne Hickory DNS, et non le projet Ghost.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Aucun événement Strapi admissible n’a été vérifié dans la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. La vulnérabilité CVE-2026-27886 et son avis Strapi sont antérieurs à cette période; la modification de la fiche NVD, à elle seule, ne démontre pas un changement substantiel. La version 5.62.0 mentionne un correctif de sécurité, mais sa publication est datée du 12 novembre, après la borne de fin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Vérification incomplète
Une fiche CVE portant sur Directus a été publiée dans la période. Le défaut et son correctif avaient déjà fait l’objet d’un avis Directus en août 2026 ; aucun nouvel avis du projet daté de la période n’est établi par les sources consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
OpenCart
Recherche du sujet effectuée
La recherche dédiée sur OpenCart n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité ni de changement substantiel daté entre le 2026-11-11T00:00:00+02:00 et le 2026-11-12T00:00:00+02:00. Les résultats consultés signalent des vulnérabilités antérieures à cette période, qui ne sont pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel cPanel daté dans la période demandée. Le journal cPanel consulté indique une mise à jour non liée à la sécurité le 2026-11-11; les avis de sécurité visibles dans la section cPanel consultée portent sur des dates antérieures.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif de sécurité ou changement substantiel concernant Ruby daté dans la période demandée. Les avis de sécurité Ruby visibles sur les pages officielles consultées sont datés du 27 août 2026 ou antérieurement; les entrées GitHub repérées pour le 11 novembre ne sont pas des avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité du dépôt officiel Bun et des résultats concernant les publications et vulnérabilités Bun. Les avis Bun repérés étaient publiés en octobre 2026, et les résultats pour le 11 novembre ne documentaient pas de nouvel avis ou correctif de sécurité Bun daté de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Aucun avis ou événement de sécurité Deno répondant aux critères n’a été identifié dans les résultats consultés pour la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les avis de sécurité Deno repérés dans le registre GitHub étaient datés d’autres jours; les éléments Deno datés du 11 novembre repérés dans le dépôt n’établissaient pas, à eux seuls, un événement de sécurité admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Vérification incomplète
La liste de la Go Vulnerability Database présente onze avis concernant la chaîne d’outils Go, tous indiqués comme publiés le 11 novembre 2026 et associés à des risques de compilation ou d’édition de liens, principalement autour de cgo. Aucun candidat n’a été fourni; les versions corrigées, scores CVSS et état d’exploitation ne sont pas établis par les informations consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kotlin
Recherche du sujet effectuée
Aucun avis de sécurité, correctif de sécurité, nouvel événement d’exploitation ou changement substantiel concernant Kotlin n’a été vérifié pour la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les avis GitHub consultés n’en affichent aucun; les éléments trouvés sur les versions et commits de Kotlin ne signalent pas d’événement de sécurité correspondant à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité publiée pendant la période concerne MQTTX Desktop, application utilisant Electron. Les sources consultées ne l’identifient pas comme une vulnérabilité du projet Electron lui-même ; aucun avis de sécurité Electron publié dans la période n’a été trouvé dans les résultats consultés.
XSS stockée dans MQTTX Desktop via le renderer Electron
MQTTX Desktop jusqu’à la version 1.13.3 présente une faille XSS stockée : des noms de topics ou contenus MQTT malveillants peuvent exécuter un script dans le renderer Electron lorsque l’utilisateur survole certains éléments. La faille concerne MQTTX et son utilisation d’Electron, pas le projet Electron lui-même ; la recherche n’a pas permis de confirmer une version corrigée.
jQuery
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a relevé huit avis NVD publiés le 2026-11-11 concernant Kendo UI for jQuery, composant associé au sujet jQuery. Les éléments fournis indiquent des défauts d’injection de JavaScript ou de balisage dans plusieurs widgets et des correctifs en 2026.4.1110 ou 2026.4.1111 selon la CVE; aucune exploitation active n’est établie par les informations consultées. Six vulnérabilités XSS dans différents widgets de Kendo UI for jQuery ont des fiches NVD publiées le 2026-11-11, avec des correctifs indiqués dans les versions 2026.4.1110 ou 2026.4.1111 selon le cas.
Kendo UI for jQuery : injection JavaScript via spriteCssClass
Une injection de balisage dans les widgets TabStrip, PanelBar et Menu de Kendo UI for jQuery peut permettre l’exécution de JavaScript dans l’origine de l’application lorsque des données contrôlées par l’attaquant sont rendues. Les versions antérieures à 2026.4.1111 sont concernées ; mettre à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Kendo UI for jQuery ActionSheet : injection JavaScript dans les libellés
Dans ActionSheet, Kendo UI for jQuery ne encode pas certains libellés avant leur rendu, ce qui peut permettre à un attaquant qui les contrôle d’injecter du balisage exécuté comme JavaScript à l’ouverture du composant. Les versions 2026.3.1014 à 2026.4.1110 exclue sont concernées ; mettre à jour vers 2026.4.1110 ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery : exécution de JavaScript pendant l’assainissement des SVG
La fonction `sanitizeSvgContent()` de Kendo UI for jQuery analyse le balisage d’icône personnalisé dans le DOM avant de le filtrer, ce qui peut déclencher du JavaScript avant la suppression d’un élément dangereux. Le problème est corrigé dans la version 2026.4.1110 ; mettre à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery Grid et TreeList : injection JavaScript lors du réordonnancement des colonnes
Dans Kendo UI for jQuery, le réordonnancement des colonnes de Grid et TreeList réinterprète le texte d’en-tête comme du HTML, ce qui peut permettre l’exécution de JavaScript si un attaquant contrôle le champ ou le titre utilisé. Les versions 2026.3.1015 à 2026.4.1110 exclue sont concernées ; mettre à jour vers 2026.4.1110 ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery PivotGrid : injection JavaScript dans les puces d’axe
Les noms de champs d’axe de PivotGrid et PivotConfigurator dans Kendo UI for jQuery ne sont pas correctement encodés avant leur insertion dans un modèle de puce, ce qui peut permettre l’exécution de JavaScript. Les versions 2026.3.1015 à 2026.4.1110 exclue sont concernées ; mettre à jour vers 2026.4.1110 ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery : exécution de JavaScript dans PropertyGrid
Kendo UI for jQuery ne neutralise pas par défaut certaines valeurs de propriétés et descriptions affichées par PropertyGrid. Une valeur contrôlée par un attaquant peut exécuter du JavaScript dans le navigateur de la personne qui consulte la grille.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Injection de balisage dans DropDownButton et SplitButton
Les widgets DropDownButton et SplitButton de Kendo UI for jQuery pouvaient laisser injecter du balisage, y compris des gestionnaires d’événements, via les attributs id et target de leurs éléments. Un attaquant capable d’influencer ces valeurs pouvait provoquer l’exécution de JavaScript dans le navigateur d’un utilisateur.
Action recommandée : Mettre à niveau vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Kendo UI for jQuery : injection JavaScript dans l’initialisation déclarative
Une vulnérabilité dans Kendo UI for jQuery permet une injection JavaScript lors de l’initialisation déclarative de widgets si un attaquant peut contrôler certaines valeurs `data-*` invalides. Les versions antérieures à 2026.4.1111 sont concernées ; mettre à jour vers la version corrigée.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Laravel
Vérification incomplète
La recherche a relevé deux avis Laravel publiés le 2026-11-11 concernant le contournement de l’expiration des URL signées temporaires. Le candidat CVE-2026-65973 concerne Laradocs, projet distinct, et non une vulnérabilité de Laravel lui-même.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Svelte
Recherche du sujet effectuée
La recherche web dédiée n’a vérifié aucun avis ni événement de sécurité concernant le projet Svelte pendant la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Le candidat fourni porte sur Open WebUI et CVE-2026-44568 : la fiche indique une publication en mai 2026 et décrit une vulnérabilité d’Open WebUI, non une faille du projet Svelte; son composant AccountPending.svelte n’en fait pas un avis Svelte.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La fiche candidate concerne CVE-2026-118515, mais l’avis officiel Symfony et la publication de la vulnérabilité sont datés du 4 novembre 2026, hors de la période demandée. Les éléments consultés ne montrent pas qu’une mise à jour NVD du 11 novembre corresponde à un changement substantiel dans cette période; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée sur Flask n’a vérifié aucun avis ou changement de sécurité concernant Flask daté de la période demandée. Les deux candidats fournis concernent CKAN et MLflow, et non Flask comme sujet vulnérable.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de nouvel avis, correctif ou événement de sécurité concernant le projet Django dans la période demandée. Les éléments candidats portent sur Pulpcore ou Wagtail, et non sur Django lui-même; les dates d’origine des avis Wagtail sont antérieures à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvelle vulnérabilité, d’avis ou de correctif concernant FastAPI daté de la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les résultats trouvés pour fastapi-code-generator concernent des avis publiés hors de cette période; ils ne sont pas attribués au projet FastAPI lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche a identifié GHSA-w7c4-444m-w3r7, publié le 2026-11-11 à 16:03:42Z, au sujet du paquet npm express-helmet. Il s’agit d’un paquet distinct du projet Express.js : aucun avis ou correctif concernant Express.js lui-même n’a été retenu dans la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif/avis de sécurité, exploitation ou mise à jour substantielle de sécurité NestJS datée du 2026-11-11 n’a été vérifiée dans les sources consultées. Les avis NestJS trouvés sont antérieurs à la période; une version publiée le 2026-11-12 est après la borne de fin et est exclue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié, dans la période du 2026-11-11 au 2026-11-12T00:00:00+02:00, des publications NVD concernant hMailServer dans des configurations MySQL/MariaDB et Keycloak en déploiement multi-nœuds avec MySQL/MariaDB. L’avis de sécurité MySQL Community consulté indique une publication antérieure, datée du 2026-10-20, hors de la période ; aucun nouvel avis MySQL propre au produit n’a été identifié dans les résultats consultés pour cette fenêtre. Aucun élément du lot n’établit une vulnérabilité, un correctif ou un changement substantiel concernant le produit MySQL dans la période demandée.
hMailServer : chargement non sûr de plugins avec une base MySQL ou MariaDB
hMailServer sous Windows peut charger une DLL malveillante depuis un chemin de plugins mal interprété lorsque son dossier d’installation contient certains caractères non ASCII et qu’il utilise MySQL ou MariaDB. Le défaut concerne hMailServer 6.2.3 à 6.3.7 ; la version corrective indiquée dans le candidat est 6.3.8.
Action recommandée : Mettre à jour hMailServer vers 6.3.8 ou une version ultérieure corrigée.
hMailServer : interprétation erronée du fichier CA avec un client MySQL sous Windows
Dans certaines configurations Windows d’hMailServer avec une base MySQL, un nom de fichier de certificat CA contenant des caractères non ASCII peut être interprété par OpenSSL comme désignant un autre fichier. Un attaquant local pouvant créer ce fichier et intercepter la connexion à la base peut faire confiance à sa propre autorité de certification et lire ou modifier le trafic, notamment le mot de passe de base de données.
Action recommandée : Vérifier la configuration TLS et le client MySQL utilisés ; appliquer une version hMailServer corrigée dès qu’elle est disponible.
hMailServer : fichier CA non transmis au client MySQL/MariaDB
Avec MySQL ou MariaDB, hMailServer 6.3.4 à 6.3.7 peut ne pas transmettre au client de base le fichier CA configuré lorsque son nom contient certains caractères non ASCII. La vérification TLS peut alors s’appuyer sur d’autres autorités de confiance que prévu, ce qui expose la connexion à une interception dans les conditions décrites par l’avis.
Action recommandée : Mettre à jour hMailServer lorsqu’un correctif est disponible et vérifier que le nom du fichier CA ne déclenche pas le défaut ; ne pas considérer le journal comme preuve suffisante de validation du certificat.
hMailServer : validation TLS insuffisante sur connexions locales à MySQL/MariaDB
Avec MySQL ou MariaDB et TlsMode=verify-full sans fichier TlsCaFile, hMailServer peut ne pas vérifier l’émetteur ni le nom du certificat sur des connexions que MariaDB Connector/C traite comme locales. Un attaquant local capable de se faire passer pour le serveur de base peut alors recevoir les identifiants et intercepter ou modifier le trafic.
Action recommandée : Mettre à jour hMailServer lorsqu’un correctif est disponible et éviter les connexions locales sans fichier CA explicite en mode verify-full.
hMailServer : injection SQL dans la couche base de données avec MySQL/MariaDB
La couche base de données d’hMailServer 6.0.0-B1 à 6.2.18 construit certaines requêtes SQL sans lier correctement les paramètres sur MySQL/MariaDB. Un utilisateur authentifié pouvant envoyer du courrier, et dans certains scénarios un expéditeur distant non authentifié, peut modifier la requête exécutée par le compte de base de données du serveur.
Action recommandée : Mettre à jour hMailServer vers une version corrigée et limiter les privilèges du compte MySQL/MariaDB utilisé par le serveur.
hMailServer : contournement possible des protections de connexion avec MySQL
hMailServer peut appliquer les protections de verrouillage ou de mise en attente au nom d’utilisateur fourni, mais authentifier ensuite un compte que la comparaison de la base MySQL considère équivalent sous une autre graphie. Cela peut permettre de contourner des seuils de tentatives ou d’accéder à un compte placé en attente, selon les conditions décrites dans l’avis.
Action recommandée : Mettre à jour hMailServer lorsqu’un correctif est disponible et examiner les règles de comparaison de noms de comptes de la base.
hMailServer : échec possible de l’auto-blocage avec MySQL/MariaDB
Dans hMailServer 6.2.0 à 6.3.3 avec MySQL ou MariaDB, certains noms d’utilisateur contenant des caractères hors du plan multilingue de base peuvent empêcher l’enregistrement d’une règle d’auto-blocage après des échecs d’authentification. L’adresse source n’est alors pas bannie et peut continuer les tentatives selon le mécanisme décrit.
Action recommandée : Mettre à jour hMailServer lorsqu’un correctif est disponible et surveiller les échecs d’enregistrement de règles d’auto-blocage dans les journaux.
hMailServer : contournement de l’auto-blocage avec MySQL/MariaDB
Une erreur dans la génération et la sauvegarde des noms de règles d’auto-blocage d’hMailServer 6.0.0-B1 à 6.3.7 peut faire échouer de nouveaux bannissements, notamment avec des noms d’utilisateur longs ou contenant certains caractères. Avec MySQL/MariaDB, les échecs concernés peuvent laisser l’adresse source libre de poursuivre des tentatives de connexion.
Action recommandée : Mettre à jour hMailServer lorsqu’un correctif est disponible et examiner les journaux pour repérer les échecs d’enregistrement des règles d’auto-blocage.
hMailServer : erreurs d’écriture SQL masquées avec MySQL/MariaDB
La couche SQL d’hMailServer peut interpréter un marqueur destiné à ignorer certaines erreurs dans des données provenant de l’extérieur ; la conséquence est qu’une écriture échouée peut être signalée comme réussie. Pour MySQL/MariaDB, le défaut de marqueur est indiqué jusqu’à la version 6.2.18 et peut notamment perturber l’écriture des files de messages ou des règles d’auto-blocage.
Action recommandée : Mettre à jour hMailServer lorsqu’un correctif est disponible et contrôler les files de messages ainsi que les journaux de base de données.
Keycloak : blocage de comptes sous charge concurrente avec MySQL/MariaDB
Keycloak en configuration multi-nœuds avec base MySQL ou MariaDB peut entrer dans une boucle répétitive lorsqu’il traite simultanément plusieurs échecs de connexion pour un même compte. Le dossier de l’utilisateur peut alors rester verrouillé en base, bloquant des connexions légitimes et affectant l’exactitude de la protection contre les attaques par force brute.
Action recommandée : Vérifier si le déploiement est multi-nœuds avec MySQL/MariaDB et suivre les avis Keycloak pour appliquer le correctif correspondant.
PostgreSQL
Recherche du sujet effectuée
Aucune nouveauté de sécurité vérifiée pour PostgreSQL dans la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. L’avis de sécurité du projet PostgreSQL repéré est daté du 2026-11-12, donc postérieur à la borne de fin; les autres candidats concernent hMailServer ou CKAN, ou sont des mises à jour NVD de vulnérabilités antérieures sans changement substantiel vérifié. Aucun événement nouveau, avis de sécurité, correctif, exploitation ou changement substantiel concernant PostgreSQL n’est établi pour la période demandée à partir des candidats fournis. Les fiches PostgreSQL concernées ont été publiées le 2026-05-14 ; les candidats indiquent une mise à jour NVD le 2026-11-11, sans élément établissant un changement substantiel. Le candidat restant concerne ManageEngine DDI Central et ses dates de publication et de mise à jour sont antérieures à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Vérification incomplète
La recherche dédiée a repéré des avis MongoDB et des fiches CVE publiés le 10 novembre 2026, avant la période demandée, qui commence le 11 novembre 2026 à 00:00 (+02:00). Aucun événement répondant aux critères de date et de périmètre n’a été vérifié pour cette période. Aucun candidat ne documente un événement admissible dans la période demandée : les dates de publication et de mise à jour fournies sont antérieures au 2026-11-11T00:00:00+02:00. Les quatre fiches NVD indiquent une mise à jour le 2026-11-11 après minuit (+02:00), mais les éléments fournis ne permettent pas de déterminer si ces modifications étaient substantielles ou administratives. Leur publication est antérieure à la période retenue; aucune vulnérabilité nouvelle ou mise à jour substantielle datée de cette période n’est donc vérifiable à partir de ce lot seul.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Redis
Recherche du sujet effectuée
La recherche dédiée a relevé une mention d’un correctif Redis pour CVE-2026-111497 dans des notes de version de novembre 2026, mais les éléments consultés ne permettent pas d’établir que l’annonce ou le correctif date de la période demandée. Aucun élément n’est donc retenu pour cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
Aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel concernant Caddy n’a été vérifié comme daté de la période demandée (du 2026-11-11T00:00:00+02:00 inclus au 2026-11-12T00:00:00+02:00 exclu). Les avis Caddy affichés dans les sources consultées sont datés du 2026-11-04, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche web dédiée a relevé des avis de sécurité SvelteKit publiés avant la période demandée et une version publiée le 2026-11-10, mais aucun élément consulté ne permet d’établir une vulnérabilité, un avis de sécurité, une exploitation ou un changement substantiel daté du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. La vérification ne conclut donc pas à l’absence de nouveautés au-delà des sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel n’a pas identifié de nouvelle vulnérabilité, d’avis ou de changement de sécurité pertinent daté dans la période demandée. Le résultat trouvé concernant Ubuntu référence CVE-2023-45133, une vulnérabilité antérieure; son avis porte la date du 11 novembre 2026, mais le message est daté du 12 novembre 2026 à 12:10:55 UTC, après la borne de fin du 11 novembre à 22:00 UTC. La version Babel publiée le 11 novembre est une mise à jour ordinaire sans indication de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucun avis ou événement de sécurité concernant Elasticsearch daté de la période demandée n’a été vérifié dans les résultats consultés. Un résultat du 12 novembre concernant le connecteur Elasticsearch de Grafana a été écarté : il porte sur Grafana, et se situe après la borne de fin du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Vérification incomplète
Un avis de sécurité publié le 2026-11-11 concerne rabbitmq-c (librabbitmq) et CVE-2026-44236. Il signale un dépassement de tampon sur le tas pouvant provoquer un déni de service et indique une mise à jour corrigée pour les paquets Red Hat concernés.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Memcached
Recherche du sujet effectuée
La recherche web dédiée à Memcached n’a fait apparaître aucun avis, correctif, événement d’exploitation ou changement substantiel dont la date retenue tombe dans la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les éléments de sécurité Memcached repérés sont antérieurs à cette fenêtre; ils ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a relevé quatre nouvelles publications de vulnérabilités liées à GraphQL dans Probo datées du 2026-11-11 : CVE-2026-63505, CVE-2026-64861, CVE-2026-76078 et CVE-2026-76080. Elles concernent respectivement une lecture inter-organisation de risques, une consommation excessive de ressources, l’altération de signatures et l’exposition de données du Trust Center. Les mises à jour NVD ultérieures ou administratives n’ont pas été considérées comme de nouvelles vulnérabilités. Le candidat fourni décrit une vulnérabilité de contrôle d’accès dans l’API GraphQL publique du Trust Center de Probo, publiée pendant la période et corrigée en version 0.224.0.
Probo : lecture inter-organisation de risques via l’API GraphQL
Un membre authentifié d’une organisation pouvait associer à un Finding un risque appartenant à une autre organisation, puis en lire les informations sensibles. La référence inter-organisation pouvait aussi empêcher la suppression du risque ; mettre à jour Probo vers la version 0.223.1 ou ultérieure.
Action recommandée : Mettre à jour Probo vers 0.223.1 ou une version ultérieure.
Probo : déni de service par requêtes GraphQL coûteuses
L’API GraphQL de Probo ne limitait pas suffisamment le nombre d’alias, la profondeur ou la complexité des requêtes. Une requête contenant de nombreux appels de résolveurs pouvait consommer excessivement les ressources et dégrader le service ; mettre à jour vers Probo 0.222.0 ou ultérieur.
Action recommandée : Mettre à jour Probo vers 0.222.0 ou une version ultérieure.
Probo : exposition de données du Trust Center via GraphQL
L’accès non authentifié à Query.node(id:) pouvait exposer des objets d’autres organisations, notamment des audits, frameworks et informations de tiers, sans vérifier leur appartenance au Trust Center ni leur visibilité publique. Mettre à jour Probo vers 0.224.0 ou ultérieur.
Action recommandée : Mettre à jour Probo vers 0.224.0 ou une version ultérieure.
Probo : altération de signatures électroniques via GraphQL
Dans le Trust Center public, un visiteur authentifié disposant de l’identifiant d’une signature pouvait la faire accepter au nom d’un autre signataire ou injecter des événements dans son journal d’audit. Mettre à jour Probo vers 0.224.0 ou ultérieur.
