Le journal DFS
Sécurité
-
Plane : XSS stockée via une pièce jointe SVG
P3 · Élevée · CVE-2026-105630 — Plane permettait à un membre authentifié, y compris un invité, de téléverser un SVG contenant du JavaScript comme pièce jointe.…
-
Plane : XSS via les descriptions des tickets d’intake
P3 · Élevée · CVE-2026-104979 — Plane ne validait pas le contenu HTML de la description d’un ticket créé via l’endpoint d’intake public, permettant à un…
-
adm-zip : élévation de privilèges possible lors de l’extraction d’archives ZIP
P3 · Élevée · CVE-2026-102282 — Une archive ZIP spécialement conçue peut faire créer par adm-zip un fichier extrait avec les bits setuid/setgid/sticky lorsque `keepOriginalPermission=true` est…
-
CVE-2026-86671 — accès à des ressources internes et exposition de jetons dans Eclipse Che
P3 · Élevée · CVE-2026-86671 — Des endpoints d’Eclipse Che acceptent des URL contrôlées par l’utilisateur sans restriction suffisante, permettant notamment la lecture de fichiers locaux,…
-
Plane : accès non autorisé aux projets privés via la mutation GraphQL joinProject
P3 · Élevée · CVE-2026-105632 — Une faiblesse de contrôle d’accès dans la mutation GraphQL `joinProject` permet à un membre d’un espace de travail de rejoindre…
-
DLA-4822-1 : mise à jour de sécurité de ruby-oauth2
P3 · Élevée · CVE-2026-54603 — Une redirection HTTP à `Location` commençant par `//` peut faire envoyer l’en-tête `Authorization: Bearer` vers un hôte contrôlé par un…
-
Ghost : exécution possible de fichiers téléversés sur le domaine du site
P3 · Élevée · CVE-2026-105679 — Sur les sites Ghost utilisant l’adaptateur de stockage local par défaut, les restrictions de type de contenu appliquées aux fichiers…
-
Ghost : exécution de code serveur via un thème malveillant
P3 · Élevée · CVE-2026-105677 — Dans Ghost, un administrateur authentifié pouvait exploiter le chargement des fichiers de traduction pour exécuter du code arbitraire sur le…
-
Ghost : élévation de privilèges par exposition de jetons d’invitation
P3 · Élevée · CVE-2026-105675 — Dans Ghost, les membres du personnel autorisés à consulter les invitations pouvaient découvrir le jeton secret d’invitations en attente, y…
-
Ghost : hébergement de fichiers arbitraires via les cartes de signet
P3 · Élevée · CVE-2026-105651 — Ghost permettait à un membre du personnel de faire héberger, sur le domaine du site, des fichiers non image récupérés…