Le journal DFS
Sécurité
-
SiYuan : SSRF dans l’endpoint forwardProxy
P3 · Élevée · CVE-2026-32110 — Une validation insuffisante de l’URL dans l’endpoint authentifié `/api/network/forwardProxy` permet à un utilisateur authentifié de faire effectuer au serveur des…
-
JReviews : exposition web de paramètres et secrets mis en cache
P3 · Élevée · CVE-2026-118494 — JReviews met en cache des paramètres sensibles, dont le secret Joomla et des clés ou secrets d’API de tiers, dans…
-
Advanced Custom Fields et Smile Pack : XSS stockée dans les marqueurs de carte
P3 · Élevée · CVE-2026-115452 — Une faille de XSS stockée dans les extensions Joomla Advanced Custom Fields et Smile Pack peut être déclenchée par une…
-
Élévation de privilèges via les réglages de GiveWP
P3 · Élevée · CVE-2026-118193 — GiveWP permet à un gestionnaire disposant de `manage_give_settings` de configurer l’attribution de rôles privilégiés aux nouveaux comptes donateurs. Les versions…
-
Suppression non autorisée de fichiers dans Motors
P3 · Élevée · CVE-2026-116617 — Motors – Car Dealership & Classified Listings peut permettre à un utilisateur authentifié de supprimer des images appartenant à d’autres…
-
Eclipse BaSyx : secret client Keycloak exposé dans une ConfigMap
P3 · Élevée · CVE-2026-123059 — Dans la version 2.2.0 du chart aas-basyx-v2-full, lorsque Keycloak intégré était activé, le secret client OAuth du compte technique basyx-technical-user…
-
Fuite de données clients WooCommerce via LiteSpeed Cache
P3 · Élevée · CVE-2026-93389 — LiteSpeed Cache peut exposer sans authentification des données personnelles et des informations de session WooCommerce lorsque Cache REST est activé.…
-
noname Electron : serveur local vulnérable permettant la modification de fichiers depuis un site malveillant
P3 · Élevée · CVE-2026-123208 — Dans les versions de bureau noname Electron 1.11.2 à 1.11.6.1, un serveur de fichiers local non authentifié avec CORS générique…
-
Apache Juneau : initialisation de classes contrôlée par des données analysées
P3 · Critique · CVE-2026-73098 — Apache Juneau pouvait initialiser une classe nommée par une valeur analysée lorsqu’elle était affectée à une propriété de type java.lang.Class,…
-
LMFDB : injection de modèle permettant l’exécution de commandes
P3 · Critique · CVE-2026-123198 — LMFDB avant le commit 01829bd présente une injection de modèle côté serveur dans `render_knowl`, exploitable par des requêtes construites pour…