Action recommandée : Mettre à jour Probo vers 0.224.0 ou une version ultérieure.
WooCommerce
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée a relevé huit CVE publiées pendant la période concernant des extensions WooCommerce, ainsi qu’un avis du projet recommandant la mise à jour de WooCommerce Stripe Gateway vers 11.2.0 ou 11.1.2. Aucun détail de correctif n’a été établi pour les CVE concernées, sauf la version 4.3.6 pour CVE-2026-123134. Le candidat CVE-2026-89324 concerne Basel Post Types, et non un produit WooCommerce; sa dépendance fonctionnelle à WooCommerce ne suffit pas à le rattacher au sujet demandé. Dix fiches NVD relatives à WooCommerce ou à ses extensions ont été publiées le 2026-11-11 dans la période demandée. Elles concernent des contrôles d’autorisation insuffisants, des divulgations d’informations, des manipulations de prix ou de valeur de cartes cadeaux, ainsi que deux vulnérabilités XSS stockées. Quatre nouvelles fiches NVD publiées durant la période concernent des extensions WooCommerce; une autre concerne le module WooCommerce Virtual POS et décrit une vulnérabilité critique corrigée en version 26.9.1. Les candidats correspondant à des mises à jour de fiches NVD antérieurement publiées sont exclus, car les informations fournies ne démontrent pas de changement substantiel daté dans la période. Aucun événement de sécurité WooCommerce répondant aux critères n’a pu être vérifié à partir de ce lot : les candidats sont signalés comme des mises à jour NVD, sans preuve fournie d’un changement substantiel ni d’un nouvel avis ou correctif pendant la période.
Printaura-Woocommerce : accès non authentifié aux routes REST WooCommerce
Le plugin laisse les routes de l’API REST WooCommerce accepter des requêtes non authentifiées, permettant notamment la lecture et la modification de données de la boutique, de commandes, de renseignements personnels, de réglages et de webhooks. Printaura-Woocommerce est concerné jusqu’à la version 4.0.2 incluse ; aucune version corrigée n’est indiquée dans les informations fournies.
Action recommandée : Vérifier la disponibilité d’un correctif auprès de l’éditeur et empêcher l’accès non authentifié aux routes exposées en attendant.
CVE-2026-123695 — génération et récupération non autorisées de jetons de connexion
La fiche NVD publiée le 11 novembre 2026 décrit une absence de contrôle d’accès dans plusieurs routes REST API de Security For WooCommerce, permettant à des visiteurs non authentifiés de générer puis récupérer des jetons de connexion pour n’importe quel compte, y compris administrateur. La version concernée va jusqu’à 1.0.16 incluse ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-85632 : contournement d’authentification dans WooCommerce Virtual POS Module
WooCommerce Virtual POS Module présente une vulnérabilité combinant une absence d’authentification pour une fonction critique et une validation incorrecte de l’intégrité, dans les versions 26.8.3 à celles antérieures à 26.9.1. La description indique un contournement de l’authentification et une manipulation de messages API par un attaquant en position d’interception; la version corrective indiquée est 26.9.1.
Action recommandée : Mettre à jour le module vers la version 26.9.1.
CVE-2026-123696 — réinitialisation non autorisée de l’enrôlement 2FA
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de réinitialiser l’enrôlement à l’authentification à deux facteurs d’un compte quelconque, ou de tous les comptes. La version concernée va jusqu’à 1.0.16 incluse ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123697 — accès non autorisé aux données 2FA
La fiche NVD publiée le 11 novembre 2026 décrit un défaut d’autorisation dans Security For WooCommerce permettant à des visiteurs non authentifiés de demander le code ou le secret 2FA courant de n’importe quel utilisateur. Selon la fiche, cela peut contourner le second facteur lorsque la bibliothèque OTP du plugin est disponible ; la version concernée va jusqu’à 1.0.16 incluse, sans correctif précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123700 — suppression non autorisée des commentaires
La fiche NVD publiée le 11 novembre 2026 décrit des actions de nettoyage des commentaires dans Security For WooCommerce dépourvues de vérification d’autorisation. Un visiteur non authentifié peut supprimer définitivement tous les commentaires, y compris ceux approuvés et les notes de commande WooCommerce ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Smoove abandoned cart trigger for WooCommerce : XSS persistante
Smoove abandoned cart trigger for WooCommerce, avant la version 4.3.6, n’assainit ni n’échappe les données de panier abandonné soumises par les visiteurs avant leur affichage dans le tableau de bord d’administration. Un utilisateur non authentifié peut ainsi provoquer une attaque XSS persistante visant les administrateurs ; mettre à jour le plugin vers la version 4.3.6 ou ultérieure.
Action recommandée : Mettre à jour Smoove abandoned cart trigger for WooCommerce vers la version 4.3.6 ou ultérieure.
CVE-2026-123701 — réinitialisation non autorisée des paramètres de sécurité
La fiche NVD publiée le 11 novembre 2026 indique que Security For WooCommerce autorise sans vérification l’exécution d’une réinitialisation de ses paramètres. Un attaquant non authentifié peut rétablir des sections de configuration par défaut et désactiver des protections telles que l’URL de connexion personnalisée, la 2FA, reCAPTCHA, les règles de mot de passe ou le pare-feu ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123702 — régénération non autorisée des clés et sels
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de régénérer les clés secrètes et sels du fichier de configuration du site. Cela peut déconnecter tous les utilisateurs et, dans certaines conditions décrites par la fiche, corrompre la configuration et rendre le site indisponible ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123703 — clôture non autorisée de sessions utilisateur
La fiche NVD publiée le 11 novembre 2026 décrit une fonction de Security For WooCommerce qui met fin aux sessions d’un utilisateur sans vérifier l’autorisation du demandeur. Un visiteur non authentifié peut ainsi déconnecter n’importe quel utilisateur, y compris un administrateur, et répéter l’action ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123704 — divulgation des adresses électroniques des administrateurs
La fiche NVD publiée le 11 novembre 2026 rapporte qu’une route REST API de Security For WooCommerce permet à des visiteurs non authentifiés de récupérer les adresses électroniques de tous les administrateurs du site. La version concernée va jusqu’à 1.0.16 incluse ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Security For WooCommerce : divulgation d’informations via une route REST
La route REST du plugin Security For WooCommerce divulgue sans authentification un rapport détaillé sur la configuration du serveur, de PHP et de WordPress, ainsi que des informations sur le plugin et l’adresse e-mail de l’administrateur. Les versions jusqu’à 1.0.16 sont concernées ; aucune version corrigée ni mesure corrective n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; à défaut, limiter l’accès à la route REST concernée.
YITH WooCommerce Gift Cards : valeur de carte-cadeau supérieure au montant payé
YITH WooCommerce Gift Cards ne rapproche pas la valeur de la carte-cadeau émise du montant réellement payé lorsque l’achat bénéficie d’une remise, ce qui peut accorder une carte d’une valeur supérieure au paiement. Les versions jusqu’à 4.39.0 sont concernées ; aucune version corrigée ni mesure corrective n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et vérifier les achats de cartes-cadeaux réalisés avec des coupons.
Advanced Product Fields : contournement du supplément d’une option payante
Advanced Product Fields (Product Addons) for WooCommerce ne vérifie pas qu’une valeur soumise pour une option payante obligatoire correspond à un choix configuré, ce qui permet d’éviter le supplément associé. Les versions 1.6.22 à 1.7.3 sont concernées ; aucune version corrigée ni mesure corrective n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et contrôler les commandes potentiellement concernées.
WPS Bookings for WooCommerce : prix modifiable par un utilisateur non authentifié
La version vulnérable du plugin WPS Bookings for WooCommerce ne vérifie pas le prix fourni par l’utilisateur avant de l’appliquer au produit. Un utilisateur non authentifié peut ainsi acheter un service réservable au prix de son choix, y compris gratuitement.
Action recommandée : Mettre à jour vers la version 3.13.1 ou une version ultérieure.
Delivery & Pickup Date Time for WooCommerce : XSS stockée
Delivery & Pickup Date Time for WooCommerce présente une vulnérabilité de type XSS stockée. Les versions jusqu’à 1.3.90 incluse sont indiquées comme affectées; aucune version corrigée n’est précisée dans les informations fournies.
Action recommandée : Vérifier la disponibilité d’une version corrigée et la déployer dès qu’elle est publiée.
YITH WooCommerce Ajax Search : XSS stockée
YITH WooCommerce Ajax Search présente une vulnérabilité de type XSS stockée. Les versions jusqu’à 2.30.0 incluse sont indiquées comme affectées; aucune version corrigée n’est précisée dans les informations fournies.
Action recommandée : Vérifier la disponibilité d’une version corrigée et la déployer dès qu’elle est publiée.
XSS réfléchie dans Product Filter for WooCommerce by WBW
Le module Product Filter for WooCommerce by WBW est vulnérable à une XSS réfléchie via le paramètre `text_no_products`. Un attaquant non authentifié peut tenter de faire exécuter un script dans le navigateur d’une personne qui suit un lien piégé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier les avis du développeur du module.
CVE-2026-123698 — exposition non authentifiée des paramètres du plugin
La fiche NVD publiée le 11 novembre 2026 rapporte qu’une route REST API de Security For WooCommerce expose sans authentification les paramètres complets du plugin. Ceux-ci peuvent inclure des clés secrètes configurées et l’URL de connexion masquée ; la version concernée va jusqu’à 1.0.16 incluse, sans correctif précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123699 — déclenchement non autorisé de mises à jour groupées
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de déclencher des mises à jour groupées du plugin et de WordPress sans autorisation. La version concernée va jusqu’à 1.0.16 incluse ; les données fournies ne précisent ni correctif ni contournement.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-124261 : contrôle d’accès manquant dans Taxi Booking Manager for WooCommerce
Une vulnérabilité de contrôle d’accès manquant affecte Taxi Booking Manager for WooCommerce jusqu’à la version 2.1.7 incluse. La fiche NVD indique un score CVSS de 5,3; aucune version corrigée ni mesure d’atténuation n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
CVE-2026-125431 : contrôle d’accès manquant dans Food Menu for WooCommerce
Une vulnérabilité de contrôle d’accès manquant affecte Food Menu – Restaurant Menu & Online Ordering for WooCommerce jusqu’à la version 6.0.7 incluse. La fiche NVD indique un score CVSS de 5,3; aucune version corrigée ni mesure d’atténuation n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
CVE-2026-125746 : XSS dans Back In Stock Notifier for WooCommerce
Une vulnérabilité de type XSS affecte Back In Stock Notifier for WooCommerce jusqu’à la version 7.5.2 incluse. La fiche NVD qualifie le problème d’injection de code et donne un score CVSS de 5,3; les informations fournies ne précisent ni version corrigée ni scénario d’exploitation plus détaillé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
Simple:Press
Recherche du sujet effectuée
Les sources consultées présentent des vulnérabilités et correctifs Simple:Press antérieurs à la période demandée, mais aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Docker et aux sources pertinentes n’a pas vérifié de nouvel avis ou correctif propre à Docker daté de la période demandée. Le candidat blueprintUE concerne sa configuration applicative Docker Compose, et les candidats Gotenberg concernent un autre produit; leurs dates ne constituent pas un événement de sécurité Docker dans cette période. Aucune vulnérabilité, aucun avis de sécurité ni changement substantiel concernant Docker n’est établi par les candidats fournis pour la période indiquée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a vérifié une nouvelle publication de sécurité dans la période : CVE-2026-121374 concerne l’agent spécial Kubernetes de Checkmk. Les autres candidats correspondent à des fiches publiées avant la période et à des dates de mise à jour NVD ; les informations consultées ne montrent pas qu’ils constituent de nouveaux avis ou des changements substantiels datés de la période.
CVE-2026-121374 — Injection d’arguments dans l’agent spécial Kubernetes de Checkmk
Une injection d’arguments dans l’agent spécial Kubernetes de Checkmk permet à un utilisateur autorisé à modifier des règles dans au moins un dossier d’écrire des fichiers à des emplacements accessibles au compte du site, pouvant conduire à l’exécution de code sous ce compte. Les versions concernées sont Checkmk 2.5.0 antérieures à p19, 2.4.0 antérieures à p40 et 2.3.0 ; appliquer le correctif disponible ou migrer depuis la branche en fin de vie.
Action recommandée : Mettre à niveau Checkmk vers 2.5.0p19 ou 2.4.0p40, selon la branche utilisée ; migrer depuis la version 2.3.0 en fin de vie.
Linux (noyau)
Vérification incomplète
Une alerte datée du 11 novembre 2026 porte sur CVE-2026-98432, une vulnérabilité du noyau Linux dans le traitement TCP IPv4, et rapporte un exploit ciblant des écouteurs MPTCP. Les dix candidats fournis sont des entrées NVD publiées en avril ou mai 2026 dont la date de mise à jour affichée est le 11 novembre; aucun changement substantiel daté de la période n’a été établi à partir des informations fournies. Aucune nouveauté admissible n’est établie par les éléments fournis pour le 11 novembre 2026. Les dix candidats sont des fiches NVD dont la date de publication indiquée est le 1er mai 2026 et dont la seule date d’événement dans la période est une mise à jour NVD ; aucun changement substantiel daté de la période n’est documenté. Aucun événement Linux (noyau) admissible n’est établi dans ce lot pour la période demandée : les candidats indiquent des vulnérabilités publiées en mai 2026 et leur seule date située dans la période est une mise à jour NVD, sans preuve d’un changement substantiel daté de cette période. Les dix candidats sont des fiches NVD dont la date de mise à jour est dans la période, mais les éléments fournis ne démontrent pas de changement substantiel pendant cette période. Les descriptions de vulnérabilités indiquent une publication antérieure au 11 novembre 2026 ; une simple mise à jour administrative NVD ne suffit pas à les retenir. Aucune nouveauté, aucun avis ni changement substantiel du noyau Linux daté de la période n’est établi par les candidats. Ils indiquent des dates de publication en mai 2026 et des mises à jour NVD le 11 novembre, sans preuve que ces modifications NVD correspondent à un changement substantiel de l’information sur les vulnérabilités. Les candidats fournis sont des fiches NVD publiées le 1er mai 2026 et indiquant une mise à jour…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Les avis Debian datés du 11 novembre 2026 consultés couvrent les mises à jour de sécurité SPIP et OpenEXR. Les avis Debian LTS fournis signalent aussi des correctifs pour aodh, watcher, Octavia, dnspython et rsyslog; les pages LTS n’ont pas été accessibles lors de la consultation, et les versions corrigées ou CVE absentes des résumés ne sont pas inventées. Les trois candidats NVD portent sur des modifications de fiches initialement publiées en mai ou juillet 2026, et non sur des vulnérabilités nouvellement publiées dans la période.
Debian corrige une vulnérabilité de SPIP
Debian a publié DSA-6619-1 pour SPIP, qui corrige CVE-2026-122032. L’avis indique un risque d’exécution de code à distance sans authentification et recommande la mise à niveau du paquet.
Action recommandée : Mettre à niveau SPIP vers la version corrigée indiquée pour la distribution concernée.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-27622
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-27622 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34379
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34379 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34380
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34380 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34543
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34543 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34544
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34544 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34588
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34588 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34589
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34589 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-40244
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-40244 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-40250
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-40250 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-41142
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-41142 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-42216
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-42216 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-42217
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-42217 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-54920
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-54920 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-55059
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-55059 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-55373
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-55373 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59183
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59183 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59184
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59184 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59186
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59186 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59189
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59189 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59981
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59981 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59982
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59982 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59983
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59983 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59984
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59984 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59985
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59985 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-61555
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-61555 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-68515
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-68515 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites lors du traitement d’images malformées, sans préciser dans le texte fourni l’impact propre à cette CVE.
Action recommandée : Mettre à niveau le paquet OpenEXR vers la version corrigée indiquée pour Debian trixie.
Avis Debian LTS pour aodh — DLA-4895-1
L’avis DLA-4895-1 annonce un correctif de sécurité pour aodh, le service d’alertes de télémétrie OpenStack, en raison d’une vulnérabilité pouvant divulguer des informations. La version corrigée et l’identifiant CVE ne figurent pas dans les éléments fournis.
Action recommandée : Appliquer la mise à jour de sécurité DLA-4895-1 après vérification des paquets correctifs dans l’avis Debian.
Avis Debian LTS pour watcher — DLA-4894-1
L’avis DLA-4894-1 annonce un correctif pour plusieurs vulnérabilités de watcher, service OpenStack d’optimisation cloud, pouvant entraîner une divulgation d’informations. Les versions concernées, le correctif précis et les CVE ne sont pas indiqués dans les éléments fournis.
Action recommandée : Appliquer la mise à jour de sécurité DLA-4894-1 après vérification des paquets correctifs dans l’avis Debian.
Avis Debian LTS pour Octavia — DLA-4893-1
L’avis DLA-4893-1 annonce des correctifs pour plusieurs vulnérabilités d’Octavia, le service OpenStack de répartition de charge; le résumé fourni mentionne divulgation d’informations, exécution de code à distance et contournement d’autorisation. Les CVE, versions et correctifs précis ne sont pas indiqués dans les éléments disponibles.
Action recommandée : Appliquer la mise à jour de sécurité DLA-4893-1 après vérification des paquets correctifs dans l’avis Debian.
Debian publie une mise à jour de sécurité pour dnspython
Debian a publié l’avis DLA-4892-1 pour une vulnérabilité de dnspython, bibliothèque DNS pour Python 3, susceptible de provoquer un déni de service. L’avis fourni ne précise ni les versions touchées ni la version corrigée ; consultez l’avis Debian pour déterminer les paquets concernés et appliquer la mise à jour disponible.
Action recommandée : Consulter l’avis Debian et appliquer la mise à jour de sécurité aux systèmes concernés.
Rsyslog — CVE-2026-19654
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de tas via replace() pour CVE-2026-78002 et de débordement de tampon de pile pour CVE-2026-93403; la page d’origine n’a pas pu être consultée pour confirmer les versions corrigées.
Action recommandée : Appliquer la mise à jour DLA-4891-1 et vérifier le paquet corrigé correspondant à la distribution LTS utilisée.
Rsyslog — CVE-2026-61548
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de tas via replace() pour CVE-2026-78002 et de débordement de tampon de pile pour CVE-2026-93403; la page d’origine n’a pas pu être consultée pour confirmer les versions corrigées.
Action recommandée : Appliquer la mise à jour DLA-4891-1 et vérifier le paquet corrigé correspondant à la distribution LTS utilisée.
Rsyslog — CVE-2026-78002
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de tas via replace() pour CVE-2026-78002 et de débordement de tampon de pile pour CVE-2026-93403; la page d’origine n’a pas pu être consultée pour confirmer les versions corrigées.
Action recommandée : Appliquer la mise à jour DLA-4891-1 et vérifier le paquet corrigé correspondant à la distribution LTS utilisée.
Rsyslog — CVE-2026-93403
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de tas via replace() pour CVE-2026-78002 et de débordement de tampon de pile pour CVE-2026-93403; la page d’origine n’a pas pu être consultée pour confirmer les versions corrigées.
Action recommandée : Appliquer la mise à jour DLA-4891-1 et vérifier le paquet corrigé correspondant à la distribution LTS utilisée.
Alpine Linux
Recherche du sujet effectuée
Aucune nouveauté de sécurité Alpine Linux datée de la période demandée n’a été vérifiée. Les résultats trouvés pour OpenSSH/CVE-2026-123158 indiquent un avis Alpine publié le 5 novembre 2026 et une mention d’exploitation le 11 novembre, mais ne permettent pas d’établir qu’un nouvel avis, correctif ou changement substantiel Alpine a été daté dans la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a identifié l’avis Apache HTTP Server 2.4.71, publié le 2026-11-11 et corrigeant trois vulnérabilités distinctes : CVE-2026-106023 dans mod_md, CVE-2026-109163 dans mod_vhost_alias et CVE-2026-119618 dans mod_http2. Les candidats BusyBox httpd et Erlang/OTP inets httpd ne relèvent pas du sujet demandé; les mises à jour de fiches NVD Erlang fournies ne décrivent pas de nouvel événement Apache HTTP Server dans la période. Aucun candidat de ce lot ne concerne Apache HTTP Server : cinq portent sur le serveur HTTP d’Erlang/OTP (inets) et un sur le serveur HTTP BusyBox. Aucun élément n’est retenu pour le sujet demandé.
Apache HTTP Server : exécution de code à distance via une condition de concurrence dans mod_http2
Une condition de concurrence dans mod_http2, dans assign_headers(), peut provoquer une corruption mémoire et mener à l’exécution de code à distance. Sont concernés Apache HTTP Server 2.4.55 à 2.4.70 et, séparément, mod_h2 2.0.8 à 2.0.42; le projet corrige Apache HTTP Server en version 2.4.71.
Action recommandée : Mettre à niveau Apache HTTP Server vers la version 2.4.71 ou une version corrigée fournie par le distributeur; vérifier également la version si mod_h2 est déployé séparément.
Apache HTTP Server : plantage de processus enfant dans mod_md
Une déréférence de pointeur nul dans mod_md pendant le traitement de requêtes HTTP peut faire planter un processus enfant du serveur. Le projet indique que les versions 2.4.30 à 2.4.70 sont concernées et que le correctif est fourni dans la version 2.4.71.
Action recommandée : Mettre à niveau Apache HTTP Server vers la version 2.4.71 ou une version corrigée fournie par le distributeur.
Apache HTTP Server : débordement de tampon dans mod_vhost_alias
Une vulnérabilité de débordement de tampon sur la pile dans mod_vhost_alias a été introduite par le correctif d’une faille antérieure. Elle concerne Apache HTTP Server 2.4.69 et 2.4.70, et le projet fournit le correctif dans la version 2.4.71.
Action recommandée : Mettre à niveau Apache HTTP Server vers la version 2.4.71 ou une version corrigée fournie par le distributeur.
Nginx
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis publié pendant la période concerne nginx-http-flv-module, un module fondé sur Nginx : une requête HTTP/1.0 sans en-tête Host peut provoquer un déni de service. Le correctif indiqué est la version 1.2.14. Aucun élément vérifié ne rattache le candidat Erlang OTP à Nginx.
