Les sujets à surveiller, en un regard.
169 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 15 sujet(s) en rouge, 4 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée à Shopify n’a pas identifié de nouvel avis, correctif, exploitation signalée ou changement substantiel daté dans la période demandée. Les avis Shopify trouvés pendant la recherche sont antérieurs à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche dédiée sur Wix n’a identifié aucun avis, correctif, nouvelle vulnérabilité, exploitation ou changement substantiel daté du 2026-09-30 dans la période demandée. La vulnérabilité CVE-2026-2276 trouvée dans les résultats est antérieure à cette période et n’est donc pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a identifié aucun avis de sécurité, correctif, signalement d’exploitation ou changement substantiel lié à une vulnérabilité et daté de la période demandée dans les sources consultées. Un résultat relatif à une clôture d’injonction de la CNIL a été écarté car il ne concerne pas une vulnérabilité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée sur Craft CMS, Craft Commerce et le module Formie n’a pas établi de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-09-30 dans la période demandée. Les quatre candidats correspondent à des vulnérabilités publiées avant cette période; les seules dates du 2026-09-30 fournies pour eux sont des mises à jour NVD, sans preuve consultée d’un changement substantiel de sécurité ce jour-là.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel vérifiable daté du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. Les avis Ghost visibles dans les résultats consultés étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Strapi. Les avis Strapi repérés dans les résultats consultés sont datés hors de la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00 ; aucun item correspondant à cette fenêtre n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche web dédiée a été effectuée pour Directus. Les avis de sécurité Directus relevés dans les résultats consultés sont datés des 5 et 20 août 2026, et la version Directus v12.4.1 consultée est datée du 23 septembre 2026 ; aucune information vérifiée parmi ces résultats ne satisfait la période du 30 septembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
Recherche web dédiée à OpenCart effectuée pour la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. Les résultats consultés n’établissent aucun avis, correctif ou événement de sécurité OpenCart daté de cette période; les avis et vulnérabilités plus anciens repérés ont été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée sur cPanel n’a pas établi de nouveauté de sécurité datée du 2026-09-30 dans la période demandée. Les avis cPanel retrouvés autour de cette date sont datés du 2026-09-29 ou antérieurs; aucun item admissible n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Critique
La fiche NVD fournie signale la publication, le 30 septembre 2026, de CVE-2026-55107, une évasion critique de sandbox Kobako corrigée en 0.9.1. La recherche a aussi fait apparaître une source rapportant un avis antérieur ; les autres candidats correspondent à des vulnérabilités publiées avant la période, sans preuve d’un changement substantiel daté du 30 septembre.
Kobako : évasion critique de la sandbox mruby
Kobako présente une évasion de sandbox permettant à un script mruby invité d’exécuter du Ruby dans le processus hôte. Les versions 0.1.0 à 0.9.0 sont concernées ; mettez à niveau vers 0.9.1 ou ultérieure.
Action recommandée : Mettre à niveau Kobako vers la version 0.9.1 ou ultérieure avant d’exécuter des scripts non fiables dans la sandbox.
Bun
Recherche du sujet effectuée
Recherche dédiée effectuée pour Bun. Aucun avis de sécurité ou correctif concernant le produit Bun n’a été vérifié pour la période demandée. Les candidats portent sur des bibliothèques tierces utilisables sous Bun, et non sur une vulnérabilité de Bun lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a relevé une injection de commandes dans Deno sous Windows publiée le 30 septembre, une mise à jour substantielle concernant l’exposition de Deno à CVE-2026-102414, ainsi qu’un avis Axios du même jour qui concerne aussi les applications Deno utilisant son adaptateur Fetch. Les avis Deno consultés sur GitHub pour d’autres vulnérabilités étaient datés antérieurement à la période et n’ont pas été retenus comme nouveautés de cette journée.
Injection de commandes dans `node:child_process` sous Windows
Une injection de commandes affecte `node:child_process` sous Windows lorsque des arguments non fiables sont utilisés avec l’option `shell`. L’attaquant peut alors exécuter des commandes avec les privilèges du processus Deno.
Action recommandée : Éviter de transmettre des arguments non fiables à `node:child_process` avec l’option `shell` sous Windows; appliquer une version corrigée dès qu’elle est confirmée par l’éditeur.
Axios : la limite maxRedirects ne bloque pas les redirections avec l’adaptateur Fetch
Dans l’adaptateur Fetch d’Axios, `maxRedirects: 0` n’empêche pas le suivi des redirections, ce qui peut contourner une protection SSRF configurée par l’application. Le problème concerne les requêtes utilisant cet adaptateur sans contrôle de redirection Fetch équivalent ; utiliser `fetchOptions: { redirect: 'manual' }` si pris en charge, ou l’adaptateur HTTP, et mettre à jour Axios.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; en attendant, appliquer un contrôle de redirection Fetch explicite ou utiliser l’adaptateur HTTP.
Déni de service possible via le fallback JavaScript de `pbkdf2` utilisé par Deno
Une vulnérabilité de déni de service dans le fallback JavaScript de `pbkdf2` peut rendre le calcul coûteux lorsqu’un mot de passe dépasse la taille de bloc du digest. La fiche NVD modifiée pendant la période précise que ce chemin peut être utilisé par Deno 2.9.0 et ultérieur, et qu’un mot de passe très long peut bloquer la boucle d’événements.
Action recommandée : Limiter la longueur des mots de passe acceptés et vérifier les avis du projet `pbkdf2` et les versions utilisées.
Go
Vérification incomplète
Un résultat consulté signale, le 30 septembre 2026, une vulnérabilité dans le package `tempo` de gRPC-Go (CVE-2026-84303). Les informations accessibles pendant cette recherche ne précisent pas les versions affectées, le correctif ni l’impact détaillé.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kotlin
Recherche du sujet effectuée
Niveau relevé : Élevée
Un nouvel avis concernant TeamCity et son Kotlin DSL a été publié pendant la période : CVE-2026-100253, une évasion du sandbox pouvant mener à l’exécution de code. Les autres candidats portent des dates de publication antérieures ; leur mise à jour NVD du 30 septembre n’est pas, à elle seule, une preuve d’un changement substantiel pendant la période.
Évasion du sandbox Kotlin DSL et exécution de code dans JetBrains TeamCity
Une faille dans le sandbox du Kotlin DSL des paramètres versionnés de JetBrains TeamCity permettait une évasion du sandbox et l’exécution de code. Les versions antérieures à 2026.2, 2026.1.4 et 2025.11.8 sont concernées ; mettez TeamCity à niveau vers une version corrigée.
Action recommandée : Mettre à niveau TeamCity vers une version corrigée : 2026.2, 2026.1.4 ou 2025.11.8, selon la branche utilisée.
Electron
Recherche du sujet effectuée
La recherche ciblée a relevé des avis Electron correspondant à plusieurs candidats, mais la page des avis GitHub consultée les date d’avant la période demandée. Les éléments disponibles ne permettent pas d’établir qu’une nouveauté ou un changement substantiel concernant ces CVE a été publié entre le 2026-09-30T00:00:00+02:00 et le 2026-10-01T00:00:00+02:00; une mise à jour NVD seule ne suffit donc pas à les retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
Aucun avis de sécurité, correctif ou changement substantiel concernant jQuery et daté de la période demandée n’a été vérifié dans les sources consultées. Le candidat fourni concerne Snipe-IT, et non jQuery comme produit vulnérable; sa date de modification NVD, à elle seule, ne constitue pas une nouvelle vulnérabilité jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche web a repéré des avis Laravel publiés avant la période demandée. Pour les candidats NVD fournis, la date de publication est antérieure au 2026-09-30 et les éléments consultés ne permettent pas d’établir qu’une modification survenue pendant la période constitue un changement substantiel. Aucun item n’est donc retenu sur les preuves disponibles; cela ne signifie pas qu’aucune nouveauté n’a existé. Les trois fiches NVD fournies portent des dates de publication antérieures à la période. Leur date de mise à jour tombe dans la période, mais le lot ne fournit aucun élément montrant qu’il s’agit d’un changement substantiel plutôt que d’une modification administrative ; aucune nouveauté admissible n’est donc retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Vérification incomplète
La recherche a identifié CVE-2026-81176, une vulnérabilité de déni de service dans devalue.parse. Les informations trouvées indiquent qu’elle avait été publiée avant la période et corrigée en version 5.9.2; la fiche NVD porte une date de mise à jour dans la période, mais les éléments consultés ne permettent pas d’établir si cette modification était substantielle ou administrative.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Symfony
Vérification incomplète
Recherche web dédiée effectuée. Les éléments consultés ne permettent pas de vérifier si les modifications NVD des trois candidats au 2026-09-30 étaient substantielles; aucun item n’est donc retenu sans preuve suffisante. Les avis Symfony trouvés dans les résultats de recherche étaient datés antérieurement à la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Flask
Recherche du sujet effectuée
Aucune nouveauté de sécurité attribuable au projet Flask n’a été vérifiée pour la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. Les candidats fournis concernent OctoPrint, Flask-Reuploaded ou PyJWT, et ne documentent pas un événement pertinent pour Flask pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée n’a relevé aucun nouvel avis, correctif ou changement de sécurité attribuable au projet Django dans la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. Les candidats portent sur Horilla ou djust, des logiciels distincts qui utilisent Django, et non sur une vulnérabilité de Django lui-même; leurs dates de publication sont antérieures à la période et leur mise à jour NVD ne suffit pas à établir un événement de sécurité Django pendant celle-ci. L’archive officielle Django consultée répertorie comme avis le plus récent affiché ceux du 2026-08-04. L’avis GHSA-q238-5cxm-5c9h relatif à Django a été mis à jour le 30 septembre 2026 et décrit un déni de service dans GeoDjango lors de l’analyse de collections de géométries profondément imbriquées. Les autres candidats portent sur des produits tiers ou ne fournissent pas de preuve d’un changement substantiel dans la période.
Django GeoDjango : déni de service lors de l’analyse de géométries imbriquées
GeoDjango peut subir un déni de service lors de l’analyse de collections `GEOMETRYCOLLECTION` profondément imbriquées, pouvant provoquer une récursion non bornée et un crash. Le problème concerne notamment `GEOSGeometry`, les recherches sur champs spatiaux et `GeometryField` ; mettez à niveau vers une version corrigée.
Action recommandée : Mettre Django à niveau vers 5.2.17, 6.0.8 ou 6.1.1 selon la branche utilisée.
FastAPI
Recherche du sujet effectuée
Les notes de version officielles de FastAPI indiquent la publication de FastAPI 0.142.2 le 2026-09-30, avec une correction permettant le démarrage lorsque la configuration automatique OpenTelemetry échoue. Elles ne la présentent pas comme un avis de sécurité ni comme une vulnérabilité. Le candidat CVE-2026-55837 concerne dbt-mcp, et non une vulnérabilité de FastAPI; les informations fournies le datent du 2026-09-14, tandis que la modification NVD signalée ne suffit pas à établir un nouvel événement de sécurité dans la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité officiels d’Express.js et aux avis GitHub consultés n’a révélé aucun avis ou correctif de sécurité concernant le framework Express daté du 2026-09-30. Les candidats portent sur un plugin WordPress et deux paquets npm distincts, et non sur Express.js.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche a fait ressortir trois avis de sécurité NestJS candidats. La page des avis de sécurité du dépôt NestJS les date du 15 septembre 2026, avant la période demandée; la mise à jour NVD du 30 septembre concernant CVE-2026-102281 est une modification de fiche et ne suffit pas à établir une nouvelle faille ou un changement substantiel pendant la période. Aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis, de correctif ou de vulnérabilité concernant le produit MySQL daté de la période demandée. Les candidats fournis décrivent des vulnérabilités dans des projets tiers qui utilisent MySQL, offrent une compatibilité MySQL ou mentionnent MySQL parmi plusieurs bases prises en charge; les avis MySQL Community consultés sont antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
La recherche dédiée a consulté les archives de sécurité du projet PostgreSQL, les résultats NVD et des recherches ciblées sur les avis PostgreSQL et les deux extensions citées. Aucun avis ni correctif du projet PostgreSQL daté du 30 septembre 2026 n’a été vérifié. Les candidats NVD fournis décrivent des vulnérabilités publiées avant cette période; leur seule mise à jour de fiche le 30 septembre ne suffit pas à établir un événement de sécurité substantiel dans la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
Aucune vulnérabilité nouvelle ni aucun avis ou correctif de sécurité MongoDB daté de la période demandée n’a été vérifié parmi les sources consultées. Les notes de version MongoDB consultées indiquent notamment que CVE-2026-9737 était déjà corrigée en juillet et que CVE-2026-89099 figurait dans des correctifs publiés avant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
Dans les sources Redis officielles et GitHub consultées, les avis de sécurité Redis repérés sont datés d’avant la période demandée. Aucun avis ou correctif Redis daté du 2026-09-30 n’a été vérifié. Les candidats portent sur AiSOC ou le produit CVX, et non sur une vulnérabilité de Redis lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée a repéré un avis de sécurité Caddy, publié le 2026-07-10, qui regroupe notamment les problèmes décrits par CVE-2026-92284 et CVE-2026-92700. Cette publication est antérieure à la période demandée; les éléments fournis indiquent une mise à jour NVD le 2026-09-30, mais ne démontrent pas qu’il s’agisse d’un changement substantiel survenu ce jour-là. Le troisième candidat concerne Grav, et non Caddy.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub du projet SvelteKit et des résultats pertinents CVE/NVD. Les avis SvelteKit remontés par ces sources étaient antérieurs à la période demandée; aucun avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-09-30 (+02:00) n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
Aucune nouveauté de sécurité concernant le projet Babel n’a été vérifiée pour la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. L’avis CVE-2026-100690 concerne Hugo : Babel n’y est mentionné que comme l’un des outils Node.js utilisés, et non comme le produit vulnérable.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche web dédiée à Elasticsearch n’a pas fait apparaître d’avis ou d’événement de sécurité vérifiable daté du 2026-09-30 dans les sources consultées. Les avis Elastic visibles dans les résultats sont antérieurs à la période demandée; cette vérification ne permet pas d’affirmer qu’aucune information n’a été publiée ailleurs sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Aucun nouvel avis ni changement substantiel attribuable à RabbitMQ n’a été vérifié pour la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. Les avis RabbitMQ trouvés dans la recherche datent d’avant cette période. Les candidats portent sur des fiches NVD mises à jour pendant la période ou sur une vulnérabilité de NestJS qui concerne aussi le transport RabbitMQ, mais les éléments consultés ne permettent pas de les retenir comme nouveautés de sécurité propres à RabbitMQ.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
Les recherches effectuées sur Memcached n’ont pas identifié de vulnérabilité, d’avis de sécurité, de correctif, d’exploitation ni de changement substantiel daté du 2026-09-30 dans la période demandée. Les avis et publications Memcached repérés dans les résultats disponibles sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Une nouvelle vulnérabilité Taskcluster liée au traitement de filtres GraphQL a été publiée le 30 septembre 2026; elle est corrigée en version 100.3.0. Les autres candidats fournis avaient été publiés avant la période et leur seule date dans celle-ci est une modification NVD; aucune preuve consultée n’établit un changement substantiel survenu pendant la période. Une vulnérabilité Taskcluster liée à l’exposition d’un point de terminaison GraphQL est publiée le 30 septembre 2026. Le correctif est disponible dans Taskcluster 100.3.0.
CVE-2026-55094 — exécution de code à distance dans certains déploiements Taskcluster via GraphQL
Une vulnérabilité permet une exécution de code à distance sans authentification dans certaines déploiements Taskcluster exposant leur point de terminaison GraphQL à un rôle anonyme et analysant les arguments de filtre avec la bibliothèque sift. Le problème concerne les versions antérieures à 100.3.0 et est corrigé dans cette version.
Action recommandée : Mettre à jour Taskcluster vers la version 100.3.0 ou ultérieure.
WooCommerce
Vérification incomplète
Niveau relevé : Élevée
La recherche web a identifié dix fiches NVD publiées le 30 septembre 2026 concernant des extensions de l’écosystème WooCommerce. Les informations de versions affectées, de rôles et de scores reprises ici proviennent des candidats NVD fournis ; aucun correctif éditeur ni exploitation active n’a été confirmé dans les résultats consultés. Sept fiches NVD concernant des extensions WooCommerce ont été publiées le 2026-09-30 dans la période demandée. Les éléments fournis ne documentent pas les versions corrigées ni une exploitation connue. Les fiches NVD fournies indiquent huit CVE publiées le 30 septembre 2026 concernant des extensions WooCommerce : trois injections d’objet PHP, une faille XSS attribuée au rôle de contributeur et quatre failles XSS sans authentification. Les éléments fournis ne précisent pas de versions corrigées ni d’exploitation active confirmée. Les neuf candidats sont des notifications de modification de fiches NVD. Les éléments fournis ne démontrent pas qu’une vulnérabilité nouvelle, un correctif, un avis de sécurité ou un changement substantiel soit survenu pendant la période ; aucune nouveauté vérifiée n’est donc retenue.
Injection SQL dans Category Discount Woocommerce
Une injection SQL affecte Category Discount Woocommerce jusqu’à la version 5.18 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 7,6 ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible ; vérifier les avis de l’éditeur.
CSRF dans Blacklist Manager pour WooCommerce
Une falsification de requête intersite (CSRF) sans authentification est signalée dans Blacklist Manager – WooCommerce Anti-Fraud, Blacklist & Checkout Verification jusqu’à la version 2.3.1 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 8,8 ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible ; vérifier les avis de l’éditeur.
XSS dans Premmerce Permalink Manager for WooCommerce
Une vulnérabilité de script intersite (XSS) sans authentification est signalée dans Premmerce Permalink Manager for WooCommerce jusqu’à la version 2.3.13 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 7,1 ; les éléments fournis ne précisent ni correctif ni contournement.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible ; vérifier les avis de l’éditeur.
Injection d’objet PHP dans Extra Product Options for WooCommerce
Une injection d’objet PHP est signalée dans Extra Product Options For WooCommerce | Custom Product Addons and Fields jusqu’à la version 3.3.8 incluse. Le titre NVD situe la vulnérabilité dans le contexte d’un gestionnaire de boutique et la fiche publiée pendant la période indique un score CVSS de 7,2 ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible ; vérifier les avis de l’éditeur.
Injection d’objet PHP dans Music Player for WooCommerce
La désérialisation PHP d’objets dans Music Player for WooCommerce peut être déclenchée par un gestionnaire de boutique. Les versions concernées sont ≤ 1.9.1 ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
Injection d’objet PHP dans Minimum and Maximum Quantity for WooCommerce
Une injection d’objet PHP affecte Minimum and Maximum Quantity for WooCommerce lorsqu’elle est exploitée par un utilisateur ayant le rôle d’auteur. Les versions concernées sont ≤ 2.1.2 ; la source ne précise ni version corrigée ni contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
Injection d’objet PHP dans Cost of Goods for WooCommerce
Cost of Goods for WooCommerce présente une injection d’objet PHP exploitable par un gestionnaire de boutique. Les versions concernées sont ≤ 3.5.2 ; aucune version corrigée ni mesure de contournement n’est fournie par la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
Injection d’objet PHP dans Kadence WooCommerce Email Designer
Kadence WooCommerce Email Designer comporte une injection d’objet PHP exploitable par un gestionnaire de boutique. Les versions concernées sont ≤ 1.5.19.1 ; aucun correctif ni contournement n’est spécifié dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
XSS sans authentification dans YITH WooCommerce Ajax Search
YITH WooCommerce Ajax Search est affecté par une vulnérabilité XSS sans authentification. Les versions concernées sont ≤ 2.28.0 ; la source ne précise ni version corrigée ni mesure de contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
XSS sans authentification dans WooCommerce Product Table Lite
WooCommerce Product Table Lite présente une vulnérabilité XSS exploitable sans authentification. Elle affecte les versions ≤ 5.6.7 ; aucun correctif ni contournement n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
XSS sans authentification dans Trusted Shops Easy Integration for WooCommerce
Trusted Shops Easy Integration for WooCommerce comporte une vulnérabilité XSS exploitable sans authentification. Les versions concernées sont ≤ 2.0.6 ; la source ne mentionne aucun correctif ni contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
XSS dans YITH WooCommerce Tab Manager
Une vulnérabilité XSS affectant les auteurs est signalée dans YITH WooCommerce Tab Manager jusqu’à la version 2.15.0 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 6,5 ; aucun correctif ou contournement n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible ; vérifier les avis de l’éditeur.
CSRF dans Razorpay Payment Links for WooCommerce
Une vulnérabilité CSRF sans authentification est signalée dans Razorpay Payment Links for WooCommerce jusqu’à la version 2.1.5 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 5,4 ; les éléments fournis ne mentionnent pas de correctif ni de contournement.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible ; vérifier les avis de l’éditeur.
Contournement d’autorisation dans Pay with Vipps for WooCommerce
Une vulnérabilité de contournement des contrôles d’accès est signalée dans Pay with Vipps for WooCommerce, de version non déterminée jusqu’à la version 6.2.4 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 5,3 ; les éléments fournis ne précisent ni correctif ni contournement.
Action recommandée : Mettre à jour le module dès qu’un correctif est disponible ; vérifier les avis de l’éditeur.
XSS dans Pixel Manager for WooCommerce
Pixel Manager for WooCommerce est affecté par une faille XSS exploitable par un utilisateur ayant le rôle de contributeur. La vulnérabilité concerne les versions ≤ 1.69.0 ; la source ne donne pas de correctif ni de contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les annonces de l’éditeur.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press n’a identifié aucune vulnérabilité nouvelle, publication de correctif/avis de sécurité, exploitation ni mise à jour substantielle datée du 2026-09-30 dans la période demandée. Les vulnérabilités visibles dans les sources consultées sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
Niveau relevé : Critique
La note de version officielle de Docker Engine datée du 2026-09-30 signale deux vulnérabilités corrigées dans la version 29.8.2 : une consommation excessive de ressources lors du traitement d’index OCI et un risque touchant la vérification TLS des connexions aux registres. Les candidats examinés concernent Renovate, AiSOC, Nagios XI, Spring Tools, Mousehole, Doco-CD, Envoy Gateway et Kimai. La mention de Docker dans leur description concerne un mode de déploiement, une intégration ou une image, et non une vulnérabilité ou un avis de sécurité du produit Docker. Deux candidats concernent des risques de sécurité associés à Docker et présentent une information substantielle dans la période : une vulnérabilité de Docker MCP Gateway et une configuration Docker vulnérable documentée pour Obot. Les autres candidats du lot concernent des produits distincts sans lien suffisant avec le sujet Docker demandé. Les candidats liés à Docker qui datent de la période décrivent deux vulnérabilités Tugtainer, corrigées respectivement dans les versions 1.30.6 et 1.31.3. L’avis PyJWT fourni est antérieur à la période et concerne une bibliothèque, pas Docker.
