Le journal DFS
Backend & données
-
CERT-FR : vulnérabilité d’injection SQL dans Ruby on Rails trilogy
P4 — Le CERT-FR signale une vulnérabilité dans Ruby on Rails trilogy pouvant permettre une injection SQL. Les versions affectées et le correctif ne sont pas…
-
CVE-2026-116251 : sessions conservées après changement de mot de passe
P4 · Faible · CVE-2026-116251 — pgAdmin 4 ne révoquait pas les sessions déjà ouvertes après un changement ou une réinitialisation du mot de passe d’un…
-
Campfire : contournement du contrôle d’accès réseau privé dans l’aperçu de liens
P4 · Faible · CVE-2026-100355 — Campfire jusqu’à la version 1.4.4 ne bloque pas certaines plages d’adresses spéciales lors de la génération d’aperçus OpenGraph, ce qui…
-
Énumération de noms d’utilisateur par temporisation dans Picsou
P4 · Moyenne · CVE-2026-62860 — L’endpoint de connexion de Picsou peut révéler si un nom d’utilisateur existe par différence de temps de réponse, même si…
-
Stirling-PDF : lecture de fichiers locaux via la conversion SVG en PDF
P4 · Moyenne · CVE-2026-119342 — Dans Stirling-PDF, une référence d’image SVG root-relative sans schéma pouvait contourner le contrôle d’URL externe et permettre à Batik de…
-
Infinispan : épuisement de pile dans le parseur de requêtes Ickle
P4 · Moyenne · CVE-2026-119542 — Le parseur de requêtes Ickle d’Infinispan pouvait épuiser la pile Java face à des prédicats profondément imbriqués et lever une…
-
UAA : risque de déni de service par désérialisation répétée de JWKS
P4 · Moyenne · CVE-2026-59396 — UAA pouvait retraiter intégralement des données JWKS mises en cache à la suite de tentatives d’authentification invalides avec private_key_jwt. Un…
-
joserfc : allocation mémoire avant le contrôle de taille des JWS compacts
P4 · Moyenne · CVE-2026-119284 — Une erreur de désérialisation JWS compact provoque une allocation de mémoire proportionnelle au jeton avant que les limites de taille…
-
CVE-2026-116248 : partage non autorisé de serveurs pgAdmin
P4 · Moyenne · CVE-2026-116248 — En mode serveur, un utilisateur non administrateur pouvait partager un serveur avec tous les utilisateurs via l’API ou un import,…
-
AxonHub : élévation de privilèges via les portées de clés de service
P4 · Moyenne · CVE-2026-119599 — AxonHub permettait à des utilisateurs de projet ayant le droit write_api_keys de créer des clés de service avec des portées…