Le journal DFS
Sécurité
-
Homer : injection SQL dans la route de requête des statistiques v4
P3 · Élevée · CVE-2026-62251 — Dans Homer, la route `/api/v4/statistics/query` transmet une requête SQL fournie par l’utilisateur sans validation, ce qui peut permettre à un…
-
Excelize : débordement de coordonnée de colonne pouvant provoquer une panique
P3 · Élevée · CVE-2026-107217 — Un nom de colonne assez long peut faire déborder l’accumulation int64 et produire une coordonnée nulle sans erreur; certaines voies…
-
Excelize : déni de service par spinCount non borné lors du déchiffrement agile
P3 · Élevée · CVE-2026-107219 — Un fichier OLE malveillant peut fournir un spinCount très élevé, entraînant une dérivation de clé longue avant même la vérification…
-
If-So Dynamic Content — XSS dans une page d’administration
P3 · Élevée · CVE-2026-87971 — Le plugin WordPress If-So Dynamic Content antérieur à la version 1.10.2 ne validait pas le schéma d’une URL fournie dans…
-
wger : un entraîneur peut désactiver des comptes à privilèges supérieurs
P3 · Élevée · CVE-2026-46434 — Un utilisateur disposant uniquement de la permission `gym_trainer` peut désactiver des comptes de niveau supérieur dans la même salle, faute…
-
wger : exposition de données entre utilisateurs sans salle
P3 · Élevée · CVE-2026-43976 — Une vérification de périmètre défectueuse dans cinq vues wger peut exposer à un entraîneur sans salle les notes administratives, documents,…
-
OMGF : XSS stockée via le flux comments-atom
P3 · Élevée · CVE-2026-89417 — Le plugin OMGF est affecté par une vulnérabilité XSS stockée liée au paramètre de recherche « s » dans le…
-
Désérialisation PHP non sécurisée dans String locator
P3 · Élevée · CVE-2026-97188 — String locator avant 2.6.8 ne limite pas les classes autorisées lors de la désérialisation d’une ligne enregistrée avec son éditeur…
-
Nexi XPay Build : validation insuffisante du jeton de notification de paiement
P3 · Élevée · CVE-2026-82212 — Nexi XPay Build jusqu’à la version 7.6.2 incluse valide incorrectement le jeton de sécurité de sa route de notification de…
-
Nexi XPay Build : manipulation de commandes et exposition de données clients
P3 · Élevée · CVE-2026-82211 — Nexi XPay Build jusqu’à la version 7.6.2 incluse ne vérifie pas le résultat de paiement transmis à plusieurs routes accessibles…