Le journal DFS
Backend & données
-
Apache Wicket — contrôle incomplet du chemin de ressource (CVE-2026-84177)
P4 · Moyenne · CVE-2026-84177 — Une incohérence entre le chemin vérifié et le chemin complété ensuite peut permettre, sous certaines conditions, de lire des gabarits…
-
Fastify — arrêt du processus Node.js lors de l’expiration d’un délai sur une réponse de streaming
P4 · Moyenne · CVE-2026-120216 — Une requête distante vers une route de streaming peut faire planter le processus Node.js si `handlerTimeout` est non nul et…
-
Sanluan PublicCMS — contournement d’autorisation (CVE-2026-120319)
P3 · Faible · CVE-2026-120319 — Une manipulation du paramètre refundId dans TradeRefundService.updateAmound peut contourner l’autorisation à distance dans Sanluan PublicCMS. La fiche indique que l’exploit…
-
Apache Wicket — divulgation possible de gabarits HTML (CVE-2026-83594)
P3 · Élevée · CVE-2026-83594 — Une validation de chemin peut approuver un fichier différent de celui ensuite ouvert, permettant dans certaines applications de divulguer le…
-
Apache Wicket — injection de script via des identifiants non échappés (CVE-2026-95863)
P3 · Élevée · CVE-2026-95863 — Des identifiants de composants ou d’éléments contenant certains caractères sont insérés dans des chaînes JavaScript sans échappement adapté, ce qui…
-
Android — contournement de FRP dans OemLockService (CVE-2026-58989)
P3 · Élevée · CVE-2026-58989 — Un contrôle d’autorisation manquant dans `setOemUnlockAllowedByUser` peut permettre de contourner la protection FRP et entraîner une élévation locale de privilèges.…
-
Android — contournement de permission dans MediaQualityService (CVE-2026-58986)
P3 · Élevée · CVE-2026-58986 — Un contrôle d’autorisation manquant dans `notifyPictureProfileHandleSelection` peut permettre un contournement de permission et une élévation locale de privilèges. La fiche…
-
Android — contournement de permission dans PresentationController (CVE-2026-58979)
P3 · Élevée · CVE-2026-58979 — Une erreur de logique dans `canPresent` peut permettre un contournement de permission et une élévation locale de privilèges. La fiche…
-
Android — lancement d’activité en arrière-plan via AppTimeTracker (CVE-2026-58970)
P3 · Élevée · CVE-2026-58970 — Un confused deputy dans `deliverResult` peut provoquer le lancement d’une activité en arrière-plan et une élévation locale de privilèges. La…
-
Android — confused deputy dans MusicFxHelper (CVE-2026-58965)
P3 · Élevée · CVE-2026-58965 — Un traitement de diffusion agissant comme « confused deputy » dans `handleAudioEffectBroadcast` peut permettre un contournement de permission et une…