Le journal DFS
Sécurité
-
Payload : contournement de l’assainissement des SVG téléversés
P3 · Élevée · CVE-2026-105862 — Dans Payload, les collections autorisant les téléversements SVG peuvent conserver un SVG malveillant qui contourne l’assainissement et exécute du JavaScript…
-
XSS stockée dans SimpleChat via le nom d’un document de groupe
P3 · Élevée · CVE-2026-105798 — Dans SimpleChat, un nom de fichier de document de groupe spécialement construit peut provoquer une XSS stockée dans l’origine de…
-
MCP TypeScript SDK : divulgation possible d’identifiants OAuth à un serveur choisi par le serveur MCP
P3 · Élevée · CVE-2026-104850 — Une faille dans le client OAuth du MCP TypeScript SDK permet à un serveur MCP malveillant ou compromis de faire…
-
Injection HTML possible via le nonce SSR/SSG de Quasar App Vite
P3 · Élevée · CVE-2026-106107 — Certaines sorties SSR et SSG inséraient directement la valeur du nonce dans des attributs HTML entre guillemets. Si une application…
-
Divulgation de données de diagnostic et injection dans l’erreur SSR/SSG de développement Quasar
P3 · Élevée · CVE-2026-106106 — En cas d’erreur de rendu SSR ou SSG en développement, la page de diagnostic pouvait divulguer des variables d’environnement, des…
-
Quasar Framework : blocage de la boucle d’événements lors de requêtes SSR
P3 · Élevée · CVE-2026-106104 — Dans Quasar Framework avant 2.23.3, l’analyse d’un en-tête `User-Agent` non borné pendant les requêtes SSR pouvait provoquer un backtracking superlinéaire…
-
Quasar icongenie : traversée de répertoires lors de la génération d’images
P3 · Élevée · CVE-2026-106103 — Avant @quasar/icongenie 6.1.1, des valeurs `folder` et `name` provenant d’un profil pouvaient permettre une traversée de répertoires lors de la…
-
Kiota : injection de code via les commentaires de documentation générés
P3 · Élevée · CVE-2026-105796 — Kiota versions 0.5.0 à 1.35.0 présente une faille dans l’assainissement des commentaires de documentation Java générés à partir de descriptions…
-
HortusFox : exécution de code via l’import de thèmes
P3 · Élevée · CVE-2026-104069 — HortusFox antérieur à 6.2 permet à un administrateur authentifié de provoquer une exécution de code à distance par l’import d’un…
-
External Secrets Operator : le contrôle d’étiquette du générateur webhook peut être contourné
P3 · Élevée · CVE-2026-26287 — Dans External Secrets Operator, un ordre d’initialisation incorrect du générateur `webhook` désactivait le contrôle de l’étiquette `external-secrets.io/type=webhook`, permettant à une…