Le journal DFS
Sécurité
-
Morning for WooCommerce : contrôle d’accès défaillant
P3 · Élevée · CVE-2026-39723 — Morning for WooCommerce présente un contrôle d’accès défaillant accessible sans authentification. La fiche CVE consultée vise les versions jusqu’à 2.4.1…
-
Craft CMS : exécution de code à distance via app/render-components
P3 · Élevée · CVE-2026-105985 — Craft CMS présente une exécution de code à distance dans l’action Control Panel `app/render-components`, accessible à un utilisateur authentifié disposant…
-
Kusalkasilva Learning-Management-System : injection SQL au point de connexion administrateur
P3 · Moyenne · CVE-2026-105919 — Le point de connexion administrateur de Kusalkasilva Learning-Management-System présente une injection SQL à distance via les paramètres username/password de `admin/login.php`.…
-
Kusalkasilva Learning-Management-System : injection SQL au point de connexion
P3 · Moyenne · CVE-2026-105918 — Une injection SQL à distance affecte le point de connexion de Kusalkasilva Learning-Management-System, dans `login.php`, par manipulation des paramètres username/password.…
-
RainyGao DocSys : injection SQL distante, exploit public signalé
P3 · Moyenne · CVE-2026-105158 — La fiche NVD signale une injection SQL distante dans RainyGao DocSys jusqu’à la version 2.02.85, dans la fonction createDBForMysql de…
-
AhsayCBS : correctif initial insuffisant pour CVE-2026-105133
P1 · Moyenne · CVE-2026-105133 — La fiche CVE a été mise à jour pour préciser que le correctif initial d’AhsayCBS ne réglait pas correctement la…
-
vm2 : évasion de bac à sable avec Node.js 26
P3 · Critique · CVE-2026-92956 — Une évasion de bac à sable a été signalée dans vm2 lorsque celui-ci est utilisé avec Node.js 26 : du…
-
Handlebars — injection JavaScript par confusion de type dans un AST pré-parsé
P3 · Critique · CVE-2026-106446 — Handlebars ne validait pas tous les champs d’un AST pré-parsé, permettant à un objet AST non fiable de faire injecter…
-
Handlebars : exécution de JavaScript par contournement du contrôle des propriétés propres
P3 · Critique · CVE-2026-106445 — Un contournement de la liste de refus d’accès aux propriétés de prototype permet d’obtenir le constructeur `Function` et d’exécuter du…
-
Langflow : dérivation insuffisamment sûre de la clé de chiffrement des identifiants
P3 · Critique · CVE-2026-9205 — Langflow dérivait la clé Fernet utilisée pour chiffrer les identifiants stockés à partir de SECRET_KEY au moyen du générateur pseudo-aléatoire…