Le journal DFS
Sécurité
-
Identifiants OAuth exposés dans le JavaScript de WIT SynApps Runtime
P4 · Moyenne · CVE-2026-7003 — WIT SynApps Runtime jusqu’à la version 1.4.11 expose des identifiants OAuth statiques dans du JavaScript livré au navigateur. Un attaquant…
-
XSS stockée dans Frappe LMS
P4 · Moyenne · CVE-2026-39375 — Dans Frappe LMS, un utilisateur authentifié disposant d’un rôle d’édition de cours peut injecter du JavaScript dans des champs de…
-
Liens javascript: insuffisamment filtrés dans RTIR
P4 · Moyenne · CVE-2026-105456 — RTIR laisse passer des liens contenant un marqueur interne, y compris des liens utilisant le schéma javascript:, ce qui permet…
-
Téléversement de fichiers pouvant conduire à l’exécution de JavaScript dans des modules Protectel
P4 · Moyenne · CVE-2025-68391 — Les modules ARKETEAM Protectel PROTECTELMAJ et BDF permettent le téléversement de fichiers arbitraires et l’écrasement de fichiers dans un répertoire…
-
CVE-2026-116248 : partage non autorisé de serveurs pgAdmin
P4 · Moyenne · CVE-2026-116248 — En mode serveur, un utilisateur non administrateur pouvait partager un serveur avec tous les utilisateurs via l’API ou un import,…
-
Uptime Kuma : création concurrente d’un compte administrateur lors de la première configuration
P4 · Moyenne · CVE-2026-119552 — Le 30 octobre, une fiche a été publiée pour une condition de concurrence dans le gestionnaire Socket.IO de première configuration…
-
Contournement d’autorisation dans Meow Gallery
P4 · Moyenne · CVE-2026-13747 — Meow Gallery jusqu’à la version 5.5.4 incluse présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au minimum le…
-
XSS stockée dans CP Multi View Events Calendar
P4 · Moyenne · CVE-2026-119176 — CP Multi View Events Calendar jusqu’à la version 1.4.43 incluse présente une XSS stockée via le paramètre « Subject ».…
-
XSS stockée dans les descriptions GeoDirectory
P4 · Moyenne · CVE-2026-119113 — GeoDirectory jusqu’à la version 2.8.199 incluse présente une XSS stockée via la description des annonces, exploitable par un utilisateur authentifié…
-
Exécution de shortcodes arbitraires dans GeoDirectory
P4 · Moyenne · CVE-2026-118635 — GeoDirectory jusqu’à la version 2.8.198 incluse permet l’exécution de shortcodes arbitraires par un attaquant non authentifié. La cause indiquée est…