Déréférencement de pointeur nul dans nginx-http-flv-module
Une requête HTTP/1.0 sans en-tête Host peut provoquer un déréférencement de pointeur nul dans nginx-http-flv-module et faire planter le serveur. Le problème concerne les versions antérieures à 1.2.14; mettre à niveau vers 1.2.14 ou une version ultérieure.
Action recommandée : Mettre à niveau nginx-http-flv-module vers la version 1.2.14 ou ultérieure.
PHP
Vérification incomplète
Une alerte ngCERT datée du 11 novembre 2026 signale CVE-2026-115560, une vulnérabilité potentielle de PHP liée aux sessions et au suivi des téléversements. Les candidats fournis concernent des produits ou extensions développés en PHP, mais pas le langage ou le moteur PHP lui-même, et ne sont donc pas retenus pour le sujet demandé. Aucun candidat fourni ne concerne PHP ou php-fpm : les éléments portent sur des extensions WordPress, Revive Adserver et OWASP CRS. Aucun item relatif au sujet demandé n’est donc retenu. Aucun candidat ne concerne le sujet demandé, PHP ou PHP-FPM. Les candidats portent sur Revive Adserver, Wallos, AVideo ou Online Food Ordering System ; les mentions de PHP dans la description d’une vulnérabilité AVideo ne rendent pas celle-ci pertinente pour le sujet PHP. Aucun candidat ne concerne PHP ou PHP-FPM. Les fiches portent sur des vulnérabilités de produits SourceCodester sans lien établi avec PHP et leur seule date dans la période est une mise à jour NVD; leur publication initiale est antérieure à la période. Aucun candidat ne concerne PHP ou PHP-FPM : les fiches décrivent des vulnérabilités dans des applications distinctes, et leur mise à jour NVD à la date considérée ne constitue pas en elle-même une nouveauté de sécurité concernant PHP. Aucun candidat ne concerne une vulnérabilité du langage PHP ou de PHP-FPM. Les éléments fournis portent sur des applications distinctes, et leurs dates dans la période correspondent à des mises à jour administratives NVD, sans preuve d’un changement substantiel pertinent pour le sujet. Aucun candidat fourni ne permet d’établir une vulnérabilité nouvelle ou un changement substantiel concernant PHP ou PHP-FPM dans la période demandée. Les références à PHP dans des applications tierces ou dans un nom de processus ne…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WordPress
Recherche du sujet effectuée
Niveau relevé : Critique
Dix fiches de vulnérabilité liées à WordPress ont une publication datée de la période demandée, après conversion des horodatages UTC en +02:00. La recherche a aussi trouvé une référence GitHub Advisory pour CVE-2025-15712 et une source de recherche pour CVE-2025-15713; les détails des autres entrées sont rapportés d’après les fiches NVD fournies comme candidates. Aucune information datée après la borne de fin n’a été utilisée pour établir ces événements. Dix fiches NVD relatives à WordPress ont été publiées dans la période demandée. Elles concernent des plugins et signalent notamment des contournements de paiement, des accès non autorisés à des données ou fichiers, ainsi qu’un script intersite stocké ; les mises à jour NVD postérieures à la période n’ont pas été traitées comme des événements de cette période. Les candidats fournis signalent dix vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 2026-11-11 dans la période demandée. Les versions corrigées mentionnées dans les descriptions fournies sont 1.3.1 pour Dynific Addons for Elementor, 34.0.3 pour Contest Gallery, 4.3.6 pour Smush, 1.6.3 pour WP Directory Kit, 3.4.2 pour Limit Login Attempts Security et 1.70 pour Schema & Structured Data for WP & AMP; aucune version corrigée n’est précisée pour les autres plugins. Les candidats retenus correspondent à dix fiches NVD WordPress publiées le 2026-11-11 dans la période demandée. Ils concernent des plugins et décrivent des divulgations de données, XSS, contrôles d’accès insuffisants, téléversement de fichiers et prise de compte; les versions correctives indiquées dans les fiches sont rapportées pour chaque CVE. Les candidats fournis décrivent onze vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 2026-11-11, dans la pér…
Printaura-Woocommerce : accès non authentifié aux routes REST WooCommerce
Le plugin laisse les routes de l’API REST WooCommerce accepter des requêtes non authentifiées, permettant notamment la lecture et la modification de données de la boutique, de commandes, de renseignements personnels, de réglages et de webhooks. Printaura-Woocommerce est concerné jusqu’à la version 4.0.2 incluse ; aucune version corrigée n’est indiquée dans les informations fournies.
Action recommandée : Vérifier la disponibilité d’un correctif auprès de l’éditeur et empêcher l’accès non authentifié aux routes exposées en attendant.
CVE-2026-123695 — génération et récupération non autorisées de jetons de connexion
La fiche NVD publiée le 11 novembre 2026 décrit une absence de contrôle d’accès dans plusieurs routes REST API de Security For WooCommerce, permettant à des visiteurs non authentifiés de générer puis récupérer des jetons de connexion pour n’importe quel compte, y compris administrateur. La version concernée va jusqu’à 1.0.16 incluse ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Contournement d’authentification dans Basel Post Types
Basel Post Types présente un contournement d’authentification lié à une vérification erronée du sel d’authentification, qui retombe sur une valeur statique connue. Selon la fiche candidate, un attaquant non authentifié peut forger un rappel de connexion sociale et obtenir une session au nom d’un utilisateur, y compris un administrateur, si WooCommerce et un fournisseur social Basel sont configurés.
Action recommandée : Désactiver les connexions sociales Basel ou le module si nécessaire, et appliquer une version corrigée dès sa publication.
Pay with a tweet : suppression de fichiers arbitraires par un abonné
Le plugin ne valide pas le chemin de fichier à supprimer et ne restreint pas l’accès aux écrans d’administration concernés, ce qui permet à un utilisateur disposant au moins du rôle Abonné de supprimer des fichiers arbitraires sur le serveur. Pay with a tweet jusqu’à la version 1.0.5 incluse est concerné ; aucune version corrigée n’est indiquée dans les informations fournies.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et limiter l’accès aux fonctions concernées.
Somatic Framework : suppression de fichiers arbitraires par un utilisateur authentifié
L’absence de vérification d’autorisation et de validation du chemin fourni permet à tout utilisateur authentifié, y compris un abonné, de supprimer des fichiers arbitraires sur le serveur. Somatic Framework jusqu’à la version 1.8.14 incluse est concerné ; aucune version corrigée n’est indiquée dans les informations fournies.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et limiter les comptes authentifiés au strict nécessaire.
Ninja Forms – File Uploads : suppression arbitraire de fichiers
Le module complémentaire Ninja Forms – File Uploads peut traiter des chemins de fichiers fournis par le client sans vérifier qu’ils restent dans le répertoire de téléversement attendu. La description indique qu’un attaquant non authentifié peut supprimer des fichiers arbitraires sur le serveur, ce qui peut notamment permettre une prise de contrôle du site si un fichier essentiel est supprimé.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
Téléversement de fichiers PHP et exécution de code dans AskAny
AskAny antérieur à 2.2.0 fait confiance au type de fichier déclaré par le navigateur et ne valide ni l’extension ni le contenu des pièces jointes aux messages. Si les pièces jointes des visiteurs sont activées, un utilisateur non authentifié peut téléverser un fichier PHP et exécuter du code.
Action recommandée : Mettre à jour AskAny vers la version 2.2.0 ou ultérieure.
CVE-2026-123696 — réinitialisation non autorisée de l’enrôlement 2FA
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de réinitialiser l’enrôlement à l’authentification à deux facteurs d’un compte quelconque, ou de tous les comptes. La version concernée va jusqu’à 1.0.16 incluse ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123697 — accès non autorisé aux données 2FA
La fiche NVD publiée le 11 novembre 2026 décrit un défaut d’autorisation dans Security For WooCommerce permettant à des visiteurs non authentifiés de demander le code ou le secret 2FA courant de n’importe quel utilisateur. Selon la fiche, cela peut contourner le second facteur lorsque la bibliothèque OTP du plugin est disponible ; la version concernée va jusqu’à 1.0.16 incluse, sans correctif précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123700 — suppression non autorisée des commentaires
La fiche NVD publiée le 11 novembre 2026 décrit des actions de nettoyage des commentaires dans Security For WooCommerce dépourvues de vérification d’autorisation. Un visiteur non authentifié peut supprimer définitivement tous les commentaires, y compris ceux approuvés et les notes de commande WooCommerce ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Écriture de fichiers arbitraires et exécution de code dans Contest Gallery
Contest Gallery avant 34.0.3 ne nettoie pas les noms de fichiers téléversés via la fonction de remplacement de fichiers de vente. Un utilisateur disposant au moins des droits d’auteur peut écrire des fichiers d’extension arbitraire dans un répertoire accessible sur le Web et, en écrasant le fichier de protection, parvenir à une exécution de code à distance; mettre à jour vers la version 34.0.3 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 34.0.3 ou ultérieure.
ARForms : téléversement arbitraire de fichiers pouvant mener à l’exécution de code
Le gestionnaire de téléversement de fichiers d’ARForms ne restreint pas suffisamment le nom et le type des fichiers ; un attaquant non authentifié peut ainsi déposer un fichier contenant du code PHP dans un répertoire public. Toutes les versions jusqu’à 7.2.4 sont concernées et un formulaire publié avec un champ de téléversement doit être accessible ; aucune version corrigée n’est indiquée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et désactiver ou restreindre les formulaires publics comportant un champ de téléversement.
ARforms : XSS stockée via l’en-tête Referer
ARforms jusqu’à la version 7.2.4 incluse présente une faille de XSS stockée via l’en-tête Referer, exploitable sans authentification pour injecter un script qui s’exécute lorsqu’un utilisateur consulte la page concernée. Appliquez un correctif ou une mise à jour dès que l’éditeur en fournit un ; la source fournie ne précise pas de version corrigée.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour dès qu’elle est publiée.
ARforms : XSS stockée via le paramètre description
ARforms jusqu’à la version 7.2.4 incluse présente une faille de XSS stockée via le paramètre description, exploitable sans authentification pour injecter du contenu exécuté lorsqu’un utilisateur consulte une page ou qu’un administrateur ouvre l’entrée concernée. Appliquez un correctif ou une mise à jour dès que l’éditeur en fournit un ; la source fournie ne précise pas de version corrigée.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour dès qu’elle est publiée.
6Storage Rentals : contournement d’authentification et prise de contrôle de compte
Le plugin 6Storage Rentals présente une chaîne de contournement d’authentification pouvant conduire à la prise de contrôle d’un compte administrateur. La description indique qu’un compte disposant au moins du rôle Subscriber peut contribuer à la chaîne, qui exploite une URL d’API contrôlable et une vérification insuffisante lors de la création de session.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
Reset Database : élévation de privilèges par réinitialisation de la base
Le plugin Reset Database expose une fonction de réinitialisation sans contrôle de capacité adéquat. Un utilisateur authentifié disposant au moins du rôle Subscriber peut, selon la description, effacer les tables de la base, réinstaller WordPress avec ses propres identifiants et prendre le contrôle du site.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
Smoove abandoned cart trigger for WooCommerce : XSS persistante
Smoove abandoned cart trigger for WooCommerce, avant la version 4.3.6, n’assainit ni n’échappe les données de panier abandonné soumises par les visiteurs avant leur affichage dans le tableau de bord d’administration. Un utilisateur non authentifié peut ainsi provoquer une attaque XSS persistante visant les administrateurs ; mettre à jour le plugin vers la version 4.3.6 ou ultérieure.
Action recommandée : Mettre à jour Smoove abandoned cart trigger for WooCommerce vers la version 4.3.6 ou ultérieure.
Attribution indue de rôle via coupon dans User Registration & Membership
User Registration & Membership ne vérifie pas qu’un coupon appliqué à une formule payante est valide pour cette formule avant de considérer comme payé un ordre entièrement remisé. Un utilisateur non authentifié peut alors obtenir le rôle associé à la formule, potentiellement jusqu’au rôle administrateur si cette formule est configurée ainsi.
Action recommandée : Mettre à jour le module vers la version 5.3.2 ou ultérieure.
Forminator Forms : inscription avec rôle attribué sans paiement
Lorsque la passerelle de paiement configurée est indisponible, le serveur n’impose pas le paiement d’un formulaire d’inscription et peut attribuer le rôle configuré, y compris celui d’administrateur. La faille concerne Forminator Forms avant 1.58.4 ; mettre à jour vers 1.58.4 ou une version ultérieure.
Action recommandée : Mettre à jour Forminator Forms vers la version 1.58.4 ou ultérieure.
XSS persistante via les réponses de Knowledge Building
Knowledge Building antérieur à 0.7.3 ne nettoie ni n’échappe les commentaires soumis par sa fonction de réponse et les publie sans modération. Un utilisateur non authentifié peut provoquer une XSS persistante sur les publications concernées, y compris dans le navigateur d’un administrateur.
Action recommandée : Mettre à jour Knowledge Building vers la version 0.7.3 ou ultérieure.
XSS réfléchie dans une action AJAX de Knowledge Building
Knowledge Building antérieur à 0.7.3 renvoie sans échappement certaines valeurs fournies par l’utilisateur dans la réponse HTML d’une action AJAX accessible sans authentification. Cela peut provoquer une XSS réfléchie.
Action recommandée : Mettre à jour Knowledge Building vers la version 0.7.3 ou ultérieure.
Connexion administrateur possible dans Simpler Checkout
Simpler Checkout antérieur à 1.5.4 restreint insuffisamment la création de commandes et peut accepter une clé de connexion automatique vide avant la configuration de la boutique. Dans cette situation, un abonné peut se connecter en tant qu’administrateur.
Action recommandée : Mettre à jour Simpler Checkout vers la version 1.5.4 ou ultérieure.
iChart : contrôles d’accès insuffisants dans des actions AJAX
iChart, avant la version 2.2.4, ne vérifie pas correctement les capacités ni la propriété des objets dans plusieurs actions AJAX, ce qui permet à un utilisateur connecté disposant d’un rôle aussi faible que Subscriber de lire, modifier ou supprimer définitivement des publications arbitraires et d’écraser une option globale. Mettre à jour le plugin vers la version 2.2.4 ou ultérieure.
Action recommandée : Mettre à jour iChart vers la version 2.2.4 ou ultérieure.
CVE-2026-123701 — réinitialisation non autorisée des paramètres de sécurité
La fiche NVD publiée le 11 novembre 2026 indique que Security For WooCommerce autorise sans vérification l’exécution d’une réinitialisation de ses paramètres. Un attaquant non authentifié peut rétablir des sections de configuration par défaut et désactiver des protections telles que l’URL de connexion personnalisée, la 2FA, reCAPTCHA, les règles de mot de passe ou le pare-feu ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123702 — régénération non autorisée des clés et sels
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de régénérer les clés secrètes et sels du fichier de configuration du site. Cela peut déconnecter tous les utilisateurs et, dans certaines conditions décrites par la fiche, corrompre la configuration et rendre le site indisponible ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123703 — clôture non autorisée de sessions utilisateur
La fiche NVD publiée le 11 novembre 2026 décrit une fonction de Security For WooCommerce qui met fin aux sessions d’un utilisateur sans vérifier l’autorisation du demandeur. Un visiteur non authentifié peut ainsi déconnecter n’importe quel utilisateur, y compris un administrateur, et répéter l’action ; la version concernée va jusqu’à 1.0.16 incluse.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123704 — divulgation des adresses électroniques des administrateurs
La fiche NVD publiée le 11 novembre 2026 rapporte qu’une route REST API de Security For WooCommerce permet à des visiteurs non authentifiés de récupérer les adresses électroniques de tous les administrateurs du site. La version concernée va jusqu’à 1.0.16 incluse ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Security For WooCommerce : divulgation d’informations via une route REST
La route REST du plugin Security For WooCommerce divulgue sans authentification un rapport détaillé sur la configuration du serveur, de PHP et de WordPress, ainsi que des informations sur le plugin et l’adresse e-mail de l’administrateur. Les versions jusqu’à 1.0.16 sont concernées ; aucune version corrigée ni mesure corrective n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; à défaut, limiter l’accès à la route REST concernée.
YITH WooCommerce Gift Cards : valeur de carte-cadeau supérieure au montant payé
YITH WooCommerce Gift Cards ne rapproche pas la valeur de la carte-cadeau émise du montant réellement payé lorsque l’achat bénéficie d’une remise, ce qui peut accorder une carte d’une valeur supérieure au paiement. Les versions jusqu’à 4.39.0 sont concernées ; aucune version corrigée ni mesure corrective n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et vérifier les achats de cartes-cadeaux réalisés avec des coupons.
Advanced Product Fields : contournement du supplément d’une option payante
Advanced Product Fields (Product Addons) for WooCommerce ne vérifie pas qu’une valeur soumise pour une option payante obligatoire correspond à un choix configuré, ce qui permet d’éviter le supplément associé. Les versions 1.6.22 à 1.7.3 sont concernées ; aucune version corrigée ni mesure corrective n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et contrôler les commandes potentiellement concernées.
WPS Bookings for WooCommerce : prix modifiable par un utilisateur non authentifié
La version vulnérable du plugin WPS Bookings for WooCommerce ne vérifie pas le prix fourni par l’utilisateur avant de l’appliquer au produit. Un utilisateur non authentifié peut ainsi acheter un service réservable au prix de son choix, y compris gratuitement.
Action recommandée : Mettre à jour vers la version 3.13.1 ou une version ultérieure.
XSS réfléchie dans Product Filter for WooCommerce by WBW
Le module Product Filter for WooCommerce by WBW est vulnérable à une XSS réfléchie via le paramètre `text_no_products`. Un attaquant non authentifié peut tenter de faire exécuter un script dans le navigateur d’une personne qui suit un lien piégé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier les avis du développeur du module.
CVE-2026-123698 — exposition non authentifiée des paramètres du plugin
La fiche NVD publiée le 11 novembre 2026 rapporte qu’une route REST API de Security For WooCommerce expose sans authentification les paramètres complets du plugin. Ceux-ci peuvent inclure des clés secrètes configurées et l’URL de connexion masquée ; la version concernée va jusqu’à 1.0.16 incluse, sans correctif précisé dans les données fournies.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
CVE-2026-123699 — déclenchement non autorisé de mises à jour groupées
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de déclencher des mises à jour groupées du plugin et de WordPress sans autorisation. La version concernée va jusqu’à 1.0.16 incluse ; les données fournies ne précisent ni correctif ni contournement.
Action recommandée : Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Elementor Website Builder : XSS stockée via un identifiant d’élément
Elementor Website Builder pour WordPress présente une XSS stockée exploitable par un contributeur : un identifiant d’élément contrôlé est rendu dans un attribut de framework côté client évalué comme JavaScript. Le script peut s’exécuter dans le navigateur des personnes consultant le contenu, notamment un administrateur qui examine une contribution avant publication.
Action recommandée : Mettre à jour Elementor Website Builder vers la version 4.3.6 ou ultérieure.
Prolongation de souscription sans paiement dans User Registration & Membership
User Registration & Membership ne vérifie pas qu’un paiement a réellement été effectué avant de prolonger une souscription payante. Un utilisateur authentifié disposant déjà d’une souscription active peut ainsi la renouveler sans payer.
Action recommandée : Mettre à jour le module vers la version 5.3.2 ou ultérieure.
User Registration & Membership : inscription sans paiement possible
Une faille permet à un visiteur non authentifié de créer un compte et de se connecter sans paiement lorsqu’un formulaire d’inscription exige un paiement mais qu’aucune formule d’adhésion n’est sélectionnée. Elle concerne User Registration & Membership avant 5.3.2 ; mettre à jour vers 5.3.2 ou une version ultérieure.
Action recommandée : Mettre à jour User Registration & Membership vers la version 5.3.2 ou ultérieure.
Data Tables Generator by Supsystic : lecture non autorisée de tables
Une absence de contrôle d’autorisation ou de propriété permet à un visiteur non authentifié de lire le contenu d’une table à partir de son identifiant, y compris si elle n’est pas publiée sur le site. La faille concerne Data Tables Generator by Supsystic avant 1.15.8 ; mettre à jour vers 1.15.8 ou une version ultérieure.
Action recommandée : Mettre à jour Data Tables Generator by Supsystic vers la version 1.15.8 ou ultérieure.
Forminator Forms : réponse après paiement accessible sans paiement confirmé
Forminator Forms ne vérifie pas que le paiement Stripe Checkout est terminé avant de renvoyer la réponse après paiement d’une soumission en attente. Un visiteur non authentifié peut ainsi obtenir l’URL de redirection et le message de remerciement sans payer ; mettre à jour vers la version 1.58.4 ou ultérieure.
Action recommandée : Mettre à jour Forminator Forms vers la version 1.58.4 ou ultérieure.
Dynific Addons for Elementor : script intersite stocké par un auteur
Une valeur de profil contrôlée par l’utilisateur n’est pas échappée avant son insertion dans un attribut HTML entre guillemets dans un widget Elementor, permettant à un auteur d’enregistrer un contenu qui s’exécute lorsque la publication est consultée. Dynific Addons for Elementor avant 1.3.1 est concerné ; mettre à jour vers 1.3.1 ou une version ultérieure.
Action recommandée : Mettre à jour Dynific Addons for Elementor vers la version 1.3.1 ou ultérieure.
XSS stockée dans Dynific Addons for Elementor
Dans Dynific Addons for Elementor (anciennement Anywhere Elementor) avant 1.3.1, un titre de publication n’est pas échappé dans un attribut HTML, ce qui permet à un auteur de provoquer une XSS stockée lorsqu’un visiteur consulte la publication. Mettre à jour vers la version 1.3.1 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.3.1 ou ultérieure.