Obot : démarrage rapide Docker exposé sans authentification
CVE-2026-101065 concerne la configuration de démarrage Docker documentée pour Obot, qui exposait le service sur toutes les interfaces avec l’authentification désactivée. Un attaquant pouvant atteindre le port pouvait obtenir des privilèges administrateur et accéder aux capacités de contrôle Docker rendues disponibles par le montage du socket ; le correctif signalé est une modification de la documentation activant l’authentification.
Action recommandée : Ne pas exposer une instance configurée selon l’ancienne commande de démarrage rapide ; activer l’authentification et vérifier les déploiements existants.
Tugtainer : SSRF via le test des notifications
Tugtainer permet à un utilisateur authentifié d’utiliser le point de terminaison de test des notifications pour faire émettre au serveur des requêtes HTTP vers des URL arbitraires, y compris des adresses internes ou de métadonnées. Cette SSRF a été corrigée dans Tugtainer 1.30.6.
Action recommandée : Mettre à niveau Tugtainer vers la version 1.30.6 ou ultérieure.
Docker MCP Gateway : contournement de la frontière de confiance lors de la création de conteneurs
CVE-2026-55887 concerne Docker MCP Gateway, qui avant la version 0.42.2 pouvait appliquer des paramètres d’exécution contrôlés par l’auteur d’une image OCI malveillante. Lorsqu’un utilisateur sélectionnait ou récupérait cette image, cela pouvait permettre le montage de ressources de l’hôte et l’exécution de code sur celui-ci.
Action recommandée : Mettre à niveau Docker MCP Gateway vers la version 0.42.2 ou ultérieure et éviter de sélectionner des images non fiables avant mise à niveau.
Tugtainer : validation insuffisante du jeton d’identité OIDC
Dans Tugtainer, le flux de connexion OIDC utilisait les revendications du jeton d’identité sans vérifier sa signature ni valider son audience, son émetteur ou son expiration. Le problème a été corrigé dans Tugtainer 1.31.3.
Action recommandée : Mettre à niveau Tugtainer vers la version 1.31.3 ou ultérieure.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée n’a pas identifié d’avis ou de vulnérabilité Kubernetes daté dans la période demandée. L’avis Kubernetes CVE-2026-19444 trouvé est daté du 28 septembre 2026, hors période. Les candidats NVD ont été examinés : leurs dates de publication précèdent la période, et la mise à jour NVD du 30 septembre ne suffit pas à établir un nouvel événement de sécurité Kubernetes dans celle-ci. Aucun candidat ne peut être retenu pour la période demandée : les dates de publication indiquées sont antérieures au 2026-09-30, et les candidats signalent uniquement une mise à jour NVD sans preuve d’un changement substantiel daté dans la période. L’avis GHSA publié pendant la période décrit un défaut de contournement du proxy dans Axios pour les entrées CIDR de NO_PROXY, susceptible de concerner des environnements Kubernetes. Les fiches NVD fournies pour Contrast et Kyverno avaient été publiées avant la période; leurs mises à jour datées de celle-ci ne suffisent pas, à elles seules, à établir un changement substantiel.
Axios : les exclusions CIDR de NO_PROXY sont ignorées
Axios ne reconnaît pas les entrées CIDR de `NO_PROXY` dans l’adaptateur Node.js et peut donc envoyer via le proxy des requêtes vers des adresses censées en être exclues. Jusqu’à la mise à jour, utiliser des noms d’hôte ou adresses IP exacts dans `NO_PROXY`, ou définir `proxy: false` pour les requêtes concernées.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; remplacer provisoirement les entrées CIDR de `NO_PROXY` par des entrées exactes.
Linux (noyau)
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de vulnérabilité, d’avis, de correctif, d’exploitation ou de changement substantiel concernant le noyau Linux daté du 2026-09-30 dans la période demandée. Les candidats fournis concernent Google Chrome et leurs mises à jour NVD ne constituent pas des éléments sur Linux. Aucun candidat de ce lot ne concerne le noyau Linux : tous portent sur des vulnérabilités de Google Chrome. Les modifications NVD indiquées sont datées de la période, mais ne constituent pas des informations pertinentes pour le sujet demandé. Aucun élément de ce lot ne concerne le noyau Linux : les candidats portent tous sur des vulnérabilités de Google Chrome. Aucun item Linux n’est donc retenu. Aucun élément du lot n’établit une vulnérabilité nouvelle ou un changement substantiel de sécurité daté du 30 septembre 2026 pour le noyau Linux. Les entrées Linux indiquent une publication le 25 septembre et une mise à jour NVD le 30 septembre, sans preuve fournie que cette mise à jour corresponde à un changement substantiel plutôt qu’administratif. Aucun événement Linux (noyau) de ce lot n’est retenu pour la période. Les descriptions indiquent des correctifs, mais leur date de publication est antérieure à la période et la seule date fournie dans celle-ci est une date de mise à jour NVD, sans élément permettant d’établir un changement substantiel effectué ce jour-là. Les candidats décrivent des correctifs du noyau Linux dont la date de publication indiquée est le 2026-09-25. Pour chacun, la seule date située dans la période est une mise à jour NVD au 2026-09-30, sans preuve fournie que cette modification soit substantielle plutôt qu’administrative ; aucun événement admissible n’est donc établi. Les candidats concernent des vulnérabilités du noyau Linux publiées le…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Les candidats fournis signalent trois avis Debian (OpenSSL, Firefox ESR et Tor) et trois avis Debian LTS (pgextwlist, mkvtoolnix et libsmpp34) datés du 30 septembre 2026. Les deux modifications NVD examinées concernent des CVE publiées antérieurement ; leur seule date de mise à jour NVD ne suffit pas à établir une nouveauté de sécurité dans la période.
DSA-6531-1 — mise à jour de sécurité d’OpenSSL
Debian a publié une mise à jour de sécurité d’OpenSSL pour corriger plusieurs vulnérabilités pouvant entraîner un déni de service, une divulgation d’informations ou, potentiellement, la récupération de clés privées. L’avis fourni ne précise ni les CVE concernées ni les versions Debian corrigées ; mettez à jour les paquets OpenSSL selon les instructions de l’avis.
Action recommandée : Installer la mise à jour Debian d’OpenSSL indiquée par l’avis.
DSA-6533-1 — mise à jour de sécurité de Firefox ESR
Debian a publié une mise à jour de sécurité de Firefox ESR visant plusieurs problèmes susceptibles de permettre l’exécution de code, une sortie du bac à sable, une divulgation d’informations ou une élévation de privilèges. Le résumé fourni indique le passage aux versions ESR 153.x, mais ne donne pas les CVE ni les versions de paquets Debian corrigées ; appliquez la mise à jour de l’avis.
Action recommandée : Mettre à jour Firefox ESR à l’aide des paquets Debian corrigés.
DSA-6532-1 — mise à jour de sécurité de Tor
Debian a publié une mise à jour de sécurité pour Tor à la suite de plusieurs vulnérabilités pouvant provoquer un déni de service. Le résumé fourni ne précise ni les CVE concernées ni les versions corrigées ; installez la mise à jour Debian correspondante.
Action recommandée : Installer la mise à jour Debian de Tor indiquée par l’avis.
DLA-4806-1 — mise à jour de sécurité de pgextwlist
Debian LTS a publié une mise à jour de pgextwlist concernant la substitution de schémas ou de propriétaires d’extensions correspondant à certains caractères. Le correctif rejette désormais ces substitutions ; le candidat ne précise pas les versions affectées ou corrigées ni de CVE, aussi mettez à jour le paquet depuis les dépôts Debian concernés.
Action recommandée : Mettre à jour pgextwlist depuis les dépôts Debian LTS concernés.
DLA-4805-1 — mise à jour de sécurité de mkvtoolnix
Debian LTS a publié une mise à jour de mkvtoolnix pour un débordement de tampon sur le tas dans la bibliothèque avilib intégrée. Le résumé fourni indique que la mise à jour du logiciel est le moyen d’éviter le problème, mais ne précise pas les versions ni une CVE.
Action recommandée : Mettre à jour mkvtoolnix depuis les dépôts Debian LTS concernés.
DLA-4804-1 — mise à jour de sécurité de libsmpp34
Debian LTS a publié une mise à jour de libsmpp34 pour une lecture hors limites lors du traitement de PDU SMPP contrôlées par un attaquant, pouvant entraîner une corruption mémoire. Le candidat ne précise pas de CVE ni les versions affectées ou corrigées ; mettez à jour le paquet Debian concerné.
Action recommandée : Mettre à jour libsmpp34 depuis les dépôts Debian LTS concernés.
Alpine Linux
Vérification incomplète
Une mise à jour de sécurité Alpine concernant plusieurs paquets Podman, vers 5.8.8-r0 ou ultérieure, est signalée pour le 2026-09-30. La source consultée associe cette mise à jour à quatre CVE; elle ne permet pas d’établir séparément les versions affectées ni les scores et impacts de chacune.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Recherche du sujet effectuée
Recherche web dédiée à Apache HTTP Server effectuée. Les sources officielles consultées répertorient des avis et correctifs antérieurs à la période demandée; les résultats obtenus ne permettent pas de vérifier un événement de sécurité daté du 2026-09-30. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité officiels de nginx, son dépôt et ses versions GitHub, ainsi que des sources de sécurité complémentaires. Aucun avis, correctif, événement d’exploitation ou changement substantiel concernant nginx lui-même n’a été vérifié comme daté du 2026-09-30 dans la période demandée. Les candidats portant sur des logiciels tiers ou des vulnérabilités sans lien direct avec nginx sont exclus du périmètre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée n’a identifié aucun avis, correctif ou changement substantiel concernant le projet PHP ou PHP-FPM daté du 2026-09-30 dans la période demandée. Les avis PHP consultés sur GitHub sont datés du 2026-09-24, hors période; les candidats fournis concernent des applications écrites en PHP ou mentionnent l’exécution de fichiers PHP, et non une vulnérabilité du projet PHP/PHP-FPM. Aucun candidat du lot ne concerne PHP ou PHP-FPM en tant que produit : les vulnérabilités décrites touchent des applications, thèmes ou extensions tiers, même lorsque ceux-ci sont écrits en PHP ou exécutent du code PHP. Aucun candidat fourni ne concerne une vulnérabilité du langage ou de l’environnement d’exécution PHP : ils portent sur openSIS-Classic ou des extensions WordPress tierces. Aucun élément n’est retenu pour le sujet demandé. Aucun candidat ne décrit une vulnérabilité du produit PHP ou de PHP-FPM : les neuf premiers concernent des extensions WordPress, et le dernier concerne une faille XSS dans MISP où PHP n’est mentionné qu’au sujet de FILTER_VALIDATE_URL. Aucun candidat fourni ne concerne une vulnérabilité du langage ou du produit PHP : les éléments portent sur des extensions Joomla ou WordPress, Restaurant-Management-System et yii2-starter-kit. Ils sont donc hors du sujet demandé. Aucun candidat ne concerne une vulnérabilité du langage ou du moteur PHP (y compris PHP-FPM). Les références à PHP désignent ici des applications, extensions ou fonctions d’envoi de fichiers ; elles ne suffisent pas à rattacher ces vulnérabilités au sujet demandé. Aucun candidat ne documente une vulnérabilité du langage ou du runtime PHP, ni un correctif de sécurité PHP. Les candidats concernent d’autres logiciels ; CVE-2026-75823 concerne le greffon WordPress User Frontend, même si son expl…
Déni de service quadratique dans l’extension Table de league/commonmark
Une vérification répétée du texte accumulé par le parseur des tableaux GFM peut entraîner un déni de service par consommation quadratique du processeur lors du traitement d’un paragraphe Markdown non fiable. Les versions 2.0.0 à 2.10.1 sont concernées ; mettre à niveau `league/commonmark` vers 2.10.2.
Action recommandée : Mettre à niveau league/commonmark vers la version 2.10.2.
EWWW Image Optimizer : injection d’objets PHP par un auteur
Un utilisateur authentifié disposant au moins du rôle auteur peut enregistrer une valeur sérialisée dans une métadonnée d’article, ensuite désérialisée lors de l’affichage. Cela peut entraîner une injection d’objets PHP et potentiellement une exécution de code à distance si une chaîne gadget adaptée est disponible.
Action recommandée : Mettre à jour EWWW Image Optimizer vers la version 8.8.0 ou ultérieure.
Contournement du contrôle des caractères de contrôle dans Flysystem par UTF-8 mal formé
Un chemin contenant des octets UTF-8 mal formés pouvait contourner le contrôle des caractères de contrôle de Flysystem, parce que l’échec de `preg_match()` était traité comme une absence de correspondance. Les versions jusqu’à 3.35.2 sont concernées ; mettre à niveau vers 3.35.3.
Action recommandée : Mettre à niveau league/flysystem vers la version 3.35.3.
WordPress
Vérification incomplète
Niveau relevé : Critique
Dix vulnérabilités WordPress avec fiches NVD datées du 30 septembre 2026 ont été identifiées dans les candidats fournis. Elles touchent des extensions et un thème; les actions recommandées et versions corrigées sont indiquées lorsqu’elles sont établies par les informations disponibles. Dix fiches NVD WordPress publiées le 2026-09-30 ont été vérifiées dans le lot fourni : elles concernent des versions vulnérables de plugins et d’un thème, avec des correctifs indiqués pour neuf cas et aucun correctif disponible indiqué pour Connections Business Directory. Dix fiches NVD WordPress fournies sont datées du 30 septembre 2026 et décrivent des vulnérabilités affectant des extensions WordPress. Les informations disponibles indiquent des versions corrigées pour neuf entrées; aucun correctif n’est précisé dans le candidat concernant Simply Schedule Appointments. Les candidats fournis correspondent à dix fiches NVD publiées pendant la période: neuf concernent des extensions WordPress vulnérables à des XSS stockées ou injections SQL, et une fiche publiée ce jour-là porte sur un CVE de 2025. Les sources fournies ne précisent pas de versions corrigées ni d’exploitation confirmée. Les candidats retenus correspondent à huit fiches NVD publiées le 2026-09-30 concernant des extensions ou un thème WordPress. Deux candidats supplémentaires signalent seulement une mise à jour NVD sans preuve fournie d’un changement substantiel. Dix vulnérabilités WordPress distinctes sont indiquées comme publiées par le NVD le 30 septembre 2026. Elles concernent des extensions et un thème, avec des impacts allant de la création de comptes ou divulgation de données à l’injection de scripts, au téléversement de fichiers et à l’exécution potentielle de code ; les versions correctives indiquées sont propres à c…
Zella Theme : téléversement non authentifié pouvant mener à l’exécution de code
Le thème Zella expose à des utilisateurs non authentifiés une action d’envoi de polices sans contrôle de capacité ni vérification de nonce. Un attaquant peut téléverser des fichiers arbitraires, notamment PHP, et potentiellement exécuter du code à distance ; mettre à jour le thème vers la version 2.6.3 ou ultérieure.
Action recommandée : Mettre à jour Zella Theme vers la version 2.6.3 ou ultérieure.
Frontend Post Submission Manager Lite : XSS stockée DOM
Le module Frontend Post Submission Manager Lite – Frontend Posting est vulnérable à une XSS stockée DOM via `post_content`, exploitable sans authentification lorsque la soumission d’articles invités est activée par le shortcode `[fpsm]`. Les versions jusqu’à 1.3.4 sont concernées; mettez à jour vers une version corrigée, dont le numéro n’est pas établi ici, ou désactivez la soumission publique concernée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; sinon, désactiver la soumission publique activée par [fpsm].
Simply Schedule Appointments : inclusion de fichier local via ssa_locale
Simply Schedule Appointments présente une inclusion de fichier local via le paramètre `ssa_locale` dans les versions jusqu’à 1.6.12.27 incluse. La fiche indique qu’une requête non authentifiée peut exploiter le défaut, avec possibilité d’inclure des fichiers PHP et, selon les circonstances, d’exécuter du code, de contourner des contrôles ou d’accéder à des données sensibles.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; la source fournie ne précise pas de version corrigée.
Injection SQL dans Motors – Car Dealership & Classified Listings
CVE-2026-6806 est une injection SQL aveugle temporelle dans Motors – Car Dealership & Classified Listings, via les paramètres `stm_lat/stm_lng`. Toutes les versions jusqu’à 1.4.109 inclus sont affectées ; la vulnérabilité peut permettre à un attaquant non authentifié d’extraire des informations de la base de données.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
Lecture de fichiers arbitraires dans Product Designer App
CVE-2026-75098 est une vulnérabilité de traversée de répertoires dans Product Designer App, via le paramètre `svg`. Les versions jusqu’à 1.1.3 inclus sont affectées ; un attaquant non authentifié peut lire des fichiers arbitraires sur le serveur, potentiellement sensibles.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké non authentifié dans Post Views Stats Counter
Le greffon Post Views Stats Counter présente un XSS stocké via l’en-tête User-Agent, exploitable sans authentification et susceptible d’exécuter des scripts dans les pages consultées. Les versions jusqu’à 1.1.7 incluse sont concernées ; aucun correctif ni contournement n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour le greffon dès qu’un correctif est disponible ; à défaut, désactiver le greffon jusqu’à résolution du problème.
CVE-2026-93512 : XSS non authentifiée dans JW Player for WordPress
La fiche NVD signale une vulnérabilité XSS non authentifiée dans JW Player for WordPress. Les versions concernées sont celles jusqu’à la 2.3.11 incluse ; les informations fournies ne précisent ni version corrigée ni mesure de contournement.
Action recommandée : Vérifier les annonces du mainteneur et mettre à jour le plugin dès qu’une version corrigée est publiée.
CVE-2026-94081 : XSS non authentifiée dans WordPress Persistent Login
La fiche NVD signale une XSS non authentifiée dans WordPress Persistent Login. Les versions concernées sont celles jusqu’à la 3.1.3 incluse ; aucun correctif ni contournement n’est documenté dans les éléments reçus.
Action recommandée : Vérifier les annonces du mainteneur et mettre à jour le plugin dès qu’une version corrigée est publiée.
WordPress Backup & Migration : défaut de contrôle d’accès
WordPress Backup & Migration présente un défaut de contrôle d’accès non authentifié dans les versions jusqu’à 1.6.0 incluse. Les éléments fournis ne donnent pas de détails sur les opérations accessibles ni sur une version corrigée.
Action recommandée : Vérifier la version installée et appliquer un correctif dès qu’il est disponible.
The User Frontend : attribution possible d’un rôle élevé à l’inscription
The User Frontend ne vérifie pas correctement le rôle choisi dans le formulaire d’inscription, ce qui peut permettre à un visiteur non authentifié de créer un compte avec des privilèges élevés, comme ceux d’un éditeur. Le problème concerne les installations sans extension PHP sodium et avec une page d’inscription configurée ; le rôle administrateur ne peut pas être obtenu par cette voie.
Action recommandée : Mettre à jour The User Frontend vers la version 4.3.12 ou ultérieure.
All in One Files Upload : téléversement public de fichiers SVG actifs
All in One Files Upload autorise les fichiers SVG sans les assainir et ne vérifie pas l’authenticité des requêtes publiques de téléversement. Un utilisateur non authentifié peut ainsi stocker du contenu actif exécuté sur l’origine du site lorsqu’une victime ouvre le fichier ; mettre à jour vers la version 2.0.17 ou ultérieure.
Action recommandée : Mettre à jour All in One Files Upload vers la version 2.0.17 ou ultérieure.
Vayu X : installation de plugins par un utilisateur authentifié
Une action AJAX du thème ne vérifie pas les capacités de l’utilisateur et le nonce associé est exposé à tous les utilisateurs connectés. Un utilisateur authentifié, même avec un rôle limité tel que abonné, peut ainsi installer et activer un plugin hébergé sur le dépôt WordPress.org.
Action recommandée : Mettre à jour Vayu X vers la version 1.0.6 ou ultérieure.
Robin Image Optimizer : XSS persistante dans le contenu soumis
Avec un mode de diffusion d’images non standard activé, le parseur HTML inclus réémet des valeurs dans des attributs sans les échapper. Un utilisateur non authentifié peut soumettre du contenu qui provoque une XSS persistante chez les personnes consultant une page affectée, y compris les administrateurs.
Action recommandée : Mettre à jour Robin Image Optimizer vers la version 2.0.8 ou ultérieure ; éviter le mode de diffusion concerné jusqu’à la mise à jour.
WP Mobile Menu : XSS persistante via l’import des réglages
La vérification du nonce lors de l’importation des réglages est incorrecte, ce qui permet une importation déclenchée par une requête intersite dans la session d’un administrateur. Les valeurs importées sont ensuite affichées sans échappement aux visiteurs, entraînant une XSS persistante.
Action recommandée : Mettre à jour WP Mobile Menu vers la version 2.9 ou ultérieure.
Fichiers téléversés non validés dans le plugin WordPress Verge3D
Le plugin WordPress Verge3D Publishing and E-Commerce, dans les versions antérieures à 4.13.1, ne valide pas le contenu des fichiers téléversés via sa fonction de stockage et les sert avec un type de contenu contrôlé par l’attaquant. Un attaquant non authentifié peut ainsi faire exécuter du JavaScript dans le navigateur d’un utilisateur qui ouvre le fichier.
Action recommandée : Mettre à jour le plugin vers la version 4.13.1 ou ultérieure.
XSS stockée dans HT Mega Addons for Elementor
Le plugin HT Mega Addons for Elementor présente une XSS stockée via le réglage `display_options` des tableaux de données, due à une validation et un échappement insuffisants. Un attaquant authentifié disposant au minimum du rôle Contributor peut injecter du script exécuté lors de la consultation de la page concernée.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; en attendant, limiter les comptes Contributor et supérieurs et les contenus concernés.
XSS stockée dans Smart Slider 3
Le plugin Smart Slider 3 présente une XSS stockée via le paramètre `data-href`, liée à une sanitisation et un échappement insuffisants. Un attaquant authentifié disposant au minimum du rôle Contributor peut injecter du script exécuté lors de la consultation d’une page concernée.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter entre-temps les comptes pouvant créer ou modifier des contenus concernés.
