Le journal DFS
Sécurité
-
djust : lecture de fichiers hors du répertoire du projet via un outil MCP
P4 · Faible · CVE-2026-113731 — La fonction MCP `find_handlers_for_template` de djust accepte un chemin absolu sans le restreindre au répertoire du projet, ce qui permet…
-
ApostropheCMS : absence d’authentification sur la route cleanExport
P4 · Faible · CVE-2026-113648 — La route `clean-export` du module `@apostrophecms/import-export` ne vérifie pas l’authentification ni l’autorisation avant d’appeler sa méthode de nettoyage. Un client…
-
Astro : injection CSS dans les View Transitions
P4 · Faible · CVE-2026-114127 — Le générateur CSS serveur d’Astro ne confinait pas certaines valeurs de propriétés d’animation dans leur déclaration CSS. Une valeur contrôlée…
-
Nuxt : contournement de correction `javascript:` avec `pages` désactivé
P4 · Faible · CVE-2026-114130 — Une correction antérieure de Nuxt pouvait être contournée lorsque l’application n’utilisait pas le système `pages` et que l’URL était préfixée…
-
Simple Shopping Cart : prix de produits modifiables par des contributeurs
P4 · Faible · CVE-2026-104642 — Simple Shopping Cart ne vérifie pas que les prix soumis correspondent à une valeur définie uniquement par le propriétaire du…
-
Divulgation de dossiers clients dans Appointment Booking Plugin
P4 · Faible · CVE-2026-105257 — Appointment Booking Plugin ne vérifie pas qu’un agent est affecté au client dont il consulte ou recherche le dossier avant…
-
Cart Abandonment Recovery : jetons de récupération de panier non vérifiés
P4 · Faible · CVE-2026-96901 — Cart Abandonment Recovery for WooCommerce ne vérifie pas l’intégrité des jetons de récupération de panier et accepte encore un ancien…
-
CVE-2026-101804 — déni de service partiel dans MySQL Connector/ODBC
P4 · Faible · CVE-2026-101804 — Une vulnérabilité de Connector/ODBC affecte la version 26.7.1 et peut permettre à un attaquant local sans privilèges de provoquer une…
-
CVE-2026-101779 : déni de service partiel via Server: Telemetry
P4 · Faible · CVE-2026-101779 — Une vulnérabilité du composant Server: Telemetry permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer…
-
MySQL Cluster : déni de service possible via InnoDB
P4 · Faible · CVE-2026-101513 — CVE-2026-101513 affecte le composant InnoDB de MySQL Cluster 8.0.0 à 8.0.37 et peut permettre à un attaquant ayant un accès…