Le journal DFS
Sécurité
-
virtualenv : injection de commande dans le script d’activation fish
P3 · Élevée · CVE-2026-113732 — Dans les versions antérieures à 21.14.2, l’activation fish utilise un échappement POSIX incompatible avec les règles d’interprétation de fish. Une…
-
virtualenv : interprétation de valeurs d’invite dans zsh
P3 · Élevée · CVE-2026-113726 — Dans zsh avec PROMPT_SUBST activé, une valeur contrôlée de nom ou de chemin d’environnement peut être interprétée lors de l’affichage…
-
XSS non authentifiée dans Jane Menu
P3 · Élevée · CVE-2026-85683 — Le plugin Jane Menu expose sans authentification un gestionnaire de formulaire dépourvu de contrôles de capacité et de nonce, permettant…
-
Click n Chat : injection SQL via les paramètres de tri
P3 · Élevée · CVE-2026-92998 — Le plugin Click n Chat ne nettoie pas les paramètres de tri avant leur insertion dans une clause SQL ORDER…
-
Click n Chat : injection SQL par paramètre de colonne non validé
P3 · Élevée · CVE-2026-92997 — Le plugin Click n Chat utilise un paramètre comme identifiant de colonne dans une requête SQL sans validation adéquate, ce…
-
Weglot : injection de contenu via les URL réécrites des pages traduites
P3 · Élevée · CVE-2026-88784 — Le plugin Translate WordPress with Weglot ne neutralise pas les URL réinjectées lors de la réécriture des liens pour une…
-
Formidable Forms : épuisement non authentifié du quota de vérification des paiements
P3 · Élevée · CVE-2026-85642 — Formidable Forms avant la version 7.0 ne vérifie pas l’identité de l’appelant avant d’enregistrer l’horodatage utilisé pour limiter les requêtes…
-
Advanced File Manager : script actif dans un fichier SVG stocké
P3 · Élevée · CVE-2026-79627 — Advanced File Manager avant la version 6.0.0 ne détermine pas correctement si un fichier stocké est un SVG avant de…
-
miniOrange 2FA : contournement du second facteur par ajout de passkey
P3 · Élevée · CVE-2026-111949 — miniOrange 2FA permet à une connexion par passkey encore en attente d’enregistrer une passkey supplémentaire sur un compte qui en…
-
XSS réfléchie dans User Profile Builder
P3 · Élevée · CVE-2026-111948 — Le plugin WordPress User Profile Builder ne protège pas suffisamment l’URL de la page courante avant de l’insérer dans un…