Injection SQL dans WP Directory Kit
CVE-2026-16596 concerne une injection SQL dans le plugin WP Directory Kit, via le paramètre `data_fields_list`. Les versions jusqu’à 1.5.4 inclus sont affectées ; un attaquant authentifié disposant au minimum du rôle Contributor peut extraire des informations de la base de données.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké dans Bold Page Builder via le shortcode bt_bb_css_image_grid
CVE-2026-6170 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `images` du shortcode `bt_bb_css_image_grid`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimum le rôle Contributor peut injecter un script exécuté lorsqu’une page concernée est consultée.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké dans Bold Page Builder via le shortcode bt_bb_icon
CVE-2026-6171 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `target` du shortcode `bt_bb_icon`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimum le rôle Contributor peut injecter un script exécuté lorsqu’une page concernée est consultée.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké dans Bold Page Builder via le shortcode bt_bb_image
CVE-2026-6172 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `caption` du shortcode `bt_bb_image`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimum le rôle Contributor peut injecter un script exécuté lorsqu’une page concernée est consultée.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké dans Bold Page Builder via le shortcode bt_bb_section
CVE-2026-6173 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `background_image` du shortcode `bt_bb_section`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimum le rôle Contributor peut injecter un script exécuté lorsqu’une page concernée est consultée.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké dans Bold Page Builder via le shortcode bt_bb_service
CVE-2026-88037 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via l’attribut `title` du shortcode `bt_bb_service`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimum le rôle Contributor peut injecter un script exécuté lorsqu’une page concernée est consultée.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké par téléversement SVG dans Viable URL Media Uploader
CVE-2025-14564 concerne un cross-site scripting stocké dans le plugin Viable URL Media Uploader, déclenché par le téléversement de fichiers SVG. Toutes les versions jusqu’à 1.0.0 inclus sont affectées ; un attaquant authentifié disposant au minimum du rôle Author peut injecter des scripts exécutés lors de l’accès au fichier SVG.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké dans ReactPress – Create React App for WordPress
CVE-2026-92712 est une vulnérabilité de cross-site scripting stocké dans ReactPress – Create React App for WordPress, via le paramètre `permalink`. Les versions jusqu’à 3.4.0 inclus sont affectées ; un utilisateur authentifié ayant au minimum le rôle Subscriber peut injecter un script dans les pages concernées.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
XSS stocké dans Real Estate Manager
Le greffon Real Estate Manager est vulnérable à un XSS stocké via le paramètre `before_price_text`, permettant à des utilisateurs authentifiés disposant au minimum du rôle abonné d’injecter des scripts exécutés par les visiteurs des pages concernées. Le défaut concerne les versions jusqu’à 7.3 incluse ; aucun correctif ni contournement n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour le greffon dès qu’un correctif est disponible ; à défaut, limiter l’accès aux comptes authentifiés concernés et surveiller les pages susceptibles d’avoir été altérées.
FluentCart : usurpation de compte via paiement invité
FluentCart ne vérifie pas que l’utilisateur qui effectue un paiement invité contrôle l’adresse courriel fournie, ce qui peut permettre à un attaquant non authentifié connaissant l’adresse d’un client invité d’obtenir un compte connecté associé à celle-ci. Les versions antérieures à 1.6.5 sont concernées; mettez le module à jour au minimum vers la version 1.6.5.
Action recommandée : Mettre à jour FluentCart vers la version 1.6.5 ou ultérieure.
The User Frontend : création de comptes malgré les inscriptions désactivées
The User Frontend ne vérifie pas si le site autorise les inscriptions avant de créer un compte, ce qui permet à un visiteur non authentifié de s’inscrire même lorsque celles-ci sont désactivées. Le compte reçoit le rôle par défaut du site.
Action recommandée : Mettre à jour The User Frontend vers la version 4.3.12 ou ultérieure.
Solace Extra : lecture non autorisée de contenus non publiés
Solace Extra ne vérifie ni les droits d’accès ni le statut des publications sur ses routes d’aperçu frontales. Un visiteur non authentifié peut ainsi consulter le contenu rendu de publications ou pages non publiées ; mettre à jour l’extension vers la version 1.7.2 ou ultérieure.
Action recommandée : Mettre à jour Solace Extra vers la version 1.7.2 ou ultérieure.
New User Approve : exposition de données personnelles via des routes REST
New User Approve vérifie incorrectement l’authentification sur certaines routes REST d’intégration lorsque l’intégration n’est pas configurée. Un attaquant non authentifié peut récupérer des données personnelles des utilisateurs inscrits — identifiant, nom d’utilisateur, adresse e-mail et date d’inscription ; mettre à jour vers la version 3.2.10 ou ultérieure.
Action recommandée : Mettre à jour New User Approve vers la version 3.2.10 ou ultérieure.
EmbedPress : injection de scripts via un réglage de widget Elementor
EmbedPress ne nettoie ni n’échappe un paramètre de widget Elementor avant son insertion dans un attribut HTML. Un utilisateur ayant le rôle contributeur ou supérieur peut injecter des scripts qui s’exécutent lorsque le contenu affecté est consulté ; mettre à jour l’extension vers la version 4.6.7 ou ultérieure.
Action recommandée : Mettre à jour EmbedPress vers la version 4.6.7 ou ultérieure.
Validation insuffisante des URL dans le plugin WordPress Audio Player Block
Le plugin WordPress Audio Player Block, dans les versions antérieures à 1.6.3, ne vérifie pas le schéma des URL fournies par les utilisateurs avant de les utiliser comme liens. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi faire exécuter du JavaScript dans la session d’une personne qui ouvre ensuite le lien, par exemple un administrateur.
Action recommandée : Mettre à jour le plugin vers la version 1.6.3 ou ultérieure.
EWWW Image Optimizer : injection d’objets PHP par un auteur
Un utilisateur authentifié disposant au moins du rôle auteur peut enregistrer une valeur sérialisée dans une métadonnée d’article, ensuite désérialisée lors de l’affichage. Cela peut entraîner une injection d’objets PHP et potentiellement une exécution de code à distance si une chaîne gadget adaptée est disponible.
Action recommandée : Mettre à jour EWWW Image Optimizer vers la version 8.8.0 ou ultérieure.
All in One Files Upload : modification des réglages par tout utilisateur authentifié
All in One Files Upload ne contrôle ni les capacités ni l’authenticité de la requête lors de l’enregistrement de ses réglages. Tout utilisateur authentifié, y compris un abonné, peut les modifier ; mettre à jour vers la version 2.0.17 ou ultérieure.
Action recommandée : Mettre à jour All in One Files Upload vers la version 2.0.17 ou ultérieure.
Connections Business Directory : exposition de fiches via l’API REST
Une vérification d’autorisation manquante sur certaines routes REST permet à des visiteurs non authentifiés de récupérer des fiches du répertoire censées être privées, non répertoriées ou en attente de modération. Le plugin est indiqué comme fermé sur WordPress.org et aucun correctif n’est signalé ; retirez-le ou restreignez l’accès non authentifié à ses routes REST.
Action recommandée : Retirer le plugin, ou bloquer l’accès non authentifié à ses routes REST.
Hostinger Reach : injection de scripts dans l’aperçu de l’éditeur
Un paramètre de widget n’est pas assaini ni échappé dans l’aperçu de l’éditeur, ce qui permet à un utilisateur ayant au moins le rôle contributeur d’injecter des scripts. Ceux-ci peuvent s’exécuter dans la session d’un utilisateur plus privilégié qui ouvre le contenu concerné dans l’éditeur.
Action recommandée : Mettre à jour Hostinger Reach vers la version 1.8.3 ou ultérieure.
Robin Image Optimizer : accès à des pages et réglages administratifs
Le plugin ne vérifie pas les capacités de l’utilisateur avant de traiter certains gestionnaires de requêtes de son framework d’administration. Un compte abonné peut ainsi afficher des pages réservées à l’administration et divulguer les réglages enregistrés du plugin.
Action recommandée : Mettre à jour Robin Image Optimizer vers la version 2.0.8 ou ultérieure.
Image Optimizer : divulgation de données via des routes REST
Plusieurs routes REST de lecture ne font pas respecter le contrôle de capacité prévu. Tout utilisateur authentifié peut consulter des métadonnées de pièces jointes et des statistiques du site qui devraient être réservées aux administrateurs.
Action recommandée : Mettre à jour Image Optimizer vers la version 1.7.7 ou ultérieure.
EWWW Image Optimizer : opérations sur des fichiers WebP hors périmètre
Une routine de migration de fichiers dérivés WebP n’est pas limitée au répertoire d’uploads du site courant. Un utilisateur disposant du rôle administrateur peut ainsi renommer ou supprimer des fichiers WebP situés hors de ce périmètre, y compris ceux d’un autre site dans un réseau multisite auquel il n’a pas accès.
Action recommandée : Mettre à jour EWWW Image Optimizer vers la version 8.8.0 ou ultérieure.
Content Egg : XSS persistante via l’import groupé de contenu
Content Egg ne vérifie pas que l’utilisateur qui lance l’import groupé est autorisé à utiliser le preset choisi et adopte l’identité de l’auteur du preset lors de la création du contenu. Des utilisateurs disposant au moins du rôle contributeur peuvent ainsi publier des scripts web non filtrés, exécutés lorsque le contenu est consulté.
Action recommandée : Mettre à jour Content Egg vers la version 11.9.0 ou ultérieure.
InPost PL : falsification possible des statuts d’expédition
InPost PL ne vérifie pas l’authenticité des requêtes de webhook de suivi d’expédition et se repose sur un identifiant non secret ainsi qu’un contrôle d’adresse IP non appliqué. Un attaquant non authentifié connaissant le numéro de suivi d’une commande peut falsifier son statut et la marquer prématurément comme terminée.
Action recommandée : Mettre à jour InPost PL vers la version 1.9.8 ou ultérieure.
YayReviews : exposition d’avis et de données personnelles
YayReviews expose sans restriction une route d’API qui renvoie les avis individuels, y compris ceux en attente de modération. Des attaquants non authentifiés peuvent récupérer les adresses e-mail des évaluateurs et le contenu non public des avis.
Action recommandée : Mettre à jour YayReviews vers la version 1.4.1 ou ultérieure.
Course Booking System : export non protégé de données clients
Course Booking System ne restreint pas l’accès à l’export des réservations. Un utilisateur non authentifié peut télécharger les noms, adresses e-mail et adresses de facturation de l’ensemble des clients ayant réservé un cours.
Action recommandée : Mettre à jour Course Booking System vers la version 7.0.9 ou ultérieure.
Broken Link Notifier : contournement du filtre d’adresses internes
Broken Link Notifier ne revalide pas la destination des redirections lorsqu’il vérifie des liens, ce qui permet de contourner son filtre contre les adresses internes. Un attaquant non authentifié peut ainsi faire envoyer par le serveur des requêtes vers des services internes.
Action recommandée : Mettre à jour Broken Link Notifier vers la version 2.0.0.1 ou ultérieure.
Schema & Structured Data for WP & AMP : injection de scripts sur multisite
Schema & Structured Data for WP & AMP ne contrôle pas les capacités lors de l’enregistrement de plusieurs champs et ne les échappe pas lors de leur affichage. Sur un site multisite où les éditeurs n’ont pas la capacité unfiltered_html, un éditeur ou un utilisateur de rôle supérieur peut injecter des scripts exécutés lorsqu’un utilisateur plus privilégié consulte l’écran concerné ; mettre à jour vers la version 1.67 ou ultérieure.
Action recommandée : Mettre à jour l’extension vers la version 1.67 ou ultérieure.
Safe Redirect Manager : redirection vers un site externe arbitraire
Lorsqu’une règle de redirection générique vers une URL absolue est configurée, la destination n’est pas correctement validée. Un attaquant non authentifié peut alors rediriger les visiteurs vers un site externe arbitraire en utilisant un chemin de requête conçu à cet effet.
Action recommandée : Mettre à jour Safe Redirect Manager vers la version 2.3.0 ou ultérieure.
Media Library Organizer : création de termes sans autorisation suffisante
Media Library Organizer ne vérifie pas que l’utilisateur dispose des capacités nécessaires pour gérer la taxonomie ciblée avant de créer un terme. Les utilisateurs disposant au moins du rôle contributeur peuvent créer des termes visibles publiquement dans les taxonomies du site.
Action recommandée : Mettre à jour Media Library Organizer vers la version 2.1.4 ou ultérieure.
CVE-2026-27085 : injection de contenu dans le thème Astra
La fiche NVD signale une injection de contenu dans le thème Astra, accessible à un gestionnaire de boutique. Les versions concernées sont celles jusqu’à la 4.13.12 incluse ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Action recommandée : Vérifier les annonces du mainteneur du thème et appliquer un correctif dès qu’il est disponible.
PrestaShop
Recherche du sujet effectuée
La recherche a identifié CVE-2026-85520, qui concerne le module Google Merchant Center Feed (gmfeed) de PrestaShop. Sa publication initiale est antérieure à la période demandée (29 septembre 2026) ; bien que la fiche NVD ait été modifiée le 30 septembre, les sources consultées ne permettent pas de vérifier qu’il s’agissait d’un changement substantiel plutôt que d’une mise à jour administrative. Aucun item n’est donc retenu pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche web dédiée à Cockpit n’a pas permis de vérifier d’avis, de correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période demandée. Les avis repérés dans les résultats disponibles sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche ciblée sur CloudPanel a été effectuée. Les sources consultées n’établissent aucun avis, correctif, événement d’exploitation ni changement substantiel CloudPanel daté du 2026-09-30 dans la période demandée; les éléments repérés concernent d’autres dates et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité et les publications GitHub d’Uptime Kuma. Aucun avis, correctif, événement d’exploitation ou changement substantiel publiquement daté de la période demandée n’a pu être vérifié dans les résultats consultés; des avis affichés par le projet portent des dates antérieures.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant MariaDB daté du 30 septembre 2026. Les trois candidats portent sur MikroORM ou DBHub, et non sur MariaDB lui-même ; leurs fiches indiquent une première publication antérieure à la période. Aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée a porté sur phpMyAdmin, notamment sur la page de sécurité du projet, ses versions et avis GitHub, ainsi que sur les résultats CVE/NVD. Aucun avis, correctif, événement d’exploitation ou changement substantiel attribuable à phpMyAdmin et daté de la période demandée n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Pour la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00, les sources consultées n’ont pas révélé de nouvel avis, correctif de sécurité, événement d’exploitation ni mise à jour substantielle concernant pgAdmin daté de cette période. Les avis et correctifs repérés dans les résultats de recherche étaient datés d’avant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Virtualmin. Parmi les sources consultées, la version Virtualmin 8.3.0 a été annoncée le 2026-09-29, avant la période demandée; aucun avis de sécurité, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-09-30 dans la période fixe n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Aucune nouveauté de sécurité Webmin datée du 2026-09-30 n’a été identifiée dans les avis éditeur/projet et publications consultés. Les avis GitHub repérés concernant Webmin sont datés des 21 et 30 juillet 2026, donc antérieurs à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Aucun avis ou correctif de sécurité Vue.js daté de la période demandée n’a été vérifié dans les sources consultées. Le candidat CVE-2026-48541 concerne Krayin CRM et sa fiche NVD indique une publication antérieure à la période; sa modification NVD du 30 septembre, à elle seule, ne démontre pas un changement substantiel relatif à Vue.js. L’avis GHSA-g2v6-rqmx-r4w6 repéré concerne Vue, mais sa date de publication indiquée est le 31 août 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée sur Vite n’a identifié, parmi les sources consultées, aucun avis, correctif, cas d’exploitation ou changement substantiel daté du 30 septembre 2026 dans la période demandée. Les avis Vite visibles sur GitHub et le signalement d’exploitation consulté sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
Aucun événement Nuxt répondant aux critères de la période n’a été vérifié. Le candidat CVE-2026-61793 indique une publication NVD le 2026-09-17, avant la période ; la seule mise à jour NVD indiquée pendant la période ne suffit pas à établir un changement substantiel de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Vérification incomplète
La recherche a fait remonter une publication de sécurité Next.js datée du 30 septembre 2026, ainsi que trois candidats dont la date de publication ou la portée ne correspond pas au sujet et à la période. Les sources consultées ne concordent pas entièrement sur l’association d’un avis GHSA et d’un identifiant CVE, et les avis primaires pour les vulnérabilités de la publication du 30 septembre n’ont pas tous pu être vérifiés; la liste ci-dessus doit donc être considérée comme partiellement vérifiée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
React
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis publié pendant la période concerne le paquet npm malveillant `react-nodejs`, qui usurpe l’identité de React. Les candidats relatifs à ReactPress, DB-GPT, Element Web, ReactPHP, React Native Worklets et au paquet cortana-md-engine ne sont pas retenus comme nouveautés de sécurité du sujet demandé pour la période, selon les éléments fournis.
Code malveillant dans react-nodejs
L’avis signale que react-nodejs 19.3.0 exécute, pendant l’installation npm, un script JavaScript récupéré depuis une branche mutable d’un dépôt tiers. Cette usurpation du nom et de l’identité de React peut mener à l’exécution de code sur la machine d’installation ; éviter le paquet et vérifier les environnements où il a été installé.
Action recommandée : Ne pas installer react-nodejs 19.3.0 ; si le paquet a été installé, examiner la machine et les processus d’installation concernés.
Angular
Recherche du sujet effectuée
La recherche dédiée dans les avis de sécurité officiels du dépôt Angular n’a relevé aucun avis publié pendant la période demandée. L’avis GHSA-ff3f-86qr-9cv3 existe, mais la page Angular indique une publication le 2026-09-23, en dehors de la période du 2026-09-30.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux CVE concernant Astro ont une date de première publication NVD située dans la période figée : un contournement de l’allowlist d’images Netlify et un plantage possible de l’adaptateur Node avec un en-tête Host malformé. Les avis de projet GitHub consultés pour ces problèmes affichent une date antérieure, le 2026-08-27.
Déni de service possible via un port malformé dans Host avec @astrojs/node
Dans l’adaptateur Node, un port malformé dans l’en-tête Host peut rendre invalide l’URL de requête et provoquer une exception non interceptée. Selon la configuration, la requête produit une erreur HTTP 500 ou peut arrêter le processus Node, ce qui affecte la disponibilité.
Action recommandée : Mettre à niveau @astrojs/node vers 11.1.3 ou une version corrigée ultérieure.
Contournement de l’allowlist d’images Netlify dans @astrojs/netlify
Une validation d’URL insuffisamment ancrée dans l’adaptateur Netlify peut laisser passer une URL dont l’hôte réel n’est pas autorisé. Une requête non authentifiée vers /.netlify/images peut alors provoquer des requêtes vers des URL choisies par l’attaquant, avec un risque de sondage ou d’accès à des services internes.
Action recommandée : Mettre à niveau @astrojs/netlify vers 8.2.4 ou une version corrigée ultérieure.
TypeScript
Vérification incomplète
Niveau relevé : Moyenne
Deux avis de sécurité datés dans la période ont été relevés dans les sources consultées : un avis GitHub pour `ip-address` et un avis XSS pour TanStack Start. Les huit candidats NVD fournis ont été examinés comme mises à jour de fiches préexistantes ; les informations disponibles ne démontrent pas un nouvel avis, un correctif ou un changement substantiel daté dans la période.
ip-address : contournement possible de listes d’autorisation par comparaison IPv4/IPv6
Une erreur de vérification entre adresses IPv4 et IPv6 dans `isInSubnet()` et `isHostInSubnet()` peut faire accepter une adresse qui n’appartient pas à une liste d’autorisation. Le correctif est disponible dans `ip-address` 10.7.1 ; mettez à niveau les installations concernées.
Action recommandée : Mettre à niveau `ip-address` vers 10.7.1 ou une version ultérieure.
JavaScript
Vérification incomplète
Niveau relevé : Critique
Sept candidats décrivent des vulnérabilités entraînant l’exécution de JavaScript et leur publication NVD tombe dans la période figée. Le candidat CVE-2026-75098 concerne une traversée de répertoires, pas une vulnérabilité JavaScript; les publications NVD de CVE-2026-102092 et CVE-2026-102100 sont postérieures à la borne de fin convertie en UTC (2026-09-30T22:00:00Z). Trois vulnérabilités publiées dans la période concernent l’exécution de JavaScript : une XSS réfléchie dans EasyFlow .NET et deux vulnérabilités de plugins WordPress. Deux fiches NVD publiées dans la période décrivent également des XSS stockées dans Kiteworks Core. Les seules informations fournies pour plusieurs autres candidats sont des dates de modification NVD; elles ne suffisent pas à établir si un changement substantiel a eu lieu pendant la période. Aucun candidat fourni ne décrit une vulnérabilité nouvelle, un correctif/avis de sécurité, une exploitation ou un changement substantiel daté dans la période demandée. Les candidats concernent des CVE publiées antérieurement; leurs seules dates dans la période sont des mises à jour de fiches NVD, sans preuve d’un changement de sécurité substantiel. Aucune vulnérabilité nouvelle, aucun correctif/avis de sécurité, aucune exploitation ni aucun changement substantiel daté dans la période n’est établi par les candidats fournis. Les candidats ne documentent que des modifications de fiches NVD; leur date de mise à jour seule ne prouve pas un événement de sécurité survenu pendant la période. Les candidats fournis sont des fiches NVD publiées avant la période et dont seule une date de mise à jour est indiquée au 2026-09-30. Aucun élément fourni ne documente un correctif, un avis de sécurité, une exploitation ou un changement substantiel survenu pendant la période.…
Code malveillant dans react-nodejs
L’avis signale que react-nodejs 19.3.0 exécute, pendant l’installation npm, un script JavaScript récupéré depuis une branche mutable d’un dépôt tiers. Cette usurpation du nom et de l’identité de React peut mener à l’exécution de code sur la machine d’installation ; éviter le paquet et vérifier les environnements où il a été installé.
Action recommandée : Ne pas installer react-nodejs 19.3.0 ; si le paquet a été installé, examiner la machine et les processus d’installation concernés.
Code malveillant dans common-fs
L’avis signale du code malveillant dans common-fs 1.0.0, qui exécute un contenu JavaScript dissimulé lorsqu’un consommateur appelle getTransactions(). Ce comportement peut permettre l’exécution de code arbitraire dans le processus Node.js ; éviter cette version et retirer le paquet des environnements concernés.
Action recommandée : Ne pas installer common-fs 1.0.0 ; supprimer cette version des dépendances et examiner les systèmes où elle a été utilisée.
Code malveillant dans pixsvg
L’avis signale du code malveillant dans pixsvg 0.2.0 : une fonction exportée peut reconstruire du JavaScript à partir d’un SVG fourni en entrée et l’exécuter avec eval(). Les applications qui transmettent des SVG non fiables à cette fonction risquent une exécution de code ; éviter cette version et ne pas utiliser le paquet avec des entrées non fiables.
Action recommandée : Éviter pixsvg 0.2.0 et ne pas transmettre de contenu SVG non fiable à fetchDataFromSvg.
Code malveillant dans json-bigint-rs
L’avis signale que json-bigint-rs 0.1.1 contient un chargeur malveillant dissimulé dans son module WASM, qui peut récupérer puis exécuter du JavaScript distant en environnement de production. Éviter cette version et examiner les systèmes de production ou CI qui l’ont chargée.
Action recommandée : Ne pas utiliser json-bigint-rs 0.1.1 ; vérifier les environnements de production et CI où il a été chargé.
