Le journal DFS
Veille sécurité
-
ReelShort pour Android : interfaces JavaScript accessibles depuis une page non fiable
P4 · CVE-2026-106716 — ReelShort pour Android 3.8.55 chargeait dans un WebView une URL activityUrl fournie par un lien profond sans vérifier l’origine, tout en exposant…
-
NewsBreak pour Android : validation d’origine insuffisante dans le pont JavaScript de WebView
P4 · CVE-2026-106715 — NewsBreak pour Android 26.21.0 considère certaines URL data:text/html comme des origines fiables pour son pont JavaScript de WebView. Un lien profond malveillant…
-
Chewy pour Android : validation insuffisante de l’hôte d’un lien profond et divulgation de profils
P4 · CVE-2026-106714 — Dans Chewy pour Android 26.23.0, un lien profond vers une page dont l’hôte n’est pas correctement vérifié peut charger un site contrôlé…
-
Apache OFBiz : XSS dans le visualiseur d’images du catalogue
P4 · CVE-2026-114229 — Le visualiseur d’images du catalogue Apache OFBiz 24.09 présente une faille XSS permettant à un attaquant non authentifié d’exécuter du JavaScript dans…
-
Essential Real Estate : accès aux images d’annonces non publiées
P4 · CVE-2026-90965 — Deux actions AJAX d’Essential Real Estate ne vérifient pas l’autorisation de l’appelant ni le statut de publication des annonces. Des utilisateurs non…
-
Essential Real Estate : envoi de courriels à des destinataires arbitraires
P4 · CVE-2026-90964 — Essential Real Estate ne restreint pas le destinataire d’une action d’envoi de courriel. Des utilisateurs non authentifiés peuvent envoyer, par l’intermédiaire du…
-
Essential Real Estate : divulgation d’annonces non publiées et de données d’agents
P4 · CVE-2026-90963 — Une action AJAX d’Essential Real Estate ne vérifie ni l’autorisation ni le statut de publication des annonces. Des utilisateurs non authentifiés peuvent…
-
Community Events : divulgation de soumissions en attente de modération
P4 · CVE-2026-86795 — Une action AJAX de Community Events ne comporte ni contrôle d’autorisation ni vérification de nonce suffisants. Des utilisateurs non authentifiés peuvent récupérer…
-
WP Event Manager : accès et modification de contenus non publiés
P4 · CVE-2026-86442 — WP Event Manager ne vérifie pas la propriété ni le type d’un article à partir d’un identifiant fourni dans le flux de…
-
Tutor LMS : divulgation des réponses correctes aux quiz
P4 · CVE-2026-85570 — Tutor LMS inclut les bonnes réponses aux questions de quiz dans la page servie à l’étudiant, même lorsque le réglage correspondant devrait…