Contrôle d’accès manquant dans Dynific Addons for Elementor
Dans Dynific Addons for Elementor avant 1.3.1, une action AJAX qui enregistre la configuration des modules ne vérifie ni les permissions ni le nonce. Tout utilisateur authentifié, y compris un abonné, peut ainsi activer ou désactiver des modules à l’échelle du site; mettre à jour vers la version 1.3.1 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.3.1 ou ultérieure.
WP Directory Kit : accès non autorisé à des données via la recherche publique
WP Directory Kit avant la version 1.6.3 ne restreint pas les modèles et colonnes accessibles par une action publique de recherche, permettant à un attaquant non authentifié de consulter des données personnelles et des soumissions privées de formulaires. Mettez à jour le plugin vers la version 1.6.3 ou une version ultérieure.
Action recommandée : Mettre à jour WP Directory Kit vers la version 1.6.3 ou ultérieure.
WP Directory Kit : injection SQL pour les rôles Listing Admin et supérieurs
WP Directory Kit avant la version 1.6.3 ne nettoie ni n’échappe un paramètre utilisé dans une requête SQL, ce qui permet une injection SQL aux utilisateurs disposant du rôle personnalisé Listing Admin ou d’un rôle supérieur. Mettez à jour le plugin vers la version 1.6.3 ou une version ultérieure.
Action recommandée : Mettre à jour WP Directory Kit vers la version 1.6.3 ou ultérieure.
SSRF dans Limit Login Attempts Security
Limit Login Attempts Security avant 3.4.2 ne valide pas la destination d’une requête côté serveur construite à partir d’une valeur de configuration fournie par l’utilisateur. Un administrateur peut ainsi faire émettre au site des requêtes vers des hôtes arbitraires, y compris internes (SSRF); mettre à jour vers la version 3.4.2 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 3.4.2 ou ultérieure.
Contrôle d’autorisation insuffisant à l’import dans Schema & Structured Data for WP & AMP
Schema & Structured Data for WP & AMP avant 1.70 ne vérifie pas que l’utilisateur peut modifier les publications indiquées dans une sauvegarde de paramètres et ne limite pas l’import à ses propres types de publication. Un utilisateur autorisé à accéder aux paramètres du plugin peut modifier, réattribuer, dépublier ou supprimer des publications et pages, ainsi qu’écrire des métadonnées arbitraires; mettre à jour vers la version 1.70 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.70 ou ultérieure.
Divulgation de commentaires privés dans Schema & Structured Data for WP & AMP
La version de Schema & Structured Data for WP & AMP antérieure à 1.70 peut divulguer des commentaires approuvés associés à des contenus privés, en brouillon ou protégés par mot de passe. Mettre le plugin à jour vers la version 1.70 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.70 ou ultérieure.
XSS persistante dans Schema & Structured Data for WP & AMP
Schema & Structured Data for WP & AMP antérieur à 1.70 peut produire une sortie de données structurées insuffisamment encodée lorsque l’option Pretty Print est activée. Un utilisateur ayant au moins le rôle de contributeur peut alors provoquer une XSS persistante dans la configuration décrite.
Action recommandée : Mettre à jour le plugin vers la version 1.70 ou ultérieure.
Contrôles d’accès manquants sur une route REST de NotificationX
NotificationX antérieur à 3.3.7 ne protège pas l’une de ses routes REST par une vérification de capacité ou de nonce. Un attaquant non authentifié peut modifier une option du plugin et déclencher de façon répétée l’envoi de courriels via le serveur du site.
Action recommandée : Mettre à jour NotificationX vers la version 3.3.7 ou ultérieure.
Restriction insuffisante des fichiers téléversés dans Gravity Forms
Gravity Forms antérieur à 3.2.2 ne restreint pas correctement les types de fichiers téléversés sans authentification par sa fonction de téléversement par morceaux. Sur les serveurs configurés pour interpréter les documents SSI, cela peut permettre de lire des variables d’environnement et des fichiers du répertoire web.
Action recommandée : Mettre à jour Gravity Forms vers la version 3.2.2 ou ultérieure.
XSS persistante via un shortcode de Live Composer
Live Composer antérieur à 2.1.24 n’échappe pas plusieurs attributs d’un shortcode de constructeur de pages avant leur insertion dans des attributs HTML. Un utilisateur ayant au moins le rôle de contributeur peut stocker un contenu qui exécute du script dans le navigateur des personnes consultant la publication.
Action recommandée : Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
Détournement des connexions Zoom et AWeber dans AutomatorWP
AutomatorWP antérieur à 6.0.8 ne lie pas à l’administrateur initiateur les requêtes terminant la connexion aux intégrations Zoom et AWeber. Une attaque CSRF peut ainsi détourner les identifiants enregistrés et rediriger vers un compte contrôlé par l’attaquant les données envoyées à ces services.
Action recommandée : Mettre à jour AutomatorWP vers la version 6.0.8 ou ultérieure.
Redirection for Contact Form 7 : demandes de données personnelles non vérifiées
Redirection for Contact Form 7, avant la version 3.2.16, permet à un visiteur non authentifié de créer une demande d’export ou d’effacement de données personnelles présentée comme confirmée pour une adresse qu’il ne contrôle pas. Mettre à jour le plugin vers la version 3.2.16 ou ultérieure.
Action recommandée : Mettre à jour Redirection for Contact Form 7 vers la version 3.2.16 ou ultérieure.
Event Tickets and Registration : divulgation de noms de participants
Event Tickets and Registration, avant la version 5.30.3.1, peut renvoyer via l’API REST les noms de participants alors que l’événement ne publie pas de liste publique. Un utilisateur non authentifié peut ainsi obtenir ces noms ; mettre à jour le plugin vers la version 5.30.3.1 ou ultérieure.
Action recommandée : Mettre à jour Event Tickets and Registration vers la version 5.30.3.1 ou ultérieure.
ProfilePress : accès REST à du contenu protégé
ProfilePress, avant la version 4.17.6, évalue incorrectement certaines règles de protection de contenu lorsque celui-ci est rendu hors de la requête principale. Un utilisateur non authentifié peut alors lire via l’API REST le contenu de pages protégées par ces règles ; mettre à jour le plugin vers la version 4.17.6 ou ultérieure.
Action recommandée : Mettre à jour ProfilePress vers la version 4.17.6 ou ultérieure.
ProfilePress : inscription à des plans d’adhésion désactivés
ProfilePress, avant la version 4.17.6, ne rejette pas certains identifiants négatifs de plans d’adhésion lors de la vérification de leur activation. Un visiteur non authentifié peut s’inscrire à un plan désactivé et recevoir le rôle associé ; mettre à jour le plugin vers la version 4.17.6 ou ultérieure.
Action recommandée : Mettre à jour ProfilePress vers la version 4.17.6 ou ultérieure.
ProfilePress : changement vers un plan d’adhésion désactivé
ProfilePress, avant la version 4.17.4, ne vérifie pas qu’un plan d’adhésion est toujours actif lorsqu’un abonné modifie son abonnement au paiement. Un abonné peut choisir un plan désactivé, y compris un plan gratuit accordant un rôle ; mettre à jour le plugin vers la version 4.17.4 ou ultérieure.
Action recommandée : Mettre à jour ProfilePress vers la version 4.17.4 ou ultérieure.
Photo Engine : suppression non autorisée de médias synchronisés
Photo Engine (Media Organizer & Lightroom), avant la version 6.6.2, ne vérifie pas qu’un utilisateur est autorisé à supprimer les médias d’une collection avant de les supprimer avec celle-ci. Un utilisateur ayant le rôle Author ou supérieur peut ainsi effacer définitivement des médias synchronisés appartenant à d’autres utilisateurs, y compris des administrateurs ; mettre à jour le plugin vers la version 6.6.2 ou ultérieure.
Action recommandée : Mettre à jour Photo Engine (Media Organizer & Lightroom) vers la version 6.6.2 ou ultérieure.
Photo Engine : XSS persistante via les noms de mots-clés
Photo Engine (Media Organizer & Lightroom), avant la version 6.6.2, n’assainit ni n’échappe les noms de mots-clés avant leur stockage et leur affichage sur sa page de débogage. Un utilisateur ayant le rôle Author ou supérieur peut y provoquer une XSS persistante si cette page est activée ; mettre à jour le plugin vers la version 6.6.2 ou ultérieure.
Action recommandée : Mettre à jour Photo Engine (Media Organizer & Lightroom) vers la version 6.6.2 ou ultérieure.
NotificationX : accès non authentifié à la prévisualisation de notifications
NotificationX ne vérifie ni l’authentification, ni les capacités, ni le nonce sur le chemin de prévisualisation des notifications. Avant la version 3.3.7, un utilisateur non authentifié peut divulguer des publications privées, brouillons, en attente ou protégées par mot de passe, et déclencher des shortcodes enregistrés au moyen de données de prévisualisation forgées.
Action recommandée : Mettre à jour NotificationX vers la version 3.3.7 ou une version ultérieure.
ProfilePress : divulgation de comptes et de métadonnées via les annuaires membres
ProfilePress ne limite pas les filtres de rôle et de métadonnées utilisateur des annuaires aux valeurs configurées par l’administrateur. Dans les versions antérieures à 4.17.6, un utilisateur non authentifié peut retrouver des comptes qu’un annuaire devait masquer et consulter des métadonnées de ces utilisateurs.
Action recommandée : Mettre à jour ProfilePress vers la version 4.17.6 ou une version ultérieure.
GetPaid : contournement du paiement par validation insuffisante des quantités
GetPaid ne vérifie pas que les quantités d’articles soumises dans ses formulaires de paiement sont des nombres entiers. Dans les versions 2.8.63 et 2.8.64, un utilisateur non authentifié peut faire marquer comme payée une facture d’un article tarifé sans en régler le montant ; aucune version corrigée n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et vérifier les factures marquées payées sans règlement correspondant.
Joinchat : XSS réfléchie via la variable dynamique {HREF}
Joinchat ne nettoie ni n’échappe correctement une variable dynamique {HREF} lorsque le nom d’un paramètre de requête est utilisé. Toutes les versions jusqu’à 6.3.1 inclus sont concernées ; l’exploitation nécessite qu’un administrateur ait configuré un numéro de téléphone et intégré {HREF} au texte d’appel à l’action, et aucune version corrigée n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour Joinchat dès qu’un correctif est disponible ; vérifier la configuration du numéro et du texte d’appel à l’action utilisant {HREF}.
Author Image : XSS stocké via `display_name`
Le plugin Author Image ne neutralise pas correctement la valeur `display_name` avant son affichage. Un attaquant authentifié disposant au moins du rôle Subscriber peut injecter un script stocké, exécuté lorsque des utilisateurs consultent la page concernée.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
WP Extended : contrôle d’accès manquant
WP Extended présente une vulnérabilité de contrôle d’accès manquant. La fiche fournie ne précise pas les fonctions concernées ni les opérations accessibles, mais indique que les versions concernées vont jusqu’à 3.4.2.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
XSS stockée dans les réglages de modules de Live Composer
Live Composer ne neutralise pas correctement certaines options de module avant leur insertion dans un attribut `href`, ce qui permet une XSS stockée à des utilisateurs disposant de privilèges élevés. Le script peut s’exécuter lorsqu’une page affectée est consultée.
Action recommandée : Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
XSS stockée dans les réglages du personnel de Live Composer
Live Composer ne neutralise pas correctement certains réglages de membres du personnel avant leur affichage, ce qui peut permettre une XSS stockée à des utilisateurs privilégiés. Le script peut s’exécuter dans le navigateur des visiteurs d’une page affectée.
Action recommandée : Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
Live Composer pour WordPress : XSS stockée
Live Composer pour WordPress présente une faille XSS stockée : un utilisateur autorisé à utiliser le constructeur de pages peut injecter du JavaScript exécuté lorsqu’un visiteur consulte la page concernée. Les administrateurs peuvent également être touchés dans certaines configurations multisites.
Action recommandée : Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
XSS stockée dans le module Button de Live Composer
Live Composer ne neutralise pas certaines options de son module Button avant leur affichage côté public, ce qui peut permettre une XSS stockée à des utilisateurs privilégiés. Le script peut être exécuté par les visiteurs des pages contenant le bouton concerné.
Action recommandée : Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
Contrôle d’autorisation réseau insuffisant dans Code Snippets
Sur les installations multisites, Code Snippets ne vérifie pas les capacités de gestion réseau avant d’honorer un paramètre de portée réseau lors de l’import de snippets. Un administrateur d’un sous-site peut ainsi modifier ou désactiver des snippets à l’échelle du réseau sans disposer des droits de gestion réseau.
Action recommandée : Mettre à jour Code Snippets vers la version 4.1.0 ou ultérieure.
Download Manager : accès possible à des fichiers protégés via l’aperçu
Les aperçus de médias peuvent délivrer une clé de téléchargement sans vérifier que le visiteur est autorisé à accéder au paquet, ce qui expose des fichiers protégés par mot de passe ou par restriction de rôle. La faille concerne Download Manager avant 3.3.73 et Download Manager (branche distincte) avant 7.6.2 ; appliquer la version corrigée correspondant à la branche utilisée.
Action recommandée : Mettre à jour Download Manager vers la version 3.3.73 ou ultérieure, ou vers la version 7.6.2 ou ultérieure selon la branche concernée.
Download Manager : restriction de rôle contournable avec le mot de passe du paquet
La vérification d’un mot de passe de paquet ne tient pas compte de la restriction de rôle configurée, permettant à un utilisateur non authentifié qui connaît le mot de passe d’obtenir une clé de téléchargement. La faille concerne Download Manager avant 3.3.73 et Download Manager (branche distincte) avant 7.6.2 ; appliquer la version corrigée correspondant à la branche utilisée.
Action recommandée : Mettre à jour Download Manager vers la version 3.3.73 ou ultérieure, ou vers la version 7.6.2 ou ultérieure selon la branche concernée.
Divulgation de publications privées dans Dynific Addons for Elementor
Dynific Addons for Elementor avant 1.3.1 ne vérifie pas le statut ni les droits d’accès lors de la résolution des identifiants de publications transmis à un shortcode. Un utilisateur authentifié ayant au moins le rôle Contributeur peut divulguer des brouillons, contenus privés ou protégés par mot de passe; mettre à jour vers la version 1.3.1 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.3.1 ou ultérieure.
Contrôle d’autorisation insuffisant sur les médias dans Smush
Smush avant 4.3.6 ne vérifie pas que l’utilisateur est autorisé à agir sur la pièce jointe ciblée, et se contente d’un contrôle général de capacité d’envoi de fichiers. Un utilisateur ayant au moins le rôle Auteur peut optimiser et restaurer des médias appartenant à d’autres utilisateurs, en modifiant les fichiers sur disque et en consommant leur sauvegarde; mettre à jour vers la version 4.3.6 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 4.3.6 ou ultérieure.
Contrôle d’autorisation insuffisant sur les données structurées des publications
Schema & Structured Data for WP & AMP avant 1.70 ne vérifie pas qu’un utilisateur peut modifier une publication avant de lui permettre de changer ses paramètres de données structurées. Un contributeur ou un utilisateur de rôle supérieur auquel un administrateur a accordé l’accès au plugin peut altérer, désactiver ou réinitialiser les données structurées de publications qu’il ne possède pas; mettre à jour vers la version 1.70 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 1.70 ou ultérieure.
Event Tickets and Registration : accès non autorisé aux participants d’événements privés
Event Tickets and Registration, avant la version 5.30.3.1, ne limite pas les données de participants aux événements que le demandeur est autorisé à consulter. Un utilisateur non authentifié peut récupérer les participants d’événements privés ou autrement non publics ; mettre à jour le plugin vers la version 5.30.3.1 ou ultérieure.
Action recommandée : Mettre à jour Event Tickets and Registration vers la version 5.30.3.1 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
La recherche web n’a fait ressortir aucun avis, correctif ou incident PrestaShop daté dans la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les avis de sécurité core repérés et la version PrestaShop 9.2.1 sont datés du 9 novembre 2026, donc antérieurs à la période; l’alerte de skimmer consultée date du 17 février 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Vérification incomplète
Deux vulnérabilités Cockpit sont retenues pour la période : CVE-2026-91150, publiée dans la fenêtre selon l’horodatage NVD, et CVE-2026-91151, dont la première publication signalée par la source consultée tombe dans la fenêtre. Les mises à jour de fiches NVD des autres candidats concernent des CVE antérieurement publiées; aucune preuve consultée n’établit un changement substantiel dans la période. Aucun événement répondant aux critères n’a été établi pour Cockpit dans la période demandée à partir des candidats fournis.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée sur CloudPanel n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les résultats de sécurité pertinents repérés étaient datés hors de cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée a repéré des avis Uptime Kuma publiés les 31 octobre et 2 novembre 2026, ainsi qu’une version 2.5.11 publiée le 12 novembre 2026. Ces événements sont hors de la période demandée (du 11 novembre 2026 à 00:00:00+02:00 inclus au 12 novembre 2026 à 00:00:00+02:00 exclu) ; aucun item n’est donc retenu sur la base des éléments consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun avis, correctif ou événement de sécurité visant MariaDB et daté de la période demandée. Les candidats fournis concernent hMailServer ou Keycloak, et non une vulnérabilité de MariaDB. Le candidat fourni décrit une configuration Docker Compose non sécurisée de blueprintUE Self-Hosted Edition, et non une vulnérabilité de MariaDB elle-même; aucun item ne relève donc du sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis, de correctif, d’exploitation ou de changement substantiel concernant phpMyAdmin daté de la période demandée. L’avis cPanel repéré, daté du 2026-11-10, est antérieur au début de cette période et est donc exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel concernant pgAdmin n’a été vérifié comme daté de la période demandée, du 2026-11-11T00:00:00+02:00 inclus au 2026-11-12T00:00:00+02:00 exclu. Les avis de sécurité visibles sur la page du projet sont datés antérieurement; les autres éléments repérés ne fournissent pas d’événement de sécurité daté dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche web dédiée n’a trouvé aucune vulnérabilité, aucun correctif ni avis de sécurité propre à Virtualmin daté de la période demandée. Les résultats disponibles concernant Webmin ou d’autres produits n’établissent pas un événement concernant Virtualmin pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux nouvelles fiches CVE concernant Webmin ont été publiées par le NVD le 2026-11-11 dans la période demandée : CVE-2026-126780 et CVE-2026-126781. Les sources consultées ne confirment ni version corrigée ni exploitation active.
Élévation de privilèges via la gestion des groupes Webmin
Webmin jusqu’à la version 2.670 présente une élévation de privilèges dans `acl/save_group.cgi` : un administrateur délégué disposant d’un accès au module Webmin Users peut obtenir des permissions de modules non autorisées. La fiche NVD a été publiée pendant la période demandée; aucun correctif précis n’est confirmé par les sources consultées.
Action recommandée : Limiter l’accès au module Webmin Users aux seuls comptes de confiance et appliquer le correctif éditeur lorsqu’une version corrigée est confirmée.
Injection dans le fichier des utilisateurs via l’émission de certificats Webmin
Webmin jusqu’à la version 2.670 présente une injection dans le fichier des utilisateurs via `acl/cert_issue.cgi`, exploitable par un utilisateur Webmin authentifié lorsque les champs de nom distinctif du certificat ne sont pas correctement validés. La fiche NVD a été publiée pendant la période demandée; aucun correctif précis n’est confirmé par les sources consultées.
Action recommandée : Restreindre l’accès aux fonctions d’émission de certificats aux comptes de confiance et appliquer le correctif éditeur lorsqu’une version corrigée est confirmée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée sur Vue.js n’a fait apparaître aucun avis, correctif ou événement de sécurité vérifiable daté de la période demandée. L’avis Vue.js visible dans les résultats consultés a été publié le 2026-08-31, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
Aucun avis de sécurité ou changement substantiel de sécurité Vite daté dans la période demandée n’a été vérifié. L’avis GHSA-p4f5-76q4-ffq7 a été publié le 2026-11-10, avant le début de la période; la version Vite 8.3.8 publiée le 2026-11-11 présente des changements qui ne sont pas signalés comme correctifs de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée sur Nuxt n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-11-11 dans la période demandée. Les avis Nuxt consultés indiquent des publications le 2026-11-02, hors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Next.js et aux publications du projet n’a révélé aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-11-11 dans la période demandée. Les avis affichés dans les résultats consultés sont datés du 2026-11-03 ou d’une date antérieure; les mises à jour administratives ultérieures ne sont pas retenues comme nouvelles vulnérabilités.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis de sécurité concernant React Server Components a été publié pendant la période : CVE-2026-126187, corrigée dans les versions 19.0.9, 19.1.10, 19.2.9 et 19.3.1 des paquets concernés. Les autres candidats examinés portent sur une mise à jour NVD postérieure à la période ou sur des paquets malveillants dont le nom contient « react », sans preuve qu’ils concernent le projet React.
React Server Components : exécution de code à distance sans authentification
Une désérialisation de données non fiables dans React Server Components peut permettre à un attaquant non authentifié d’exécuter du code à distance dans des conditions décrites comme extrêmement rares. Les applications qui n’utilisent pas de serveur React ou de framework, bundler ou plugin prenant en charge React Server Components ne sont pas concernées.
Action recommandée : Mettre à jour immédiatement les paquets React Server Components concernés vers une version corrigée; vérifier également les dépendances transitives des frameworks et bundlers utilisés.
Angular
Recherche du sujet effectuée
La recherche dédiée a repéré un avis Angular publié le 2026-11-09, hors de la période demandée. Pour CVE-2026-41423, la date de publication est antérieure à la période et le candidat ne signale qu’une mise à jour NVD; aucun élément consulté n’établit un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis pour AstroBlocks, projet lié à Astro, a été publié durant la période : CVE-2026-64682, corrigée dans la version 3.4.0. Aucun autre événement Astro daté de cette période n’a été vérifié dans les résultats consultés.
AstroBlocks : falsification de sessions administrateur (CVE-2026-64682)
AstroBlocks permettait de forger des jetons de session administrateur à cause d’un secret JWT de secours codé en dur et d’un nom de variable d’environnement incohérent. Un jeton forgé pouvait donner des privilèges de propriétaire et le contrôle du CMS ; la version 3.4.0 corrige le problème.
