Le journal DFS
Sécurité
-
MembershipWorks pour WordPress : exposition de contenu réservé via l’API REST
P3 · Élevée · CVE-2026-112355 — Une vulnérabilité du plugin MembershipWorks pour WordPress permet à des attaquants non authentifiés d’accéder à du contenu réservé aux membres…
-
PhpSpreadsheet : épuisement des ressources via les répétitions de lignes ODS
P3 · Élevée · CVE-2026-108359 — Le lecteur ODS de PhpSpreadsheet accepte sans limite l’attribut de répétition des lignes et peut matérialiser un très grand nombre…
-
PhpSpreadsheet : contournement du scanner XML par séquences ISO-2022
P3 · Élevée · CVE-2026-108358 — Le scanner XML de PhpSpreadsheet ne détecte pas certains contenus XML dissimulés à l’aide de séquences d’échappement ISO-2022, ce qui…
-
PhpSpreadsheet : contournement du scanner XML pouvant mener à une XXE et à un déni de service
P3 · Élevée · CVE-2026-108357 — Un contournement du contrôle XML dans le lecteur SpreadsheetML de PhpSpreadsheet peut permettre l’expansion d’entités XML, entraînant un déni de…
-
Wails — contournement du contrôle d’origine via les motifs joker
P3 · Élevée · CVE-2026-34157 — Une validation trop permissive des motifs avec astérisque dans Wails v2 pouvait accepter certaines origines non autorisées lorsqu’un motif comportait…
-
Atlantis — injection de commandes via le nom d’espace de travail Terraform
P3 · Élevée · CVE-2026-116676 — Atlantis vulnérable pouvait exécuter des commandes arbitraires avec les privilèges du service lorsqu’un contributeur admissible soumettait un nom d’espace de…
-
klauspost/compress : panic du décodeur zstd sur une trame à deux blocs
P3 · Élevée · CVE-2026-116591 — Une trame zstd spécialement construite en deux blocs peut provoquer un panic dans le décodeur plutôt qu’une erreur de décodage.…
-
DJ-HelpfulArticles : XSS persistante via le champ ip du vote
P3 · Élevée · CVE-2026-102800 — CVE-2026-102800 est une XSS persistante non authentifiée dans DJ-HelpfulArticles, affectant les versions antérieures à 1.3.0. La valeur ip fournie au…
-
XSS via des images SVG dans l’API de sessions IA
P3 · Élevée · CVE-2026-117494 — Le traitement d’images SVG soumises à l’API /api/v2/ai/sessions peut permettre l’exécution de scripts intégrés lorsque le contenu est affiché dans…
-
XSS stockée dans les widgets BloX
P3 · Élevée · CVE-2026-117493 — BloX permet une XSS stockée dans les widgets : le contenu HTML ou JavaScript reçu dans les paramètres desc et…