Le journal DFS
Backend & données
-
Apache OFBiz : requêtes sortantes et lecture de fichiers via ViewDataFile
P4 · Moyenne · CVE-2026-82902 — Dans Apache OFBiz 24.09 avant 24.09.08, l’action ViewDataFile pouvait émettre des requêtes HTTP arbitraires depuis le serveur et, avec des…
-
vault-java-driver : épuisement de pile avec des réponses JSON profondément imbriquées
P4 · Moyenne · CVE-2026-112072 — Le parseur JSON embarqué dans vault-java-driver ne limite pas la profondeur d’imbrication ; une réponse Vault profondément imbriquée peut provoquer…
-
Pillow : consommation excessive de ressources lors du rendu EPS
P4 · Moyenne · CVE-2026-112899 — Dans Pillow jusqu’à la version 12.3.0, le rendu EPS ne valide pas les dimensions de l’image mise à l’échelle avant…
-
nvm : motif de version interprété comme option de grep
P4 · Moyenne · CVE-2026-121749 — Dans nvm 0.5.0 à 0.40.8, un motif de version commençant par un tiret était transmis à grep sans protection contre…
-
nvm : affichage involontaire du contenu d’un fichier via .nvmrc symbolique
P4 · Moyenne · CVE-2026-121747 — Dans nvm 0.2.0 à 0.40.8, un `.nvmrc` symbolique pouvait amener certaines commandes à afficher le contenu du fichier visé dans…
-
nvm : écriture à travers un lien symbolique .nvmrc
P4 · Moyenne · CVE-2026-121746 — Dans nvm 0.40.0 à 0.40.8, les commandes `nvm use –save` et `nvm install –save` pouvaient suivre un lien symbolique `.nvmrc`…
-
Altair : exécution de script via l’URL directe de l’iframe-sandbox
P4 · Moyenne · CVE-2026-110802 — Une navigation directe vers une URL spécialement construite de l’iframe-sandbox d’Altair peut charger un script fourni par un attaquant dans…
-
HedgeDoc : valeur de permission invalide pouvant élargir l’accès aux notes
P4 · Moyenne · CVE-2026-102927 — Dans HedgeDoc, un propriétaire de note pouvait enregistrer une valeur de permission non prise en charge, ce qui pouvait élargir…
-
Injection SQL dans EmployeeRecruitmentSystem
P4 · Moyenne · CVE-2026-122038 — Une injection SQL à distance a été signalée dans EmployeeRecruitmentSystem, dans le gestionnaire de mise à jour du tableau des…
-
Symfony Validator : des adresses internes pouvaient passer les modes filtrés de la contrainte Ip
P4 · Moyenne · CVE-2026-123125 — Dans certains modes filtrés de la contrainte Ip, IpValidator pouvait accepter comme publiques des adresses internes ou des formes IPv6…