Action recommandée : Mettre à niveau AstroBlocks vers la version 3.4.0 ou ultérieure.
TypeScript
Recherche du sujet effectuée
La recherche dédiée a identifié le candidat CVE-2026-41423, mais les éléments vérifiés ne montrent pas de nouvelle vulnérabilité, d’avis/correctif de sécurité ou de changement substantiel publié pendant la période demandée. La date de publication indiquée pour la fiche est le 2026-05-08; sa modification NVD du 2026-11-11, à elle seule, ne suffit pas à établir un événement de sécurité admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié neuf avis CVE concernant Adobe Experience Manager et Adobe Connect, publiés dans la période figée et décrivant des failles XSS susceptibles d’entraîner l’exécution de JavaScript dans un navigateur. Les détails de versions affectées et de versions corrigées n’ont pas pu être établis pour chaque CVE à partir des sources consultées. Six fiches NVD publiées le 2026-11-11 décrivent des vulnérabilités d’injection ou d’exécution de JavaScript dans Live Composer, Elementor Website Builder et Kendo UI for jQuery. Les avis et détails d’impact, versions affectées et correctifs sont rapportés uniquement selon les informations des candidats fournis. Dix vulnérabilités permettant l’exécution de JavaScript ont été publiées par le NVD pendant la période demandée : trois concernent Kendo UI for jQuery et sept Revive Adserver. Les versions correctives indiquées dans les sources sont respectivement 2026.4.1110 et 6.0.9; les mises à jour NVD postérieures au 11 novembre n’ont pas été utilisées comme événements de la période. Les candidats fournis décrivent des vulnérabilités publiées le 2026-11-11 touchant Node.js, des bibliothèques JavaScript et plusieurs applications exposant des failles d’exécution de JavaScript. Les mises à jour NVD datées du 2026-11-12 sont postérieures à la période et n’ont pas été utilisées comme événements de la période. Aucun événement nouveau ou changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats sont des fiches NVD publiées antérieurement dont seule la date de mise à jour est indiquée, sans description du changement effectué. Aucun élément du lot ne documente une vulnérabilité nouvelle, un correctif, une exploitation ou un changement substantiel daté de la période. Les candidats indiquent des mo…
Code malveillant dans le paquet npm fcefi-wdojs-util
L’avis signale du code malveillant dans le paquet npm fcefi-wdojs-util, version 1.0.0. À chaque chargement du paquet, un chargeur exécute du JavaScript dissimulé dans le manifeste, sauf lorsque certains environnements CI ou de bac à sable sont détectés.
Action recommandée : Éviter d’installer ou d’exécuter cette version ; retirer le paquet des dépendances et examiner les systèmes où il a été chargé.
Code malveillant dans le paquet npm mock-data-sdk
L’avis signale du code malveillant dans le paquet npm mock-data-sdk, version 1.0.1. L’appel à getTransactions() décode un JavaScript dissimulé dans des fichiers de données et l’exécute, déclenchant notamment une recherche de fichiers associés à des identifiants et secrets.
Action recommandée : Éviter d’installer ou d’exécuter cette version ; retirer le paquet des dépendances et examiner les systèmes où il a été chargé.
Code malveillant dans le paquet npm strutil-helpers-core
L’avis signale du code malveillant dans plusieurs versions du paquet npm strutil-helpers-core. Le chargement du paquet tente d’utiliser un module natif et un fichier opaque pour mettre en scène puis exécuter du JavaScript, avec des vérifications destinées à éviter les environnements d’analyse.
Action recommandée : Éviter d’installer ou d’exécuter les versions concernées ; retirer le paquet des dépendances et examiner les systèmes où il a été chargé.
Adobe Connect : XSS stockée
Adobe Connect présente une faille XSS stockée qui peut permettre à un attaquant à faibles privilèges d’injecter un script exécuté lors de l’affichage du champ vulnérable par une victime. Adobe a publié le bulletin APSB26-191 ; les versions affectées et les versions corrigées ne sont pas précisées dans les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-191 et appliquer la mise à jour indiquée pour la version déployée.
Adobe Connect : XSS stockée
Adobe Connect présente une faille XSS stockée pouvant permettre l’injection de scripts et leur exécution dans le navigateur d’une victime qui consulte le champ concerné. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-191 et appliquer la mise à jour indiquée pour la version déployée.
Node.js HTTPS : fuite de mémoire entre connexions
Une réentrance dans HTTPS peut provoquer une utilisation après libération et une lecture hors limites de mémoire du tas, dont le contenu peut être renvoyé à un client non authentifié. La faille concerne Node.js 22.x, 24.x et 26.x dans des configurations de traitement de requête particulières ; le serveur HTTP en clair n’est pas concerné.
Action recommandée : Mettre à jour Node.js dès qu’un correctif est disponible et examiner les gestionnaires HTTPS qui envoient des réponses avant la fin de lecture des corps.
Kendo UI for jQuery : injection JavaScript via spriteCssClass
Une injection de balisage dans les widgets TabStrip, PanelBar et Menu de Kendo UI for jQuery peut permettre l’exécution de JavaScript dans l’origine de l’application lorsque des données contrôlées par l’attaquant sont rendues. Les versions antérieures à 2026.4.1111 sont concernées ; mettre à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Kendo UI for jQuery ActionSheet : injection JavaScript dans les libellés
Dans ActionSheet, Kendo UI for jQuery ne encode pas certains libellés avant leur rendu, ce qui peut permettre à un attaquant qui les contrôle d’injecter du balisage exécuté comme JavaScript à l’ouverture du composant. Les versions 2026.3.1014 à 2026.4.1110 exclue sont concernées ; mettre à jour vers 2026.4.1110 ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery : exécution de JavaScript pendant l’assainissement des SVG
La fonction `sanitizeSvgContent()` de Kendo UI for jQuery analyse le balisage d’icône personnalisé dans le DOM avant de le filtrer, ce qui peut déclencher du JavaScript avant la suppression d’un élément dangereux. Le problème est corrigé dans la version 2026.4.1110 ; mettre à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery Grid et TreeList : injection JavaScript lors du réordonnancement des colonnes
Dans Kendo UI for jQuery, le réordonnancement des colonnes de Grid et TreeList réinterprète le texte d’en-tête comme du HTML, ce qui peut permettre l’exécution de JavaScript si un attaquant contrôle le champ ou le titre utilisé. Les versions 2026.3.1015 à 2026.4.1110 exclue sont concernées ; mettre à jour vers 2026.4.1110 ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery PivotGrid : injection JavaScript dans les puces d’axe
Les noms de champs d’axe de PivotGrid et PivotConfigurator dans Kendo UI for jQuery ne sont pas correctement encodés avant leur insertion dans un modèle de puce, ce qui peut permettre l’exécution de JavaScript. Les versions 2026.3.1015 à 2026.4.1110 exclue sont concernées ; mettre à jour vers 2026.4.1110 ou une version ultérieure.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
Kendo UI for jQuery : exécution de JavaScript dans PropertyGrid
Kendo UI for jQuery ne neutralise pas par défaut certaines valeurs de propriétés et descriptions affichées par PropertyGrid. Une valeur contrôlée par un attaquant peut exécuter du JavaScript dans le navigateur de la personne qui consulte la grille.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1110 ou une version ultérieure.
@tinacms/mdx : injection de code dans le sérialiseur MDX
Les versions de `@tinacms/mdx` antérieures à 2.4.2 ne neutralisent pas certaines valeurs de texte enrichi avant de les écrire dans des expressions MDX. Un éditeur authentifié peut ainsi injecter du code qui s’exécute dans le navigateur des visiteurs ou pendant la génération et le rendu côté serveur.
Action recommandée : Mettre à niveau `@tinacms/mdx` vers la version 2.4.2 ou ultérieure.
@maplibre/geojson-vt : déni de service par récursion profonde
Avant la version 6.1.1, `@maplibre/geojson-vt` peut épuiser la pile d’appels lors du traitement d’un `GeometryCollection` GeoJSON profondément imbriqué. Un attaquant distant non authentifié peut provoquer un déni de service en soumettant une seule charge spécialement construite à un service qui traite les données avec la bibliothèque.
Action recommandée : Mettre à niveau `@maplibre/geojson-vt` vers la version 6.1.1 ou ultérieure.
sync-rpc : exécution de fichiers JavaScript arbitraires sur le serveur
Avant la version 1.3.7, `sync-rpc` peut charger et exécuter des fichiers JavaScript arbitraires présents sur le serveur si un attaquant devine le port utilisé et que celui-ci n’est pas bloqué par un pare-feu. La source indique que le problème est corrigé dans la version 1.3.7.
Action recommandée : Mettre à niveau `sync-rpc` vers la version 1.3.7 ou ultérieure et filtrer l’accès réseau au port du service.
AsiaInfo BSS Platform : XSS via téléversement d’icône SVG
AsiaInfo BSS Platform 9.2 avant 9.2.38 permet à un utilisateur authentifié disposant de privilèges ordinaires de téléverser une icône SVG contenant du JavaScript. Le script s’exécute dans l’origine de l’application si une victime ouvre le SVG comme document, par exemple en accédant directement à son URL ; le rendu normal de l’icône ne l’exécute pas.
Action recommandée : Mettre à niveau AsiaInfo BSS Platform vers la version 9.2.38 ou ultérieure.
Kendo UI for jQuery : injection JavaScript dans l’initialisation déclarative
Une vulnérabilité dans Kendo UI for jQuery permet une injection JavaScript lors de l’initialisation déclarative de widgets si un attaquant peut contrôler certaines valeurs `data-*` invalides. Les versions antérieures à 2026.4.1111 sont concernées ; mettre à jour vers la version corrigée.
Action recommandée : Mettre à jour vers Kendo UI for jQuery 2026.4.1111 ou une version ultérieure.
Elementor Website Builder : XSS stockée via un identifiant d’élément
Elementor Website Builder pour WordPress présente une XSS stockée exploitable par un contributeur : un identifiant d’élément contrôlé est rendu dans un attribut de framework côté client évalué comme JavaScript. Le script peut s’exécuter dans le navigateur des personnes consultant le contenu, notamment un administrateur qui examine une contribution avant publication.
Action recommandée : Mettre à jour Elementor Website Builder vers la version 4.3.6 ou ultérieure.
Adobe Experience Manager : XSS stockée
Adobe Experience Manager présente une faille XSS stockée pouvant permettre à un attaquant disposant de faibles privilèges d’injecter du JavaScript exécuté dans le navigateur d’une victime. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-189 et appliquer les mises à jour correspondant à la version déployée.
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-189 et appliquer les mises à jour correspondant à la version déployée.
Adobe Experience Manager : XSS stockée
Adobe Experience Manager présente une faille XSS stockée pouvant permettre à un attaquant disposant de faibles privilèges d’injecter du JavaScript exécuté dans le navigateur d’une victime. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-189 et appliquer les mises à jour correspondant à la version déployée.
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-189 et appliquer les mises à jour correspondant à la version déployée.
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-189 et appliquer les mises à jour correspondant à la version déployée.
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-189 et appliquer les mises à jour correspondant à la version déployée.
Adobe Connect : XSS
Adobe Connect présente une faille XSS permettant l’exécution de JavaScript dans le navigateur d’une victime amenée à visiter une page vulnérable. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-191 et appliquer la mise à jour indiquée pour la version déployée.
Adobe Connect : XSS stockée
Adobe Connect présente une faille XSS stockée permettant l’injection de scripts dans un champ vulnérable, avec exécution possible dans le navigateur d’une victime. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correctif ne sont pas établis par les éléments consultés.
Action recommandée : Consulter le bulletin Adobe APSB26-191 et appliquer la mise à jour indiquée pour la version déployée.
Revive Adserver : XSS réfléchie dans les statistiques de conversion
Une vérification de propriété incorrecte et un traitement inadéquat du paramètre d’heure permettent une XSS réfléchie dans les pages de statistiques de conversion de Revive Adserver. Un attaquant non authentifié peut piéger un utilisateur authentifié avec une URL forgée; la correction est disponible dans Revive Adserver 6.0.9.
Action recommandée : Mettre à niveau vers Revive Adserver 6.0.9.
Revive Adserver : XSS dans les options d’invocation iframe
Dans les options d’invocation iframe de Revive Adserver, les paramètres `frame_width` et `frame_height` peuvent être insérés dans des attributs HTML sans encodage, ce qui permet une XSS réfléchie. Un attaquant non authentifié peut viser un utilisateur authentifié avec une URL forgée; Revive Adserver 6.0.9 corrige la faille par encodage HTML.
Action recommandée : Mettre à niveau vers Revive Adserver 6.0.9.
Revive Adserver : XSS dans updates-history.php
Dans `updates-history.php` de Revive Adserver, des valeurs contrôlées par l’attaquant peuvent être insérées sans encodage dans des attributs de commandes XML et conduire à une XSS réfléchie. La faille, qui inclut un chemin de requête GET xajax non couvert par le contrôle préliminaire de session, est corrigée en version 6.0.9.
Action recommandée : Mettre à niveau vers Revive Adserver 6.0.9.
Revive Adserver : XSS stockée dans les contrôles de dates des rapports
Une valeur `period_preset` contrôlable peut être enregistrée dans la session d’un utilisateur puis intégrée sans encodage approprié dans du JavaScript des contrôles de sélection de dates des rapports de Revive Adserver. Cette XSS stockée est corrigée en version 6.0.9 par un encodage JSON adapté au contexte JavaScript.
Action recommandée : Mettre à niveau vers Revive Adserver 6.0.9.
Revive Adserver : XSS stockée via le nom d’un tracker
Un gestionnaire authentifié peut enregistrer un nom de tracker malveillant dans Revive Adserver, qui est ensuite affiché sans encodage HTML sur une page de maintenance consultée par un administrateur. Cette XSS stockée est corrigée en version 6.0.9 par l’encodage des noms de tracker à l’affichage.
Action recommandée : Mettre à niveau vers Revive Adserver 6.0.9.
Revive Adserver : XSS dans la génération des balises d’invocation
Lorsque Direct Selection est activé, un identifiant de bannière contrôlé par l’attaquant peut être inséré sans encodage dans les champs HTML de l’interface de génération des balises d’invocation de Revive Adserver. Cette XSS réfléchie, qui concerne une option désactivée par défaut, est corrigée en version 6.0.9.
Action recommandée : Mettre à niveau vers Revive Adserver 6.0.9; laisser Direct Selection désactivé si la mise à niveau n’est pas encore possible.
Revive Adserver : XSS dans les options d’invocation popup
Dans les options d’invocation des fenêtres popup de Revive Adserver, les paramètres `top`, `left`, `timeout` et `delay` sont insérés dans des attributs HTML sans encodage approprié, ce qui permet une XSS réfléchie. L’exploitation nécessite une zone popup existante; Revive Adserver 6.0.9 corrige le problème par encodage HTML.
Action recommandée : Mettre à niveau vers Revive Adserver 6.0.9.
Node.js HTTP/2 : épuisement de mémoire par données non consommées
Node.js peut subir un épuisement de mémoire lorsqu’un client HTTP/2 non authentifié envoie de nombreuses petites trames DATA sur un flux dont les données ne sont pas consommées. La faille concerne Node.js 24.x et 26.x, car les données en attente ne sont pas comptabilisées dans le budget mémoire de session.
Action recommandée : Mettre à jour Node.js dès la disponibilité d’un correctif et veiller à consommer ou borner les données reçues sur les flux HTTP/2.
OpsTree REMS : XSS stockée via l’aperçu de pièces jointes
OpsTree REMS jusqu’à la version 1.0.0 présente une faille XSS stockée : un utilisateur authentifié peut téléverser une pièce jointe HTML avec un type de contenu usurpé, puis faire exécuter du JavaScript dans l’origine REMS lors de son aperçu. La source fournie ne précise pas de version corrigée.
Action recommandée : Restreindre l’aperçu des pièces jointes non fiables et appliquer une version corrigée dès qu’elle est disponible.
Wallos : XSS stockée via les réponses de services de notification
Wallos, de la version 4.4.0 jusqu’aux versions antérieures à 5.10.3, présente une XSS stockée liée aux réponses de services de notification non échappées. Un utilisateur inscrit peut configurer un endpoint contrôlé qui renvoie du JavaScript, exécuté dans la session d’un administrateur lorsque le fichier de notifications est ouvert.
Action recommandée : Mettre à niveau Wallos vers la version 5.10.3 ou ultérieure.
Live Composer pour WordPress : XSS stockée
Live Composer pour WordPress présente une faille XSS stockée : un utilisateur autorisé à utiliser le constructeur de pages peut injecter du JavaScript exécuté lorsqu’un visiteur consulte la page concernée. Les administrateurs peuvent également être touchés dans certaines configurations multisites.
Action recommandée : Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
Node.js : divulgation de noms de fichiers via la surveillance récursive
Node.js présente un contournement du Permission Model : en mode récursif, `fs.watch()` et `fs.promises.watch()` peuvent révéler les noms et chemins relatifs de fichiers ou répertoires non autorisés, sans en divulguer le contenu. Le problème concerne Node.js 22.x, 24.x et 26.x sur macOS et Windows ; appliquer un correctif lorsqu’il est disponible et limiter l’usage de la surveillance récursive sous le modèle de permissions.
Action recommandée : Appliquer un correctif Node.js dès sa disponibilité ; en attendant, éviter la surveillance récursive de répertoires sensibles sous le Permission Model.
NextScan : XSS stockée dans le détail des actifs URL
NextScan 1.1.0 à 1.2.0 présente une XSS stockée dans la fenêtre de détail des URL de l’interface ns-admin : les corps de requête de formulaire collectés sont rendus avec `innerHTML` sans encodage. Un attaquant peut faire stocker un formulaire malveillant par un site exploré, puis déclencher l’exécution de JavaScript lorsque l’utilisateur consulte le détail de l’actif.
Action recommandée : Limiter l’accès à l’interface ns-admin et appliquer un correctif dès qu’une version corrigée est disponible.
HTML5
Recherche du sujet effectuée
La recherche dédiée n’a vérifié aucun avis ou correctif de sécurité propre à HTML5 dont la date de publication ou de mise à jour soit comprise dans la période demandée. L’avis Mozilla trouvé est daté du 2026-11-10, donc antérieur au début de la période; l’avis Chromium daté du 2026-11-11 ne fournit pas, dans les éléments consultés, de vulnérabilité individuelle attribuable à HTML5.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche dédiée n’a vérifié aucun avis de sécurité CSS3 daté de la période demandée (du 2026-11-11T00:00:00+02:00 inclus au 2026-11-12T00:00:00+02:00 exclu). Les résultats trouvés concernent soit des avis Mozilla publiés le 2026-11-10, hors période, soit un avis Apache HTTP Server du 2026-11-12, hors fenêtre et sans rapport avec le sujet CSS3.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a relevé une mise à jour, pendant la période demandée, d’un avis de paquet npm malveillant se faisant passer pour un module de l’écosystème Tailwind. Les éléments consultés ne permettent pas de confirmer une exploitation effective.
Mise à jour de l’avis sur le paquet npm malveillant tailwindcss-form-ui
L’avis GHSA-hxjv-cpxc-564m concerne le paquet npm malveillant `tailwindcss-form-ui`, qui usurpe l’identité d’un module Tailwind et peut exécuter des commandes sur la machine qui le charge. La mise à jour de l’avis pendant la période étend les versions signalées à 0.5.8, en plus de 0.5.1; retirez ces versions et vérifiez les environnements où elles ont été installées ou chargées.
Action recommandée : Ne pas utiliser les versions 0.5.1 et 0.5.8; supprimer le paquet et examiner les systèmes où il a été installé ou chargé.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée à Bootstrap n’a pas identifié de nouvel avis de sécurité ou de correctif du projet daté de la période demandée. Les trois candidats concernent OpenClaw, et non le projet Bootstrap.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Vérification incomplète
Un nouvel avis lié à webpack-dev-server, GHSA-wqhc-fvfg-56q6 / CVE-2026-126051, est signalé comme publié le 2026-11-11. Les détails techniques et les mesures correctives n’ont pas pu être vérifiés dans les pages consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a pas identifié, dans la période du 2026-11-11T00:00:00+02:00 inclus au 2026-11-12T00:00:00+02:00 exclu, de vulnérabilité nouvelle, d’avis ou correctif de sécurité, d’exploitation signalée, ni de changement substantiel vérifiable. Les avis esbuild trouvés dans les résultats consultés sont datés de périodes antérieures et ne sont pas retenus pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée à Parcel n’a pas fait apparaître, dans les résultats consultés, d’avis ou de correctif de sécurité daté de la période demandée. Le candidat fourni concerne React Server Components et le paquet react-server-dom-parcel, et non le projet Parcel : il est donc exclu comme homonyme.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Niveau relevé : Critique
L’avis de sécurité Node.js daté du 11 novembre 2026 annonce des correctifs pour les branches 22.x, 24.x et 26.x. Les candidats fournis correspondent à neuf vulnérabilités publiées ce jour-là; leurs versions corrigées sont indiquées par branche dans les fiches. La recherche a aussi consulté la page d’avis de la CNA OpenJS et les notes de version Node.js. Les candidats vérifiés comprennent cinq avis NVD publiés dans la période pour des vulnérabilités du runtime Node.js : un contournement d’authentification TLS, deux défauts HTTP/2, un défaut de cache de sessions TLS et un défaut de callback TLS. Les autres candidats concernent des bibliothèques ou applications distinctes, ou une mise à jour NVD d’une vulnérabilité OpenClaw publiée antérieurement. Aucun candidat de ce lot ne concerne Node.js : les dix fiches portent sur OpenClaw. Elles sont donc exclues du bulletin Node.js. Aucun candidat fourni ne concerne Node.js : tous portent sur des vulnérabilités d’OpenClaw. Ils sont donc exclus du sujet demandé. Aucun candidat du lot ne concerne Node.js : toutes les entrées portent sur OpenClaw. Elles correspondent à des mises à jour de fiches NVD, sans élément fourni établissant un événement Node.js pertinent pour la période. Aucun candidat fourni ne concerne Node.js : tous portent sur OpenClaw. Aucun élément vérifié de ce lot ne peut donc être retenu pour le sujet demandé. Aucun candidat fourni ne concerne une vulnérabilité, un correctif ou un avis de sécurité de Node.js. Les candidats portent sur OpenClaw ou Angular; leur mise à jour NVD, à elle seule, ne constitue pas un événement de sécurité Node.js vérifié pour la période. Les dix candidats portent sur des vulnérabilités d’OpenClaw, et non sur Node.js. La mention de variables d’environnement telles que NODE_OPTIONS dans l’un…
Code malveillant dans le paquet npm tailwindcss-hook-forms
L’avis signale que le paquet npm malveillant `tailwindcss-hook-forms` version 0.5.2 exécute du code arbitraire dans le processus Node.js lors de son import, avec accès aux capacités du processus. Évitez cette version et supprimez-la des dépendances si elle est installée ; aucun correctif n’est indiqué dans la source.