Code malveillant dans godsplan
L’avis signale que le CLI godsplan 3.0.2 se connecte au port de débogage de Chrome et injecte du JavaScript dans les pages ouvertes. Le code peut collecter le contenu des pages et des champs d’éditeur puis l’envoyer à un service externe ; éviter cette version et examiner les données potentiellement exposées.
Action recommandée : Ne pas exécuter godsplan 3.0.2 ; si utilisé, vérifier les données de navigateur susceptibles d’avoir été transmises au service externe.
Code malveillant dans esm-dotenv
L’avis signale que esm-dotenv 1.0.1 exécute du code malveillant dès son chargement sur un système Windows, par l’intermédiaire d’un contenu caché dans une image JPEG et d’un script PowerShell. Éviter cette version et examiner les hôtes Windows sur lesquels le paquet a été importé.
Action recommandée : Ne pas installer ni charger esm-dotenv 1.0.1 ; inspecter les hôtes Windows concernés et rechercher les effets d’exécution décrits dans l’avis.
Exfiltration de sessions WhatsApp dans cortana-md-engine
L’avis signale que cortana-md-engine 1.4.6 enregistre l’état d’authentification WhatsApp du bot dans des bases MongoDB distantes avec des identifiants inclus dans le paquet. Cela peut exposer des données de session et permettre la prise de contrôle du compte lié ; éviter cette version et vérifier les comptes et secrets concernés.
Action recommandée : Éviter cortana-md-engine 1.4.6 ; si utilisé, révoquer ou renouveler les sessions WhatsApp et identifiants potentiellement exposés.
Code malveillant dans le paquet npm dotenv-preflight
Un avis publié le 2026-09-30 signale du code malveillant dans dotenv-preflight 1.0.0, dont le fichier JavaScript est fortement obfusqué. Le code s’exécute lors du chargement du module ; l’avis évoque un risque de vol d’identifiants ou d’exfiltration, sans établir ici le comportement exact.
Action recommandée : Éviter ou retirer la version 1.0.0 et vérifier les systèmes ayant pu charger ce paquet.
Code malveillant dans le paquet npm contoso-login-sim-loader
Un avis publié le 2026-09-30 signale du code malveillant dans contoso-login-sim-loader 1.0.1, distribué sous la forme d’un script navigateur chiffré et exécuté à l’exécution. L’avis décrit des mécanismes anti-analyse et indique un risque de faux écran de connexion ou de collecte d’identifiants, sans confirmer ici le comportement final du code.
Action recommandée : Éviter ou retirer la version 1.0.1 et examiner les pages où son script a pu être intégré.
XSS stockée non authentifiée dans Kiteworks Core
Kiteworks Core présente une XSS stockée exploitable sans authentification, qui peut exécuter du JavaScript dans la session d’un administrateur consultant la page affectée. L’attaque peut conduire à une prise de contrôle administrative, notamment par la création d’un nouveau compte administrateur.
Action recommandée : Consulter l’avis éditeur pour identifier les versions corrigées et appliquer le correctif.
Lecture de fichiers arbitraires dans Product Designer App
CVE-2026-75098 est une vulnérabilité de traversée de répertoires dans Product Designer App, via le paramètre `svg`. Les versions jusqu’à 1.1.3 inclus sont affectées ; un attaquant non authentifié peut lire des fichiers arbitraires sur le serveur, potentiellement sensibles.
Action recommandée : Mettre à jour le plugin vers une version corrigée lorsqu’elle est disponible ; la source ne précise pas de version corrigée.
MISP — XSS stockée dans l’aperçu du graphe d’événement
MISP présente une XSS stockée dans l’aperçu du graphe d’événement : la valeur de l’image, non validée côté serveur, est insérée dans un attribut HTML et peut permettre l’exécution de JavaScript dans le navigateur d’un autre utilisateur. Les versions affectées sont celles antérieures au correctif appliqué après v2.5.48 ; mettre à jour vers une version intégrant ce correctif.
Action recommandée : Mettre à jour MISP vers une version intégrant le correctif appliqué après v2.5.48.
XSS stockée dans Kiteworks Core permettant une élévation de privilèges
Kiteworks Core présente une XSS stockée qu’un administrateur disposant d’une permission déléguée limitée peut exploiter pour exécuter du JavaScript dans la session d’un administrateur système. Cela peut permettre une prise de contrôle administrative du tenant, notamment par la création d’un compte administrateur.
Action recommandée : Consulter l’avis éditeur pour identifier les versions corrigées et appliquer le correctif; limiter les permissions déléguées selon le principe du moindre privilège.
Engine.IO — déni de service par incohérence de révision de protocole
Engine.IO ne vérifiait pas que la révision de protocole d’une requête de mise à niveau correspondait à celle de la session existante, ce qui pouvait conduire à une incohérence de parseur et à un plantage du processus Node.js. Les versions Engine.IO de 6.6.0 à avant 6.6.10 sont indiquées comme affectées; le correctif est en 6.6.10, et la désactivation des mises à niveau de transport est proposée comme mesure temporaire.
Action recommandée : Mettre à niveau Engine.IO vers 6.6.10 ou une version ultérieure, ou utiliser une version de Socket.IO intégrant cette correction.
Fichiers téléversés non validés dans le plugin WordPress Verge3D
Le plugin WordPress Verge3D Publishing and E-Commerce, dans les versions antérieures à 4.13.1, ne valide pas le contenu des fichiers téléversés via sa fonction de stockage et les sert avec un type de contenu contrôlé par l’attaquant. Un attaquant non authentifié peut ainsi faire exécuter du JavaScript dans le navigateur d’un utilisateur qui ouvre le fichier.
Action recommandée : Mettre à jour le plugin vers la version 4.13.1 ou ultérieure.
Axios — options de formulaire héritées après pollution de prototype
Axios lit plusieurs options de sérialisation de formulaire depuis un objet sans vérifier qu’elles lui appartiennent, ce qui permet à une pollution préalable de `Object.prototype` d’altérer la sérialisation ou de faire échouer des requêtes. Le défaut n’est pas la source de la pollution; les versions affectées indiquées sont corrigées en 0.34.0 et 1.20.0, selon la branche.
Action recommandée : Mettre à niveau vers la version corrigée de la branche utilisée et vérifier les scénarios de sérialisation de formulaires exposés à des objets issus de données non fiables.
Axios : déni de service par expression régulière lors de l’analyse d’URL `data:`
Axios pour Node.js peut bloquer la boucle d’événements lorsqu’il analyse une URL `data:` malformée comportant de nombreuses barres obliques, provoquant un déni de service. Les versions 1.16.1 à 1.19.x sont concernées ; rejetez les URL `data:` non nécessaires ou limitez leur longueur, et mettez à jour vers Axios 1.20.0.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; en attendant, refuser les URL `data:` non requises et limiter la longueur des URL non fiables.
Angular Router : déni de service mémoire dans le rendu SSR Node.js via des paramètres matriciels numériques
Avec le rendu côté serveur activé sur Node.js/V8, l’analyse de paramètres matriciels numériques dans les URL par `@angular/router` peut provoquer une forte amplification de mémoire et un déni de service. Mettre à jour vers une version corrigée de la branche utilisée ; à défaut, filtrer les points-virgules ou limiter la profondeur des chemins au niveau du proxy.
Action recommandée : Mettre à jour `@angular/router` vers la version corrigée correspondant à la branche déployée ; filtrer les URL au proxy en attendant.
XSS réfléchi dans EasyFlow .NET
EasyFlow .NET présente une vulnérabilité de cross-site scripting réfléchi permettant à un attaquant distant non authentifié de faire exécuter du JavaScript dans le navigateur d’un utilisateur. L’exploitation peut être déclenchée au moyen d’une attaque de phishing.
Action recommandée : Consulter l’avis éditeur pour identifier les versions concernées et le correctif à appliquer.
Ammonia — XSS possible via des balises SVG autorisées
Ammonia peut laisser produire un lien SVG utilisant le schéma `javascript:` lorsque les balises `animate` et `set` sont autorisées, ce qui peut conduire à une XSS stockée dans les applications concernées. Les correctifs sont indiqués dans les versions 3.3.3, 4.0.3 et 4.1.4; à défaut, ne pas autoriser ces balises.
Action recommandée : Mettre à niveau vers une version corrigée ou désactiver les balises SVG `animate` et `set`.
ip-address — consommation excessive de ressources lors de l’analyse IPv6
Dans `ip-address`, l’analyse de chaînes IPv6 sans limite de longueur peut construire un diagnostic proportionnel, voire très supérieur, à la taille de l’entrée; une entrée démesurée peut bloquer ou faire planter le processus. Les versions jusqu’à 10.7.0 inclus sont affectées selon l’avis, qui indique 10.7.1 comme version corrigée.
Action recommandée : Mettre à niveau vers ip-address 10.7.1 et borner la longueur des entrées non fiables avant analyse.
Validation insuffisante des URL dans le plugin WordPress Audio Player Block
Le plugin WordPress Audio Player Block, dans les versions antérieures à 1.6.3, ne vérifie pas le schéma des URL fournies par les utilisateurs avant de les utiliser comme liens. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi faire exécuter du JavaScript dans la session d’une personne qui ouvre ensuite le lien, par exemple un administrateur.
Action recommandée : Mettre à jour le plugin vers la version 1.6.3 ou ultérieure.
CVE-2026-71189 — exécution de JavaScript dans la session d’un autre utilisateur
Une requête préparée par un attaquant peut, si un autre utilisateur de l’application l’exécute, déclencher l’exécution de JavaScript dans son navigateur et dans le contexte de sa session. Les versions concernées, le correctif et l’action recommandée ne sont pas établis par les éléments consultés.
MISP — XSS stockée via la source d’un Galaxy Cluster
MISP peut enregistrer dans le champ « source » d’un Galaxy Cluster une URL `javascript:` et l’afficher comme lien cliquable, permettant une XSS stockée si un autre utilisateur clique dessus. La fiche NVD décrit notamment un risque de vol de session ou d’actions effectuées dans le contexte de la victime; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Éviter de cliquer sur des liens de source non fiables; appliquer le correctif éditeur lorsqu’il est disponible.
MISP — XSS stockée via le champ icône des galaxies
MISP ne validait pas côté serveur le champ icône d’un objet galaxy, puis l’insérait directement dans le HTML du graphe de corrélation, ce qui permet une XSS stockée. Un utilisateur doté de la permission d’édition des galaxies peut ainsi provoquer l’exécution de script lorsque d’autres utilisateurs ouvrent le graphe concerné; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Mettre à jour MISP dès qu’un correctif est disponible et limiter les permissions d’édition des galaxies aux utilisateurs de confiance.
DOMPurify — risque de XSS DOM avec des hooks après sanitisation en mode IN_PLACE
En mode `IN_PLACE`, DOMPurify peut laisser des gestionnaires d’événements actifs dans un sous-arbre détaché par certains hooks d’après-sanitisation, créant un risque de XSS DOM. L’avis concerne les versions 3.4.13 à 3.4.15 incluses et indique 3.4.16 comme version corrigée.
Action recommandée : Mettre à niveau vers DOMPurify 3.4.16 ou une version ultérieure; vérifier l’usage du mode `IN_PLACE` avec les hooks concernés.
serialize-javascript — échappement insuffisant de séquences de fermeture de script
`serialize-javascript` pouvait ne pas échapper correctement certaines séquences de fermeture de balise script dans des corps de fonctions sérialisés, ce qui pouvait permettre de sortir d’un élément `script` lors de l’intégration du résultat dans une page. L’avis indique que les versions de 7.1.1 à avant 7.1.2 sont affectées et que 7.1.2 corrige le problème.
Action recommandée : Mettre à niveau vers serialize-javascript 7.1.2 ou une version ultérieure.
HTML5
Recherche du sujet effectuée
La recherche web n’a pas établi de vulnérabilité HTML5 ni d’avis/correctif pertinent dont la publication ou l’évolution substantielle soit datée du 2026-09-30 dans la période demandée. Le candidat Joomla concerne une fiche publiée le 2026-09-29; les éléments consultés ne permettent pas de confirmer que sa modification NVD du 2026-09-30 correspond à un changement substantiel de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée à CSS3 pour la période demandée n’a identifié aucun avis de sécurité, correctif ou événement substantiel vérifiable concernant CSS3. Les résultats sans lien avec CSS3 ont été écartés; cela ne constitue pas une affirmation d’exhaustivité sur l’ensemble du Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée à Tailwind CSS n’a fait apparaître, parmi les résultats consultés, aucun avis de sécurité, correctif, exploitation ou changement substantiel daté de la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. Les résultats trouvés concernaient des éléments hors période ou non qualifiés comme événements de sécurité pour Tailwind CSS.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
Pour Bootstrap (le framework twbs), la recherche dédiée n’a identifié aucun avis public de sécurité ni aucune vulnérabilité ou correction de sécurité dont la date de publication ou de l’événement tombe dans la période du 2026-09-30T00:00:00+02:00 inclus au 2026-10-01T00:00:00+02:00 exclu. La page des avis GitHub du projet indique qu’aucun avis n’est publié; la page des versions consultée ne montre pas de publication de sécurité datée de cette période. Les candidats fournis concernent d’autres produits ou le sens générique de « bootstrap », et leurs dates de publication ne situent pas un événement Bootstrap dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité de Webpack n’a pas fait ressortir d’avis ou de correctif Webpack daté de la période demandée. Les avis Webpack consultés datent du 5 février 2026 ou du 27 août 2024 ; les avis webpack-dev-server repérés concernent un projet distinct et sont antérieurs à la période. Cela ne permet pas d’affirmer qu’aucune nouveauté n’a été publiée ailleurs sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Rollup
Recherche du sujet effectuée
La recherche dédiée sur Rollup (le bundler JavaScript) n’a pas identifié d’avis ou de vulnérabilité répondant aux critères pour la période du 2026-09-30T00:00:00+02:00 au 2026-10-01T00:00:00+02:00. Le candidat concerne Payy, un zk-rollup Ethereum, et non le projet Rollup demandé; sa publication indiquée est antérieure à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant esbuild daté du 2026-09-30 dans la période demandée. Les avis esbuild repérés sur GitHub sont datés du 2026-06-11 et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité concernant le projet Parcel, publié ou substantiellement modifié pendant la période demandée. Les candidats fournis portent soit sur le composant Android Parcel.cpp, soit sur l’extension WordPress InPost PL : ils ne concernent pas le projet Parcel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Niveau relevé : Critique
Deux vulnérabilités concernant des bibliothèques de l’écosystème Node.js ont une publication NVD datée du 30 septembre 2026 dans la période examinée : un déni de service dans basic-ftp et une vulnérabilité de configuration héritée dans Piscina. Aucun événement de sécurité daté de cette période n’a été établi pour les autres candidats; les simples mises à jour NVD de fiches antérieures n’ont pas été considérées comme de nouvelles failles sans preuve d’un changement substantiel. Les candidats fournis sont des fiches NVD publiées avant la période. Leurs dates de mise à jour tombent dans la période, mais les informations fournies ne démontrent aucun changement substantiel daté de cette journée; une mise à jour administrative seule ne suffit pas à retenir une vulnérabilité. Les candidats signalent des modifications de fiches NVD le 30 septembre 2026, mais les éléments fournis ne permettent pas d’établir si ces modifications apportent un changement substantiel plutôt qu’une mise à jour administrative. Aucun item n’est donc retenu sans preuve suffisante de l’événement daté dans la période. Aucun événement Node.js vérifiable dans ce lot ne répond aux critères de période : les vulnérabilités candidates ont été publiées avant le 2026-09-30, et les données fournies indiquent seulement une mise à jour de leur fiche NVD pendant la période, sans preuve d’un changement substantiel daté de celle-ci. Huit vulnérabilités Node.js pertinentes ont été relevées dans les mises à jour NVD datées du 2026-09-30 : Socket.IO cluster-engine, Electron, simple-git (trois CVE), argv-parser, basic-ftp et Piscina. Les deux avis adm-zip fournis ont une date de publication antérieure à la période et ne documentent pas de mise à jour dans celle-ci. Le lot contient quatre avis Axios publiés le 2026-09-30 c…
Code malveillant dans react-nodejs
L’avis signale que react-nodejs 19.3.0 exécute, pendant l’installation npm, un script JavaScript récupéré depuis une branche mutable d’un dépôt tiers. Cette usurpation du nom et de l’identité de React peut mener à l’exécution de code sur la machine d’installation ; éviter le paquet et vérifier les environnements où il a été installé.
Action recommandée : Ne pas installer react-nodejs 19.3.0 ; si le paquet a été installé, examiner la machine et les processus d’installation concernés.
Piscina : options de workers sensibles héritées de la chaîne de prototypes
Avant les versions corrigées, Piscina stockait les options du pool dans un objet ordinaire, permettant à une pollution de prototype distincte de fournir des options sensibles héritées. Selon l’option héritée, du code peut être préchargé dans les workers, une fonction de répartition exécutée ou l’environnement des workers modifié; les corrections sont 4.9.4, 5.3.2 et 6.0.0-rc.5.
Action recommandée : Mettre à niveau vers une version corrigée et traiter séparément toute primitive de pollution de prototype dans l’application.
simple-git : exécution de commande via configuration trailer..cmd
Dans simple-git de 3.15.0 à 4.0.0, le filtre par défaut ne classait pas trailer..cmd comme une configuration dangereuse. Si des valeurs contrôlées par un attaquant sont transmises à Git, celui-ci peut exécuter une commande avec les privilèges du processus Node.js; la correction est disponible dans 4.0.1.
Action recommandée : Mettre à niveau vers simple-git 4.0.1 ou une version ultérieure et ne pas transmettre à Git des configurations contrôlées par un utilisateur.
argv-parser : exécution d’un éditeur Git via la variable VISUAL
Avant argv-parser 2.0.1, parseEnv omettait VISUAL de la liste des variables Git prises en compte, ce qui empêchait le contrôle de sécurité de classifier cette valeur. Dans certaines opérations Git, une valeur VISUAL influençable peut déclencher l’exécution d’un éditeur choisi par l’attaquant avec les privilèges du processus Node.js; argv-parser 2.0.1 corrige le défaut.
Action recommandée : Mettre à niveau argv-parser vers 2.0.1 ou une version ultérieure et éviter de transmettre des variables d’environnement non fiables à Git.
ReDoS dans anchorme pouvant bloquer Node.js
Une vulnérabilité ReDoS dans anchorme peut bloquer la boucle d’événements de Node.js lors de l’extraction d’un hôte IPv6 à partir d’une chaîne spécialement construite. Les versions jusqu’à 3.0.8 sont concernées; le candidat fourni ne précise pas de version corrigée ni de mesure de contournement.
Action recommandée : Évaluer l’exposition des applications utilisant anchorme et suivre l’avis du projet pour appliquer une version corrigée dès qu’elle est confirmée.
Engine.IO — déni de service par incohérence de révision de protocole
Engine.IO ne vérifiait pas que la révision de protocole d’une requête de mise à niveau correspondait à celle de la session existante, ce qui pouvait conduire à une incohérence de parseur et à un plantage du processus Node.js. Les versions Engine.IO de 6.6.0 à avant 6.6.10 sont indiquées comme affectées; le correctif est en 6.6.10, et la désactivation des mises à niveau de transport est proposée comme mesure temporaire.
Action recommandée : Mettre à niveau Engine.IO vers 6.6.10 ou une version ultérieure, ou utiliser une version de Socket.IO intégrant cette correction.
Déni de service par erreur non gérée dans la décompression asynchrone d’adm-zip
Le traitement asynchrone de données DEFLATE malformées par adm-zip peut émettre une erreur non gérée et faire terminer le processus Node.js. Les versions jusqu’à 0.6.0 sont concernées; la version corrigée indiquée est 0.6.1.
Action recommandée : Mettre à jour adm-zip vers 0.6.1 ou une version ultérieure.
ReDoS dans le parseur d’adresses de Nodemailer
Une expression régulière de repli dans le parseur d’adresses de Nodemailer peut subir un retour arrière quadratique sur une valeur longue, bloquant la boucle d’événements Node.js. Les versions jusqu’à 10.0.5 sont concernées; la version corrigée indiquée est 10.0.6.
Action recommandée : Mettre à jour Nodemailer vers 10.0.6 ou une version ultérieure.
Arrêt à distance d’un microservice NestJS par motif profondément imbriqué
Un message de microservice contenant un motif profondément imbriqué peut déclencher une erreur de pile lors de sa sérialisation et terminer le processus NestJS sous Node.js. Le problème touche les transports TCP et RabbitMQ; les versions corrigées indiquées sont 11.2.4 et 12.0.2 pour les branches concernées.
Action recommandée : Mettre à jour @nestjs/microservices vers une version corrigée de la branche utilisée.
Axios : la limite maxRedirects ne bloque pas les redirections avec l’adaptateur Fetch
Dans l’adaptateur Fetch d’Axios, `maxRedirects: 0` n’empêche pas le suivi des redirections, ce qui peut contourner une protection SSRF configurée par l’application. Le problème concerne les requêtes utilisant cet adaptateur sans contrôle de redirection Fetch équivalent ; utiliser `fetchOptions: { redirect: 'manual' }` si pris en charge, ou l’adaptateur HTTP, et mettre à jour Axios.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; en attendant, appliquer un contrôle de redirection Fetch explicite ou utiliser l’adaptateur HTTP.
Axios : déni de service par expression régulière lors de l’analyse d’URL `data:`
Axios pour Node.js peut bloquer la boucle d’événements lorsqu’il analyse une URL `data:` malformée comportant de nombreuses barres obliques, provoquant un déni de service. Les versions 1.16.1 à 1.19.x sont concernées ; rejetez les URL `data:` non nécessaires ou limitez leur longueur, et mettez à jour vers Axios 1.20.0.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; en attendant, refuser les URL `data:` non requises et limiter la longueur des URL non fiables.
Angular Router : déni de service mémoire dans le rendu SSR Node.js via des paramètres matriciels numériques
Avec le rendu côté serveur activé sur Node.js/V8, l’analyse de paramètres matriciels numériques dans les URL par `@angular/router` peut provoquer une forte amplification de mémoire et un déni de service. Mettre à jour vers une version corrigée de la branche utilisée ; à défaut, filtrer les points-virgules ou limiter la profondeur des chemins au niveau du proxy.
Action recommandée : Mettre à jour `@angular/router` vers la version corrigée correspondant à la branche déployée ; filtrer les URL au proxy en attendant.
basic-ftp : blocage du processus par parsing coûteux d’une liste FTP
Avant basic-ftp 6.2.1, un serveur FTP malveillant ou compromis pouvait fournir une liste de répertoire provoquant un temps de traitement quadratique dans Client.list(). Une ligne Unix spécialement longue peut bloquer la boucle d’événements du processus Node.js; la version 6.2.1 corrige le problème.
