Le journal DFS
Sécurité
-
CVE-2026-115301 — Injection de template côté serveur dans Contact Form by Supsystic
P3 · Élevée · CVE-2026-115301 — Contact Form by Supsystic avant 1.11.1 ne cloisonne pas le moteur de templates utilisé pour rendre les formulaires, permettant à…
-
Plugins WordPress 2FA : validation d’un code pour le mauvais compte
P3 · Élevée · CVE-2026-111739 — Two Factor Authentication avant 1.17.0 et All-In-One Security (AIOS) avant 5.5.0 ne lient pas le compte dont le code à…
-
Ortto pour WordPress : modification non authentifiée de la configuration
P3 · Élevée · CVE-2026-113387 — Ortto pour WordPress ne vérifiait pas l’authenticité des demandes de mise à jour de configuration et s’appuyait sur un secret…
-
Crawl4AI : sélection de modèles non filtrée pouvant entraîner une exécution de code
P3 · Élevée · CVE-2026-119120 — Crawl4AI 0.9.0 à 0.9.4 ne filtre pas le champ model_name fourni dans le corps des requêtes Docker API, ce qui…
-
Crawl4AI : déni de service via des délais non plafonnés dans l’API Docker
P3 · Élevée · CVE-2026-119119 — Dans l’API Docker de Crawl4AI, des valeurs non plafonnées dans certains champs de délai peuvent maintenir des pages navigateur occupées…
-
@eeacms/volto-chatbot : proxy non authentifié vers l’API Danswer
P3 · Élevée — Une route middleware non authentifiée de `@eeacms/volto-chatbot` relaie des requêtes vers l’API Danswer avec les identifiants de service configurés, permettant d’appeler des…
-
cert-manager — contournement de la politique du solveur DNS01 via Challenge direct
P3 · Élevée · CVE-2026-62290 — Une validation insuffisante des ressources ACME `Challenge` directes permet à un utilisateur pouvant créer ces ressources de contourner la politique…
-
Shopify App — confusion du contexte de boutique dans l’authentification token-exchange
P3 · Élevée · CVE-2026-63414 — Dans certaines applications Shopify utilisant l’authentification token-exchange, le contexte de boutique peut provenir du paramètre de requête `shop` plutôt que…
-
Python-Markdown : épuisement du processeur par analyse de liens Markdown
P3 · Élevée · CVE-2019-25781 — Python-Markdown 3.0 à 3.11.2 présente une vulnérabilité de complexité algorithmique dans l’analyse des liens Markdown, qui peut permettre à un…
-
python-markdown2 : déni de service par liens Markdown non fermés
P3 · Élevée · CVE-2026-118694 — Des destinations de liens Markdown non fermées peuvent entraîner des rescans répétés et une consommation quadratique du processeur. La version…