Action recommandée : Éviter `tailwindcss-hook-forms` 0.5.2 et le retirer des dépendances s’il est présent ; examiner les systèmes où il a été importé.
Node.js : contournement de l’authentification par certificat client lors d’une renégociation TLS
Un défaut de renégociation TLS 1.2 peut permettre à un client déjà authentifié pour un nom d’hôte de réutiliser cette authentification pour atteindre un autre hôte soumis à une politique de certificat client plus stricte. Le risque concerne les serveurs Node.js 22.x, 24.x et 26.x appliquant des politiques d’authentification par certificat différentes selon le nom d’hôte.
Action recommandée : Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Node.js : use-after-free dans le traitement des fichiers HTTP/2
Un use-after-free dans HTTP/2 peut permettre à un client non authentifié de provoquer une corruption mémoire du serveur lorsqu’une application sert des fichiers avec respondWithFile() ou respondWithFD(). Le défaut concerne Node.js 24.x depuis 24.22.0 et 26.x depuis 26.9.0, y compris sur des connexions TLS ou en clair.
Action recommandée : Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Node.js : arrêt du serveur lors du traitement différé de callbacks TLS
Un défaut de gestion des callbacks différés pendant la négociation TLS peut provoquer l’arrêt du serveur si la socket est détruite avant l’exécution d’un callback OpenSSL. Le problème concerne Node.js 24.x et 26.x lorsque des hooks TLS spécifiques ou server.addContext() sont utilisés.
Action recommandée : Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Node.js : arrêt du serveur lors de l’annulation de téléchargements HTTP/2
Un déréférencement de pointeur NULL dans HTTP/2 peut faire planter le processus Node.js lorsqu’un client annule un téléchargement servi avec respondWithFile() ou respondWithFD(). Le problème touche Node.js 22.x, 24.x et 26.x et peut être déclenché sans authentification, sur des connexions TLS ou en clair.
Action recommandée : Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Node.js : réutilisation indue d’une session TLS par https.Agent
Une incohérence dans la clé de cache de https.Agent peut faire réutiliser une session TLS authentifiée selon une politique d’autorités de certification plus permissive par une requête soumise à une politique plus stricte. Une requête avec ca: [] peut ainsi être considérée comme autorisée et transmettre des données à un serveur qui aurait été rejeté lors d’une nouvelle connexion; les versions concernées sont Node.js 22.x, 24.x et 26.x.
Action recommandée : Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée sur Python a identifié deux avis publiés le 2026-11-11 dans la période : une validation insuffisante de certificat dans soapbar et un workflow GitHub Actions privilégié vulnérable dans aeon. Les autres candidats fournis correspondent à des fiches publiées antérieurement dont seule la date de mise à jour NVD est dans la période ; aucune preuve d’un changement substantiel survenu alors n’a été établie. Aucun nouvel avis ou changement substantiel concernant Python n’est établi par les éléments fournis pour cette période. Les candidats NVD décrivent des vulnérabilités publiées avant la période, sans indiquer de changement substantiel effectué lors de leur mise à jour du 11 novembre; l’avis GHSA concerne un paquet npm, et non une vulnérabilité Python. Les candidats fournis signalent un avis de code malveillant visant aurum-pay 1.2.0 sur PyPI et un avis Debian de déni de service concernant dnspython. Les données fournies ne précisent pas de CVE pour ces avis.
Code malveillant dans aurum-pay (PyPI)
L’avis GHSA signale du code malveillant dans le paquet PyPI `aurum-pay` 1.2.0 : au premier appel à l’API, le paquet récupère une réponse distante et l’exécute comme commande sur l’hôte. Cela peut permettre à l’opérateur du serveur de prendre le contrôle de la machine ; désinstallez le paquet et vérifiez les systèmes où il a été utilisé.
Action recommandée : Ne pas installer ni utiliser aurum-pay 1.2.0 ; le désinstaller s’il est présent et examiner les hôtes sur lesquels il a été utilisé.
soapbar : validation insuffisante du certificat dans verify_envelope_bsp()
Avant soapbar 0.13.0, `verify_envelope_bsp()` acceptait comme ancre de confiance le certificat fourni dans le message SOAP, sans valider sa chaîne ni l’épingler, ce qui pouvait permettre de falsifier une signature et d’usurper un signataire auprès des applications qui s’appuient sur cette vérification pour authentifier les messages. Mettre à jour vers 0.13.0 ; la fonction `verify_envelope()` utilisant un certificat fourni et épinglé n’est pas affectée.
Action recommandée : Mettre soapbar à jour vers la version 0.13.0 ou ultérieure.
aeon : exécution de code de fork dans un workflow GitHub Actions privilégié
Avant aeon 1.5.0, un workflow GitHub Actions utilisant `pull_request_target` exécutait du code provenant de demandes de fusion de forks dans un contexte privilégié, avec un risque d’exposition de jetons et d’écriture dans le dépôt. Mettre à jour vers 1.5.0, qui corrige le workflow vulnérable.
Action recommandée : Mettre aeon à jour vers la version 1.5.0 ou ultérieure.
Debian publie une mise à jour de sécurité pour dnspython
Debian a publié l’avis DLA-4892-1 pour une vulnérabilité de dnspython, bibliothèque DNS pour Python 3, susceptible de provoquer un déni de service. L’avis fourni ne précise ni les versions touchées ni la version corrigée ; consultez l’avis Debian pour déterminer les paquets concernés et appliquer la mise à jour disponible.
Action recommandée : Consulter l’avis Debian et appliquer la mise à jour de sécurité aux systèmes concernés.
Java
Vérification incomplète
Niveau relevé : Critique
Trois vulnérabilités publiées dans la période concernent des projets Java : Nitrite, Apache DataSketches Java et Apache Roller. La recherche a également fait ressortir des avis sans date de publication dans la période, qui ne sont pas retenus. Aucun candidat fourni ne correspond à un événement daté de la période demandée : les deux fiches NVD indiquent une publication et une mise à jour le 2026-11-10, avant le début de la période.
Nitrite — désérialisation non sûre pendant la migration des bases
Une vulnérabilité de désérialisation lors de la migration automatique d’anciens fichiers Nitrite peut permettre l’exécution de code si une classe gadget adaptée est présente dans le classpath de l’application. Les versions antérieures à 4.4.1 sont concernées ; mettre à niveau vers 4.4.1 ou une version ultérieure.
Action recommandée : Mettre à niveau Nitrite vers la version 4.4.1 ou ultérieure.
Apache Roller — désérialisation non sûre dans le client XML-RPC
Le client XML-RPC d’Apache Roller désérialise des données Java reçues dans la réponse d’un ping de mise à jour de weblog, ce qui peut permettre l’exécution de code dans le processus serveur si la réponse est contrôlée par un tiers. Les versions 4.0 à 6.1.6 sont concernées ; mettre à niveau vers 6.1.7.
Action recommandée : Mettre à niveau Apache Roller vers la version 6.1.7 ou ultérieure.
TYPO3
Recherche du sujet effectuée
La recherche TYPO3 a relevé des versions régulières publiées le 10 novembre 2026, mais pas de nouvel avis de sécurité, correctif de sécurité ou autre événement de sécurité répondant aux critères pendant la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les avis de sécurité trouvés datent d’autres jours et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Vérification incomplète
La recherche a relevé une série de 24 avis Drupal contrib publiés le 2026-11-11, sans nouvel avis Drupal Core signalé dans le résumé hebdomadaire consulté. Les éléments ci-dessus sont ceux pour lesquels les résultats consultés fournissaient des détails précis par avis; ils ne constituent pas la transcription complète des 24 avis.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Vérification incomplète
Un avis repéré dans GitHub Advisories, daté du 11 novembre 2026, concerne CVE-2026-126806 dans l’extension Joomla jDownloads. Les détails de l’avis et la version exacte du correctif n’ont pas pu être vérifiés davantage.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Recherche du sujet effectuée
La recherche ciblée sur Magento n’a pas vérifié de nouvel avis, correctif, exploitation ni changement substantiel daté du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Les résultats pertinents consultés renvoient à des événements antérieurs à cette période, notamment CVE-2026-48356, publiée le 2026-10-27 et ajoutée au catalogue KEV à cette date; ils ne sont donc pas retenus pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, ni aucun changement substantiel concernant Adobe Commerce daté dans la période du 2026-11-11T00:00:00+02:00 au 2026-11-12T00:00:00+02:00. Le résultat trouvé pour CVE-2026-48356 indique une échéance CISA au 10 novembre 2026; les autres avis Adobe consultés concernent des événements antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée à Fooocus n’a identifié aucun avis, correctif, exploitation ni changement substantiel vérifiable daté du 2026-11-11 dans la période demandée. Les vulnérabilités Fooocus repérées dans les résultats étaient antérieures à cette période et ne sont donc pas incluses.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
42 alerte(s)Code malveillant dans le paquet npm fcefi-wdojs-util
L’avis signale du code malveillant dans le paquet npm fcefi-wdojs-util, version 1.0.0. À chaque chargement du paquet, un chargeur exécute du JavaScript dissimulé dans le manifeste, sauf lorsque certains environnements CI ou de bac à sable…
Code malveillant dans le paquet npm mock-data-sdk
L’avis signale du code malveillant dans le paquet npm mock-data-sdk, version 1.0.1. L’appel à getTransactions() décode un JavaScript dissimulé dans des fichiers de données et l’exécute, déclenchant notamment une recherche de fichiers assoc…
Code malveillant dans le paquet npm strutil-helpers-core
L’avis signale du code malveillant dans plusieurs versions du paquet npm strutil-helpers-core. Le chargement du paquet tente d’utiliser un module natif et un fichier opaque pour mettre en scène puis exécuter du JavaScript, avec des vérific…
Adobe Connect : XSS stockée
Adobe Connect présente une faille XSS stockée qui peut permettre à un attaquant à faibles privilèges d’injecter un script exécuté lors de l’affichage du champ vulnérable par une victime. Adobe a publié le bulletin APSB26-191 ; les versions…
Source : NVD — CVE-2026-121904
Mise à jour de l’avis sur le paquet npm malveillant tailwindcss-form-ui
L’avis GHSA-hxjv-cpxc-564m concerne le paquet npm malveillant `tailwindcss-form-ui`, qui usurpe l’identité d’un module Tailwind et peut exécuter des commandes sur la machine qui le charge. La mise à jour de l’avis pendant la période étend…
Source : GHSA-hxjv-cpxc-564m — Malicious code in tailwindcss-form-ui (npm)
AstroBlocks : falsification de sessions administrateur (CVE-2026-64682)
AstroBlocks permettait de forger des jetons de session administrateur à cause d’un secret JWT de secours codé en dur et d’un nom de variable d’environnement incohérent. Un jeton forgé pouvait donner des privilèges de propriétaire et le con…
Source : NVD — CVE-2026-64682
React Server Components : exécution de code à distance sans authentification
Une désérialisation de données non fiables dans React Server Components peut permettre à un attaquant non authentifié d’exécuter du code à distance dans des conditions décrites comme extrêmement rares. Les applications qui n’utilisent pas…
Adobe Connect : XSS stockée
Adobe Connect présente une faille XSS stockée pouvant permettre l’injection de scripts et leur exécution dans le navigateur d’une victime qui consulte le champ concerné. La fiche NVD a été publiée pendant la période demandée ; les versions…
Source : NVD — CVE-2026-122102
Node.js HTTPS : fuite de mémoire entre connexions
Une réentrance dans HTTPS peut provoquer une utilisation après libération et une lecture hors limites de mémoire du tas, dont le contenu peut être renvoyé à un client non authentifié. La faille concerne Node.js 22.x, 24.x et 26.x dans des…
Source : NVD — CVE-2026-123864
Kendo UI for jQuery : injection JavaScript via spriteCssClass
Une injection de balisage dans les widgets TabStrip, PanelBar et Menu de Kendo UI for jQuery peut permettre l’exécution de JavaScript dans l’origine de l’application lorsque des données contrôlées par l’attaquant sont rendues. Les versions…
Source : NVD — CVE-2026-124688
Kendo UI for jQuery ActionSheet : injection JavaScript dans les libellés
Dans ActionSheet, Kendo UI for jQuery ne encode pas certains libellés avant leur rendu, ce qui peut permettre à un attaquant qui les contrôle d’injecter du balisage exécuté comme JavaScript à l’ouverture du composant. Les versions 2026.3.1…
Source : NVD — CVE-2026-124689
Kendo UI for jQuery : exécution de JavaScript pendant l’assainissement des SVG
La fonction `sanitizeSvgContent()` de Kendo UI for jQuery analyse le balisage d’icône personnalisé dans le DOM avant de le filtrer, ce qui peut déclencher du JavaScript avant la suppression d’un élément dangereux. Le problème est corrigé d…
Source : NVD — CVE-2026-124690
Kendo UI for jQuery Grid et TreeList : injection JavaScript lors du réordonnancement des colonnes
Dans Kendo UI for jQuery, le réordonnancement des colonnes de Grid et TreeList réinterprète le texte d’en-tête comme du HTML, ce qui peut permettre l’exécution de JavaScript si un attaquant contrôle le champ ou le titre utilisé. Les versio…
Source : NVD — CVE-2026-124692
Kendo UI for jQuery PivotGrid : injection JavaScript dans les puces d’axe
Les noms de champs d’axe de PivotGrid et PivotConfigurator dans Kendo UI for jQuery ne sont pas correctement encodés avant leur insertion dans un modèle de puce, ce qui peut permettre l’exécution de JavaScript. Les versions 2026.3.1015 à 2…
Source : NVD — CVE-2026-124693
Kendo UI for jQuery : exécution de JavaScript dans PropertyGrid
Kendo UI for jQuery ne neutralise pas par défaut certaines valeurs de propriétés et descriptions affichées par PropertyGrid. Une valeur contrôlée par un attaquant peut exécuter du JavaScript dans le navigateur de la personne qui consulte l…
Source : NVD — CVE-2026-124694
Injection de balisage dans DropDownButton et SplitButton
Les widgets DropDownButton et SplitButton de Kendo UI for jQuery pouvaient laisser injecter du balisage, y compris des gestionnaires d’événements, via les attributs id et target de leurs éléments. Un attaquant capable d’influencer ces vale…
Source : NVD — CVE-2026-124687
@tinacms/mdx : injection de code dans le sérialiseur MDX
Les versions de `@tinacms/mdx` antérieures à 2.4.2 ne neutralisent pas certaines valeurs de texte enrichi avant de les écrire dans des expressions MDX. Un éditeur authentifié peut ainsi injecter du code qui s’exécute dans le navigateur des…
Source : NVD — CVE-2026-126774
@maplibre/geojson-vt : déni de service par récursion profonde
Avant la version 6.1.1, `@maplibre/geojson-vt` peut épuiser la pile d’appels lors du traitement d’un `GeometryCollection` GeoJSON profondément imbriqué. Un attaquant distant non authentifié peut provoquer un déni de service en soumettant u…
Source : NVD — CVE-2026-58505
sync-rpc : exécution de fichiers JavaScript arbitraires sur le serveur
Avant la version 1.3.7, `sync-rpc` peut charger et exécuter des fichiers JavaScript arbitraires présents sur le serveur si un attaquant devine le port utilisé et que celui-ci n’est pas bloqué par un pare-feu. La source indique que le probl…
Source : NVD — CVE-2026-65843
AsiaInfo BSS Platform : XSS via téléversement d’icône SVG
AsiaInfo BSS Platform 9.2 avant 9.2.38 permet à un utilisateur authentifié disposant de privilèges ordinaires de téléverser une icône SVG contenant du JavaScript. Le script s’exécute dans l’origine de l’application si une victime ouvre le…
Source : NVD — CVE-2026-122095
XSS stockée dans MQTTX Desktop via le renderer Electron
MQTTX Desktop jusqu’à la version 1.13.3 présente une faille XSS stockée : des noms de topics ou contenus MQTT malveillants peuvent exécuter un script dans le renderer Electron lorsque l’utilisateur survole certains éléments. La faille conc…
Source : NVD — CVE-2026-126495
Kendo UI for jQuery : injection JavaScript dans l’initialisation déclarative
Une vulnérabilité dans Kendo UI for jQuery permet une injection JavaScript lors de l’initialisation déclarative de widgets si un attaquant peut contrôler certaines valeurs `data-*` invalides. Les versions antérieures à 2026.4.1111 sont con…
Source : NVD — CVE-2026-124686
Adobe Experience Manager : XSS stockée
Adobe Experience Manager présente une faille XSS stockée pouvant permettre à un attaquant disposant de faibles privilèges d’injecter du JavaScript exécuté dans le navigateur d’une victime. La fiche NVD a été publiée pendant la période dema…
Source : NVD — CVE-2026-114372
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ;…
Source : NVD — CVE-2026-118197
Adobe Experience Manager : XSS stockée
Adobe Experience Manager présente une faille XSS stockée pouvant permettre à un attaquant disposant de faibles privilèges d’injecter du JavaScript exécuté dans le navigateur d’une victime. La fiche NVD a été publiée pendant la période dema…
Source : NVD — CVE-2026-118478
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ;…
Source : NVD — CVE-2026-118479
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ;…
Source : NVD — CVE-2026-118480
Adobe Experience Manager : XSS basée sur le DOM
Adobe Experience Manager présente une faille XSS basée sur le DOM, exploitable pour exécuter du JavaScript dans le contexte du navigateur d’une victime qui visite une page préparée. La fiche NVD a été publiée pendant la période demandée ;…
Source : NVD — CVE-2026-118481
Adobe Connect : XSS
Adobe Connect présente une faille XSS permettant l’exécution de JavaScript dans le navigateur d’une victime amenée à visiter une page vulnérable. La fiche NVD a été publiée pendant la période demandée ; les versions affectées et le correct…
Source : NVD — CVE-2026-121910
Adobe Connect : XSS stockée
Adobe Connect présente une faille XSS stockée permettant l’injection de scripts dans un champ vulnérable, avec exécution possible dans le navigateur d’une victime. La fiche NVD a été publiée pendant la période demandée ; les versions affec…
Source : NVD — CVE-2026-121912
Revive Adserver : XSS réfléchie dans les statistiques de conversion
Une vérification de propriété incorrecte et un traitement inadéquat du paramètre d’heure permettent une XSS réfléchie dans les pages de statistiques de conversion de Revive Adserver. Un attaquant non authentifié peut piéger un utilisateur…
Source : NVD — CVE-2026-108558
Revive Adserver : XSS dans les options d’invocation iframe
Dans les options d’invocation iframe de Revive Adserver, les paramètres `frame_width` et `frame_height` peuvent être insérés dans des attributs HTML sans encodage, ce qui permet une XSS réfléchie. Un attaquant non authentifié peut viser un…
Source : NVD — CVE-2026-108559
Revive Adserver : XSS dans updates-history.php
Dans `updates-history.php` de Revive Adserver, des valeurs contrôlées par l’attaquant peuvent être insérées sans encodage dans des attributs de commandes XML et conduire à une XSS réfléchie. La faille, qui inclut un chemin de requête GET x…
Source : NVD — CVE-2026-108560
Revive Adserver : XSS stockée dans les contrôles de dates des rapports
Une valeur `period_preset` contrôlable peut être enregistrée dans la session d’un utilisateur puis intégrée sans encodage approprié dans du JavaScript des contrôles de sélection de dates des rapports de Revive Adserver. Cette XSS stockée e…
Source : NVD — CVE-2026-108561
Revive Adserver : XSS stockée via le nom d’un tracker
Un gestionnaire authentifié peut enregistrer un nom de tracker malveillant dans Revive Adserver, qui est ensuite affiché sans encodage HTML sur une page de maintenance consultée par un administrateur. Cette XSS stockée est corrigée en vers…
Source : NVD — CVE-2026-108562
Revive Adserver : XSS dans la génération des balises d’invocation
Lorsque Direct Selection est activé, un identifiant de bannière contrôlé par l’attaquant peut être inséré sans encodage dans les champs HTML de l’interface de génération des balises d’invocation de Revive Adserver. Cette XSS réfléchie, qui…
Source : NVD — CVE-2026-108564
Revive Adserver : XSS dans les options d’invocation popup
Dans les options d’invocation des fenêtres popup de Revive Adserver, les paramètres `top`, `left`, `timeout` et `delay` sont insérés dans des attributs HTML sans encodage approprié, ce qui permet une XSS réfléchie. L’exploitation nécessite…
Source : NVD — CVE-2026-108565
Node.js HTTP/2 : épuisement de mémoire par données non consommées
Node.js peut subir un épuisement de mémoire lorsqu’un client HTTP/2 non authentifié envoie de nombreuses petites trames DATA sur un flux dont les données ne sont pas consommées. La faille concerne Node.js 24.x et 26.x, car les données en a…
Source : NVD — CVE-2026-123868
OpsTree REMS : XSS stockée via l’aperçu de pièces jointes
OpsTree REMS jusqu’à la version 1.0.0 présente une faille XSS stockée : un utilisateur authentifié peut téléverser une pièce jointe HTML avec un type de contenu usurpé, puis faire exécuter du JavaScript dans l’origine REMS lors de son aper…
Source : NVD — CVE-2026-126771
Wallos : XSS stockée via les réponses de services de notification
Wallos, de la version 4.4.0 jusqu’aux versions antérieures à 5.10.3, présente une XSS stockée liée aux réponses de services de notification non échappées. Un utilisateur inscrit peut configurer un endpoint contrôlé qui renvoie du JavaScrip…
Source : NVD — CVE-2026-126778
Node.js : divulgation de noms de fichiers via la surveillance récursive
