Le journal DFS
Backend & données
-
Ghost : requêtes vers le réseau interne via Webmentions
P4 · Moyenne · CVE-2026-105647 — CVE-2026-105647 concerne une validation insuffisante permettant à un utilisateur non authentifié d’abuser de certaines fonctionnalités de Ghost, notamment Webmentions, pour…
-
Ghost : déni de service via l’import de contenu
P4 · Moyenne · CVE-2026-105646 — CVE-2026-105646 concerne une consommation excessive de processeur provoquée par un fichier d’import de contenu spécialement conçu dans Ghost. La description…
-
Ghost : déni de service via l’inliner de médias externes
P4 · Moyenne · CVE-2026-105645 — Une requête conçue pour exploiter l’inliner de médias externes de Ghost pouvait entraîner une consommation excessive du processeur et rendre…
-
Ghost : scripts hébergés sur le domaine du site via des SVG importés
P4 · Moyenne · CVE-2026-105644 — Ghost stockait sans assainissement les images SVG incluses dans des imports de contenu, ce qui pouvait permettre d’héberger des scripts…
-
CVE-2026-105245 : transmission en clair d’informations sensibles dans l’endpoint HTTP de sglang
P3 · Faible · CVE-2026-105245 — Une vulnérabilité de l’endpoint HTTP `server_info` de sglang peut entraîner la transmission en clair d’informations sensibles liées à l’argument `api_key`.…
-
flatted : pollution de prototype via parse()
P3 · Élevée · CVE-2026-33228 — La fonction `parse()` de flatted peut traiter une valeur contrôlée comme un index de tableau sans vérifier qu’elle est numérique,…
-
adm-zip : élévation de privilèges possible lors de l’extraction d’archives ZIP
P3 · Élevée · CVE-2026-102282 — Une archive ZIP spécialement conçue peut faire créer par adm-zip un fichier extrait avec les bits setuid/setgid/sticky lorsque `keepOriginalPermission=true` est…
-
Plane : accès non autorisé aux projets privés via la mutation GraphQL joinProject
P3 · Élevée · CVE-2026-105632 — Une faiblesse de contrôle d’accès dans la mutation GraphQL `joinProject` permet à un membre d’un espace de travail de rejoindre…
-
DLA-4822-1 : mise à jour de sécurité de ruby-oauth2
P3 · Élevée · CVE-2026-54603 — Une redirection HTTP à `Location` commençant par `//` peut faire envoyer l’en-tête `Authorization: Bearer` vers un hôte contrôlé par un…
-
Ghost : exécution possible de fichiers téléversés sur le domaine du site
P3 · Élevée · CVE-2026-105679 — Sur les sites Ghost utilisant l’adaptateur de stockage local par défaut, les restrictions de type de contenu appliquées aux fichiers…