Le journal DFS
Sécurité
-
undici : plantage du processus Node.js lors du traitement de réponses décompressées
P4 · Moyenne · CVE-2026-87029 — Une erreur levée par un gestionnaire de réponse depuis un rappel asynchrone du flux zlib peut échapper au traitement d’erreurs…
-
Aureus ERP : XSS stockée dans les noms de jours fériés
P4 · Moyenne · CVE-2026-111284 — CVE-2026-111284 concerne une XSS stockée dans Aureus ERP jusqu’à la version 1.6.0 : un utilisateur autorisé à créer des jours…
-
tarteaucitron.js : XSS par URL JavaScript dans un attribut data-
P4 · Moyenne · CVE-2026-111713 — CVE-2026-111713 est une XSS dans tarteaucitron.js avant la version 1.37.0 : la résolution d’attributs préfixés par « data- » n’est…
-
CVE-2026-85985 : contrôles d’accès insuffisants dans les UDF de fichiers CONNECT
P4 · Moyenne · CVE-2026-85985 — Les UDF d’accès aux fichiers du moteur CONNECT ne vérifient pas correctement le privilège FILE ni le paramètre secure_file_priv. Un…
-
CVE-2026-85745 : lecture hors limites dans ST_Area
P4 · Moyenne · CVE-2026-85745 — Le traitement d’un WKB MultiPolygon invalide par ST_Area peut lire au-delà du tampon alloué et divulguer de la mémoire. Les…
-
XSS stockée dans GeoDirectory via le contenu d’une annonce
P4 · Moyenne · CVE-2026-110703 — GeoDirectory contient une XSS stockée via le paramètre `post_content`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber…
-
XSS stockée dans Events Made Easy
P4 · Moyenne · CVE-2026-107649 — Events Made Easy présente une XSS stockée via `event[location_name]`, réalisable sans authentification lorsque la soumission d’événements par les invités et…
-
XSS stockée dans Tutor LMS via display_name
P4 · Moyenne · CVE-2026-93681 — Tutor LMS contient une XSS stockée via le paramètre `display_name`, exploitable par un utilisateur authentifié disposant au minimum du rôle…
-
Name Directory : XSS persistante via l’attribut dir d’un shortcode
P4 · Moyenne · CVE-2026-104726 — Le plugin Name Directory pour WordPress présente une faille XSS persistante via l’attribut dir d’un shortcode. Un attaquant authentifié avec…
-
ProfilePress : exécution arbitraire de shortcodes via les commentaires
P4 · Moyenne · CVE-2026-104003 — Le plugin WP User Avatar / ProfilePress pour WordPress permet l’exécution de shortcodes arbitraires dans l’onglet Commentaires du profil public.…