Le journal DFS
Sécurité
-
Chaskiq : SSRF non authentifiée via une mutation GraphQL
P3 · Critique · CVE-2026-111663 — Chaskiq jusqu’à la version 2.0.3 est vulnérable à une SSRF via la mutation GraphQL createUrlUpload. Un attaquant non authentifié peut…
-
Paquet PyPI pyyi : mise à jour d’un avis de paquet malveillant
P3 · Critique — Une mise à jour de l’avis GitHub signale le paquet PyPI malveillant `pyyi`, qui imite un interpréteur Python et peut récupérer puis…
-
SellKit : manipulation du prix d’un produit lors du paiement
P4 · CVE-2026-94254 — SellKit ne valide pas le prix d’un produit fourni par le client lorsque les totaux sont recalculés pendant le paiement. Avant la…
-
WP 2FA : suppression intersite de configurations 2FA dans Multisite
P4 · CVE-2026-108066 — Sur WordPress Multisite, un administrateur de site peut supprimer la configuration d’authentification à deux facteurs d’utilisateurs relevant d’autres sites, faute de contrôle…
-
Donation Thermometer : injection de gestionnaires d’événements via un shortcode
P4 · CVE-2026-92409 — Donation Thermometer n’échappe pas une valeur de couleur fournie dans un attribut de shortcode avant de l’insérer dans le balisage de la…
-
Tainacan : accès aux adresses du personnel via les routes REST de rapports
P4 · CVE-2026-90989 — Les points de terminaison REST de rapports de Tainacan ne sont pas réservés aux utilisateurs disposant d’une capacité de gestion. Avant la…
-
Fast Courier : injection SQL via une route REST non authentifiée
P4 · CVE-2026-89288 — Fast Courier utilise une valeur non assainie dans une requête SQL sur une route REST accessible sans authentification. Avant la version 5.2.4,…
-
XSS stockée via les icônes SVG de Gutenverse Form
P4 · CVE-2026-106469 — Gutenverse Form ne désinfecte pas le balisage SVG d’icône enregistré dans les blocs de formulaire avant son insertion dans la page, ce…
-
Debian DLA-4834-2 : correction du redémarrage de Keystone après mise à jour
P4 — Debian a publié le DLA-4834-2 pour corriger un problème de redémarrage automatique de Keystone après une mise à jour de sécurité. Un processus Keystone…
-
Debian publie DLA-4835-1 pour MariaDB
P4 — Debian a publié l’avis DLA-4835-1 pour corriger plusieurs vulnérabilités dans MariaDB ; un attaquant authentifié pouvait provoquer un déni de service, obtenir un accès…