Node.js présente un contournement du Permission Model : en mode récursif, `fs.watch()` et `fs.promises.watch()` peuvent révéler les noms et chemins relatifs de fichiers ou répertoires non autorisés, sans en divulguer le contenu. Le problèm…
Source : NVD — CVE-2026-123829
NextScan : XSS stockée dans le détail des actifs URL
NextScan 1.1.0 à 1.2.0 présente une XSS stockée dans la fenêtre de détail des URL de l’interface ns-admin : les corps de requête de formulaire collectés sont rendus avec `innerHTML` sans encodage. Un attaquant peut faire stocker un formula…
Source : NVD — CVE-2026-126798
Backend & données
30 alerte(s)Code malveillant dans le paquet npm tailwindcss-hook-forms
L’avis signale que le paquet npm malveillant `tailwindcss-hook-forms` version 0.5.2 exécute du code arbitraire dans le processus Node.js lors de son import, avec accès aux capacités du processus. Évitez cette version et supprimez-la des dé…
Source : GHSA-7xfw-m762-wqw5 — Malicious code in tailwindcss-hook-forms (npm)
Code malveillant dans aurum-pay (PyPI)
L’avis GHSA signale du code malveillant dans le paquet PyPI `aurum-pay` 1.2.0 : au premier appel à l’API, le paquet récupère une réponse distante et l’exécute comme commande sur l’hôte. Cela peut permettre à l’opérateur du serveur de prend…
Source : GHSA-3rfx-vc65-vf5v — Malicious code in aurum-pay (PyPI)
Apache HTTP Server : exécution de code à distance via une condition de concurrence dans mod_http2
Une condition de concurrence dans mod_http2, dans assign_headers(), peut provoquer une corruption mémoire et mener à l’exécution de code à distance. Sont concernés Apache HTTP Server 2.4.55 à 2.4.70 et, séparément, mod_h2 2.0.8 à 2.0.42; l…
Source : NVD — CVE-2026-119618
Nitrite — désérialisation non sûre pendant la migration des bases
Une vulnérabilité de désérialisation lors de la migration automatique d’anciens fichiers Nitrite peut permettre l’exécution de code si une classe gadget adaptée est présente dans le classpath de l’application. Les versions antérieures à 4.…
Source : NVD — CVE-2026-64678
hMailServer : chargement non sûr de plugins avec une base MySQL ou MariaDB
hMailServer sous Windows peut charger une DLL malveillante depuis un chemin de plugins mal interprété lorsque son dossier d’installation contient certains caractères non ASCII et qu’il utilise MySQL ou MariaDB. Le défaut concerne hMailServ…
Source : NVD — CVE-2026-126607
hMailServer : interprétation erronée du fichier CA avec un client MySQL sous Windows
Dans certaines configurations Windows d’hMailServer avec une base MySQL, un nom de fichier de certificat CA contenant des caractères non ASCII peut être interprété par OpenSSL comme désignant un autre fichier. Un attaquant local pouvant cr…
Source : NVD — CVE-2026-126609
hMailServer : fichier CA non transmis au client MySQL/MariaDB
Avec MySQL ou MariaDB, hMailServer 6.3.4 à 6.3.7 peut ne pas transmettre au client de base le fichier CA configuré lorsque son nom contient certains caractères non ASCII. La vérification TLS peut alors s’appuyer sur d’autres autorités de c…
Source : NVD — CVE-2026-126610
hMailServer : validation TLS insuffisante sur connexions locales à MySQL/MariaDB
Avec MySQL ou MariaDB et TlsMode=verify-full sans fichier TlsCaFile, hMailServer peut ne pas vérifier l’émetteur ni le nom du certificat sur des connexions que MariaDB Connector/C traite comme locales. Un attaquant local capable de se fair…
Source : NVD — CVE-2026-126611
hMailServer : injection SQL dans la couche base de données avec MySQL/MariaDB
La couche base de données d’hMailServer 6.0.0-B1 à 6.2.18 construit certaines requêtes SQL sans lier correctement les paramètres sur MySQL/MariaDB. Un utilisateur authentifié pouvant envoyer du courrier, et dans certains scénarios un expéd…
Source : NVD — CVE-2026-126617
Node.js : contournement de l’authentification par certificat client lors d’une renégociation TLS
Un défaut de renégociation TLS 1.2 peut permettre à un client déjà authentifié pour un nom d’hôte de réutiliser cette authentification pour atteindre un autre hôte soumis à une politique de certificat client plus stricte. Le risque concern…
Source : NVD — CVE-2026-123872
Node.js : use-after-free dans le traitement des fichiers HTTP/2
Un use-after-free dans HTTP/2 peut permettre à un client non authentifié de provoquer une corruption mémoire du serveur lorsqu’une application sert des fichiers avec respondWithFile() ou respondWithFD(). Le défaut concerne Node.js 24.x dep…
Source : NVD — CVE-2026-123874
Node.js : arrêt du serveur lors du traitement différé de callbacks TLS
Un défaut de gestion des callbacks différés pendant la négociation TLS peut provoquer l’arrêt du serveur si la socket est détruite avant l’exécution d’un callback OpenSSL. Le problème concerne Node.js 24.x et 26.x lorsque des hooks TLS spé…
Source : NVD — CVE-2026-126051
Déréférencement de pointeur nul dans nginx-http-flv-module
Une requête HTTP/1.0 sans en-tête Host peut provoquer un déréférencement de pointeur nul dans nginx-http-flv-module et faire planter le serveur. Le problème concerne les versions antérieures à 1.2.14; mettre à niveau vers 1.2.14 ou une ver…
Source : NVD — CVE-2026-65982
soapbar : validation insuffisante du certificat dans verify_envelope_bsp()
Avant soapbar 0.13.0, `verify_envelope_bsp()` acceptait comme ancre de confiance le certificat fourni dans le message SOAP, sans valider sa chaîne ni l’épingler, ce qui pouvait permettre de falsifier une signature et d’usurper un signatair…
Source : NVD — CVE-2026-64855
aeon : exécution de code de fork dans un workflow GitHub Actions privilégié
Avant aeon 1.5.0, un workflow GitHub Actions utilisant `pull_request_target` exécutait du code provenant de demandes de fusion de forks dans un contexte privilégié, avec un risque d’exposition de jetons et d’écriture dans le dépôt. Mettre…
Source : NVD — CVE-2026-65820
hMailServer : contournement possible des protections de connexion avec MySQL
hMailServer peut appliquer les protections de verrouillage ou de mise en attente au nom d’utilisateur fourni, mais authentifier ensuite un compte que la comparaison de la base MySQL considère équivalent sous une autre graphie. Cela peut pe…
Source : NVD — CVE-2026-126615
hMailServer : échec possible de l’auto-blocage avec MySQL/MariaDB
Dans hMailServer 6.2.0 à 6.3.3 avec MySQL ou MariaDB, certains noms d’utilisateur contenant des caractères hors du plan multilingue de base peuvent empêcher l’enregistrement d’une règle d’auto-blocage après des échecs d’authentification. L…
Source : NVD — CVE-2026-126616
hMailServer : contournement de l’auto-blocage avec MySQL/MariaDB
Une erreur dans la génération et la sauvegarde des noms de règles d’auto-blocage d’hMailServer 6.0.0-B1 à 6.3.7 peut faire échouer de nouveaux bannissements, notamment avec des noms d’utilisateur longs ou contenant certains caractères. Ave…
Source : NVD — CVE-2026-126618
hMailServer : erreurs d’écriture SQL masquées avec MySQL/MariaDB
La couche SQL d’hMailServer peut interpréter un marqueur destiné à ignorer certaines erreurs dans des données provenant de l’extérieur ; la conséquence est qu’une écriture échouée peut être signalée comme réussie. Pour MySQL/MariaDB, le dé…
Source : NVD — CVE-2026-126619
Keycloak : blocage de comptes sous charge concurrente avec MySQL/MariaDB
Keycloak en configuration multi-nœuds avec base MySQL ou MariaDB peut entrer dans une boucle répétitive lorsqu’il traite simultanément plusieurs échecs de connexion pour un même compte. Le dossier de l’utilisateur peut alors rester verroui…
Source : NVD — CVE-2026-112201
Probo : lecture inter-organisation de risques via l’API GraphQL
Un membre authentifié d’une organisation pouvait associer à un Finding un risque appartenant à une autre organisation, puis en lire les informations sensibles. La référence inter-organisation pouvait aussi empêcher la suppression du risque…
Source : Fiche NVD CVE-2026-63505
Probo : déni de service par requêtes GraphQL coûteuses
L’API GraphQL de Probo ne limitait pas suffisamment le nombre d’alias, la profondeur ou la complexité des requêtes. Une requête contenant de nombreux appels de résolveurs pouvait consommer excessivement les ressources et dégrader le servic…
Source : Fiche NVD CVE-2026-64861
Apache HTTP Server : plantage de processus enfant dans mod_md
Une déréférence de pointeur nul dans mod_md pendant le traitement de requêtes HTTP peut faire planter un processus enfant du serveur. Le projet indique que les versions 2.4.30 à 2.4.70 sont concernées et que le correctif est fourni dans la…
Source : NVD — CVE-2026-106023
Node.js : arrêt du serveur lors de l’annulation de téléchargements HTTP/2
Un déréférencement de pointeur NULL dans HTTP/2 peut faire planter le processus Node.js lorsqu’un client annule un téléchargement servi avec respondWithFile() ou respondWithFD(). Le problème touche Node.js 22.x, 24.x et 26.x et peut être d…
Source : NVD — CVE-2026-123875
Node.js : réutilisation indue d’une session TLS par https.Agent
Une incohérence dans la clé de cache de https.Agent peut faire réutiliser une session TLS authentifiée selon une politique d’autorités de certification plus permissive par une requête soumise à une politique plus stricte. Une requête avec…
Source : NVD — CVE-2026-123877
Probo : exposition de données du Trust Center via GraphQL
L’accès non authentifié à Query.node(id:) pouvait exposer des objets d’autres organisations, notamment des audits, frameworks et informations de tiers, sans vérifier leur appartenance au Trust Center ni leur visibilité publique. Mettre à j…
Source : Fiche NVD CVE-2026-76080
Probo : altération de signatures électroniques via GraphQL
Dans le Trust Center public, un visiteur authentifié disposant de l’identifiant d’une signature pouvait la faire accepter au nom d’un autre signataire ou injecter des événements dans son journal d’audit. Mettre à jour Probo vers 0.224.0 ou…
Source : Fiche NVD CVE-2026-76078
Apache HTTP Server : débordement de tampon dans mod_vhost_alias
Une vulnérabilité de débordement de tampon sur la pile dans mod_vhost_alias a été introduite par le correctif d’une faille antérieure. Elle concerne Apache HTTP Server 2.4.69 et 2.4.70, et le projet fournit le correctif dans la version 2.4…
Source : NVD — CVE-2026-109163
Debian publie une mise à jour de sécurité pour dnspython
Debian a publié l’avis DLA-4892-1 pour une vulnérabilité de dnspython, bibliothèque DNS pour Python 3, susceptible de provoquer un déni de service. L’avis fourni ne précise ni les versions touchées ni la version corrigée ; consultez l’avis…
Apache Roller — désérialisation non sûre dans le client XML-RPC
Le client XML-RPC d’Apache Roller désérialise des données Java reçues dans la réponse d’un ping de mise à jour de weblog, ce qui peut permettre l’exécution de code dans le processus serveur si la réponse est contrôlée par un tiers. Les ver…
Source : NVD — CVE-2026-123374
CMS & e-commerce
82 alerte(s)Printaura-Woocommerce : accès non authentifié aux routes REST WooCommerce
Le plugin laisse les routes de l’API REST WooCommerce accepter des requêtes non authentifiées, permettant notamment la lecture et la modification de données de la boutique, de commandes, de renseignements personnels, de réglages et de webh…
Source : NVD — CVE-2026-115733
CVE-2026-123695 — génération et récupération non autorisées de jetons de connexion
La fiche NVD publiée le 11 novembre 2026 décrit une absence de contrôle d’accès dans plusieurs routes REST API de Security For WooCommerce, permettant à des visiteurs non authentifiés de générer puis récupérer des jetons de connexion pour…
Source : NVD — CVE-2026-123695
Contournement d’authentification dans Basel Post Types
Basel Post Types présente un contournement d’authentification lié à une vérification erronée du sel d’authentification, qui retombe sur une valeur statique connue. Selon la fiche candidate, un attaquant non authentifié peut forger un rappe…
Source : NVD — CVE-2026-89324
Pay with a tweet : suppression de fichiers arbitraires par un abonné
Le plugin ne valide pas le chemin de fichier à supprimer et ne restreint pas l’accès aux écrans d’administration concernés, ce qui permet à un utilisateur disposant au moins du rôle Abonné de supprimer des fichiers arbitraires sur le serve…
Source : NVD — CVE-2026-115734
Somatic Framework : suppression de fichiers arbitraires par un utilisateur authentifié
L’absence de vérification d’autorisation et de validation du chemin fourni permet à tout utilisateur authentifié, y compris un abonné, de supprimer des fichiers arbitraires sur le serveur. Somatic Framework jusqu’à la version 1.8.14 inclus…
Source : NVD — CVE-2026-115735
Ninja Forms – File Uploads : suppression arbitraire de fichiers
Le module complémentaire Ninja Forms – File Uploads peut traiter des chemins de fichiers fournis par le client sans vérifier qu’ils restent dans le répertoire de téléversement attendu. La description indique qu’un attaquant non authentifié…
Source : NVD — CVE-2026-126537
CVE-2026-85632 : contournement d’authentification dans WooCommerce Virtual POS Module
WooCommerce Virtual POS Module présente une vulnérabilité combinant une absence d’authentification pour une fonction critique et une validation incorrecte de l’intégrité, dans les versions 26.8.3 à celles antérieures à 26.9.1. La descripti…
Source : NVD — CVE-2026-85632
Téléversement de fichiers PHP et exécution de code dans AskAny
AskAny antérieur à 2.2.0 fait confiance au type de fichier déclaré par le navigateur et ne valide ni l’extension ni le contenu des pièces jointes aux messages. Si les pièces jointes des visiteurs sont activées, un utilisateur non authentif…
Source : NVD — CVE-2026-121497
CVE-2026-123696 — réinitialisation non autorisée de l’enrôlement 2FA
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de réinitialiser l’enrôlement à l’authentification à deux facteurs d’un compte quelconque, ou de tous les comptes. La versio…
Source : NVD — CVE-2026-123696
CVE-2026-123697 — accès non autorisé aux données 2FA
La fiche NVD publiée le 11 novembre 2026 décrit un défaut d’autorisation dans Security For WooCommerce permettant à des visiteurs non authentifiés de demander le code ou le secret 2FA courant de n’importe quel utilisateur. Selon la fiche,…
Source : NVD — CVE-2026-123697
CVE-2026-123700 — suppression non autorisée des commentaires
La fiche NVD publiée le 11 novembre 2026 décrit des actions de nettoyage des commentaires dans Security For WooCommerce dépourvues de vérification d’autorisation. Un visiteur non authentifié peut supprimer définitivement tous les commentai…
Source : NVD — CVE-2026-123700
Écriture de fichiers arbitraires et exécution de code dans Contest Gallery
Contest Gallery avant 34.0.3 ne nettoie pas les noms de fichiers téléversés via la fonction de remplacement de fichiers de vente. Un utilisateur disposant au moins des droits d’auteur peut écrire des fichiers d’extension arbitraire dans un…
Source : NVD — CVE-2026-118041
ARForms : téléversement arbitraire de fichiers pouvant mener à l’exécution de code
Le gestionnaire de téléversement de fichiers d’ARForms ne restreint pas suffisamment le nom et le type des fichiers ; un attaquant non authentifié peut ainsi déposer un fichier contenant du code PHP dans un répertoire public. Toutes les ve…
Source : NVD — CVE-2026-111190
ARforms : XSS stockée via l’en-tête Referer
ARforms jusqu’à la version 7.2.4 incluse présente une faille de XSS stockée via l’en-tête Referer, exploitable sans authentification pour injecter un script qui s’exécute lorsqu’un utilisateur consulte la page concernée. Appliquez un corre…
Source : NVD — CVE-2026-12424
ARforms : XSS stockée via le paramètre description
ARforms jusqu’à la version 7.2.4 incluse présente une faille de XSS stockée via le paramètre description, exploitable sans authentification pour injecter du contenu exécuté lorsqu’un utilisateur consulte une page ou qu’un administrateur ou…
Source : NVD — CVE-2026-12427
6Storage Rentals : contournement d’authentification et prise de contrôle de compte
Le plugin 6Storage Rentals présente une chaîne de contournement d’authentification pouvant conduire à la prise de contrôle d’un compte administrateur. La description indique qu’un compte disposant au moins du rôle Subscriber peut contribue…
Source : NVD — CVE-2026-103883
Reset Database : élévation de privilèges par réinitialisation de la base
Le plugin Reset Database expose une fonction de réinitialisation sans contrôle de capacité adéquat. Un utilisateur authentifié disposant au moins du rôle Subscriber peut, selon la description, effacer les tables de la base, réinstaller Wor…
Source : NVD — CVE-2026-119615
Smoove abandoned cart trigger for WooCommerce : XSS persistante
Smoove abandoned cart trigger for WooCommerce, avant la version 4.3.6, n’assainit ni n’échappe les données de panier abandonné soumises par les visiteurs avant leur affichage dans le tableau de bord d’administration. Un utilisateur non aut…
Source : NVD — CVE-2026-123134
Attribution indue de rôle via coupon dans User Registration & Membership
User Registration & Membership ne vérifie pas qu’un coupon appliqué à une formule payante est valide pour cette formule avant de considérer comme payé un ordre entièrement remisé. Un utilisateur non authentifié peut alors obtenir le rôle a…
Source : NVD — CVE-2026-109870
Forminator Forms : inscription avec rôle attribué sans paiement
Lorsque la passerelle de paiement configurée est indisponible, le serveur n’impose pas le paiement d’un formulaire d’inscription et peut attribuer le rôle configuré, y compris celui d’administrateur. La faille concerne Forminator Forms ava…
Source : NVD — CVE-2026-111579
XSS persistante via les réponses de Knowledge Building
Knowledge Building antérieur à 0.7.3 ne nettoie ni n’échappe les commentaires soumis par sa fonction de réponse et les publie sans modération. Un utilisateur non authentifié peut provoquer une XSS persistante sur les publications concernée…
Source : NVD — CVE-2026-121862
XSS réfléchie dans une action AJAX de Knowledge Building
Knowledge Building antérieur à 0.7.3 renvoie sans échappement certaines valeurs fournies par l’utilisateur dans la réponse HTML d’une action AJAX accessible sans authentification. Cela peut provoquer une XSS réfléchie.
Source : NVD — CVE-2026-121863
Connexion administrateur possible dans Simpler Checkout
Simpler Checkout antérieur à 1.5.4 restreint insuffisamment la création de commandes et peut accepter une clé de connexion automatique vide avant la configuration de la boutique. Dans cette situation, un abonné peut se connecter en tant qu…
Source : NVD — CVE-2026-121870
iChart : contrôles d’accès insuffisants dans des actions AJAX
iChart, avant la version 2.2.4, ne vérifie pas correctement les capacités ni la propriété des objets dans plusieurs actions AJAX, ce qui permet à un utilisateur connecté disposant d’un rôle aussi faible que Subscriber de lire, modifier ou…
Source : NVD — CVE-2026-121998
CVE-2026-123701 — réinitialisation non autorisée des paramètres de sécurité
La fiche NVD publiée le 11 novembre 2026 indique que Security For WooCommerce autorise sans vérification l’exécution d’une réinitialisation de ses paramètres. Un attaquant non authentifié peut rétablir des sections de configuration par déf…
Source : NVD — CVE-2026-123701
CVE-2026-123702 — régénération non autorisée des clés et sels
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de régénérer les clés secrètes et sels du fichier de configuration du site. Cela peut déconnecter tous les utilisateurs et,…
Source : NVD — CVE-2026-123702
CVE-2026-123703 — clôture non autorisée de sessions utilisateur
La fiche NVD publiée le 11 novembre 2026 décrit une fonction de Security For WooCommerce qui met fin aux sessions d’un utilisateur sans vérifier l’autorisation du demandeur. Un visiteur non authentifié peut ainsi déconnecter n’importe quel…
Source : NVD — CVE-2026-123703
CVE-2026-123704 — divulgation des adresses électroniques des administrateurs
La fiche NVD publiée le 11 novembre 2026 rapporte qu’une route REST API de Security For WooCommerce permet à des visiteurs non authentifiés de récupérer les adresses électroniques de tous les administrateurs du site. La version concernée v…
Source : NVD — CVE-2026-123704
Security For WooCommerce : divulgation d’informations via une route REST
La route REST du plugin Security For WooCommerce divulgue sans authentification un rapport détaillé sur la configuration du serveur, de PHP et de WordPress, ainsi que des informations sur le plugin et l’adresse e-mail de l’administrateur.…
Source : NVD — CVE-2026-123705
YITH WooCommerce Gift Cards : valeur de carte-cadeau supérieure au montant payé
YITH WooCommerce Gift Cards ne rapproche pas la valeur de la carte-cadeau émise du montant réellement payé lorsque l’achat bénéficie d’une remise, ce qui peut accorder une carte d’une valeur supérieure au paiement. Les versions jusqu’à 4.3…
Source : NVD — CVE-2026-88813
Advanced Product Fields : contournement du supplément d’une option payante
Advanced Product Fields (Product Addons) for WooCommerce ne vérifie pas qu’une valeur soumise pour une option payante obligatoire correspond à un choix configuré, ce qui permet d’éviter le supplément associé. Les versions 1.6.22 à 1.7.3 so…
Source : NVD — CVE-2026-119171
WPS Bookings for WooCommerce : prix modifiable par un utilisateur non authentifié
La version vulnérable du plugin WPS Bookings for WooCommerce ne vérifie pas le prix fourni par l’utilisateur avant de l’appliquer au produit. Un utilisateur non authentifié peut ainsi acheter un service réservable au prix de son choix, y c…
Source : NVD — CVE-2026-92408
Delivery & Pickup Date Time for WooCommerce : XSS stockée
Delivery & Pickup Date Time for WooCommerce présente une vulnérabilité de type XSS stockée. Les versions jusqu’à 1.3.90 incluse sont indiquées comme affectées; aucune version corrigée n’est précisée dans les informations fournies.
