Le journal DFS
Sécurité
-
Exécution de code à distance dans @rog0x/mcp-docker-tools
P3 · Élevée · CVE-2026-106765 — Une vulnérabilité dans `@rog0x/mcp-docker-tools` 1.0.1 permet l’exécution de code à distance via `handleImageList`. L’avis consulté ne précise ni version corrigée…
-
CGM CLININET : exécution de code via désérialisation Java non fiable
P3 · Critique · CVE-2025-30047 — L’API HTTP administrative de CGM CLININET désérialise des données Java non fiables, ce qui permet à un attaquant du réseau…
-
AgenticSeek : exécution de code à distance via le débogueur Flask exposé
P3 · Critique · CVE-2026-115727 — AgenticSeek avant le commit 409840c active le mode debug de Flask tout en exposant le serveur sur toutes les interfaces.…
-
XSS réfléchie dans les points d’accès IIIF Auth de Goobi viewer
P3 · Critique · CVE-2026-55486 — Goobi viewer présente une XSS réfléchie dans les points d’accès IIIF Auth 2.0 : le paramètre origin est repris sans…
-
CVE-2026-94267 : mise à jour non autorisée d’articles via les formulaires d’ACF Extended
P3 · Critique · CVE-2026-94267 — Dans Advanced Custom Fields: Extended et sa version PRO, une action de formulaire frontal de mise à jour d’article ne…
-
Echo : contournement des contrôles d’accès de route via une mise à niveau WebSocket rejetée
P3 · Critique — Dans Echo, une mise à niveau WebSocket rejetée par l’upstream pouvait laisser les requêtes HTTP suivantes contourner le routeur et les contrôles…
-
Paquet npm malveillant portant le nom React
P3 · Critique — L’avis GitHub signale le paquet npm malveillant `@ecg-internal/js-react-i18n` et considère comme compromis tout ordinateur sur lequel il a été installé ou exécuté.…
-
Paquet npm malveillant dans l’écosystème Nuxt : @kibt/www-nuxt-i18n
P3 · Critique — Une version malveillante du paquet npm `@kibt/www-nuxt-i18n` a été signalée comme malware; les systèmes où il a été installé doivent être considérés…
-
Linux strparser : use-after-free possible lors de la destruction du parseur
P2 · Élevée · CVE-2026-99056 — Une course pendant l’arrêt de strparser pouvait laisser __strp_recv s’exécuter alors que le parseur était en cours de destruction, permettant…
-
Drupal Webform REST : défaut d’autorisation (CVE-2026-96391)
P4 · CVE-2026-96391 — CVE-2026-96391 concerne un défaut d’autorisation dans Drupal Webform REST, susceptible de permettre la navigation forcée. Les versions indiquées comme affectées vont de…