Le journal DFS
Backend & données
-
DLA-4819-1 : fuite d’identifiants lors de redirections HTTP
P4 · CVE-2026-91766 — Debian a publié le 5 octobre 2026 une mise à jour de sécurité pour php8.2 concernant une fuite d’identifiants par le wrapper…
-
YAHMAN Add-ons pour WordPress : CVE-2026-75799, écriture PHP distante et RCE
P4 · CVE-2026-75799 — Le plugin WordPress YAHMAN Add-ons antérieur à 0.9.31 ne valide pas le type des fichiers distants mis en cache dans un répertoire…
-
CMSimple 5.24 : CVE-2026-88418, CSRF désactivé par défaut menant à du PHP évalué
P4 · CVE-2026-88418 — CMSimple 5.24 est publié avec une protection CSRF désactivée par défaut. Une requête forgée visant un administrateur connecté peut injecter un marqueur…
-
WuzhiCMS 5.0.0 : CVE-2026-88419 permet l’upload de PHP et l’exécution de code
P3 · Élevée · CVE-2026-88419 — Le point d’entrée de téléversement de miniatures de WuzhiCMS 5.0.0 accepte des fichiers dangereux et conserve l’extension fournie par le…
-
@vitemirrorte/element-plus-vite-cli 2.9.1 : paquet npm malveillant avec agent C2 persistant
P2 · Critique — La version 2.9.1 de @vitemirrorte/element-plus-vite-cli est signalée comme malveillante. Son hook postinstall installe un agent persistant capable de recevoir des commandes, de…
-
n8n-nodes-metricsagent 1.0.0 : paquet npm malveillant ouvrant une porte dérobée RCE
P2 · Critique — Le paquet npm n8n-nodes-metricsagent 1.0.0 est identifié comme malveillant. Son script postinstall lance un serveur HTTP non authentifié lié à toutes les…
-
n8n-nodes-healthmon : paquet npm malveillant exposant une RCE sur le port 41111
P2 · Critique — Le paquet npm n8n-nodes-healthmon est identifié comme malveillant. Pendant l’installation, il démarre un serveur HTTP sur toutes les interfaces qui transmet des…
-
CVE-2026-76805 : Nuclei peut divulguer ses variables d’environnement en mode DAST/fuzz
P4 · Moyenne · CVE-2026-76805 — Le chemin d’évaluation d’expressions DAST/fuzz de Nuclei peut divulguer des variables d’environnement de l’hôte de scan à un serveur cible…
-
LightRAG : CVE-2026-85709, fuite d’informations par messages d’erreur API bruts
P3 · Moyenne · CVE-2026-85709 — Avant 1.5.5, des handlers de l’API LightRAG retournaient directement les chaînes d’exception Python dans les réponses HTTP. Cela peut exposer…
-
CVE-2026-77528 : Autobahn Python contourne la limite de taille après décompression WebSocket
P3 · Moyenne · CVE-2026-77528 — Autobahn Python contrôlait maxMessagePayloadSize sur la taille compressée des trames WebSocket permessage-deflate, sans vérifier de nouveau la taille du message…