Le journal DFS
Sécurité
-
GHSA-hwx5-436m-736q : @dbbhk/ui-components vole des secrets AWS, ECS, Kubernetes et CI à l’installation
P2 · Critique — Le paquet npm malveillant @dbbhk/ui-components@99.0.0 exécute automatiquement un script avant et après installation. Il cible les identifiants cloud, les secrets d’environnement et…
-
GHSA-c67f-wr24-prw9 : chai-as-viem exfiltre process.env et charge du code distant
P2 · Critique — Le paquet npm chai-as-viem version 1.1.3 exfiltre l’environnement complet du processus Node.js lorsqu’il est chargé, puis exécute comme JavaScript la réponse reçue…
-
CVE-2026-88857 : téléversement PHP et exécution de code dans OrdaSoft Joomla Gallery
P2 · Critique · CVE-2026-88857 — La fonction saveWatermark d’OrdaSoft Joomla Gallery copie un fichier téléversé dans un répertoire Web en utilisant le nom fourni par…
-
GHSA-5jvh-cf7p-qx9w : chai-testing exécute du code distant à l’import Node.js
P2 · Critique — Le paquet npm chai-testing 1.1.4, présenté comme une bibliothèque liée aux tests, démarre un processus Node.js détaché à l’import puis récupère et…
-
CVE-2026-88854 : injection SQL non authentifiée dans OrdaSoft Joomla Gallery
P2 · Critique · CVE-2026-88854 — OrdaSoft Joomla Gallery emploie un pseudo-filtre qui ne neutralise pas les guillemets ou la syntaxe SQL avant de concaténer une…
-
LMDeploy : RCE non authentifiée dans DistServe par désérialisation Pickle — CVE-2025-66455
P2 · Critique · CVE-2025-66455 — L’avis LMDeploy relatif à CVE-2025-66455 a été mis à jour dans la fenêtre. Une désérialisation Python pickle non sûre dans…
-
CVE-2026-82187 : upload arbitraire non authentifié dans Web to Print Online Designer pour WordPress
P2 · Critique · CVE-2026-82187 — La CVE-2026-82187 affecte l’extension WordPress Web to Print Online Designer, utilisée avec WooCommerce. Un visiteur non authentifié peut obtenir le…
-
Paquets npm @nimbusedge2 malveillants : reverse shell et exfiltration IMDS à l’installation
P2 · Critique — Plusieurs paquets npm du périmètre @nimbusedge2 publiés dans la fenêtre exécutent des scripts preinstall. @nimbusedge2/auth@1.1.1 ouvre un shell distant lors de l’installation…
-
GHSA-j296-5jqh-9cxv : @asenfotech/unplugin-element-plus déploie une porte dérobée C2
P2 · Critique — Le paquet @asenfotech/unplugin-element-plus, qui se présente comme un resolver Element Plus, contient un dropper exécuté à l’installation et à l’import, capable de…
-
GHSA-8mrv-jcm6-9rv3 : @nimbusedge2/authxsas vise les métadonnées cloud à l’installation
P2 · Critique — Le paquet npm @nimbusedge2/authxsas exécute un script preinstall qui tente de lire un service de métadonnées cloud puis d’exfiltrer sa réponse vers…