Le journal DFS
Sécurité
-
Contournement de l’authentification du tableau de bord ESPHome Device Builder dans l’extension Home Assistant
P3 · Élevée · CVE-2026-59177 — L’extension Home Assistant d’ESPHome Device Builder exposait sur le réseau local un site d’ingress sans authentification directe, normalement protégé par…
-
iCagenda — XSS stockée dans un champ personnalisé d’événement
P3 · Élevée · CVE-2026-102790 — Une vulnérabilité XSS stockée affecte le champ personnalisé d’événement de type URL dans iCagenda. Le fournisseur indique que le problème…
-
mcp-sanitizer : contournement SSRF de la validation d’URL
P3 · Élevée — Dans mcp-sanitizer avant 1.4.0, la validation d’URL peut laisser passer des cibles localhost avec un port explicite ainsi que certaines adresses IPv6…
-
mcp-sanitizer : validation insuffisante des chemins de répertoires personnels
P3 · Élevée — Dans mcp-sanitizer avant 1.4.0, le contrôle de chemins autorise des chemins absolus sous /home/ et /Users/, ce qui peut exposer des fichiers…
-
MONAI : exécution de code via la configuration de journalisation d’un bundle
P3 · Élevée · CVE-2026-118683 — Dans MONAI, ConfigWorkflow.__init__ transmet un fichier configs/logging.conf à logging.config.fileConfig, qui peut évaluer des champs de configuration et exécuter du code…
-
Ultralytics : injection de code dans check_det_dataset
P3 · Élevée · CVE-2026-118614 — Une injection de code dans la fonction check_det_dataset d’Ultralytics permet l’exécution de code Python dans le contexte de l’utilisateur qui…
-
CVE-2026-118664 : déni de service dans decode-uri-component
P3 · Élevée · CVE-2026-118664 — Une entrée malformée comportant de nombreux segments encodés distincts peut provoquer une consommation quadratique du processeur dans `decode-uri-component`, bloquant la…
-
LiquidJS : contournement des limites de rendu par le filtre date
P3 · Élevée · CVE-2026-45357 — Dans LiquidJS, le filtre `date` transmettait sans borne la largeur d’un spécificateur strftime à une fonction de remplissage, contournant les…
-
Highcharts : attributs d’événement non filtrés dans les breadcrumbs
P3 · Élevée · CVE-2026-118246 — Dans Highcharts, les options de style des breadcrumbs sont appliquées comme attributs SVG sans filtrage, dans les versions affectées. Une…
-
Highcharts Dashboards : sélection non contrôlée de chartConstructor
P3 · Élevée · CVE-2026-118245 — Dans Highcharts Dashboards avant 4.2.2, chartConstructor est utilisé comme recherche de propriété non contrôlée dans l’espace de noms Highcharts. Une…