Le journal DFS
Sécurité
-
Code malveillant dans le paquet npm @angulaar/core
P3 · Critique — Le paquet npm `@angulaar/core` version 22.2.1 est un typosquat malveillant de `@angular/core` : son script `postinstall` télécharge et exécute du JavaScript distant…
-
Paquet npm malveillant @angulaar/cli imitant Angular CLI
P2 · Critique — L’avis GHSA-65xg-ghmw-cq2c décrit @angulaar/cli, paquet npm malveillant imitant Angular CLI et substituant une dépendance MCP. La version signalée est 22.2.1 ; aucun…
-
User Private Files : accès non autorisé aux fichiers privés sur multisite
P4 · CVE-2026-97332 — User Private Files avant 2.2.0 protège mal les fichiers privés sur les installations multisites : la règle de réécriture chargée de faire…
-
CoCart : protection nonce REST désactivée globalement
P4 · CVE-2026-93549 — CoCart avant 4.9.7 applique son filtre d’authentification REST sans le limiter à ses propres endpoints, ce qui désactive la protection par nonce…
-
Five Star Business Profile and Schema : divulgation de données sensibles
P4 · CVE-2026-86817 — Five Star Business Profile and Schema avant 2.4.0 restreint insuffisamment les callbacks utilisés pour résoudre les valeurs par défaut des champs Schema.…
-
Horizontal scrolling announcements : XSS stocké dans une annonce
P4 · CVE-2026-17005 — Horizontal scrolling announcements jusqu’à la version 2.6 ne nettoie ni n’échappe un réglage d’annonce avant de l’insérer dans un attribut côté public.…
-
Simple Shopping Cart : XSS stocké dans les réglages d’administration
P4 · CVE-2026-104119 — Simple Shopping Cart avant 5.2.6 n’échappe pas certaines valeurs de réglages affichées dans une page d’administration. Des utilisateurs disposant de privilèges élevés…
-
Debian LTS : mise à jour de sécurité linux-6.12 (DLA-4817-1)
P4 — Debian LTS a publié l’avis DLA-4817-1 pour une mise à jour de sécurité du paquet linux-6.12, concernant plusieurs vulnérabilités susceptibles d’entraîner une élévation de…
-
DSA-6542-1 : mise à jour de sécurité de ruby-rack-session
P4 — Debian a publié un avis de sécurité pour ruby-rack-session : une mauvaise gestion des erreurs pourrait permettre un contournement de l’authentification ou une élévation…
-
Razorpay for WooCommerce : modification non autorisée des informations de livraison
P4 · Moyenne · CVE-2026-104118 — Le plugin Razorpay for WooCommerce avant 4.8.8 ne vérifie pas correctement l’autorisation sur une route REST du paiement. Un attaquant…