Le journal DFS
Sécurité
-
Royal MCP : jeton de prévisualisation réutilisable comme authentification générale
P3 · Élevée · CVE-2026-111958 — Royal MCP avant la version 1.5.7 ne limite pas un jeton de prévisualisation à la prévisualisation pour laquelle il a…
-
PixelYourSite : XSS stocké via cookie et cache pleine page
P3 · Élevée · CVE-2026-109987 — PixelYourSite avant 11.4.3 et PixelYourSite Pro avant 12.6.8 n’échappent pas correctement une valeur de cookie avant de l’insérer dans la…
-
HIPAA Forms : élévation de privilèges par modification du rôle personnalisé
P3 · Élevée · CVE-2026-109927 — HIPAA Forms, avant la version 3.3.2, ne contrôle pas les permissions lors d’une requête qui reconstruit son rôle utilisateur personnalisé.…
-
XSS stockée dans WebP Express
P3 · Élevée · CVE-2026-97328 — WebP Express n’échappe pas certaines valeurs réémises dans des attributs d’éléments par son analyseur HTML intégré, lorsque le mode de…
-
Roundcube Webmail : primitive d’injection d’objet dans la désérialisation de session
P3 · Élevée · CVE-2026-114724 — Une primitive d’injection d’objet PHP a été identifiée dans rcube_session::unserialize() de Roundcube Webmail. Les versions antérieures à 1.6.20 ainsi que…
-
WWBN AVideo : des comptes délégués peuvent affecter les comptes administrateurs
P3 · Élevée · CVE-2026-114633 — Une vérification d’autorisation incorrecte dans WWBN AVideo permet à des comptes délégués disposant du rôle Users Admin de modifier ou…
-
Traefik : usurpation d’identité mTLS via des en-têtes HTTP
P3 · Élevée · CVE-2026-114640 — Le routeur HTTP en clair du fournisseur Kubernetes Ingress NGINX peut transmettre des en-têtes `Ssl-Client-*` fournis par le client. Lorsque…
-
Traefik : confusion de CA client dans le fournisseur Kubernetes Ingress NGINX
P3 · Élevée · CVE-2026-114638 — Dans le fournisseur Kubernetes Ingress NGINX de Traefik, des noms de secrets d’autorités de certification client qui deviennent identiques après…
-
Traefik : contournement de contrôles d’accès avec certains Ingress Kubernetes
P3 · Élevée · CVE-2026-114636 — Une erreur dans le fournisseur Kubernetes Ingress NGINX peut créer, pour certains Ingress annotés `ssl-passthrough`, un routeur HTTP qui n’applique…
-
CVE-2026-114604 : modification possible de Object.prototype lors de la fusion de résultats GraphQL
P3 · Élevée · CVE-2026-114604 — Dans les versions de @graphql-tools/utils concernées, mergeIncrementalResult ne validait pas le type des segments du chemin d’un résultat GraphQL incrémental,…