Le journal DFS
Sécurité
-
CVE-2026-104939 — accès non authentifié avec externalAuth dans NGINX Ingress Controller
P3 · Élevée · CVE-2026-104939 — Une mauvaise gestion de la réponse HTTP de l’IdP OAuth avec une politique externalAuth peut permettre à un attaquant distant…
-
Debian publie DSA-6575-1 pour CVE-2026-97629 dans nginx
P4 · Moyenne · CVE-2026-97629 — Debian a signalé le 21 octobre un défaut de synchronisation des clés de tickets de session TLS entre processus workers,…
-
XSS réfléchie dans Hippoo Mobile App for WooCommerce
P3 · Élevée · CVE-2026-108483 — La fiche NVD décrit une XSS réfléchie dans Hippoo Mobile App for WooCommerce, affectant les versions jusqu’à 1.12.0. La source…
-
CVE-2026-103358 : injection de code dans Email Template Customizer for WooCommerce
P3 · Élevée · CVE-2026-103358 — Une vulnérabilité de type injection de code a été signalée dans Email Template Customizer for WooCommerce de VillaTheme, pour les…
-
Escalade de privilèges dans Membership & User Roles for WooCommerce
P3 · Élevée · CVE-2026-104767 — Le plugin Membership & User Roles for WooCommerce peut réattribuer un rôle auparavant révoqué, y compris le rôle Administrateur, à…
-
Injection SQL dans JTL-Connector for WooCommerce
P3 · Élevée · CVE-2026-78193 — JTL-Connector for WooCommerce présente une injection SQL temporelle non authentifiée sur le point de liaison d’identité product.push. Sont concernées les…
-
Injection SQL dans Abandoned Cart Pro for WooCommerce
P3 · Élevée · CVE-2026-102251 — Abandoned Cart Pro for WooCommerce présente une injection SQL via le paramètre validate. La fiche indique qu’un attaquant non authentifié…
-
Injection de commandes dans Stills
P3 · Critique · CVE-2026-110649 — Stills présentait une injection de commandes système lors du traitement de chemins de fichiers multimédias forgés. Un attaquant pouvant fournir…
-
Injection de commandes dans Video-stitch
P3 · Critique · CVE-2026-110645 — Video-stitch présentait une injection de commandes système lorsque des noms de fichiers contrôlés étaient interpolés sans échappement dans des commandes…
-
Injection de commandes dans @mborne/extract
P3 · Critique · CVE-2026-110639 — Les versions de @mborne/extract antérieures à 0.2.1 sont vulnérables à une injection de commandes via `archivePath` ou `targetDir` transmis à…