Le journal DFS
Sécurité
-
Arc : contournement du contrôle d’accès permettant la lecture de données d’autres bases
P4 · Moyenne · CVE-2026-55098 — Un avis publié le 4 novembre signale que des fonctions d’E/S DuckDB peuvent permettre à un utilisateur authentifié d’Arc de…
-
Sanluan PublicCMS : contournement d’autorisation dans le traitement des remboursements
P3 · Faible · CVE-2026-121583 — Dans Sanluan PublicCMS 5, la fonction `TradePaymentService.pendingRefund` présente un contournement d’autorisation lié au paramètre `userId`, permettant une attaque à distance.…
-
Apache Camel-PQC : désérialisation de données non fiables dans les fichiers de clés
P3 · Élevée · CVE-2026-40048 — Une mise à jour de l’avis GHSA signale une désérialisation de données non fiables dans Camel-PQC, susceptible de conduire à…
-
BC-JAVA : canal auxiliaire temporel lié à FrodoKEM
P3 · Élevée · CVE-2026-5598 — Une mise à jour de l’avis GHSA signale un canal auxiliaire temporel dans BC-JAVA, exploitable lors du déchiffrement d’encapsulations FrodoKEM.…
-
Traccar : contournement des contrôles d’accès aux fichiers média
P3 · Élevée · CVE-2026-104203 — Dans Traccar, un décalage d’interprétation des paramètres de chemin entre `MediaFilter` et Jetty permet à un attaquant non authentifié de…
-
Moleculer : déni de service via longueur de paquet TCP négative
P3 · Élevée · CVE-2026-97705 — Dans Moleculer, une longueur de paquet TCP négative pouvait déclencher une boucle synchrone infinie et bloquer la boucle d’événements Node.js.…
-
Contournement du verrouillage de connexion sur les appareils ProSoft ICX35
P3 · Élevée · CVE-2026-119746 — Les appareils ProSoft Technology ICX35 X35-HWC-A et X35-HWC-E appliquent leur verrouillage de compte dans du JavaScript côté client, ce qui…
-
Contournement du paiement dans GetPaid par quantité négative
P3 · Élevée · CVE-2026-119749 — Le plugin GetPaid ne valide pas correctement la quantité d’un article sur un formulaire de paiement public. Un attaquant non…
-
Stape Conversion Tracking : SSRF et risque de XSS via le proxy
P3 · Élevée · CVE-2026-118422 — Le proxy de Stape Conversion Tracking ne valide pas le sous-chemin ajouté à son point de terminaison amont. Une personne…
-
Contrôles d’autorisation insuffisants dans l’API REST de GetPaid
P3 · Élevée · CVE-2026-119747 — Le plugin GetPaid applique des contrôles d’autorisation inadéquats à certaines opérations de son API REST. Des utilisateurs authentifiés de moindre…