Action recommandée : Mettre à niveau basic-ftp vers 6.2.1 ou une version ultérieure.
Socket.IO cluster-engine : déni de service par résolution de propriétés héritées
Dans les déploiements utilisant @socket.io/cluster-engine, des identifiants de session spécialement construits peuvent être résolus via la chaîne de prototypes plutôt que comme des clients connectés, ce qui peut faire planter le processus Node.js. Les versions antérieures à 0.1.1 sont concernées; la version 0.1.1 corrige le problème.
Action recommandée : Mettre à niveau @socket.io/cluster-engine vers 0.1.1 ou une version ultérieure.
Electron : privilèges Node.js excessifs dans les Web Workers de contenus invités
Dans certaines configurations Electron, un contenu invité pouvait activer nodeIntegrationInWorker pour ses Web Workers malgré la désactivation de l’intégration Node.js dans l’embedder non sandboxé. Les versions corrigées sont 41.10.6, 42.9.2, 43.4.1 et 44.0.0-beta.5; les applications qui n’activent pas la balise concernée ou gardent l’embedder sandboxé ne sont pas affectées.
Action recommandée : Mettre à niveau vers une version corrigée et maintenir le sandbox de l’embedder; éviter d’activer la configuration concernée si la mise à niveau n’est pas possible.
simple-git : exécution de commande via inclusion de configuration Git dans clone
Dans simple-git avant 4.0.0, le filtrage des arguments de clone ne bloquait pas complètement les directives d’inclusion de configuration Git, y compris les inclusions conditionnelles. Une configuration contrôlée par un attaquant peut faire exécuter une commande Git avec les privilèges du processus Node.js; la mise à niveau vers 4.0.0 corrige le problème.
Action recommandée : Mettre à niveau simple-git vers 4.0.0 ou une version ultérieure et ne pas transmettre d’arguments de clone non fiables.
simple-git : contournement du filtrage d’options Git dans push
Dans simple-git avant 4.0.0, le filtre de sécurité comparait les options à leurs graphies complètes et pouvait être contourné par des abréviations longues acceptées par Git. Des arguments push influençables peuvent ainsi conduire Git à exécuter une commande choisie par l’attaquant; la version 4.0.0 corrige le problème.
Action recommandée : Mettre à niveau simple-git vers 4.0.0 ou une version ultérieure et contrôler les arguments transmis à git push.
Axios : contournement des contrôles DNS et proxy avec HTTP/2
Avec l’adaptateur HTTP/2 de Node.js, Axios ne transmet pas certaines règles DNS personnalisées ni les contrôles de proxy configurés au niveau supérieur. Une application qui laisse influencer la destination et compte sur ces contrôles pour limiter les connexions sortantes peut ainsi contourner sa politique réseau ; utilisez Axios 1.20.0 ou repassez par HTTP/1 tant que la mise à jour n’est pas possible.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure. À défaut, privilégier HTTP/1 pour les requêtes dépendant de contrôles DNS ou proxy, et valider séparément les destinations.
Axios : déni de service par ReDoS lors du traitement des redirections et du proxy
Une redirection vers un nom d’hôte spécialement formé peut déclencher une expression régulière coûteuse dans Axios et bloquer la boucle d’événements Node.js. Le problème concerne les applications qui suivent les redirections en utilisant des variables de proxy et un réglage `NO_PROXY` non vide ; mettez Axios à jour vers 1.20.0 ou désactivez le suivi automatique des redirections non fiables en attendant.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; à défaut, limiter le suivi des redirections non fiables dans les configurations concernées.
Axios : détournement de socket possible après pollution de Object.prototype.createConnection
Dans l’adaptateur HTTP Node.js d’Axios, une pollution préalable de `Object.prototype.createConnection` peut détourner la création du socket d’une requête vers une destination contrôlée. Le problème suppose une primitive distincte de pollution de prototype dans le même processus ; mettre à jour Axios et, en attendant, éviter cette pollution ou utiliser un transport de confiance qui sécurise la création des connexions.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure et prévenir les pollutions de prototype dans le processus.
La décompression asynchrone d’adm-zip contourne la limite de taille
Le chemin asynchrone getDataAsync() d’adm-zip ne fait pas respecter la limite maxOutputLength appliquée au chemin synchrone, ce qui peut entraîner une forte consommation de mémoire lors de la décompression. Les versions jusqu’à 0.6.0 sont concernées; la version corrigée indiquée est 0.6.1.
Action recommandée : Mettre à jour adm-zip vers 0.6.1 ou une version ultérieure.
Axios : les exclusions CIDR de NO_PROXY sont ignorées
Axios ne reconnaît pas les entrées CIDR de `NO_PROXY` dans l’adaptateur Node.js et peut donc envoyer via le proxy des requêtes vers des adresses censées en être exclues. Jusqu’à la mise à jour, utiliser des noms d’hôte ou adresses IP exacts dans `NO_PROXY`, ou définir `proxy: false` pour les requêtes concernées.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; remplacer provisoirement les entrées CIDR de `NO_PROXY` par des entrées exactes.
Axios : méthode HTTP héritée d’un prototype pollué dans l’instance par défaut
Dans Axios pour Node.js, les requêtes de l’instance par défaut qui omettent la méthode peuvent hériter de `Object.prototype.method` si un autre défaut a déjà pollué ce prototype. Cela peut transformer une requête prévue comme GET en requête modifiant l’état ; mettez à jour vers 1.20.0 et, en attendant, indiquez explicitement la méthode ou utilisez les alias comme `axios.get()`.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure. Utiliser une méthode explicite ou un alias de méthode comme mesure temporaire.
Axios : injection d’en-têtes via getHeaders hérité dans l’adaptateur Fetch
Le chemin de configuration partagé d’Axios peut accepter des en-têtes issus d’un `getHeaders` hérité et pollué lors de l’utilisation de l’adaptateur Fetch. L’exploitation nécessite une pollution préalable de prototype et un corps de requête compatible ; mettre à jour Axios ou, en attendant, éviter cet adaptateur pour ces requêtes dans un processus potentiellement pollué.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; éviter l’adaptateur Fetch pour les cas concernés tant que la mise à jour n’est pas appliquée.
Axios : injection d’en-têtes hérités après remplacement minimal de la configuration par un intercepteur
Un intercepteur Axios qui remplace la configuration par un objet ordinaire sans propriété propre `headers` peut laisser la lecture de `config.headers` récupérer une valeur héritée polluée. Le problème requiert une pollution préalable de prototype et un intercepteur qui omet les en-têtes ; mettre à jour Axios ou faire en sorte que ces intercepteurs préservent ou définissent explicitement `headers`.
Action recommandée : Mettre à jour Axios vers 1.20.0 ou une version ultérieure et corriger les intercepteurs afin qu’ils définissent ou préservent leurs en-têtes.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche web a identifié une version de sécurité CPython publiée le 30 septembre 2026 comprenant CVE-2026-19553, ainsi que des publications NVD datées du même jour concernant Mako et pypdf. Les avis GitHub pypdf consultés indiquent toutefois que plusieurs avis de projet correspondants étaient déjà publiés avant la période ; les items pypdf ci-dessus sont retenus sur la base des dates de publication NVD fournies pour leurs CVE, et non comme de nouveaux avis de projet. Cinq nouvelles fiches NVD publiées pendant la période concernent des applications ou outils Python : traversées de répertoires, accès aux fichiers de l’hôte et exécution de code sans approbation. Les éléments fournis ne précisent ni scores CVSS ni versions corrigées. Aucun élément du lot ne documente une nouvelle vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté de la période demandée. Les dates de publication des vulnérabilités décrites sont antérieures à la période ; seule une mise à jour NVD est indiquée le 30 septembre, sans preuve fournie d’un changement substantiel à cette date. Aucune nouveauté, aucun correctif ni changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats indiquent des mises à jour de fiches NVD, mais ne précisent pas quels changements ont été apportés ; leur seule date de mise à jour ne permet pas de retenir ces vulnérabilités comme événements de la période. Aucune nouveauté, correction de sécurité ou modification substantielle datée de la période n’est établie par les éléments fournis. Les CVE listées ont été publiées avant la période ; les candidats indiquent une mise à jour NVD le 2026-09-30, sans préciser de changement substantiel. Les candidats concernent des vulnérabilités de PyJWT, mai…
Avis de code suspect dans cleanup-string sur PyPI
L’avis GHSA-r9mq-4q39-vw6h signale que cleanup-string 1.0.0 distribue un module natif Windows Python 3.13 protégé par VMProtect, qui s’exécute lors de l’importation du paquet. Son comportement malveillant précis n’est pas établi dans les éléments fournis; évitez cette version et retirez-la des environnements où elle est installée.
Action recommandée : Éviter cleanup-string 1.0.0 et désinstaller cette version si elle est présente.
Paquet PyPI malveillant bfox-build-utils 1.0.997 : vol d’identifiants GitHub et injection de workflow
Le paquet malveillant `bfox-build-utils` version 1.0.997 exécute du code à l’installation pour récupérer des identifiants GitHub disponibles dans l’environnement et les utiliser afin de cloner le dépôt de l’installateur, y ajouter un workflow GitHub Actions, puis pousser une branche. L’avis documente un risque de vol d’identifiants et de compromission persistante du dépôt; aucune version corrective n’est indiquée.
Action recommandée : Ne pas installer bfox-build-utils 1.0.997. Si le paquet a été exécuté, révoquer les jetons GitHub accessibles dans l’environnement et examiner les dépôts et workflows concernés.
PyJWT : contournement par BOM de la protection contre l’utilisation de clés JWK en HMAC
PyJWT 2.13.0 comporte un contournement par BOM de la protection contre l’utilisation de clés JWK publiques comme secrets HMAC, dans certaines configurations à algorithmes mixtes. PyJWT 2.14.0 corrige le problème ; mettre à niveau et éviter de combiner algorithmes HMAC et asymétriques dans le même chemin de vérification.
Action recommandée : Mettre à niveau vers PyJWT 2.14.0 ou ultérieure et ne pas mélanger les algorithmes HMAC et asymétriques dans un même chemin de vérification.
PyJWT : clé publique DER acceptée comme secret HMAC
PyJWT 2.4.0 à 2.13.0 peut accepter une clé publique au format DER comme secret HMAC, contournant une protection qui ne détecte que certains marqueurs PEM ou SSH. Le risque concerne les applications configurées pour accepter à la fois des algorithmes HMAC et asymétriques avec la même clé ; la correction est PyJWT 2.14.0.
Action recommandée : Mettre à niveau vers PyJWT 2.14.0 ou ultérieure et séparer les algorithmes HMAC des algorithmes asymétriques.
PyJWT : contournement de la défense contre les clés JWK publiques utilisées comme secrets HMAC
PyJWT 2.13.0 peut accepter comme secret HMAC un JWK public encapsulé dans un objet JWKS, un tableau ou un conteneur imbriqué, dans certaines configurations mélangeant algorithmes HMAC et asymétriques. Le défaut est corrigé dans PyJWT 2.14.0 ; séparer les chemins de vérification et mettre à niveau.
Action recommandée : Mettre à niveau vers PyJWT 2.14.0 ou ultérieure et ne pas mélanger les algorithmes HMAC et asymétriques dans un même chemin de vérification.
PyJWT — clé HMAC vide acceptée via PyJWK
PyJWT peut accepter une clé HMAC vide lorsqu’elle est fournie via un JWK symétrique `oct` au moyen de `PyJWK` ou `PyJWKSet`, alors que le chemin de clé brute la rejette. L’avis indique une correction dans PyJWT 2.14.0 ; mettre à niveau et vérifier les JWK/JWKS configurés pour ne pas contenir de clé vide.
Action recommandée : Mettre à niveau vers PyJWT 2.14.0 et auditer les JWK/JWKS pour détecter les clés HMAC vides.
Python : vérification du nom d’hôte omise avec SSLContext.wrap_bio()
Avec check_hostname activé, certaines utilisations de wrap_bio() sans server_hostname pouvaient omettre silencieusement la vérification du nom d’hôte du certificat. Fournir un server_hostname valide et non vide évite le problème ; le correctif fait lever ValueError lorsque ce paramètre manque.
Action recommandée : Mettre à niveau vers une version corrigée de Python, notamment Python 3.12.15, ou appliquer le contournement en passant un server_hostname valide.
pypdf : consommation excessive de mémoire avec des étiquettes de pages romaines
Un PDF spécialement conçu pouvait provoquer la génération de chaînes de numérotation romaine excessivement volumineuses lors de la récupération des étiquettes de pages. Cela pouvait consommer beaucoup de mémoire et rendre l’application indisponible ; le correctif indiqué est pypdf 6.17.0.
Action recommandée : Mettre à niveau pypdf vers la version 6.17.0 ou ultérieure.
pypdf : traitement excessivement long de jetons d’objets PDF
Un PDF malveillant pouvait faire parcourir une quantité excessive de données à pypdf en l’absence d’espaces dans certains jetons. Le traitement pouvait durer très longtemps et rendre l’application indisponible ; le correctif indiqué est pypdf 6.18.0.
Action recommandée : Mettre à niveau pypdf vers la version 6.18.0 ou ultérieure.
pypdf : consommation excessive de mémoire dans le traitement de /ToUnicode
Des jetons anormalement volumineux dans une table /ToUnicode pouvaient consommer beaucoup de mémoire pendant le décodage, notamment lors de l’extraction de texte. Le correctif indiqué est pypdf 6.18.1.
Action recommandée : Mettre à niveau pypdf vers la version 6.18.1 ou ultérieure.
pypdf : consommation excessive de mémoire avec un tableau /Widths surdimensionné
Un PDF pouvait contenir un tableau /Widths anormalement grand pour une police simple TrueType ou Type1. pypdf pouvait alors traiter des entrées au-delà des 256 codes de caractères pertinents et consommer excessivement de la mémoire ; le correctif indiqué est 6.18.1.
Action recommandée : Mettre à niveau pypdf vers la version 6.18.1 ou ultérieure.
pypdf : décompression inefficace de flux /FlateDecode malformés
Un flux /FlateDecode malformé avec des données de remplissage pouvait déclencher une décompression inefficace, octet par octet. Le traitement pouvait durer très longtemps et rendre l’application indisponible ; le correctif indiqué est pypdf 6.18.1.
Action recommandée : Mettre à niveau pypdf vers la version 6.18.1 ou ultérieure.
pypdf : temps de traitement excessif lors de l’aplatissement de formulaires
Des valeurs de champs de formulaire PDF spécialement conçues pouvaient faire répéter inutilement des calculs lors de la génération des flux d’apparence avec aplatissement activé. Cela pouvait entraîner des temps de traitement excessifs et une indisponibilité ; le correctif indiqué est pypdf 6.19.0.
Action recommandée : Mettre à niveau pypdf vers la version 6.19.0 ou ultérieure.
pypdf : temps de traitement excessif avec de nombreuses pièces jointes
Un PDF contenant de nombreuses pièces jointes pouvait provoquer la relecture répétée de la liste complète lors de l’accès à l’API des pièces jointes. Cette répétition pouvait entraîner des temps de traitement excessifs et une indisponibilité ; le correctif indiqué est pypdf 6.19.0.
Action recommandée : Mettre à niveau pypdf vers la version 6.19.0 ou ultérieure.
pypdf : consommation excessive de mémoire avec des étiquettes alphabétiques
Des valeurs alphabétiques d’étiquettes de pages anormalement grandes pouvaient entraîner la création de chaînes excessivement longues lors de la récupération des étiquettes. Cela pouvait consommer beaucoup de mémoire et rendre l’application indisponible ; le correctif indiqué est pypdf 6.19.0.
Action recommandée : Mettre à niveau pypdf vers la version 6.19.0 ou ultérieure.
virtualenv : injection de commandes dans l’activation Windows
Dans virtualenv, un prompt contrôlé peut injecter des commandes dans le fichier d’activation Windows, exécutées avec les privilèges de l’utilisateur lors de l’activation. Le problème concerne les versions antérieures à 21.7.12 ; mettre à niveau vers cette version ou une version ultérieure.
Action recommandée : Mettre à niveau virtualenv vers la version 21.7.12 ou ultérieure.
PyJWT — sérialisations non canoniques et contournement de révocation
PyJWT 2.13.0 accepte des segments de signature JWS non canoniques qui peuvent conserver une signature valide tout en modifiant la représentation brute du jeton, ce qui peut contourner une révocation indexée sur cette représentation. L’avis indique PyJWT 2.14.0 comme version corrigée ; mettre à niveau et indexer la révocation sur un identifiant sémantique tel que `jti`, plutôt que sur le jeton brut.
Action recommandée : Mettre à niveau vers PyJWT 2.14.0 et utiliser `jti` ou un autre identifiant sémantique pour la révocation.
PyJWT — exception de récursion non interceptée lors du décodage
Un en-tête JWT profondément imbriqué peut provoquer une `RecursionError` non convertie en erreur PyJWT attendue lors du décodage, entraînant notamment une réponse serveur 500 dans certaines intégrations. L’avis indique comme plage affectée PyJWT à partir de 2.13.0 et avant 2.14.0, cette dernière étant la version corrigée.
Action recommandée : Mettre à niveau vers PyJWT 2.14.0.
Mako : traversal de répertoire lors de la résolution des templates sous Windows
Sur Windows, Mako peut résoudre un URI de template de façon incohérente et permettre de sortir du répertoire de templates configuré. Une application qui transmet des noms de templates ou des chemins d’inclusion contrôlés par un attaquant peut divulguer des fichiers accessibles au processus ; mettre à niveau Mako vers 1.4.2 ou ultérieure.
Action recommandée : Mettre à niveau Mako vers la version 1.4.2 ou ultérieure et éviter de transmettre des chemins de templates contrôlés par des utilisateurs.
PyJWT : déni de service par ReDoS dans la détection du format PEM
Une entrée PEM malformée composée de lignes répétées de début de certificat peut provoquer une consommation quadratique du processeur lors de l’appel à `is_pem_format`, entraînant un déni de service si un attaquant peut fournir les données de certificat traitées. Les versions jusqu’à 2.13.0 sont concernées et PyJWT 2.14.0 corrige le problème en remplaçant l’expression régulière vulnérable par une analyse bornée.
Action recommandée : Mettre à niveau PyJWT vers la version 2.14.0 ou ultérieure; éviter de transmettre des certificats ou clés non fiables à la fonction concernée avant la mise à niveau.
PyJWT : déni de service par erreur de récursion lors du parsing préalable du payload JWT
Le décodage d’un payload JSON JWT profondément imbriqué peut faire remonter une `RecursionError` non interceptée dans le chemin de pré-vérification, notamment avec `PyJWKClient.get_signing_key_from_jwt()` ou lorsque la vérification de signature est désactivée. Une requête non authentifiée peut alors provoquer une erreur serveur sur le chemin d’authentification; les versions jusqu’à 2.14.0 sont concernées et la version corrective indiquée est 2.15.0.
Action recommandée : Mettre à niveau PyJWT vers la version 2.15.0 ou ultérieure; en attendant, éviter les chemins de décodage sans vérification de signature sur des jetons non fiables et traiter les exceptions de parsing de façon robuste.
virtualenv : injection de paramètres dans pyvenv.cfg
Dans virtualenv, un prompt contrôlé peut ajouter des lignes et des clés à pyvenv.cfg, notamment une valeur home qui détourne le choix de l’interpréteur de base ou altère les métadonnées de l’environnement. Le problème concerne les versions antérieures à 21.7.11 ; mettre à niveau vers cette version ou une version ultérieure.
Action recommandée : Mettre à niveau virtualenv vers la version 21.7.11 ou ultérieure.
agent-zero : traversal de répertoire dans save_file_b64
Dans agent-zero 1.7 à 1.10, save_file_b64 accepte des chemins contrôlés sans normalisation ni validation, ce qui permet un traversal de répertoire. Les éléments fournis ne précisent ni version corrigée ni action de contournement ; vérifier les mises à jour du projet avant usage exposé.
Action recommandée : Vérifier les avis et versions corrigées du projet ; ne pas exposer la fonction à des chemins non fiables sans contrôle.
agent-zero : accès sans restriction aux fichiers de l’hôte via FileBrowser
Dans agent-zero 1.7 à 1.10, FileBrowser initialise l’espace de travail à la racine de l’hôte, permettant à l’agent d’accéder aux fichiers du système sans restriction décrite. Les éléments fournis ne précisent ni version corrigée ni contournement ; vérifier les mises à jour du projet et restreindre l’accès aux fichiers.
Action recommandée : Vérifier les avis et versions corrigées du projet ; restreindre l’accès de FileBrowser aux seuls répertoires nécessaires.
agentscope : exécution de code Python par un appel d’outil RealtimeAgent
Dans les versions d’agentscope citées, un utilisateur distant via WebSocket peut amener l’agent à appeler execute_python_code lorsque cet outil est disponible dans la session RealtimeAgent. Le code Python s’exécute dans l’environnement du service sans approbation ni isolation supplémentaire sur le chemin décrit ; aucune version corrigée n’est indiquée dans les éléments fournis.
Action recommandée : Désactiver execute_python_code pour les sessions exposées tant qu’une correction n’est pas confirmée, ou isoler strictement son exécution.
camel-ai : exécution de code généré par le modèle sans approbation
Dans camel-ai camel 0.2.91a1, v0.2.91a2 et v0.2.91a3, CodeExecutionToolkit peut exécuter le code Python produit par le modèle via SubprocessInterpreter sans étape d’approbation. Les éléments fournis ne précisent pas de version corrigée ; limiter l’accès à cet outil et isoler son exécution.
Action recommandée : Limiter l’accès à CodeExecutionToolkit et isoler strictement l’exécution jusqu’à confirmation d’une version corrigée.
Traversée de répertoires dans l’API d’envoi de fichiers Python de DB-GPT
DB-GPT v0.7.5 et v0.8.0 présentent une traversée de répertoires dans l’API `python_file_upload`, susceptible de permettre à un attaquant distant d’écrire hors de l’espace ou de la zone de stockage prévue. Restreindre l’accès à l’API et mettre à jour vers une version corrigée dès qu’elle sera identifiée; les éléments fournis ne précisent pas de version corrigée.
Action recommandée : Restreindre l’accès à l’API concernée et appliquer une version corrigée lorsqu’elle sera disponible.
