Le journal DFS
Sécurité
-
Magee Shortcodes : XSS réfléchie via des actions AJAX
P3 · Élevée · CVE-2026-105316 — Magee Shortcodes jusqu’à la version 2.1.1 incluse ne nettoie ni n’échappe certaines entrées utilisateur dans des actions AJAX accessibles sans…
-
CVE-2026-102173 — XSS stockée dans le plugin Kirki
P3 · Élevée · CVE-2026-102173 — Kirki jusqu’à la version 6.3.1 présente une XSS stockée liée à des métadonnées d’inscription, exploitable sans authentification sous certaines conditions…
-
Linux : risque d’utilisation après libération dans l’itération des tâches cgroup
P3 · Élevée · CVE-2026-98163 — Une mise à jour de la fiche NVD décrit une vulnérabilité du noyau Linux dans le traitement de tâches en…
-
Docker Engine : contournement de la sécurité des connexions à un registre via une réponse DNS mixte
P3 · Élevée · CVE-2026-92543 — Docker Engine peut traiter un registre comme non sécurisé si l’une des adresses IP renvoyées par son nom d’hôte appartient…
-
Injection SQL dans Pix por Piggly pour WooCommerce
P3 · Élevée · CVE-2026-42714 — Le plugin Pix por Piggly (para Woocommerce) présente une injection SQL aveugle. La fiche NVD indique que les versions jusqu’à…
-
Express Gateway : clé cryptographique codée en dur exposant les secrets OAuth
P3 · Élevée · CVE-2026-107177 — Express Gateway jusqu’à la version 1.16.11 incluse utilise une clé cryptographique codée en dur pour protéger des secrets de jetons…
-
Express Gateway : contournement d’authentification par jeton de rafraîchissement
P3 · Élevée · CVE-2026-107162 — Express Gateway jusqu’à la version 1.16.11 incluse présente un contournement d’authentification dans le flux OAuth 2.0 `refresh_token` : la validation…
-
OrdaSoft Simple Membership : injection SQL non authentifiée
P3 · Critique · CVE-2026-102782 — OrdaSoft Simple Membership pour Joomla présente une injection SQL accessible sans authentification dans le traitement de la tâche checkLoginPass. Les…
-
PraisonAI : injection de code dans la génération du serveur de déploiement
P3 · Critique · CVE-2026-62176 — PraisonAI interpole directement le paramètre `agents_file` dans du code Python généré, ensuite exécuté, ce qui peut permettre une injection de…
-
Homer : identifiants administrateur par défaut sur les nouvelles installations
P3 · Critique · CVE-2026-62252 — Sur une nouvelle installation Homer utilisant l’authentification interne, un compte administrateur est créé avec un mot de passe par défaut…