Le journal DFS
Sécurité
-
MongoDB C# Driver : des champs prévus pour le chiffrement côté client peuvent rester en clair
P3 · Élevée · CVE-2026-114653 — Un composant de construction de schéma de chiffrement côté client du pilote MongoDB C# peut traiter des identifiants de champs…
-
Exécution de code à distance dans YOOtheme Pro pour Joomla
P3 · Critique · CVE-2026-102785 — Une faiblesse du gestionnaire public de transformation d’images de YOOtheme Pro permet une exécution de code à distance sans authentification.…
-
DOMPurify : expressions de template conservées dans les shadow roots
P3 · Critique — Dans certains modes de retour DOM, `SAFE_FOR_TEMPLATES` ne réexamine pas les expressions de template réunies dans le contenu d’un shadow root attaché…
-
Better Auth — contournement de l’authentification Magic Link via l’état OAuth
P3 · Critique · CVE-2026-114607 — Dans certaines configurations combinant Magic Link et OAuth, Better Auth pouvait accepter l’état OAuth comme jeton Magic Link, permettant à…
-
Injection de code dans Drupal Webform
P3 · Critique · CVE-2026-96355 — CVE-2026-96355 concerne une neutralisation incorrecte d’éléments spéciaux dans un moteur de templates de Drupal Webform, pouvant conduire à une injection…
-
Code malveillant dans formatting-subtitles (npm)
P3 · Critique — L’avis GHSA-2cph-9873-fh57 signale du code malveillant dans le paquet npm formatting-subtitles@1.0.2. Son script preinstall exécute des commandes shell qui contactent un collecteur…
-
Laravel : contournement d’authentification du TokenGuard avec des identifiants non textuels
P3 · Critique · CVE-2026-114509 — Le TokenGuard intégré de Laravel peut, dans certaines configurations MySQL ou MariaDB, accepter une valeur d’identifiant non textuelle et authentifier…
-
Debian publie une mise à jour de sécurité pour php8.4
P4 — Debian a publié l’avis DSA-6574-1 pour une mise à jour de sécurité de php8.4, signalant qu’un suivi incorrect de l’état mémoire pourrait permettre l’exécution…
-
Git LFS : écriture hors du dépôt via des liens symboliques
P4 — Debian a publié le DLA-4846-1 pour corriger le traitement des liens symboliques dans Git LFS. Un dépôt Git malveillant pouvait permettre l’écriture de fichiers…
-
Debian publie une mise à jour de sécurité pour bind9 (DSA-6576-1)
P4 — Le candidat annonce DSA-6576-1, une mise à jour de sécurité Debian pour bind9, à la date du 21 octobre 2026. Le résumé fourni indique…