Le journal DFS
Sécurité
-
Echo v4 : capture sans limite des corps par le middleware BodyDump
P3 · Élevée — Le middleware BodyDump d’Echo v4 peut conserver sans limite les corps complets des requêtes et réponses, entraînant une forte consommation de mémoire…
-
SiYuan : accès non authentifié au flux d’événements WebSocket du noyau
P3 · Élevée · CVE-2026-73054 — Dans SiYuan, une différence d’interprétation des paramètres répétés d’une URL WebSocket peut laisser un client non authentifié accéder au flux…
-
XSS stockée authentifiée dans Phoca Gallery
P3 · Élevée · CVE-2026-102786 — CVE-2026-102786 concerne une XSS stockée déclenchable par un utilisateur authentifié dans Phoca Gallery. La fiche NVD indique les versions 4.5.0…
-
Hugging Face Datasets : exécution de code via un jeu de données pickle malveillant
P3 · Élevée · CVE-2026-57845 — Hugging Face Datasets jusqu’à la version 5.1.0 incluse présente une désérialisation pickle non sécurisée dans le constructeur pandas déprécié. Lors…
-
Node.js : divergence de normalisation IPv4 lors de la vérification TLS
P3 · Élevée · CVE-2026-106069 — La vérification d’identité TLS peut comparer le certificat à une adresse IPv4 différente de celle utilisée pour la connexion lorsque…
-
Node.js : validation TLS incorrecte d’adresses IPv4 écrites en caractères non ASCII
P3 · Élevée · CVE-2026-105483 — La vérification TLS peut accepter un certificat DNS ne correspondant pas à l’adresse IP lorsqu’un hôte IPv4 est écrit avec…
-
Node.js : troncature de noms d’hôte contenant un octet NUL dans les API DNS
P3 · Élevée · CVE-2026-105482 — Les fonctions dns.resolve*() et dns.reverse() peuvent tronquer silencieusement un nom d’hôte contenant un octet NUL et résoudre un nom différent…
-
Défaut d’autorisation Zimbra pouvant conduire à une exécution de JavaScript via le proxy
P3 · Élevée · CVE-2026-93639 — Un défaut d’autorisation dans Zimbra permet à un administrateur délégué sans droits administratifs explicites de modifier la configuration globale des…
-
Traversée de répertoires dans Music Store – WordPress eCommerce
P3 · Élevée · CVE-2026-115497 — Music Store – WordPress eCommerce est vulnérable à une traversée de répertoires jusqu’à la version 1.4.7 incluse, via le paramètre…
-
CVE-2026-109198 — XSS stockée dans Anti-Spam by CleanTalk
P3 · Élevée · CVE-2026-109198 — CVE-2026-109198 concerne une XSS stockée dans le plugin Anti-Spam by CleanTalk, causée par une validation et un échappement insuffisants du…