Le journal DFS
Sécurité
-
Open WebUI : XSS stockée dans le rendu Markdown
P4 · Moyenne · CVE-2026-109300 — Open WebUI de la version 0.6.31 à toute version antérieure à 0.11.4 comporte une XSS stockée dans le rendu Markdown…
-
Pimcore : XSS stockée via les champs ExternalImage
P4 · Moyenne · CVE-2026-109392 — Pimcore jusqu’à la version 2026.3.1 présente une XSS stockée dans des champs ExternalImage, exploitable par un utilisateur authentifié disposant des…
-
OTRS : exécution de JavaScript dans les pages personnalisées
P4 · Moyenne · CVE-2026-48212 — Un administrateur OTRS peut publier du JavaScript dans une page personnalisée, qui s’exécute dans le navigateur des utilisateurs qui la…
-
Hotel Booking — accès non autorisé aux données de réservation
P4 · Moyenne · CVE-2026-84167 — Hotel Booking pour WordPress jusqu’à la version 3.8 ne vérifie pas que la réservation consultée appartient à l’utilisateur qui en…
-
Hotel Booking — CSRF dans la gestion des réservations
P4 · Moyenne · CVE-2026-84166 — Hotel Booking pour WordPress jusqu’à la version 3.8 ne protège pas contre les requêtes CSRF dans la gestion administrative des…
-
WP Comment Cleaner — suppression non autorisée de commentaires
P4 · Moyenne · CVE-2026-107791 — WP Comment Cleaner, avant la version 7.2, ne vérifie ni les permissions ni le nonce dans une fonction de suppression…
-
Nginx UI : écriture de sauvegardes hors du répertoire prévu
P4 · Moyenne · CVE-2026-84320 — Avant Nginx UI 2.4.3, le nom contrôlé par l’utilisateur d’une sauvegarde automatique n’était pas filtré contre les séparateurs de chemin…
-
Nginx UI : un jeton court révoqué peut rester valide via le cache
P4 · Moyenne · CVE-2026-84321 — Dans Nginx UI antérieur à 2.4.1, la révocation des jetons ne supprimait pas toujours du cache les jetons courts créés…
-
IBM Maximo Location Service for Esri : validation inadéquate de la configuration d’image
P4 · Moyenne · CVE-2026-18533 — CVE-2026-18533 concerne une validation inadéquate des entrées dans un modèle d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri,…
-
Parse Server : contournement du contrôle d’introspection GraphQL via le cache de requêtes persistées
P4 · Moyenne · CVE-2026-109302 — Parse Server ne vérifiait pas son contrôle d’introspection GraphQL pour les opérations obtenues depuis le cache Apollo des requêtes persistées…