Java
Vérification incomplète
Niveau relevé : Critique
La recherche a identifié des publications NVD datées du 30 septembre 2026 pour Handlebars.java, Apache PLC4J et Apache MINA SSHD. Le candidat PLC4Go a été exclu car il concerne l’implémentation Go et non Java; les informations Oracle consultées concernent un avis de septembre sans élément établi comme nouvel événement dans la fenêtre du 30 septembre. Les sources fournies décrivent des vulnérabilités touchant des composants Java, notamment Apache MINA SSHD, Handlebars.java, Apache PLC4X (PLC4J) et OpenClaw Windows Node. Les fiches NVD publiées ou substantiellement mises à jour le 30 septembre rapportent des contournements d’authentification, une traversée de répertoires, des risques d’exécution de code et des dénis de service ; aucune exploitation active n’est établie par ces éléments. Les candidats comprennent quatre vulnérabilités Apache MINA SSHD publiées le 30 septembre 2026 : deux risques d’épuisement de mémoire dans SFTP et deux contournements d’authentification liés à LDAP. Les autres candidats portent sur des CVE publiées en 2025 dont seule une mise à jour NVD est datée de la période ; les informations fournies n’établissent pas de changement de sécurité substantiel sur cette journée. Aucun événement de sécurité Java vérifiable dans ce lot pour la période demandée. Les candidats sont des fiches NVD publiées en décembre 2025 dont seule une mise à jour au 30 septembre 2026 est signalée; le lot ne fournit pas de preuve d’un changement substantiel daté de cette journée. Aucune information retenue pour le sujet Java dans ce lot : les candidats décrivent des vulnérabilités de la plateforme Android, et leur seule date dans la période est une mise à jour NVD dont le caractère substantiel n’est pas établi. Les dates de publication indiquées sont antérieures à la période.…
Apache MINA SSHD : contournement d’authentification asynchrone
Apache MINA SSHD comporte un défaut dans son mécanisme d’authentification asynchrone, susceptible de faire omettre la vérification d’une signature ou de produire un résultat d’authentification erroné. Le risque concerne les serveurs qui implémentent explicitement ce mécanisme ; mettez à niveau vers 2.20.0 ou 3.0.0-M6.
Action recommandée : Mettre à niveau vers Apache MINA SSHD 2.20.0 ou 3.0.0-M6 ; ne pas utiliser l’authentification asynchrone avec les schémas public-key ou hostbased.
Apache MINA SSHD : contournement d’authentification LDAP
Un contrôle manquant dans LdapPasswordAuthenticator d’Apache MINA SSHD pouvait contourner l’authentification par mot de passe. Le problème concerne uniquement les serveurs utilisant le composant optionnel sshd-ldap et configurant LdapPasswordAuthenticator ; mettez à niveau vers une version corrigée.
Action recommandée : Mettre à niveau les applications concernées vers Apache MINA SSHD 2.20.0 ou 3.0.0-M6.
Apache MINA SSHD : contournement d’authentification par injection LDAP
Le composant optionnel sshd-ldap d’Apache MINA SSHD n’échappait pas les caractères spéciaux des filtres LDAP, ce qui permettait un contournement de l’authentification. Les serveurs ne configurant pas sshd-ldap pour l’authentification par mot de passe ou par clé publique ne sont pas concernés ; la mise à niveau corrige l’échappement conformément à RFC 4515.
Action recommandée : Mettre à niveau les applications concernées vers Apache MINA SSHD 2.20.0 ou 3.0.0-M6.
Handlebars.java : traversée de répertoires via chemin de modèle encodé
Handlebars.java est vulnérable à une traversée de répertoires dans certaines applications Spring MVC utilisant handlebars-springmvc avec un préfixe de modèle file: et un nom de vue issu de la requête. Un chemin encodé peut contourner les contrôles de confinement et lire des fichiers hors du répertoire de modèles ; mettez à niveau vers la version corrigée.
Action recommandée : Mettre à niveau Handlebars.java vers la version 4.5.5 ou ultérieure.
Apache PLC4X (PLC4J) : déni de service par épuisement des ressources
Apache PLC4X (PLC4J) présente plusieurs défauts de gestion des longueurs, des allocations et de la récursion, susceptibles d’épuiser la mémoire ou la pile d’une application cliente. Pour le pilote OPC UA, certains chemins sont atteignables avant authentification, y compris par un attaquant pouvant usurper un équipement ; mettez à niveau vers la version 1.0.0.
Action recommandée : Mettre à niveau Apache PLC4X vers la version 1.0.0 ou ultérieure.
Apache MINA SSHD : contournement d’authentification multi-clé
Dans certaines configurations multi-authentification d’Apache MINA SSHD, le serveur ne vérifie pas que deux clés publiques présentées sont différentes. Un utilisateur peut ainsi satisfaire une exigence de deux clés en présentant deux fois la même ; mettez à niveau vers une version corrigée.
Action recommandée : Mettre à niveau Apache MINA SSHD vers 2.20.0 ou 3.0.0-M6.
Apache MINA SSHD : épuisement de mémoire dans le client SFTP
Dans Apache MINA SSHD, le client SFTP stockait sans les consommer les réponses non sollicitées d’un serveur malveillant, ce qui pouvait épuiser la mémoire du client. Le défaut concerne les versions 0.9.0 à 2.19.0 et 3.0.0-M1 à 3.0.0-M5 ; mettez à niveau vers une version corrigée.
Action recommandée : Mettre à niveau Apache MINA SSHD vers 2.20.0 ou 3.0.0-M6.
OpenClaw Windows Node : exécution de code via variables d’environnement non filtrées
OpenClaw Windows Node ne filtre pas certaines variables d’environnement transmises à des outils autorisés, dont JAVA_TOOL_OPTIONS. Un acteur disposant d’un accès à la passerelle ou à l’agent peut ainsi provoquer le chargement de code contrôlé par l’attaquant et exécuter du code arbitraire ; mettez à niveau vers la version corrigée.
Action recommandée : Mettre à niveau OpenClaw Windows Node vers 2026.7.1 ou une version ultérieure.
Apache MINA SSHD : validation insuffisante de la commande git archive
Le composant sshd-git d’Apache MINA SSHD ne bloquait pas une variante de l’option -o pour la commande git archive, malgré un correctif antérieur. Dans les serveurs configurés pour permettre l’exécution de commandes Git par des clients SSH authentifiés, cela peut permettre l’écriture d’une archive sur le serveur ; mettez à niveau.
Action recommandée : Mettre à niveau Apache MINA SSHD vers 2.20.0 ou 3.0.0-M6.
Apache MINA SSHD : épuisement mémoire via les lignes du protocole SCP
Le composant SCP d’Apache MINA SSHD ne limitait pas la longueur des lignes du protocole, permettant à un pair malveillant de provoquer une consommation mémoire croissante et un arrêt du processus. Le correctif impose une longueur maximale ; mettez à niveau vers 2.20.0 ou 3.0.0-M6.
Action recommandée : Mettre à niveau Apache MINA SSHD vers 2.20.0 ou 3.0.0-M6.
Apache MINA SSHD : épuisement de mémoire côté serveur via SFTP
Dans l’extension SFTP v6 check-file-name/check-file-handle d’Apache MINA SSHD, le calcul de nombreux hachages pour un grand fichier pouvait conduire à accumuler une réponse volumineuse en mémoire côté serveur. Le défaut concerne les versions 1.0.0 à 2.19.0 et 3.0.0-M1 à 3.0.0-M5 ; la mise à niveau vers une version corrigée impose une limite à la taille de la réponse.
Action recommandée : Mettre à niveau Apache MINA SSHD vers 2.20.0 ou 3.0.0-M6.
TYPO3
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif ou autre événement TYPO3 vérifié comme publié entre le 2026-09-30T00:00:00+02:00 inclus et le 2026-10-01T00:00:00+02:00 exclu. Les avis TYPO3 repérés dans les résultats disponibles étaient datés antérieurement à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche web dédiée à Drupal a été effectuée. Les résultats consultés n’ont pas permis de vérifier un avis, correctif, cas d’exploitation ou changement substantiel daté du 30 septembre 2026 ; cela ne constitue pas une confirmation qu’aucun événement n’a eu lieu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Vérification incomplète
Niveau relevé : Critique
La recherche web dédiée a vérifié deux nouvelles divulgations Joomla datées du 30 septembre 2026 : une injection SQL dans JCTables et une vulnérabilité d’envoi de fichiers dans OrdaSoft Joomla CCK. Les huit candidats signalant uniquement une mise à jour de fiche NVD pour des vulnérabilités publiées avant la période sont exclus, faute d’élément établissant un changement substantiel de sécurité daté dans la période. Aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats sont des fiches CVE publiées avant la période ; leur seule mise à jour NVD datée du 30 septembre ne suffit pas à démontrer un changement substantiel. Les candidats concernent des fiches NVD publiées le 2026-09-29 et modifiées le 2026-09-30. Le lot ne précise pas la nature des changements apportés : il ne permet donc pas de confirmer qu’un changement substantiel a eu lieu pendant la période. Deux vulnérabilités concernant des extensions Joomla ont une date de publication dans la période : une injection SQL affectant JCTables 1.21.1 et une exécution de code à distance affectant OrdaSoft Joomla CCK avant la version 8.3.16. Les quatre autres candidats ont une date de publication antérieure à la période ; leur seule date de mise à jour NVD ne démontre pas un changement substantiel.
Injection SQL non authentifiée dans JCTables 1.21.1
Une injection SQL non authentifiée affecte JCTables 1.21.1 : le contrôleur API CRUD ne vérifie ni l’authentification ni le jeton Joomla et construit des requêtes SQL à partir de paramètres fournis par l’utilisateur. La source ne précise pas de correctif ; vérifier l’usage de cette version et appliquer un correctif éditeur lorsqu’il sera disponible.
Action recommandée : Vérifier si JCTables 1.21.1 est déployé et suivre les consignes de l’éditeur pour installer un correctif dès sa disponibilité.
Exécution de code à distance via le téléverseur d’OrdaSoft Joomla CCK
OrdaSoft Joomla CCK présente une exécution de code à distance non authentifiée dans les versions antérieures à 8.3.16. Le téléverseur frontal accepte une extension contrôlée par l’utilisateur et écrit le fichier sous la racine web ; mettre à niveau vers la version 8.3.16 ou une version ultérieure.
Action recommandée : Mettre à niveau OrdaSoft Joomla CCK vers la version 8.3.16 ou une version ultérieure.
Magento
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, signalement d’exploitation ou changement substantiel concernant Magento dont la date de publication ou de l’événement soit comprise dans la période demandée, du 2026-09-30T00:00:00+02:00 inclus au 2026-10-01T00:00:00+02:00 exclu. Les avis Adobe Magento repérés dans les résultats de recherche sont datés de septembre, mais pas de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
Les avis Adobe consultés portent sur des événements antérieurs à la période demandée, notamment APSB26-146 publié le 2026-09-07 et APSB26-138 publié le 2026-09-08. Aucun nouvel avis, correctif ou changement substantiel daté du 2026-09-30 n’a été vérifié dans les résultats obtenus; cela ne permet pas d’affirmer qu’il n’en existe aucun.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
25 alerte(s)Code malveillant dans common-fs
L’avis signale du code malveillant dans common-fs 1.0.0, qui exécute un contenu JavaScript dissimulé lorsqu’un consommateur appelle getTransactions(). Ce comportement peut permettre l’exécution de code arbitraire dans le processus Node.js…
Source : GHSA-r4wp-96g3-9h5r — Malicious code in common-fs (npm)
Code malveillant dans pixsvg
L’avis signale du code malveillant dans pixsvg 0.2.0 : une fonction exportée peut reconstruire du JavaScript à partir d’un SVG fourni en entrée et l’exécuter avec eval(). Les applications qui transmettent des SVG non fiables à cette foncti…
Source : GHSA-78wv-pm46-pjqf — Malicious code in pixsvg (npm)
Code malveillant dans json-bigint-rs
L’avis signale que json-bigint-rs 0.1.1 contient un chargeur malveillant dissimulé dans son module WASM, qui peut récupérer puis exécuter du JavaScript distant en environnement de production. Éviter cette version et examiner les systèmes d…
Source : GHSA-f96g-45hf-3fhj — Malicious code in json-bigint-rs (npm)
Code malveillant dans godsplan
L’avis signale que le CLI godsplan 3.0.2 se connecte au port de débogage de Chrome et injecte du JavaScript dans les pages ouvertes. Le code peut collecter le contenu des pages et des champs d’éditeur puis l’envoyer à un service externe ;…
Source : GHSA-pgx2-9j7q-49rp — Malicious code in godsplan (npm)
Code malveillant dans esm-dotenv
L’avis signale que esm-dotenv 1.0.1 exécute du code malveillant dès son chargement sur un système Windows, par l’intermédiaire d’un contenu caché dans une image JPEG et d’un script PowerShell. Éviter cette version et examiner les hôtes Win…
Source : GHSA-cp5r-vgw5-hxvh — Malicious code in esm-dotenv (npm)
Exfiltration de sessions WhatsApp dans cortana-md-engine
L’avis signale que cortana-md-engine 1.4.6 enregistre l’état d’authentification WhatsApp du bot dans des bases MongoDB distantes avec des identifiants inclus dans le paquet. Cela peut exposer des données de session et permettre la prise de…
Source : GHSA-25rm-w924-v83v — Malicious code in cortana-md-engine (npm)
Code malveillant dans le paquet npm dotenv-preflight
Un avis publié le 2026-09-30 signale du code malveillant dans dotenv-preflight 1.0.0, dont le fichier JavaScript est fortement obfusqué. Le code s’exécute lors du chargement du module ; l’avis évoque un risque de vol d’identifiants ou d’ex…
Source : GHSA-9gqp-7mp4-44qm — Malicious code in dotenv-preflight (npm)
Code malveillant dans le paquet npm contoso-login-sim-loader
Un avis publié le 2026-09-30 signale du code malveillant dans contoso-login-sim-loader 1.0.1, distribué sous la forme d’un script navigateur chiffré et exécuté à l’exécution. L’avis décrit des mécanismes anti-analyse et indique un risque d…
Source : GHSA-98rj-4grx-g355 — Malicious code in contoso-login-sim-loader (npm)
Injection de commandes dans `node:child_process` sous Windows
Une injection de commandes affecte `node:child_process` sous Windows lorsque des arguments non fiables sont utilisés avec l’option `shell`. L’attaquant peut alors exécuter des commandes avec les privilèges du processus Deno.
Source : NVD — CVE-2026-103473
XSS stockée non authentifiée dans Kiteworks Core
Kiteworks Core présente une XSS stockée exploitable sans authentification, qui peut exécuter du JavaScript dans la session d’un administrateur consultant la page affectée. L’attaque peut conduire à une prise de contrôle administrative, not…
Source : NVD — CVE-2026-102147
MISP — XSS stockée dans l’aperçu du graphe d’événement
MISP présente une XSS stockée dans l’aperçu du graphe d’événement : la valeur de l’image, non validée côté serveur, est insérée dans un attribut HTML et peut permettre l’exécution de JavaScript dans le navigateur d’un autre utilisateur. Le…
Source : NVD — CVE-2026-103321
XSS stockée dans Kiteworks Core permettant une élévation de privilèges
Kiteworks Core présente une XSS stockée qu’un administrateur disposant d’une permission déléguée limitée peut exploiter pour exécuter du JavaScript dans la session d’un administrateur système. Cela peut permettre une prise de contrôle admi…
Source : NVD — CVE-2026-102126
Déni de service possible via un port malformé dans Host avec @astrojs/node
Dans l’adaptateur Node, un port malformé dans l’en-tête Host peut rendre invalide l’URL de requête et provoquer une exception non interceptée. Selon la configuration, la requête produit une erreur HTTP 500 ou peut arrêter le processus Node…
Source : NVD — CVE-2026-102984
Axios — options de formulaire héritées après pollution de prototype
Axios lit plusieurs options de sérialisation de formulaire depuis un objet sans vérifier qu’elles lui appartiennent, ce qui permet à une pollution préalable de `Object.prototype` d’altérer la sérialisation ou de faire échouer des requêtes.…
XSS réfléchi dans EasyFlow .NET
EasyFlow .NET présente une vulnérabilité de cross-site scripting réfléchi permettant à un attaquant distant non authentifié de faire exécuter du JavaScript dans le navigateur d’un utilisateur. L’exploitation peut être déclenchée au moyen d…
Source : NVD — CVE-2026-102459
Ammonia — XSS possible via des balises SVG autorisées
Ammonia peut laisser produire un lien SVG utilisant le schéma `javascript:` lorsque les balises `animate` et `set` sont autorisées, ce qui peut conduire à une XSS stockée dans les applications concernées. Les correctifs sont indiqués dans…
ip-address — consommation excessive de ressources lors de l’analyse IPv6
Dans `ip-address`, l’analyse de chaînes IPv6 sans limite de longueur peut construire un diagnostic proportionnel, voire très supérieur, à la taille de l’entrée; une entrée démesurée peut bloquer ou faire planter le processus. Les versions…
Déni de service possible via le fallback JavaScript de `pbkdf2` utilisé par Deno
Une vulnérabilité de déni de service dans le fallback JavaScript de `pbkdf2` peut rendre le calcul coûteux lorsqu’un mot de passe dépasse la taille de bloc du digest. La fiche NVD modifiée pendant la période précise que ce chemin peut être…
Source : NVD — CVE-2026-102414
Contournement de l’allowlist d’images Netlify dans @astrojs/netlify
Une validation d’URL insuffisamment ancrée dans l’adaptateur Netlify peut laisser passer une URL dont l’hôte réel n’est pas autorisé. Une requête non authentifiée vers /.netlify/images peut alors provoquer des requêtes vers des URL choisie…
Source : NVD — CVE-2026-102983
ip-address : contournement possible de listes d’autorisation par comparaison IPv4/IPv6
Une erreur de vérification entre adresses IPv4 et IPv6 dans `isInSubnet()` et `isHostInSubnet()` peut faire accepter une adresse qui n’appartient pas à une liste d’autorisation. Le correctif est disponible dans `ip-address` 10.7.1 ; mettez…
CVE-2026-71189 — exécution de JavaScript dans la session d’un autre utilisateur
Une requête préparée par un attaquant peut, si un autre utilisateur de l’application l’exécute, déclencher l’exécution de JavaScript dans son navigateur et dans le contexte de sa session. Les versions concernées, le correctif et l’action r…
Source : NVD — CVE-2026-71189
MISP — XSS stockée via la source d’un Galaxy Cluster
MISP peut enregistrer dans le champ « source » d’un Galaxy Cluster une URL `javascript:` et l’afficher comme lien cliquable, permettant une XSS stockée si un autre utilisateur clique dessus. La fiche NVD décrit notamment un risque de vol d…
Source : NVD — CVE-2026-103388
MISP — XSS stockée via le champ icône des galaxies
MISP ne validait pas côté serveur le champ icône d’un objet galaxy, puis l’insérait directement dans le HTML du graphe de corrélation, ce qui permet une XSS stockée. Un utilisateur doté de la permission d’édition des galaxies peut ainsi pr…
Source : NVD — CVE-2026-103389
DOMPurify — risque de XSS DOM avec des hooks après sanitisation en mode IN_PLACE
En mode `IN_PLACE`, DOMPurify peut laisser des gestionnaires d’événements actifs dans un sous-arbre détaché par certains hooks d’après-sanitisation, créant un risque de XSS DOM. L’avis concerne les versions 3.4.13 à 3.4.15 incluses et indi…
serialize-javascript — échappement insuffisant de séquences de fermeture de script
`serialize-javascript` pouvait ne pas échapper correctement certaines séquences de fermeture de balise script dans des corps de fonctions sérialisés, ce qui pouvait permettre de sortir d’un élément `script` lors de l’intégration du résulta…
Backend & données
70 alerte(s)Code malveillant dans react-nodejs
L’avis signale que react-nodejs 19.3.0 exécute, pendant l’installation npm, un script JavaScript récupéré depuis une branche mutable d’un dépôt tiers. Cette usurpation du nom et de l’identité de React peut mener à l’exécution de code sur l…
Source : GHSA-wvw7-9m69-qw5x — Malicious code in react-nodejs (npm)
Avis de code suspect dans cleanup-string sur PyPI
L’avis GHSA-r9mq-4q39-vw6h signale que cleanup-string 1.0.0 distribue un module natif Windows Python 3.13 protégé par VMProtect, qui s’exécute lors de l’importation du paquet. Son comportement malveillant précis n’est pas établi dans les é…
Source : GHSA-r9mq-4q39-vw6h — Malicious code in cleanup-string (PyPI)
Paquet PyPI malveillant bfox-build-utils 1.0.997 : vol d’identifiants GitHub et injection de workflow
Le paquet malveillant `bfox-build-utils` version 1.0.997 exécute du code à l’installation pour récupérer des identifiants GitHub disponibles dans l’environnement et les utiliser afin de cloner le dépôt de l’installateur, y ajouter un workf…
Source : GHSA-rx43-29mc-6h3f — Malicious code in bfox-build-utils (PyPI)
Apache MINA SSHD : contournement d’authentification asynchrone
Apache MINA SSHD comporte un défaut dans son mécanisme d’authentification asynchrone, susceptible de faire omettre la vérification d’une signature ou de produire un résultat d’authentification erroné. Le risque concerne les serveurs qui im…
Source : NVD — CVE-2026-77185
Apache MINA SSHD : contournement d’authentification LDAP
Un contrôle manquant dans LdapPasswordAuthenticator d’Apache MINA SSHD pouvait contourner l’authentification par mot de passe. Le problème concerne uniquement les serveurs utilisant le composant optionnel sshd-ldap et configurant LdapPassw…
Source : NVD — CVE-2026-94052
Apache MINA SSHD : contournement d’authentification par injection LDAP
Le composant optionnel sshd-ldap d’Apache MINA SSHD n’échappait pas les caractères spéciaux des filtres LDAP, ce qui permettait un contournement de l’authentification. Les serveurs ne configurant pas sshd-ldap pour l’authentification par m…
Source : NVD — CVE-2026-94053
Kobako : évasion critique de la sandbox mruby
Kobako présente une évasion de sandbox permettant à un script mruby invité d’exécuter du Ruby dans le processus hôte. Les versions 0.1.0 à 0.9.0 sont concernées ; mettez à niveau vers 0.9.1 ou ultérieure.
