Le journal DFS
Sécurité
-
Vitest sous Windows : lecture de fichiers hors des chemins autorisés
P4 · Moyenne · CVE-2026-112950 — Sous Windows, Vitest interprète différemment les antislashs dans le contrôle d’accès aux fichiers et dans leur lecture. Un client pouvant…
-
Vitest : injection de code via l’enregistrement non authentifié de mocks manuels
P4 · Moyenne · CVE-2026-112949 — Le plugin d’interception de mocks de Vitest accepte des enregistrements manuels non authentifiés par WebSocket et insère une URL de…
-
Angular : fuite possible du jeton XSRF via une URL mal normalisée
P4 · Moyenne · CVE-2026-111753 — Lorsque la protection XSRF est activée, l’intercepteur `xsrfInterceptorFn` d’Angular peut traiter à tort certaines URL contrôlées par un attaquant comme…
-
Angular SSR : redirection vers une origine externe par normalisation d’URL
P4 · Moyenne · CVE-2026-111754 — Dans Angular SSR, la normalisation d’une URL peut permettre de contourner une vérification préalable et de produire un chemin commençant…
-
Vite : divulgation des premiers octets de fichiers hors des règles server.fs
P4 · Moyenne · CVE-2026-112947 — Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines…
-
Vite : divulgation possible d’un fichier hôte via safeModulePaths
P4 · Moyenne · CVE-2026-112946 — Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu…
-
launch-editor : nom de fichier relatif interprété comme option d’éditeur
P4 · Moyenne · CVE-2026-112944 — launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs…
-
Meta Box : défaut d’autorisation
P4 · Moyenne · CVE-2026-109700 — Meta Box – WordPress Custom Fields Framework présente un défaut d’autorisation pouvant permettre l’exploitation de niveaux de contrôle d’accès mal…
-
DiviGear Carousel : XSS persistante via l’action AJAX de licence
P4 · Moyenne · CVE-2026-93878 — DiviGear Carousel est vulnérable à une injection XSS persistante via l’action AJAX `update_license`, en raison d’un assainissement et d’un échappement…
-
Easy Property Listings : accès non autorisé aux dossiers de contacts
P4 · Moyenne · CVE-2026-96903 — Easy Property Listings n’effectue pas les contrôles d’autorisation nécessaires sur plusieurs actions AJAX de lecture liées à la gestion des…