Source : NVD — CVE-2026-124256
YITH WooCommerce Ajax Search : XSS stockée
YITH WooCommerce Ajax Search présente une vulnérabilité de type XSS stockée. Les versions jusqu’à 2.30.0 incluse sont indiquées comme affectées; aucune version corrigée n’est précisée dans les informations fournies.
Source : NVD — CVE-2026-125761
XSS réfléchie dans Product Filter for WooCommerce by WBW
Le module Product Filter for WooCommerce by WBW est vulnérable à une XSS réfléchie via le paramètre `text_no_products`. Un attaquant non authentifié peut tenter de faire exécuter un script dans le navigateur d’une personne qui suit un lien…
Source : NVD — CVE-2026-105150
CVE-2026-123698 — exposition non authentifiée des paramètres du plugin
La fiche NVD publiée le 11 novembre 2026 rapporte qu’une route REST API de Security For WooCommerce expose sans authentification les paramètres complets du plugin. Ceux-ci peuvent inclure des clés secrètes configurées et l’URL de connexion…
Source : NVD — CVE-2026-123698
CVE-2026-123699 — déclenchement non autorisé de mises à jour groupées
La fiche NVD publiée le 11 novembre 2026 signale que Security For WooCommerce permet à un visiteur non authentifié de déclencher des mises à jour groupées du plugin et de WordPress sans autorisation. La version concernée va jusqu’à 1.0.16…
Source : NVD — CVE-2026-123699
CVE-2026-124261 : contrôle d’accès manquant dans Taxi Booking Manager for WooCommerce
Une vulnérabilité de contrôle d’accès manquant affecte Taxi Booking Manager for WooCommerce jusqu’à la version 2.1.7 incluse. La fiche NVD indique un score CVSS de 5,3; aucune version corrigée ni mesure d’atténuation n’est précisée dans le…
Source : NVD — CVE-2026-124261
CVE-2026-125431 : contrôle d’accès manquant dans Food Menu for WooCommerce
Une vulnérabilité de contrôle d’accès manquant affecte Food Menu – Restaurant Menu & Online Ordering for WooCommerce jusqu’à la version 6.0.7 incluse. La fiche NVD indique un score CVSS de 5,3; aucune version corrigée ni mesure d’atténuati…
Source : NVD — CVE-2026-125431
CVE-2026-125746 : XSS dans Back In Stock Notifier for WooCommerce
Une vulnérabilité de type XSS affecte Back In Stock Notifier for WooCommerce jusqu’à la version 7.5.2 incluse. La fiche NVD qualifie le problème d’injection de code et donne un score CVSS de 5,3; les informations fournies ne précisent ni v…
Source : NVD — CVE-2026-125746
Elementor Website Builder : XSS stockée via un identifiant d’élément
Elementor Website Builder pour WordPress présente une XSS stockée exploitable par un contributeur : un identifiant d’élément contrôlé est rendu dans un attribut de framework côté client évalué comme JavaScript. Le script peut s’exécuter da…
Source : NVD — CVE-2026-104718
Prolongation de souscription sans paiement dans User Registration & Membership
User Registration & Membership ne vérifie pas qu’un paiement a réellement été effectué avant de prolonger une souscription payante. Un utilisateur authentifié disposant déjà d’une souscription active peut ainsi la renouveler sans payer.
Source : NVD — CVE-2026-109871
User Registration & Membership : inscription sans paiement possible
Une faille permet à un visiteur non authentifié de créer un compte et de se connecter sans paiement lorsqu’un formulaire d’inscription exige un paiement mais qu’aucune formule d’adhésion n’est sélectionnée. Elle concerne User Registration…
Source : NVD — CVE-2026-109873
Data Tables Generator by Supsystic : lecture non autorisée de tables
Une absence de contrôle d’autorisation ou de propriété permet à un visiteur non authentifié de lire le contenu d’une table à partir de son identifiant, y compris si elle n’est pas publiée sur le site. La faille concerne Data Tables Generat…
Source : NVD — CVE-2026-110016
Forminator Forms : réponse après paiement accessible sans paiement confirmé
Forminator Forms ne vérifie pas que le paiement Stripe Checkout est terminé avant de renvoyer la réponse après paiement d’une soumission en attente. Un visiteur non authentifié peut ainsi obtenir l’URL de redirection et le message de remer…
Source : NVD — CVE-2026-111597
Dynific Addons for Elementor : script intersite stocké par un auteur
Une valeur de profil contrôlée par l’utilisateur n’est pas échappée avant son insertion dans un attribut HTML entre guillemets dans un widget Elementor, permettant à un auteur d’enregistrer un contenu qui s’exécute lorsque la publication e…
Source : NVD — CVE-2026-117521
XSS stockée dans Dynific Addons for Elementor
Dans Dynific Addons for Elementor (anciennement Anywhere Elementor) avant 1.3.1, un titre de publication n’est pas échappé dans un attribut HTML, ce qui permet à un auteur de provoquer une XSS stockée lorsqu’un visiteur consulte la publica…
Source : NVD — CVE-2026-117522
Contrôle d’accès manquant dans Dynific Addons for Elementor
Dans Dynific Addons for Elementor avant 1.3.1, une action AJAX qui enregistre la configuration des modules ne vérifie ni les permissions ni le nonce. Tout utilisateur authentifié, y compris un abonné, peut ainsi activer ou désactiver des m…
Source : NVD — CVE-2026-117523
WP Directory Kit : accès non autorisé à des données via la recherche publique
WP Directory Kit avant la version 1.6.3 ne restreint pas les modèles et colonnes accessibles par une action publique de recherche, permettant à un attaquant non authentifié de consulter des données personnelles et des soumissions privées d…
Source : NVD — CVE-2026-118418
WP Directory Kit : injection SQL pour les rôles Listing Admin et supérieurs
WP Directory Kit avant la version 1.6.3 ne nettoie ni n’échappe un paramètre utilisé dans une requête SQL, ce qui permet une injection SQL aux utilisateurs disposant du rôle personnalisé Listing Admin ou d’un rôle supérieur. Mettez à jour…
Source : NVD — CVE-2026-118420
SSRF dans Limit Login Attempts Security
Limit Login Attempts Security avant 3.4.2 ne valide pas la destination d’une requête côté serveur construite à partir d’une valeur de configuration fournie par l’utilisateur. Un administrateur peut ainsi faire émettre au site des requêtes…
Source : NVD — CVE-2026-118439
Contrôle d’autorisation insuffisant à l’import dans Schema & Structured Data for WP & AMP
Schema & Structured Data for WP & AMP avant 1.70 ne vérifie pas que l’utilisateur peut modifier les publications indiquées dans une sauvegarde de paramètres et ne limite pas l’import à ses propres types de publication. Un utilisateur autor…
Source : NVD — CVE-2026-119032
Divulgation de commentaires privés dans Schema & Structured Data for WP & AMP
La version de Schema & Structured Data for WP & AMP antérieure à 1.70 peut divulguer des commentaires approuvés associés à des contenus privés, en brouillon ou protégés par mot de passe. Mettre le plugin à jour vers la version 1.70 ou ulté…
Source : NVD — CVE-2026-119034
XSS persistante dans Schema & Structured Data for WP & AMP
Schema & Structured Data for WP & AMP antérieur à 1.70 peut produire une sortie de données structurées insuffisamment encodée lorsque l’option Pretty Print est activée. Un utilisateur ayant au moins le rôle de contributeur peut alors provo…
Source : NVD — CVE-2026-119035
Contrôles d’accès manquants sur une route REST de NotificationX
NotificationX antérieur à 3.3.7 ne protège pas l’une de ses routes REST par une vérification de capacité ou de nonce. Un attaquant non authentifié peut modifier une option du plugin et déclencher de façon répétée l’envoi de courriels via l…
Source : NVD — CVE-2026-119303
Restriction insuffisante des fichiers téléversés dans Gravity Forms
Gravity Forms antérieur à 3.2.2 ne restreint pas correctement les types de fichiers téléversés sans authentification par sa fonction de téléversement par morceaux. Sur les serveurs configurés pour interpréter les documents SSI, cela peut p…
Source : NVD — CVE-2026-119529
XSS persistante via un shortcode de Live Composer
Live Composer antérieur à 2.1.24 n’échappe pas plusieurs attributs d’un shortcode de constructeur de pages avant leur insertion dans des attributs HTML. Un utilisateur ayant au moins le rôle de contributeur peut stocker un contenu qui exéc…
Source : NVD — CVE-2026-119531
Détournement des connexions Zoom et AWeber dans AutomatorWP
AutomatorWP antérieur à 6.0.8 ne lie pas à l’administrateur initiateur les requêtes terminant la connexion aux intégrations Zoom et AWeber. Une attaque CSRF peut ainsi détourner les identifiants enregistrés et rediriger vers un compte cont…
Source : NVD — CVE-2026-121472
Redirection for Contact Form 7 : demandes de données personnelles non vérifiées
Redirection for Contact Form 7, avant la version 3.2.16, permet à un visiteur non authentifié de créer une demande d’export ou d’effacement de données personnelles présentée comme confirmée pour une adresse qu’il ne contrôle pas. Mettre à…
Source : NVD — CVE-2026-121873
Event Tickets and Registration : divulgation de noms de participants
Event Tickets and Registration, avant la version 5.30.3.1, peut renvoyer via l’API REST les noms de participants alors que l’événement ne publie pas de liste publique. Un utilisateur non authentifié peut ainsi obtenir ces noms ; mettre à j…
Source : NVD — CVE-2026-122061
ProfilePress : accès REST à du contenu protégé
ProfilePress, avant la version 4.17.6, évalue incorrectement certaines règles de protection de contenu lorsque celui-ci est rendu hors de la requête principale. Un utilisateur non authentifié peut alors lire via l’API REST le contenu de pa…
Source : NVD — CVE-2026-123656
ProfilePress : inscription à des plans d’adhésion désactivés
ProfilePress, avant la version 4.17.6, ne rejette pas certains identifiants négatifs de plans d’adhésion lors de la vérification de leur activation. Un visiteur non authentifié peut s’inscrire à un plan désactivé et recevoir le rôle associ…
Source : NVD — CVE-2026-123657
ProfilePress : changement vers un plan d’adhésion désactivé
ProfilePress, avant la version 4.17.4, ne vérifie pas qu’un plan d’adhésion est toujours actif lorsqu’un abonné modifie son abonnement au paiement. Un abonné peut choisir un plan désactivé, y compris un plan gratuit accordant un rôle ; met…
Source : NVD — CVE-2026-123661
Photo Engine : suppression non autorisée de médias synchronisés
Photo Engine (Media Organizer & Lightroom), avant la version 6.6.2, ne vérifie pas qu’un utilisateur est autorisé à supprimer les médias d’une collection avant de les supprimer avec celle-ci. Un utilisateur ayant le rôle Author ou supérieu…
Source : NVD — CVE-2026-123666
Photo Engine : XSS persistante via les noms de mots-clés
Photo Engine (Media Organizer & Lightroom), avant la version 6.6.2, n’assainit ni n’échappe les noms de mots-clés avant leur stockage et leur affichage sur sa page de débogage. Un utilisateur ayant le rôle Author ou supérieur peut y provoq…
Source : NVD — CVE-2026-123667
NotificationX : accès non authentifié à la prévisualisation de notifications
NotificationX ne vérifie ni l’authentification, ni les capacités, ni le nonce sur le chemin de prévisualisation des notifications. Avant la version 3.3.7, un utilisateur non authentifié peut divulguer des publications privées, brouillons,…
Source : NVD — CVE-2026-119302
ProfilePress : divulgation de comptes et de métadonnées via les annuaires membres
ProfilePress ne limite pas les filtres de rôle et de métadonnées utilisateur des annuaires aux valeurs configurées par l’administrateur. Dans les versions antérieures à 4.17.6, un utilisateur non authentifié peut retrouver des comptes qu’u…
Source : NVD — CVE-2026-123659
GetPaid : contournement du paiement par validation insuffisante des quantités
GetPaid ne vérifie pas que les quantités d’articles soumises dans ses formulaires de paiement sont des nombres entiers. Dans les versions 2.8.63 et 2.8.64, un utilisateur non authentifié peut faire marquer comme payée une facture d’un arti…
Source : NVD — CVE-2026-123668
Joinchat : XSS réfléchie via la variable dynamique {HREF}
Joinchat ne nettoie ni n’échappe correctement une variable dynamique {HREF} lorsque le nom d’un paramètre de requête est utilisé. Toutes les versions jusqu’à 6.3.1 inclus sont concernées ; l’exploitation nécessite qu’un administrateur ait…
Source : NVD — CVE-2026-15785
Author Image : XSS stocké via `display_name`
Le plugin Author Image ne neutralise pas correctement la valeur `display_name` avant son affichage. Un attaquant authentifié disposant au moins du rôle Subscriber peut injecter un script stocké, exécuté lorsque des utilisateurs consultent…
Source : NVD — CVE-2026-119097
WP Extended : contrôle d’accès manquant
WP Extended présente une vulnérabilité de contrôle d’accès manquant. La fiche fournie ne précise pas les fonctions concernées ni les opérations accessibles, mais indique que les versions concernées vont jusqu’à 3.4.2.
Source : NVD — CVE-2026-123481
XSS stockée dans les réglages de modules de Live Composer
Live Composer ne neutralise pas correctement certaines options de module avant leur insertion dans un attribut `href`, ce qui permet une XSS stockée à des utilisateurs disposant de privilèges élevés. Le script peut s’exécuter lorsqu’une pa…
Source : NVD — CVE-2025-15711
XSS stockée dans les réglages du personnel de Live Composer
Live Composer ne neutralise pas correctement certains réglages de membres du personnel avant leur affichage, ce qui peut permettre une XSS stockée à des utilisateurs privilégiés. Le script peut s’exécuter dans le navigateur des visiteurs d…
Source : NVD — CVE-2025-15712
Live Composer pour WordPress : XSS stockée
Live Composer pour WordPress présente une faille XSS stockée : un utilisateur autorisé à utiliser le constructeur de pages peut injecter du JavaScript exécuté lorsqu’un visiteur consulte la page concernée. Les administrateurs peuvent égale…
Source : NVD — CVE-2025-15713
XSS stockée dans le module Button de Live Composer
Live Composer ne neutralise pas certaines options de son module Button avant leur affichage côté public, ce qui peut permettre une XSS stockée à des utilisateurs privilégiés. Le script peut être exécuté par les visiteurs des pages contenan…
Source : NVD — CVE-2025-15714
Contrôle d’autorisation réseau insuffisant dans Code Snippets
Sur les installations multisites, Code Snippets ne vérifie pas les capacités de gestion réseau avant d’honorer un paramètre de portée réseau lors de l’import de snippets. Un administrateur d’un sous-site peut ainsi modifier ou désactiver d…
Source : NVD — CVE-2026-106468
Download Manager : accès possible à des fichiers protégés via l’aperçu
Les aperçus de médias peuvent délivrer une clé de téléchargement sans vérifier que le visiteur est autorisé à accéder au paquet, ce qui expose des fichiers protégés par mot de passe ou par restriction de rôle. La faille concerne Download M…
Source : NVD — CVE-2026-110948
Download Manager : restriction de rôle contournable avec le mot de passe du paquet
La vérification d’un mot de passe de paquet ne tient pas compte de la restriction de rôle configurée, permettant à un utilisateur non authentifié qui connaît le mot de passe d’obtenir une clé de téléchargement. La faille concerne Download…
Source : NVD — CVE-2026-110949
Divulgation de publications privées dans Dynific Addons for Elementor
Dynific Addons for Elementor avant 1.3.1 ne vérifie pas le statut ni les droits d’accès lors de la résolution des identifiants de publications transmis à un shortcode. Un utilisateur authentifié ayant au moins le rôle Contributeur peut div…
Source : NVD — CVE-2026-117524
Contrôle d’autorisation insuffisant sur les médias dans Smush
Smush avant 4.3.6 ne vérifie pas que l’utilisateur est autorisé à agir sur la pièce jointe ciblée, et se contente d’un contrôle général de capacité d’envoi de fichiers. Un utilisateur ayant au moins le rôle Auteur peut optimiser et restaur…
Source : NVD — CVE-2026-118241
Contrôle d’autorisation insuffisant sur les données structurées des publications
Schema & Structured Data for WP & AMP avant 1.70 ne vérifie pas qu’un utilisateur peut modifier une publication avant de lui permettre de changer ses paramètres de données structurées. Un contributeur ou un utilisateur de rôle supérieur au…
Source : NVD — CVE-2026-119033
Event Tickets and Registration : accès non autorisé aux participants d’événements privés
Event Tickets and Registration, avant la version 5.30.3.1, ne limite pas les données de participants aux événements que le demandeur est autorisé à consulter. Un utilisateur non authentifié peut récupérer les participants d’événements priv…
Source : NVD — CVE-2026-122087
Systèmes & serveurs
36 alerte(s)Élévation de privilèges via la gestion des groupes Webmin
Webmin jusqu’à la version 2.670 présente une élévation de privilèges dans `acl/save_group.cgi` : un administrateur délégué disposant d’un accès au module Webmin Users peut obtenir des permissions de modules non autorisées. La fiche NVD a é…
Source : NVD — CVE-2026-126780
Injection dans le fichier des utilisateurs via l’émission de certificats Webmin
Webmin jusqu’à la version 2.670 présente une injection dans le fichier des utilisateurs via `acl/cert_issue.cgi`, exploitable par un utilisateur Webmin authentifié lorsque les champs de nom distinctif du certificat ne sont pas correctement…
Source : NVD — CVE-2026-126781
Debian corrige une vulnérabilité de SPIP
Debian a publié DSA-6619-1 pour SPIP, qui corrige CVE-2026-122032. L’avis indique un risque d’exécution de code à distance sans authentification et recommande la mise à niveau du paquet.
Source : DSA-6619-1 — spip security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-27622
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-27622 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34379
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34379 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34380
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34380 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34543
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34543 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34544
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34544 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34588
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34588 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-34589
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-34589 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-40244
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-40244 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-40250
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-40250 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-41142
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-41142 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-42216
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-42216 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-42217
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-42217 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-54920
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-54920 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-55059
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-55059 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-55373
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-55373 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59183
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59183 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59184
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59184 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59186
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59186 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59189
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59189 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59981
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59981 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59982
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59982 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59983
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59983 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59984
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59984 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-59985
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-59985 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-61555
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-61555 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Mise à jour de sécurité Debian pour OpenEXR — CVE-2026-68515
Debian a publié DSA-6618-1 pour corriger plusieurs vulnérabilités d’OpenEXR; le bulletin associe notamment CVE-2026-68515 à cette mise à jour groupée. L’avis décrit globalement des risques de déni de service et d’accès mémoire hors limites…
Source : DSA-6618-1 — openexr security update
Avis Debian LTS pour aodh — DLA-4895-1
L’avis DLA-4895-1 annonce un correctif de sécurité pour aodh, le service d’alertes de télémétrie OpenStack, en raison d’une vulnérabilité pouvant divulguer des informations. La version corrigée et l’identifiant CVE ne figurent pas dans les…
Source : DLA-4895-1 — aodh security update
Avis Debian LTS pour watcher — DLA-4894-1
L’avis DLA-4894-1 annonce un correctif pour plusieurs vulnérabilités de watcher, service OpenStack d’optimisation cloud, pouvant entraîner une divulgation d’informations. Les versions concernées, le correctif précis et les CVE ne sont pas…
Source : DLA-4894-1 — watcher security update
Avis Debian LTS pour Octavia — DLA-4893-1
L’avis DLA-4893-1 annonce des correctifs pour plusieurs vulnérabilités d’Octavia, le service OpenStack de répartition de charge; le résumé fourni mentionne divulgation d’informations, exécution de code à distance et contournement d’autoris…
Source : DLA-4893-1 — octavia security update
Rsyslog — CVE-2026-19654
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de…
Source : DLA-4891-1 — rsyslog security update
Rsyslog — CVE-2026-61548
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de…
Source : DLA-4891-1 — rsyslog security update
Rsyslog — CVE-2026-78002
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de…
Source : DLA-4891-1 — rsyslog security update
Rsyslog — CVE-2026-93403
L’avis DLA-4891-1 annonce des correctifs pour quatre vulnérabilités de rsyslog. Les éléments fournis décrivent des risques de crash distant non authentifié pour CVE-2026-19654, de débordement de pile pour CVE-2026-61548, de débordement de…
Source : DLA-4891-1 — rsyslog security update
Cloud & DevOps
1 alerte(s)CVE-2026-121374 — Injection d’arguments dans l’agent spécial Kubernetes de Checkmk
Une injection d’arguments dans l’agent spécial Kubernetes de Checkmk permet à un utilisateur autorisé à modifier des règles dans au moins un dossier d’écrire des fichiers à des emplacements accessibles au compte du site, pouvant conduire à…
Source : NVD — CVE-2026-121374