Le journal DFS
Sécurité
-
Advanced Views : XSS stocké via les commentaires
P3 · Élevée · CVE-2026-109995 — Advanced Views – Display Framework for Gutenberg & Elementor jusqu’à la version 3.9.6 incluse présente un XSS stocké via le…
-
Kirki : injection d’objet PHP et élévation de privilèges
P3 · Élevée · CVE-2026-75891 — Le plugin Kirki jusqu’à la version 6.2.5 inclus présente une injection d’objet PHP via la désérialisation d’une entrée non fiable,…
-
Analytics Insights : XSS stocké via le titre de page
P3 · Élevée · CVE-2026-111820 — Analytics Insights – Google Analytics Dashboard for WordPress est vulnérable à un XSS stocké via le titre de page dans…
-
Dolibarr : injection SQL dans la mise à jour des tiers
P3 · Élevée · CVE-2026-33944 — Une injection SQL est présente dans la mise à jour des tiers de Dolibarr via les paramètres de taxe locale,…
-
CVE-2026-7710 : consigne de désactivation de mock-enable en production
P3 · Moyenne · CVE-2026-7710 — La mise à jour NVD de CVE-2026-7710 précise que le jeton fictif reste une fonctionnalité de développement et que les…
-
CVE-2026-7679 : précision NVD sur le chemin de compatibilité OAuth conservé
P3 · Moyenne · CVE-2026-7679 — La mise à jour NVD de CVE-2026-7679 précise que l’application conserve volontairement un chemin de compatibilité acceptant un jeton de…
-
Agno : exécution de code via le champ `field_type` de FunctionCall
P3 · Critique · CVE-2026-35002 — Agno utilisait `eval()` sur le champ `field_type` de données FunctionCall pouvant être influencées par un utilisateur, ce qui peut permettre…
-
MONAI : valeurs DICOM invalides pouvant perturber ou interrompre l’inférence
P3 · Critique · CVE-2026-48705 — Un fichier DICOM conçu à cet effet peut provoquer un plantage de MONAILabel ou fausser silencieusement les résultats d’inférence en…
-
Désérialisation de scorers tiers pouvant permettre l’exécution de code dans MLflow
P3 · Critique · CVE-2026-116692 — MLflow acceptait des descendants de modules Python autorisés au lieu de vérifier une correspondance exacte lors de la désérialisation de…
-
Contournement de middleware Express monté sur un chemin dans @fastify/express
P3 · Critique · CVE-2026-112362 — Dans @fastify/express 4.0.5 à 4.0.8, une requête HTTP en forme absolue, combinée à l’option Fastify ignoreDuplicateSlashes, peut faire exécuter une…