Le journal DFS
Backend & données
-
Kusalkasilva Learning-Management-System : injection SQL au point de connexion administrateur
P3 · Moyenne · CVE-2026-105919 — Le point de connexion administrateur de Kusalkasilva Learning-Management-System présente une injection SQL à distance via les paramètres username/password de `admin/login.php`.…
-
Kusalkasilva Learning-Management-System : injection SQL au point de connexion
P3 · Moyenne · CVE-2026-105918 — Une injection SQL à distance affecte le point de connexion de Kusalkasilva Learning-Management-System, dans `login.php`, par manipulation des paramètres username/password.…
-
RainyGao DocSys : injection SQL distante, exploit public signalé
P3 · Moyenne · CVE-2026-105158 — La fiche NVD signale une injection SQL distante dans RainyGao DocSys jusqu’à la version 2.02.85, dans la fonction createDBForMysql de…
-
AhsayCBS : correctif initial insuffisant pour CVE-2026-105133
P1 · Moyenne · CVE-2026-105133 — La fiche CVE a été mise à jour pour préciser que le correctif initial d’AhsayCBS ne réglait pas correctement la…
-
vm2 : évasion de bac à sable avec Node.js 26
P3 · Critique · CVE-2026-92956 — Une évasion de bac à sable a été signalée dans vm2 lorsque celui-ci est utilisé avec Node.js 26 : du…
-
Handlebars — injection JavaScript par confusion de type dans un AST pré-parsé
P3 · Critique · CVE-2026-106446 — Handlebars ne validait pas tous les champs d’un AST pré-parsé, permettant à un objet AST non fiable de faire injecter…
-
Langflow : dérivation insuffisamment sûre de la clé de chiffrement des identifiants
P3 · Critique · CVE-2026-9205 — Langflow dérivait la clé Fernet utilisée pour chiffrer les identifiants stockés à partir de SECRET_KEY au moyen du générateur pseudo-aléatoire…
-
Langflow : exécution de flux sans authentification via les webhooks
P3 · Critique · CVE-2026-8505 — Une erreur dans l’authentification des webhooks de Langflow permettait à un utilisateur non authentifié de déclencher l’exécution d’un flux en…
-
Plugin Crayons pour SPIP : défaut d’autorisation pouvant mener à l’exécution de PHP
P3 · Critique · CVE-2026-104070 — Le plugin Crayons pour SPIP avant 3.5.0 présente un défaut d’autorisation permettant à un attaquant non authentifié de modifier des…
-
Smarty : injection de code dans le cache PHP des modèles
P3 · Critique · CVE-2026-82531 — Smarty présente une injection de code pouvant conduire à l’exécution de PHP lors de l’inclusion d’un fichier cache régénéré. Le…