Le journal DFS
Sécurité
-
Langflow : exécution de flux sans authentification via les webhooks
P3 · Critique · CVE-2026-8505 — Une erreur dans l’authentification des webhooks de Langflow permettait à un utilisateur non authentifié de déclencher l’exécution d’un flux en…
-
vm2 : pollution de prototypes hôtes de tableaux typés et d’ArrayBuffer
P3 · Critique · CVE-2026-92953 — Une protection incomplète dans vm2 permet à du code exécuté dans un `VM` par défaut de modifier des prototypes natifs…
-
Quasar : injection HTML dans les métadonnées SSR
P3 · Critique · CVE-2026-106102 — Dans le rendu SSR, des métadonnées dynamiques non échappées peuvent permettre l’injection de balisage exécutable dans la réponse HTML. Le…
-
Plugin Crayons pour SPIP : défaut d’autorisation pouvant mener à l’exécution de PHP
P3 · Critique · CVE-2026-104070 — Le plugin Crayons pour SPIP avant 3.5.0 présente un défaut d’autorisation permettant à un attaquant non authentifié de modifier des…
-
Smarty : injection de code dans le cache PHP des modèles
P3 · Critique · CVE-2026-82531 — Smarty présente une injection de code pouvant conduire à l’exécution de PHP lors de l’inclusion d’un fichier cache régénéré. Le…
-
Twenty : divulgation de mots de passe de comptes connectés via GraphQL
P3 · Critique · CVE-2026-105763 — Une requête GraphQL `/metadata` de Twenty exposait les paramètres de connexion, y compris des mots de passe IMAP, SMTP ou…
-
Code malveillant dans le gem RubyGems web3-sign-helper
P3 · Critique — `web3-sign-helper` 1.0.0 est signalé comme un gem malveillant dont le script d’installation télécharge et exécute un script distant. N’installez pas cette version;…
-
Code malveillant dans le gem RubyGems utxo-set-utils
P3 · Critique — L’avis GHSA signale que `utxo-set-utils` 1.0.0 contient un script d’installation qui télécharge et exécute une charge utile distante. N’installez pas cette version;…
-
Code malveillant dans le gem RubyGems wallet-backup-tool
P3 · Critique — `wallet-backup-tool` 1.0.0 est signalé comme un gem malveillant dont l’installation peut télécharger puis exécuter un script distant. N’installez pas cette version; si…
-
Code malveillant dans le gem RubyGems hdkey-derive-helper
P3 · Critique — L’avis signale que `hdkey-derive-helper` 1.0.0 utilise son script d’installation pour télécharger et exécuter une charge utile distante. N’installez pas cette version; en…