Le journal DFS
Sécurité
-
Ghost : suppression de contenus non rédigés par un Author
P4 · Moyenne · CVE-2026-105680 — Dans Ghost, les utilisateurs ayant le rôle Author pouvaient supprimer des articles et des pages dont ils n’étaient pas les…
-
Ghost : attribution non autorisée de rôles à des utilisateurs
P4 · Moyenne · CVE-2026-105678 — Dans Ghost, les utilisateurs ayant le rôle Editor ou Super Editor pouvaient modifier leur propre rôle pour attribuer ceux d’Author…
-
Ghost : lecture de fichiers JSON hors du thème actif
P4 · Moyenne · CVE-2026-105676 — Dans Ghost, un administrateur authentifié pouvait lire des fichiers JSON situés hors du répertoire du thème actif en exploitant le…
-
Ghost : requêtes vers le réseau interne dans certaines configurations
P4 · Moyenne · CVE-2026-105648 — CVE-2026-105648 concerne une validation insuffisante dans Ghost permettant à un utilisateur non authentifié d’abuser de fonctionnalités telles que Webmentions pour…
-
Ghost : requêtes vers le réseau interne via Webmentions
P4 · Moyenne · CVE-2026-105647 — CVE-2026-105647 concerne une validation insuffisante permettant à un utilisateur non authentifié d’abuser de certaines fonctionnalités de Ghost, notamment Webmentions, pour…
-
Ghost : déni de service via l’import de contenu
P4 · Moyenne · CVE-2026-105646 — CVE-2026-105646 concerne une consommation excessive de processeur provoquée par un fichier d’import de contenu spécialement conçu dans Ghost. La description…
-
Ghost : déni de service via l’inliner de médias externes
P4 · Moyenne · CVE-2026-105645 — Une requête conçue pour exploiter l’inliner de médias externes de Ghost pouvait entraîner une consommation excessive du processeur et rendre…
-
Ghost : scripts hébergés sur le domaine du site via des SVG importés
P4 · Moyenne · CVE-2026-105644 — Ghost stockait sans assainissement les images SVG incluses dans des imports de contenu, ce qui pouvait permettre d’héberger des scripts…
-
CVE-2026-105245 : transmission en clair d’informations sensibles dans l’endpoint HTTP de sglang
P3 · Faible · CVE-2026-105245 — Une vulnérabilité de l’endpoint HTTP `server_info` de sglang peut entraîner la transmission en clair d’informations sensibles liées à l’argument `api_key`.…
-
flatted : pollution de prototype via parse()
P3 · Élevée · CVE-2026-33228 — La fonction `parse()` de flatted peut traiter une valeur contrôlée comme un index de tableau sans vérifier qu’elle est numérique,…