Source : NVD — CVE-2026-55107
Piscina : options de workers sensibles héritées de la chaîne de prototypes
Avant les versions corrigées, Piscina stockait les options du pool dans un objet ordinaire, permettant à une pollution de prototype distincte de fournir des options sensibles héritées. Selon l’option héritée, du code peut être préchargé da…
Source : NVD — CVE-2026-102992
simple-git : exécution de commande via configuration trailer..cmd
Dans simple-git de 3.15.0 à 4.0.0, le filtre par défaut ne classait pas trailer..cmd comme une configuration dangereuse. Si des valeurs contrôlées par un attaquant sont transmises à Git, celui-ci peut exécuter une commande avec les privilè…
Source : NVD — CVE-2026-102828
argv-parser : exécution d’un éditeur Git via la variable VISUAL
Avant argv-parser 2.0.1, parseEnv omettait VISUAL de la liste des variables Git prises en compte, ce qui empêchait le contrôle de sécurité de classifier cette valeur. Dans certaines opérations Git, une valeur VISUAL influençable peut décle…
Source : NVD — CVE-2026-102829
ReDoS dans anchorme pouvant bloquer Node.js
Une vulnérabilité ReDoS dans anchorme peut bloquer la boucle d’événements de Node.js lors de l’extraction d’un hôte IPv6 à partir d’une chaîne spécialement construite. Les versions jusqu’à 3.0.8 sont concernées; le candidat fourni ne préci…
Source : NVD — CVE-2026-103043
Engine.IO — déni de service par incohérence de révision de protocole
Engine.IO ne vérifiait pas que la révision de protocole d’une requête de mise à niveau correspondait à celle de la session existante, ce qui pouvait conduire à une incohérence de parseur et à un plantage du processus Node.js. Les versions…
Déni de service par erreur non gérée dans la décompression asynchrone d’adm-zip
Le traitement asynchrone de données DEFLATE malformées par adm-zip peut émettre une erreur non gérée et faire terminer le processus Node.js. Les versions jusqu’à 0.6.0 sont concernées; la version corrigée indiquée est 0.6.1.
ReDoS dans le parseur d’adresses de Nodemailer
Une expression régulière de repli dans le parseur d’adresses de Nodemailer peut subir un retour arrière quadratique sur une valeur longue, bloquant la boucle d’événements Node.js. Les versions jusqu’à 10.0.5 sont concernées; la version cor…
Arrêt à distance d’un microservice NestJS par motif profondément imbriqué
Un message de microservice contenant un motif profondément imbriqué peut déclencher une erreur de pile lors de sa sérialisation et terminer le processus NestJS sous Node.js. Le problème touche les transports TCP et RabbitMQ; les versions c…
PyJWT : contournement par BOM de la protection contre l’utilisation de clés JWK en HMAC
PyJWT 2.13.0 comporte un contournement par BOM de la protection contre l’utilisation de clés JWK publiques comme secrets HMAC, dans certaines configurations à algorithmes mixtes. PyJWT 2.14.0 corrige le problème ; mettre à niveau et éviter…
PyJWT : clé publique DER acceptée comme secret HMAC
PyJWT 2.4.0 à 2.13.0 peut accepter une clé publique au format DER comme secret HMAC, contournant une protection qui ne détecte que certains marqueurs PEM ou SSH. Le risque concerne les applications configurées pour accepter à la fois des a…
Source : GHSA-p4g4-x82p-q773 — PyJWT: Public keys in DER form are accepted as HMAC secrets
PyJWT : contournement de la défense contre les clés JWK publiques utilisées comme secrets HMAC
PyJWT 2.13.0 peut accepter comme secret HMAC un JWK public encapsulé dans un objet JWKS, un tableau ou un conteneur imbriqué, dans certaines configurations mélangeant algorithmes HMAC et asymétriques. Le défaut est corrigé dans PyJWT 2.14.…
Source : GHSA-w2cx-738m-mc7w — PyJWT accepts public JWK containers as HMAC secrets
PyJWT — clé HMAC vide acceptée via PyJWK
PyJWT peut accepter une clé HMAC vide lorsqu’elle est fournie via un JWK symétrique `oct` au moyen de `PyJWK` ou `PyJWKSet`, alors que le chemin de clé brute la rejette. L’avis indique une correction dans PyJWT 2.14.0 ; mettre à niveau et…
Handlebars.java : traversée de répertoires via chemin de modèle encodé
Handlebars.java est vulnérable à une traversée de répertoires dans certaines applications Spring MVC utilisant handlebars-springmvc avec un préfixe de modèle file: et un nom de vue issu de la requête. Un chemin encodé peut contourner les c…
Source : NVD — CVE-2026-103088
Apache PLC4X (PLC4J) : déni de service par épuisement des ressources
Apache PLC4X (PLC4J) présente plusieurs défauts de gestion des longueurs, des allocations et de la récursion, susceptibles d’épuiser la mémoire ou la pile d’une application cliente. Pour le pilote OPC UA, certains chemins sont atteignables…
Source : NVD — CVE-2026-102509
Apache MINA SSHD : contournement d’authentification multi-clé
Dans certaines configurations multi-authentification d’Apache MINA SSHD, le serveur ne vérifie pas que deux clés publiques présentées sont différentes. Un utilisateur peut ainsi satisfaire une exigence de deux clés en présentant deux fois…
Source : NVD — CVE-2026-93994
Apache MINA SSHD : épuisement de mémoire dans le client SFTP
Dans Apache MINA SSHD, le client SFTP stockait sans les consommer les réponses non sollicitées d’un serveur malveillant, ce qui pouvait épuiser la mémoire du client. Le défaut concerne les versions 0.9.0 à 2.19.0 et 3.0.0-M1 à 3.0.0-M5 ; m…
Source : NVD — CVE-2026-94002
Axios : la limite maxRedirects ne bloque pas les redirections avec l’adaptateur Fetch
Dans l’adaptateur Fetch d’Axios, `maxRedirects: 0` n’empêche pas le suivi des redirections, ce qui peut contourner une protection SSRF configurée par l’application. Le problème concerne les requêtes utilisant cet adaptateur sans contrôle d…
Évasion du sandbox Kotlin DSL et exécution de code dans JetBrains TeamCity
Une faille dans le sandbox du Kotlin DSL des paramètres versionnés de JetBrains TeamCity permettait une évasion du sandbox et l’exécution de code. Les versions antérieures à 2026.2, 2026.1.4 et 2025.11.8 sont concernées ; mettez TeamCity à…
Source : NVD — CVE-2026-100253
CVE-2026-55094 — exécution de code à distance dans certains déploiements Taskcluster via GraphQL
Une vulnérabilité permet une exécution de code à distance sans authentification dans certaines déploiements Taskcluster exposant leur point de terminaison GraphQL à un rôle anonyme et analysant les arguments de filtre avec la bibliothèque…
Source : NVD — CVE-2026-55094
Déni de service quadratique dans l’extension Table de league/commonmark
Une vérification répétée du texte accumulé par le parseur des tableaux GFM peut entraîner un déni de service par consommation quadratique du processeur lors du traitement d’un paragraphe Markdown non fiable. Les versions 2.0.0 à 2.10.1 son…
Axios : déni de service par expression régulière lors de l’analyse d’URL `data:`
Axios pour Node.js peut bloquer la boucle d’événements lorsqu’il analyse une URL `data:` malformée comportant de nombreuses barres obliques, provoquant un déni de service. Les versions 1.16.1 à 1.19.x sont concernées ; rejetez les URL `dat…
Source : GHSA-c29m-xwm3-cm6r — Axios: ReDoS in fromDataURI data: URL parser freezes the Node event loop (DoS)
Angular Router : déni de service mémoire dans le rendu SSR Node.js via des paramètres matriciels numériques
Avec le rendu côté serveur activé sur Node.js/V8, l’analyse de paramètres matriciels numériques dans les URL par `@angular/router` peut provoquer une forte amplification de mémoire et un déni de service. Mettre à jour vers une version corr…
basic-ftp : blocage du processus par parsing coûteux d’une liste FTP
Avant basic-ftp 6.2.1, un serveur FTP malveillant ou compromis pouvait fournir une liste de répertoire provoquant un temps de traitement quadratique dans Client.list(). Une ligne Unix spécialement longue peut bloquer la boucle d’événements…
Source : NVD — CVE-2026-102990
Socket.IO cluster-engine : déni de service par résolution de propriétés héritées
Dans les déploiements utilisant @socket.io/cluster-engine, des identifiants de session spécialement construits peuvent être résolus via la chaîne de prototypes plutôt que comme des clients connectés, ce qui peut faire planter le processus…
Source : NVD — CVE-2026-102600
Electron : privilèges Node.js excessifs dans les Web Workers de contenus invités
Dans certaines configurations Electron, un contenu invité pouvait activer nodeIntegrationInWorker pour ses Web Workers malgré la désactivation de l’intégration Node.js dans l’embedder non sandboxé. Les versions corrigées sont 41.10.6, 42.9…
Source : NVD — CVE-2026-102676
simple-git : exécution de commande via inclusion de configuration Git dans clone
Dans simple-git avant 4.0.0, le filtrage des arguments de clone ne bloquait pas complètement les directives d’inclusion de configuration Git, y compris les inclusions conditionnelles. Une configuration contrôlée par un attaquant peut faire…
Source : NVD — CVE-2026-102826
simple-git : contournement du filtrage d’options Git dans push
Dans simple-git avant 4.0.0, le filtre de sécurité comparait les options à leurs graphies complètes et pouvait être contourné par des abréviations longues acceptées par Git. Des arguments push influençables peuvent ainsi conduire Git à exé…
Source : NVD — CVE-2026-102827
Axios : contournement des contrôles DNS et proxy avec HTTP/2
Avec l’adaptateur HTTP/2 de Node.js, Axios ne transmet pas certaines règles DNS personnalisées ni les contrôles de proxy configurés au niveau supérieur. Une application qui laisse influencer la destination et compte sur ces contrôles pour…
Source : GHSA-3pq3-5fj3-cg6v — Axios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls
Axios : déni de service par ReDoS lors du traitement des redirections et du proxy
Une redirection vers un nom d’hôte spécialement formé peut déclencher une expression régulière coûteuse dans Axios et bloquer la boucle d’événements Node.js. Le problème concerne les applications qui suivent les redirections en utilisant d…
Axios : détournement de socket possible après pollution de Object.prototype.createConnection
Dans l’adaptateur HTTP Node.js d’Axios, une pollution préalable de `Object.prototype.createConnection` peut détourner la création du socket d’une requête vers une destination contrôlée. Le problème suppose une primitive distincte de pollut…
Python : vérification du nom d’hôte omise avec SSLContext.wrap_bio()
Avec check_hostname activé, certaines utilisations de wrap_bio() sans server_hostname pouvaient omettre silencieusement la vérification du nom d’hôte du certificat. Fournir un server_hostname valide et non vide évite le problème ; le corre…
Source : NVD — CVE-2026-19553
pypdf : consommation excessive de mémoire avec des étiquettes de pages romaines
Un PDF spécialement conçu pouvait provoquer la génération de chaînes de numérotation romaine excessivement volumineuses lors de la récupération des étiquettes de pages. Cela pouvait consommer beaucoup de mémoire et rendre l’application ind…
Source : NVD — CVE-2026-102993
pypdf : traitement excessivement long de jetons d’objets PDF
Un PDF malveillant pouvait faire parcourir une quantité excessive de données à pypdf en l’absence d’espaces dans certains jetons. Le traitement pouvait durer très longtemps et rendre l’application indisponible ; le correctif indiqué est py…
Source : NVD — CVE-2026-102994
pypdf : consommation excessive de mémoire dans le traitement de /ToUnicode
Des jetons anormalement volumineux dans une table /ToUnicode pouvaient consommer beaucoup de mémoire pendant le décodage, notamment lors de l’extraction de texte. Le correctif indiqué est pypdf 6.18.1.
Source : NVD — CVE-2026-102995
pypdf : consommation excessive de mémoire avec un tableau /Widths surdimensionné
Un PDF pouvait contenir un tableau /Widths anormalement grand pour une police simple TrueType ou Type1. pypdf pouvait alors traiter des entrées au-delà des 256 codes de caractères pertinents et consommer excessivement de la mémoire ; le co…
Source : NVD — CVE-2026-102996
pypdf : décompression inefficace de flux /FlateDecode malformés
Un flux /FlateDecode malformé avec des données de remplissage pouvait déclencher une décompression inefficace, octet par octet. Le traitement pouvait durer très longtemps et rendre l’application indisponible ; le correctif indiqué est pypd…
Source : NVD — CVE-2026-102997
pypdf : temps de traitement excessif lors de l’aplatissement de formulaires
Des valeurs de champs de formulaire PDF spécialement conçues pouvaient faire répéter inutilement des calculs lors de la génération des flux d’apparence avec aplatissement activé. Cela pouvait entraîner des temps de traitement excessifs et…
Source : NVD — CVE-2026-102998
pypdf : temps de traitement excessif avec de nombreuses pièces jointes
Un PDF contenant de nombreuses pièces jointes pouvait provoquer la relecture répétée de la liste complète lors de l’accès à l’API des pièces jointes. Cette répétition pouvait entraîner des temps de traitement excessifs et une indisponibili…
Source : NVD — CVE-2026-102999
pypdf : consommation excessive de mémoire avec des étiquettes alphabétiques
Des valeurs alphabétiques d’étiquettes de pages anormalement grandes pouvaient entraîner la création de chaînes excessivement longues lors de la récupération des étiquettes. Cela pouvait consommer beaucoup de mémoire et rendre l’applicatio…
Source : NVD — CVE-2026-103000
virtualenv : injection de commandes dans l’activation Windows
Dans virtualenv, un prompt contrôlé peut injecter des commandes dans le fichier d’activation Windows, exécutées avec les privilèges de l’utilisateur lors de l’activation. Le problème concerne les versions antérieures à 21.7.12 ; mettre à n…
Source : NVD — CVE-2026-102937
OpenClaw Windows Node : exécution de code via variables d’environnement non filtrées
OpenClaw Windows Node ne filtre pas certaines variables d’environnement transmises à des outils autorisés, dont JAVA_TOOL_OPTIONS. Un acteur disposant d’un accès à la passerelle ou à l’agent peut ainsi provoquer le chargement de code contr…
Source : NVD — CVE-2026-101884
La décompression asynchrone d’adm-zip contourne la limite de taille
Le chemin asynchrone getDataAsync() d’adm-zip ne fait pas respecter la limite maxOutputLength appliquée au chemin synchrone, ce qui peut entraîner une forte consommation de mémoire lors de la décompression. Les versions jusqu’à 0.6.0 sont…
PyJWT — sérialisations non canoniques et contournement de révocation
PyJWT 2.13.0 accepte des segments de signature JWS non canoniques qui peuvent conserver une signature valide tout en modifiant la représentation brute du jeton, ce qui peut contourner une révocation indexée sur cette représentation. L’avis…
Source : GHSA-hxm8-2xgr-2p9m — non-canonical signature segments
PyJWT — exception de récursion non interceptée lors du décodage
Un en-tête JWT profondément imbriqué peut provoquer une `RecursionError` non convertie en erreur PyJWT attendue lors du décodage, entraînant notamment une réponse serveur 500 dans certaines intégrations. L’avis indique comme plage affectée…
Source : GHSA-8wjv-2p76-3863 — uncaught RecursionError in jwt.decode()
Apache MINA SSHD : validation insuffisante de la commande git archive
Le composant sshd-git d’Apache MINA SSHD ne bloquait pas une variante de l’option -o pour la commande git archive, malgré un correctif antérieur. Dans les serveurs configurés pour permettre l’exécution de commandes Git par des clients SSH…
Source : NVD — CVE-2026-93995
Apache MINA SSHD : épuisement mémoire via les lignes du protocole SCP
Le composant SCP d’Apache MINA SSHD ne limitait pas la longueur des lignes du protocole, permettant à un pair malveillant de provoquer une consommation mémoire croissante et un arrêt du processus. Le correctif impose une longueur maximale…
Source : NVD — CVE-2026-93996
Apache MINA SSHD : épuisement de mémoire côté serveur via SFTP
Dans l’extension SFTP v6 check-file-name/check-file-handle d’Apache MINA SSHD, le calcul de nombreux hachages pour un grand fichier pouvait conduire à accumuler une réponse volumineuse en mémoire côté serveur. Le défaut concerne les versio…
Source : NVD — CVE-2026-94029
Django GeoDjango : déni de service lors de l’analyse de géométries imbriquées
GeoDjango peut subir un déni de service lors de l’analyse de collections `GEOMETRYCOLLECTION` profondément imbriquées, pouvant provoquer une récursion non bornée et un crash. Le problème concerne notamment `GEOSGeometry`, les recherches su…
Axios : les exclusions CIDR de NO_PROXY sont ignorées
Axios ne reconnaît pas les entrées CIDR de `NO_PROXY` dans l’adaptateur Node.js et peut donc envoyer via le proxy des requêtes vers des adresses censées en être exclues. Jusqu’à la mise à jour, utiliser des noms d’hôte ou adresses IP exact…
EWWW Image Optimizer : injection d’objets PHP par un auteur
Un utilisateur authentifié disposant au moins du rôle auteur peut enregistrer une valeur sérialisée dans une métadonnée d’article, ensuite désérialisée lors de l’affichage. Cela peut entraîner une injection d’objets PHP et potentiellement…
Source : NVD — CVE-2026-91051
Axios : méthode HTTP héritée d’un prototype pollué dans l’instance par défaut
Dans Axios pour Node.js, les requêtes de l’instance par défaut qui omettent la méthode peuvent hériter de `Object.prototype.method` si un autre défaut a déjà pollué ce prototype. Cela peut transformer une requête prévue comme GET en requêt…
Axios : injection d’en-têtes via getHeaders hérité dans l’adaptateur Fetch
Le chemin de configuration partagé d’Axios peut accepter des en-têtes issus d’un `getHeaders` hérité et pollué lors de l’utilisation de l’adaptateur Fetch. L’exploitation nécessite une pollution préalable de prototype et un corps de requêt…
Source : GHSA-4hqw-qxg8-jxx2 — Axios: Fetch Adapter Header Injection via Inherited FormData getHeaders
Axios : injection d’en-têtes hérités après remplacement minimal de la configuration par un intercepteur
Un intercepteur Axios qui remplace la configuration par un objet ordinaire sans propriété propre `headers` peut laisser la lecture de `config.headers` récupérer une valeur héritée polluée. Le problème requiert une pollution préalable de pr…
Source : GHSA-j8rh-479h-cp32 — Axios: Header Injection via Inherited headers After Minimal Interceptor
Mako : traversal de répertoire lors de la résolution des templates sous Windows
Sur Windows, Mako peut résoudre un URI de template de façon incohérente et permettre de sortir du répertoire de templates configuré. Une application qui transmet des noms de templates ou des chemins d’inclusion contrôlés par un attaquant p…
Source : NVD — CVE-2026-102991
PyJWT : déni de service par ReDoS dans la détection du format PEM
Une entrée PEM malformée composée de lignes répétées de début de certificat peut provoquer une consommation quadratique du processeur lors de l’appel à `is_pem_format`, entraînant un déni de service si un attaquant peut fournir les données…
Source : GHSA-jwrc-g2q2-pq5p — PyJWT: ReDoS vulnerability when calling the is_pem_format function
PyJWT : déni de service par erreur de récursion lors du parsing préalable du payload JWT
Le décodage d’un payload JSON JWT profondément imbriqué peut faire remonter une `RecursionError` non interceptée dans le chemin de pré-vérification, notamment avec `PyJWKClient.get_signing_key_from_jwt()` ou lorsque la vérification de sign…
Source : GHSA-42vr-xj54-vc7v — PyJWT: Unauthenticated RecursionError DoS in pre-verification payload parse
virtualenv : injection de paramètres dans pyvenv.cfg
Dans virtualenv, un prompt contrôlé peut ajouter des lignes et des clés à pyvenv.cfg, notamment une valeur home qui détourne le choix de l’interpréteur de base ou altère les métadonnées de l’environnement. Le problème concerne les versions…
Source : NVD — CVE-2026-102938
Contournement du contrôle des caractères de contrôle dans Flysystem par UTF-8 mal formé
Un chemin contenant des octets UTF-8 mal formés pouvait contourner le contrôle des caractères de contrôle de Flysystem, parce que l’échec de `preg_match()` était traité comme une absence de correspondance. Les versions jusqu’à 3.35.2 sont…
Source : GHSA-cxf4-7mrp-vvpr — Flysystem
agent-zero : traversal de répertoire dans save_file_b64
Dans agent-zero 1.7 à 1.10, save_file_b64 accepte des chemins contrôlés sans normalisation ni validation, ce qui permet un traversal de répertoire. Les éléments fournis ne précisent ni version corrigée ni action de contournement ; vérifier…
Source : NVD — CVE-2026-51852
agent-zero : accès sans restriction aux fichiers de l’hôte via FileBrowser
Dans agent-zero 1.7 à 1.10, FileBrowser initialise l’espace de travail à la racine de l’hôte, permettant à l’agent d’accéder aux fichiers du système sans restriction décrite. Les éléments fournis ne précisent ni version corrigée ni contour…
Source : NVD — CVE-2026-51853
agentscope : exécution de code Python par un appel d’outil RealtimeAgent
Dans les versions d’agentscope citées, un utilisateur distant via WebSocket peut amener l’agent à appeler execute_python_code lorsque cet outil est disponible dans la session RealtimeAgent. Le code Python s’exécute dans l’environnement du…
Source : NVD — CVE-2026-51856
camel-ai : exécution de code généré par le modèle sans approbation
Dans camel-ai camel 0.2.91a1, v0.2.91a2 et v0.2.91a3, CodeExecutionToolkit peut exécuter le code Python produit par le modèle via SubprocessInterpreter sans étape d’approbation. Les éléments fournis ne précisent pas de version corrigée ; l…
Source : NVD — CVE-2026-51857
Traversée de répertoires dans l’API d’envoi de fichiers Python de DB-GPT
DB-GPT v0.7.5 et v0.8.0 présentent une traversée de répertoires dans l’API `python_file_upload`, susceptible de permettre à un attaquant distant d’écrire hors de l’espace ou de la zone de stockage prévue. Restreindre l’accès à l’API et met…
Source : NVD — CVE-2026-51864
CMS & e-commerce
64 alerte(s)Zella Theme : téléversement non authentifié pouvant mener à l’exécution de code
Le thème Zella expose à des utilisateurs non authentifiés une action d’envoi de polices sans contrôle de capacité ni vérification de nonce. Un attaquant peut téléverser des fichiers arbitraires, notamment PHP, et potentiellement exécuter d…
Source : NVD — CVE-2026-75873
Injection SQL non authentifiée dans JCTables 1.21.1
Une injection SQL non authentifiée affecte JCTables 1.21.1 : le contrôleur API CRUD ne vérifie ni l’authentification ni le jeton Joomla et construit des requêtes SQL à partir de paramètres fournis par l’utilisateur. La source ne précise pa…
Source : CVE-2026-76570 — NVD
Exécution de code à distance via le téléverseur d’OrdaSoft Joomla CCK
OrdaSoft Joomla CCK présente une exécution de code à distance non authentifiée dans les versions antérieures à 8.3.16. Le téléverseur frontal accepte une extension contrôlée par l’utilisateur et écrit le fichier sous la racine web ; mettre…
Source : CVE-2026-102427 — NVD
Frontend Post Submission Manager Lite : XSS stockée DOM
Le module Frontend Post Submission Manager Lite – Frontend Posting est vulnérable à une XSS stockée DOM via `post_content`, exploitable sans authentification lorsque la soumission d’articles invités est activée par le shortcode `[fpsm]`. L…
Source : NVD — CVE-2026-96649
Simply Schedule Appointments : inclusion de fichier local via ssa_locale
Simply Schedule Appointments présente une inclusion de fichier local via le paramètre `ssa_locale` dans les versions jusqu’à 1.6.12.27 incluse. La fiche indique qu’une requête non authentifiée peut exploiter le défaut, avec possibilité d’i…
Source : NVD — CVE-2026-89294
Injection SQL dans Motors – Car Dealership & Classified Listings
CVE-2026-6806 est une injection SQL aveugle temporelle dans Motors – Car Dealership & Classified Listings, via les paramètres `stm_lat/stm_lng`. Toutes les versions jusqu’à 1.4.109 inclus sont affectées ; la vulnérabilité peut permettre à…
Source : NVD — CVE-2026-6806
Lecture de fichiers arbitraires dans Product Designer App
CVE-2026-75098 est une vulnérabilité de traversée de répertoires dans Product Designer App, via le paramètre `svg`. Les versions jusqu’à 1.1.3 inclus sont affectées ; un attaquant non authentifié peut lire des fichiers arbitraires sur le s…
Source : NVD — CVE-2026-75098
XSS stocké non authentifié dans Post Views Stats Counter
Le greffon Post Views Stats Counter présente un XSS stocké via l’en-tête User-Agent, exploitable sans authentification et susceptible d’exécuter des scripts dans les pages consultées. Les versions jusqu’à 1.1.7 incluse sont concernées ; au…
Source : NVD — CVE-2026-97347
Injection SQL dans Category Discount Woocommerce
Une injection SQL affecte Category Discount Woocommerce jusqu’à la version 5.18 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 7,6 ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Source : NVD — CVE-2026-96828
CSRF dans Blacklist Manager pour WooCommerce
Une falsification de requête intersite (CSRF) sans authentification est signalée dans Blacklist Manager – WooCommerce Anti-Fraud, Blacklist & Checkout Verification jusqu’à la version 2.3.1 incluse. La fiche NVD publiée pendant la période i…
Source : NVD — CVE-2026-96838
XSS dans Premmerce Permalink Manager for WooCommerce
Une vulnérabilité de script intersite (XSS) sans authentification est signalée dans Premmerce Permalink Manager for WooCommerce jusqu’à la version 2.3.13 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 7,1 ; les é…
Source : NVD — CVE-2026-97272
Injection d’objet PHP dans Extra Product Options for WooCommerce
Une injection d’objet PHP est signalée dans Extra Product Options For WooCommerce | Custom Product Addons and Fields jusqu’à la version 3.3.8 incluse. Le titre NVD situe la vulnérabilité dans le contexte d’un gestionnaire de boutique et la…
Source : NVD — CVE-2026-102392
Injection d’objet PHP dans Music Player for WooCommerce
La désérialisation PHP d’objets dans Music Player for WooCommerce peut être déclenchée par un gestionnaire de boutique. Les versions concernées sont ≤ 1.9.1 ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Source : NVD — CVE-2026-93624
Injection d’objet PHP dans Minimum and Maximum Quantity for WooCommerce
Une injection d’objet PHP affecte Minimum and Maximum Quantity for WooCommerce lorsqu’elle est exploitée par un utilisateur ayant le rôle d’auteur. Les versions concernées sont ≤ 2.1.2 ; la source ne précise ni version corrigée ni contourn…
Source : NVD — CVE-2026-93651
Injection d’objet PHP dans Cost of Goods for WooCommerce
Cost of Goods for WooCommerce présente une injection d’objet PHP exploitable par un gestionnaire de boutique. Les versions concernées sont ≤ 3.5.2 ; aucune version corrigée ni mesure de contournement n’est fournie par la source.
