Le journal DFS
Backend & données
-
Multiples vulnérabilités dans MongoDB
P4 — Le CERT-FR a publié le 5 novembre 2026 un avis signalant plusieurs vulnérabilités dans MongoDB, avec des risques pouvant inclure l’exécution de code à…
-
Injection SQL dans Apache OFBiz sur MySQL/MariaDB
P4 · CVE-2026-81815 — Apache OFBiz présente une injection SQL dans le service générique performFind de son moteur d’entités lorsque le déploiement utilise MySQL ou MariaDB.…
-
nvm : exécution de commandes via une valeur LTS malveillante
P4 · Faible · CVE-2026-121751 — Dans nvm 0.39.6 à 0.40.8, des valeurs reçues depuis l’index d’un miroir Node.js pouvaient être évaluées comme expressions arithmétiques shell…
-
nvm : archive rejetée réutilisable depuis le cache hors ligne
P4 · Faible · CVE-2026-121750 — Dans nvm 0.40.5 à 0.40.8, une archive dont la somme de contrôle échouait pouvait rester dans le cache puis être…
-
nvm : modification de fichiers de configuration détournée par .npmrc
P4 · Faible · CVE-2026-121748 — Dans nvm 0.27.0 à 0.40.8, `nvm use –delete-prefix` pouvait laisser le fichier `.npmrc` du projet déterminer quel fichier de configuration…
-
nvm : divulgation locale du jeton NVM_AUTH_HEADER
P4 · Faible · CVE-2026-121745 — Dans nvm 0.40.0 à 0.40.8, lorsque NVM_AUTH_HEADER est défini, le jeton d’accès pouvait apparaître dans les arguments de curl ou…
-
Symfony HtmlSanitizer : les attributs srcset et imagesrcset contournaient la politique des médias
P4 · Faible · CVE-2026-121949 — HtmlSanitizer ne validait pas les URL présentes dans les attributs srcset et imagesrcset selon la politique appliquée aux médias. Un…
-
Symfony HtmlSanitizer : contournement de listes d’hôtes avec certaines URL
P4 · Faible · CVE-2026-118517 — UrlSanitizer pouvait interpréter certaines URL différemment des navigateurs et ne pas appliquer correctement les listes d’hôtes autorisés. Le problème concerne…
-
Symfony HttpClient : l’adresse IP vérifiée n’était pas épinglée pour les hôtes mis en cache
P4 · Faible · CVE-2026-123119 — Dans NoPrivateNetworkHttpClient, les requêtes suivantes vers un hôte mis en cache pouvaient résoudre à nouveau son nom DNS sans épingler…
-
Emissary : validation insuffisante des liens de navigation
P4 · Moyenne · CVE-2026-54442 — Emissary acceptait des URL relatives au protocole comme liens de navigation configurés, que le navigateur peut normaliser vers une origine…