Le journal DFS
Sécurité
-
Inclusion et lecture de fichiers locaux dans Ultimate Multisite
P3 · Élevée · CVE-2026-107508 — Ultimate Multisite ne valide pas une valeur fournie par l’utilisateur qui sert à sélectionner un fichier à inclure. Un attaquant…
-
Forms : injection de script dans l’écran d’administration des soumissions
P3 · Élevée · CVE-2026-86799 — Forms ne nettoie pas les valeurs soumises avant leur stockage et ne les échappe pas sur l’écran d’administration des soumissions.…
-
XSS stockée dans WP Booking System
P3 · Élevée · CVE-2026-107126 — WP Booking System stocke puis affiche dans une page d’administration une valeur de requête contrôlable par le client sans la…
-
Divulgation du mot de passe de domaine dans FOG
P3 · Élevée · CVE-2026-54554 — FOG, avant la version 1.5.10.1870, peut divulguer à distance et sans authentification la valeur du mot de passe par défaut…
-
Suppression non autorisée de ressources Radius via les annotations Kubernetes
P3 · Élevée · CVE-2026-53999 — Dans Radius, un utilisateur autorisé à modifier les annotations d’un Deployment pouvait falsifier son statut pour déclencher la suppression privilégiée…
-
Clé privée d’hôte SFTP intégrée au chart Helm SeaweedFS
P3 · Élevée · CVE-2026-100413 — La clé privée d’hôte Ed25519 intégrée au chart Helm SFTP de SeaweedFS pouvait permettre à un attaquant interceptant ou redirigeant…
-
CVE-2026-94197 — contournement d’authentification externe dans NGINX Ingress Controller
P3 · Élevée · CVE-2026-94197 — Avec ExternalAuth ou l’authentification externe d’un Ingress, des en-têtes de routage fournis par le client peuvent être relayés sans assainissement…
-
Walletdoc Payment Gateway : injection SQL et validation de paiement insuffisante
P3 · Élevée · CVE-2026-103307 — Walletdoc Payment Gateway for WooCommerce avant la version 1.8.5 ne protège pas correctement une requête SQL et utilise par défaut…
-
InvoiceShelf : injection SQL via orderByField
P3 · Élevée · CVE-2026-55386 — InvoiceShelf avant 2.4.0 transmet une valeur contrôlée par l’utilisateur, orderByField, à des appels Laravel orderBy sans la restreindre aux identifiants…
-
VentureDrake Laravel CRM : attribution de rôles et suppressions hors périmètre
P3 · Élevée · CVE-2026-110630 — Dans VentureDrake Laravel CRM avant 2.4.0, un utilisateur ayant accès à la gestion des utilisateurs peut attribuer des rôles non…