Source : NVD — CVE-2026-93771
Injection d’objet PHP dans Kadence WooCommerce Email Designer
Kadence WooCommerce Email Designer comporte une injection d’objet PHP exploitable par un gestionnaire de boutique. Les versions concernées sont ≤ 1.5.19.1 ; aucun correctif ni contournement n’est spécifié dans la source.
Source : NVD — CVE-2026-94677
XSS sans authentification dans YITH WooCommerce Ajax Search
YITH WooCommerce Ajax Search est affecté par une vulnérabilité XSS sans authentification. Les versions concernées sont ≤ 2.28.0 ; la source ne précise ni version corrigée ni mesure de contournement.
Source : NVD — CVE-2026-96352
XSS sans authentification dans WooCommerce Product Table Lite
WooCommerce Product Table Lite présente une vulnérabilité XSS exploitable sans authentification. Elle affecte les versions ≤ 5.6.7 ; aucun correctif ni contournement n’est indiqué dans la source.
Source : NVD — CVE-2026-96814
XSS sans authentification dans Trusted Shops Easy Integration for WooCommerce
Trusted Shops Easy Integration for WooCommerce comporte une vulnérabilité XSS exploitable sans authentification. Les versions concernées sont ≤ 2.0.6 ; la source ne mentionne aucun correctif ni contournement.
Source : NVD — CVE-2026-96816
CVE-2026-93512 : XSS non authentifiée dans JW Player for WordPress
La fiche NVD signale une vulnérabilité XSS non authentifiée dans JW Player for WordPress. Les versions concernées sont celles jusqu’à la 2.3.11 incluse ; les informations fournies ne précisent ni version corrigée ni mesure de contournement.
Source : NVD — CVE-2026-93512
CVE-2026-94081 : XSS non authentifiée dans WordPress Persistent Login
La fiche NVD signale une XSS non authentifiée dans WordPress Persistent Login. Les versions concernées sont celles jusqu’à la 3.1.3 incluse ; aucun correctif ni contournement n’est documenté dans les éléments reçus.
Source : NVD — CVE-2026-94081
WordPress Backup & Migration : défaut de contrôle d’accès
WordPress Backup & Migration présente un défaut de contrôle d’accès non authentifié dans les versions jusqu’à 1.6.0 incluse. Les éléments fournis ne donnent pas de détails sur les opérations accessibles ni sur une version corrigée.
Source : NVD — CVE-2026-97197
The User Frontend : attribution possible d’un rôle élevé à l’inscription
The User Frontend ne vérifie pas correctement le rôle choisi dans le formulaire d’inscription, ce qui peut permettre à un visiteur non authentifié de créer un compte avec des privilèges élevés, comme ceux d’un éditeur. Le problème concerne…
Source : NVD — CVE-2026-75823
All in One Files Upload : téléversement public de fichiers SVG actifs
All in One Files Upload autorise les fichiers SVG sans les assainir et ne vérifie pas l’authenticité des requêtes publiques de téléversement. Un utilisateur non authentifié peut ainsi stocker du contenu actif exécuté sur l’origine du site…
Source : NVD — CVE-2026-85573
Vayu X : installation de plugins par un utilisateur authentifié
Une action AJAX du thème ne vérifie pas les capacités de l’utilisateur et le nonce associé est exposé à tous les utilisateurs connectés. Un utilisateur authentifié, même avec un rôle limité tel que abonné, peut ainsi installer et activer u…
Source : NVD — CVE-2026-88797
Robin Image Optimizer : XSS persistante dans le contenu soumis
Avec un mode de diffusion d’images non standard activé, le parseur HTML inclus réémet des valeurs dans des attributs sans les échapper. Un utilisateur non authentifié peut soumettre du contenu qui provoque une XSS persistante chez les pers…
Source : NVD — CVE-2026-89193
WP Mobile Menu : XSS persistante via l’import des réglages
La vérification du nonce lors de l’importation des réglages est incorrecte, ce qui permet une importation déclenchée par une requête intersite dans la session d’un administrateur. Les valeurs importées sont ensuite affichées sans échappeme…
Source : NVD — CVE-2026-91832
Fichiers téléversés non validés dans le plugin WordPress Verge3D
Le plugin WordPress Verge3D Publishing and E-Commerce, dans les versions antérieures à 4.13.1, ne valide pas le contenu des fichiers téléversés via sa fonction de stockage et les sert avec un type de contenu contrôlé par l’attaquant. Un at…
Source : NVD — CVE-2026-92994
XSS stockée dans HT Mega Addons for Elementor
Le plugin HT Mega Addons for Elementor présente une XSS stockée via le réglage `display_options` des tableaux de données, due à une validation et un échappement insuffisants. Un attaquant authentifié disposant au minimum du rôle Contributo…
Source : NVD — CVE-2026-11895
XSS stockée dans Smart Slider 3
Le plugin Smart Slider 3 présente une XSS stockée via le paramètre `data-href`, liée à une sanitisation et un échappement insuffisants. Un attaquant authentifié disposant au minimum du rôle Contributor peut injecter du script exécuté lors…
Source : NVD — CVE-2026-14876
Injection SQL dans WP Directory Kit
CVE-2026-16596 concerne une injection SQL dans le plugin WP Directory Kit, via le paramètre `data_fields_list`. Les versions jusqu’à 1.5.4 inclus sont affectées ; un attaquant authentifié disposant au minimum du rôle Contributor peut extra…
Source : NVD — CVE-2026-16596
XSS stocké dans Bold Page Builder via le shortcode bt_bb_css_image_grid
CVE-2026-6170 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `images` du shortcode `bt_bb_css_image_grid`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant a…
Source : NVD — CVE-2026-6170
XSS stocké dans Bold Page Builder via le shortcode bt_bb_icon
CVE-2026-6171 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `target` du shortcode `bt_bb_icon`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimum…
Source : NVD — CVE-2026-6171
XSS stocké dans Bold Page Builder via le shortcode bt_bb_image
CVE-2026-6172 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `caption` du shortcode `bt_bb_image`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimu…
Source : NVD — CVE-2026-6172
XSS stocké dans Bold Page Builder via le shortcode bt_bb_section
CVE-2026-6173 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `background_image` du shortcode `bt_bb_section`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayan…
Source : NVD — CVE-2026-6173
XSS stocké dans Bold Page Builder via le shortcode bt_bb_service
CVE-2026-88037 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via l’attribut `title` du shortcode `bt_bb_service`. Les versions jusqu’à 5.7.2 inclus sont affectées ; un utilisateur authentifié ayant au minimum…
Source : NVD — CVE-2026-88037
XSS stocké par téléversement SVG dans Viable URL Media Uploader
CVE-2025-14564 concerne un cross-site scripting stocké dans le plugin Viable URL Media Uploader, déclenché par le téléversement de fichiers SVG. Toutes les versions jusqu’à 1.0.0 inclus sont affectées ; un attaquant authentifié disposant a…
Source : NVD — CVE-2025-14564
XSS stocké dans ReactPress – Create React App for WordPress
CVE-2026-92712 est une vulnérabilité de cross-site scripting stocké dans ReactPress – Create React App for WordPress, via le paramètre `permalink`. Les versions jusqu’à 3.4.0 inclus sont affectées ; un utilisateur authentifié ayant au mini…
Source : NVD — CVE-2026-92712
XSS stocké dans Real Estate Manager
Le greffon Real Estate Manager est vulnérable à un XSS stocké via le paramètre `before_price_text`, permettant à des utilisateurs authentifiés disposant au minimum du rôle abonné d’injecter des scripts exécutés par les visiteurs des pages…
Source : NVD — CVE-2026-93908
XSS dans YITH WooCommerce Tab Manager
Une vulnérabilité XSS affectant les auteurs est signalée dans YITH WooCommerce Tab Manager jusqu’à la version 2.15.0 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 6,5 ; aucun correctif ou contournement n’est ind…
Source : NVD — CVE-2026-97292
CSRF dans Razorpay Payment Links for WooCommerce
Une vulnérabilité CSRF sans authentification est signalée dans Razorpay Payment Links for WooCommerce jusqu’à la version 2.1.5 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 5,4 ; les éléments fournis ne mentionn…
Source : NVD — CVE-2026-97299
Contournement d’autorisation dans Pay with Vipps for WooCommerce
Une vulnérabilité de contournement des contrôles d’accès est signalée dans Pay with Vipps for WooCommerce, de version non déterminée jusqu’à la version 6.2.4 incluse. La fiche NVD publiée pendant la période indique un score CVSS de 5,3 ; l…
Source : NVD — CVE-2026-97259
XSS dans Pixel Manager for WooCommerce
Pixel Manager for WooCommerce est affecté par une faille XSS exploitable par un utilisateur ayant le rôle de contributeur. La vulnérabilité concerne les versions ≤ 1.69.0 ; la source ne donne pas de correctif ni de contournement.
Source : NVD — CVE-2026-94674
FluentCart : usurpation de compte via paiement invité
FluentCart ne vérifie pas que l’utilisateur qui effectue un paiement invité contrôle l’adresse courriel fournie, ce qui peut permettre à un attaquant non authentifié connaissant l’adresse d’un client invité d’obtenir un compte connecté ass…
Source : NVD — CVE-2026-100143
The User Frontend : création de comptes malgré les inscriptions désactivées
The User Frontend ne vérifie pas si le site autorise les inscriptions avant de créer un compte, ce qui permet à un visiteur non authentifié de s’inscrire même lorsque celles-ci sont désactivées. Le compte reçoit le rôle par défaut du site.
Source : NVD — CVE-2026-75824
Solace Extra : lecture non autorisée de contenus non publiés
Solace Extra ne vérifie ni les droits d’accès ni le statut des publications sur ses routes d’aperçu frontales. Un visiteur non authentifié peut ainsi consulter le contenu rendu de publications ou pages non publiées ; mettre à jour l’extens…
Source : NVD — CVE-2026-80333
New User Approve : exposition de données personnelles via des routes REST
New User Approve vérifie incorrectement l’authentification sur certaines routes REST d’intégration lorsque l’intégration n’est pas configurée. Un attaquant non authentifié peut récupérer des données personnelles des utilisateurs inscrits —…
Source : NVD — CVE-2026-83560
EmbedPress : injection de scripts via un réglage de widget Elementor
EmbedPress ne nettoie ni n’échappe un paramètre de widget Elementor avant son insertion dans un attribut HTML. Un utilisateur ayant le rôle contributeur ou supérieur peut injecter des scripts qui s’exécutent lorsque le contenu affecté est…
Source : NVD — CVE-2026-85001
Validation insuffisante des URL dans le plugin WordPress Audio Player Block
Le plugin WordPress Audio Player Block, dans les versions antérieures à 1.6.3, ne vérifie pas le schéma des URL fournies par les utilisateurs avant de les utiliser comme liens. Un utilisateur ayant le rôle Contributor ou supérieur peut ain…
Source : NVD — CVE-2026-85415
All in One Files Upload : modification des réglages par tout utilisateur authentifié
All in One Files Upload ne contrôle ni les capacités ni l’authenticité de la requête lors de l’enregistrement de ses réglages. Tout utilisateur authentifié, y compris un abonné, peut les modifier ; mettre à jour vers la version 2.0.17 ou u…
Source : NVD — CVE-2026-85576
Connections Business Directory : exposition de fiches via l’API REST
Une vérification d’autorisation manquante sur certaines routes REST permet à des visiteurs non authentifiés de récupérer des fiches du répertoire censées être privées, non répertoriées ou en attente de modération. Le plugin est indiqué com…
Source : NVD — CVE-2026-86789
Hostinger Reach : injection de scripts dans l’aperçu de l’éditeur
Un paramètre de widget n’est pas assaini ni échappé dans l’aperçu de l’éditeur, ce qui permet à un utilisateur ayant au moins le rôle contributeur d’injecter des scripts. Ceux-ci peuvent s’exécuter dans la session d’un utilisateur plus pri…
Source : NVD — CVE-2026-87777
Robin Image Optimizer : accès à des pages et réglages administratifs
Le plugin ne vérifie pas les capacités de l’utilisateur avant de traiter certains gestionnaires de requêtes de son framework d’administration. Un compte abonné peut ainsi afficher des pages réservées à l’administration et divulguer les rég…
Source : NVD — CVE-2026-89190
Image Optimizer : divulgation de données via des routes REST
Plusieurs routes REST de lecture ne font pas respecter le contrôle de capacité prévu. Tout utilisateur authentifié peut consulter des métadonnées de pièces jointes et des statistiques du site qui devraient être réservées aux administrateur…
Source : NVD — CVE-2026-90953
EWWW Image Optimizer : opérations sur des fichiers WebP hors périmètre
Une routine de migration de fichiers dérivés WebP n’est pas limitée au répertoire d’uploads du site courant. Un utilisateur disposant du rôle administrateur peut ainsi renommer ou supprimer des fichiers WebP situés hors de ce périmètre, y…
Source : NVD — CVE-2026-91072
Content Egg : XSS persistante via l’import groupé de contenu
Content Egg ne vérifie pas que l’utilisateur qui lance l’import groupé est autorisé à utiliser le preset choisi et adopte l’identité de l’auteur du preset lors de la création du contenu. Des utilisateurs disposant au moins du rôle contribu…
Source : NVD — CVE-2026-92424
InPost PL : falsification possible des statuts d’expédition
InPost PL ne vérifie pas l’authenticité des requêtes de webhook de suivi d’expédition et se repose sur un identifiant non secret ainsi qu’un contrôle d’adresse IP non appliqué. Un attaquant non authentifié connaissant le numéro de suivi d’…
Source : NVD — CVE-2026-93580
YayReviews : exposition d’avis et de données personnelles
YayReviews expose sans restriction une route d’API qui renvoie les avis individuels, y compris ceux en attente de modération. Des attaquants non authentifiés peuvent récupérer les adresses e-mail des évaluateurs et le contenu non public de…
Source : NVD — CVE-2026-94274
Course Booking System : export non protégé de données clients
Course Booking System ne restreint pas l’accès à l’export des réservations. Un utilisateur non authentifié peut télécharger les noms, adresses e-mail et adresses de facturation de l’ensemble des clients ayant réservé un cours.
Source : NVD — CVE-2026-96886
Broken Link Notifier : contournement du filtre d’adresses internes
Broken Link Notifier ne revalide pas la destination des redirections lorsqu’il vérifie des liens, ce qui permet de contourner son filtre contre les adresses internes. Un attaquant non authentifié peut ainsi faire envoyer par le serveur des…
Source : NVD — CVE-2026-97316
Schema & Structured Data for WP & AMP : injection de scripts sur multisite
Schema & Structured Data for WP & AMP ne contrôle pas les capacités lors de l’enregistrement de plusieurs champs et ne les échappe pas lors de leur affichage. Sur un site multisite où les éditeurs n’ont pas la capacité unfiltered_html, un…
Source : NVD — CVE-2026-82127
Safe Redirect Manager : redirection vers un site externe arbitraire
Lorsqu’une règle de redirection générique vers une URL absolue est configurée, la destination n’est pas correctement validée. Un attaquant non authentifié peut alors rediriger les visiteurs vers un site externe arbitraire en utilisant un c…
Source : NVD — CVE-2026-88791
Media Library Organizer : création de termes sans autorisation suffisante
Media Library Organizer ne vérifie pas que l’utilisateur dispose des capacités nécessaires pour gérer la taxonomie ciblée avant de créer un terme. Les utilisateurs disposant au moins du rôle contributeur peuvent créer des termes visibles p…
Source : NVD — CVE-2026-94297
CVE-2026-27085 : injection de contenu dans le thème Astra
La fiche NVD signale une injection de contenu dans le thème Astra, accessible à un gestionnaire de boutique. Les versions concernées sont celles jusqu’à la 4.13.12 incluse ; aucun correctif ni contournement n’est précisé dans les éléments…
Source : NVD — CVE-2026-27085
Systèmes & serveurs
6 alerte(s)DSA-6531-1 — mise à jour de sécurité d’OpenSSL
Debian a publié une mise à jour de sécurité d’OpenSSL pour corriger plusieurs vulnérabilités pouvant entraîner un déni de service, une divulgation d’informations ou, potentiellement, la récupération de clés privées. L’avis fourni ne précis…
DSA-6533-1 — mise à jour de sécurité de Firefox ESR
Debian a publié une mise à jour de sécurité de Firefox ESR visant plusieurs problèmes susceptibles de permettre l’exécution de code, une sortie du bac à sable, une divulgation d’informations ou une élévation de privilèges. Le résumé fourni…
DSA-6532-1 — mise à jour de sécurité de Tor
Debian a publié une mise à jour de sécurité pour Tor à la suite de plusieurs vulnérabilités pouvant provoquer un déni de service. Le résumé fourni ne précise ni les CVE concernées ni les versions corrigées ; installez la mise à jour Debian…
DLA-4806-1 — mise à jour de sécurité de pgextwlist
Debian LTS a publié une mise à jour de pgextwlist concernant la substitution de schémas ou de propriétaires d’extensions correspondant à certains caractères. Le correctif rejette désormais ces substitutions ; le candidat ne précise pas les…
DLA-4805-1 — mise à jour de sécurité de mkvtoolnix
Debian LTS a publié une mise à jour de mkvtoolnix pour un débordement de tampon sur le tas dans la bibliothèque avilib intégrée. Le résumé fourni indique que la mise à jour du logiciel est le moyen d’éviter le problème, mais ne précise pas…
DLA-4804-1 — mise à jour de sécurité de libsmpp34
Debian LTS a publié une mise à jour de libsmpp34 pour une lecture hors limites lors du traitement de PDU SMPP contrôlées par un attaquant, pouvant entraîner une corruption mémoire. Le candidat ne précise pas de CVE ni les versions affectée…
Cloud & DevOps
4 alerte(s)Obot : démarrage rapide Docker exposé sans authentification
CVE-2026-101065 concerne la configuration de démarrage Docker documentée pour Obot, qui exposait le service sur toutes les interfaces avec l’authentification désactivée. Un attaquant pouvant atteindre le port pouvait obtenir des privilèges…
Source : NVD — CVE-2026-101065
Tugtainer : SSRF via le test des notifications
Tugtainer permet à un utilisateur authentifié d’utiliser le point de terminaison de test des notifications pour faire émettre au serveur des requêtes HTTP vers des URL arbitraires, y compris des adresses internes ou de métadonnées. Cette S…
Source : NVD — CVE-2026-62308
Docker MCP Gateway : contournement de la frontière de confiance lors de la création de conteneurs
CVE-2026-55887 concerne Docker MCP Gateway, qui avant la version 0.42.2 pouvait appliquer des paramètres d’exécution contrôlés par l’auteur d’une image OCI malveillante. Lorsqu’un utilisateur sélectionnait ou récupérait cette image, cela p…
Source : NVD — CVE-2026-55887
Tugtainer : validation insuffisante du jeton d’identité OIDC
Dans Tugtainer, le flux de connexion OIDC utilisait les revendications du jeton d’identité sans vérifier sa signature ni valider son audience, son émetteur ou son expiration. Le problème a été corrigé dans Tugtainer 1.31.3.
Source : NVD — CVE-2026-87004