Le journal DFS
Sécurité
-
Paquet npm catwrestlinghuman : charge postinstall fortement obfusquée
P3 · Élevée — catwrestlinghuman@1.0.0 est un paquet npm malveillant dont le hook postinstall exécute une charge opaque encodée en JSFuck. Le paquet ne fournit pas…
-
Paquet npm @nimbusedge2/authxsas : fuite de métadonnées d’instances cloud au preinstall
P3 · Élevée — @nimbusedge2/authxsas@1.1.0 utilise un hook preinstall pour interroger un service de métadonnées d’instance via 169.254.169.254.nip.io et transmettre la réponse à une destination distante.…
-
RHEL : correctifs ABRT pour écrasement de fichiers arbitraires via liens symboliques (CVE-2026-54230)
P3 · Élevée · CVE-2026-54230 — De nouveaux errata RHEL ont été publiés le 21 septembre pour des canaux RHEL 7 ELS et RHEL 8 étendus.…
-
Deux paquets npm malveillants ciblent les secrets et identités cloud à l’installation
P3 · Élevée — Les paquets npm @siriusbeyond/auth@99.0.0 et @dbbhk/ui-components@99.0.0 ont été référencés comme malveillants. Le premier collecte des informations d’hôte et des noms de variables…
-
WordPress : usurpation de compte via SAML Single Sign On
P3 · Élevée · CVE-2026-82842 — Le plugin WordPress SAML Single Sign On antérieur à 6.0.0 ignore le critère configuré pour associer une identité SSO entrante…
-
WordPress : désérialisation d’objets via AJAX dans Unlimited Elements For Elementor
P3 · Élevée · CVE-2026-85017 — Unlimited Elements For Elementor désérialise des données stockées contrôlées par l’attaquant dans une action AJAX insuffisamment protégée par un contrôle…
-
WordPress : écriture de fichiers, atteintes à l’intégrité et fuite de métadonnées dans Photo Gallery, Sliders, Proofing and
P3 · Élevée · CVE-2026-81650, CVE-2026-81651 — Plusieurs défauts de contrôle d’accès et de validation affectent ce plugin de galerie : écriture de fichiers via archive,…
-
WordPress : désérialisation dangereuse et élévation de privilèges dans Forminator Forms
P3 · Élevée · CVE-2026-87067, CVE-2026-87068 — Forminator Forms expose une désérialisation insuffisamment restreinte via XML-RPC et permet aussi de contourner la validation de rôle dans…
-
WordPress : modification et suppression non authentifiées de données de réservation dans Tripzzy
P3 · Élevée · CVE-2026-87839, CVE-2026-87840 — Tripzzy expose des actions AJAX accessibles sans authentification permettant de supprimer des commentaires et de modifier des réservations arbitraires.
-
GHSA-446r-4pr8-w423 : @siriusbeyond/utils exfiltre la reconnaissance d’hôte pendant npm install
P3 · Élevée — Le paquet npm @siriusbeyond/utils@99.0.0 emploie des hooks preinstall et postinstall pour collecter des informations d’hôte et des noms de variables liés à…