Le journal DFS
Backend & données
-
CVE-2026-63655 : épuisement mémoire dans le serveur HTTP de @tsparticles/mcp-server
P3 · Élevée · CVE-2026-63655 — Avant la version 4.3.1, le serveur HTTP de @tsparticles/mcp-server acceptait des requêtes POST /mcp sans authentification et accumulait sans limite…
-
CVE-2026-102523 — accès non autorisé à des fichiers de tables via des noms de partitions
P3 · Élevée · CVE-2026-102523 — Une validation insuffisante des noms de partitions dans `ALTER TABLE … CONVERT … PARTITION` peut permettre à un utilisateur authentifié…
-
HeyForm : téléversement de HTML actif pouvant mener à une XSS persistante
P3 · Élevée · CVE-2026-102615 — Une validation insuffisante des fichiers téléversés peut permettre à un utilisateur ordinaire de déposer du HTML actif, servi depuis l’origine…
-
LXD : accès inter-invités aux volumes DevLXD
P3 · Élevée · CVE-2026-12411 — Une faille dans LXD permet à un invité d’attacher un volume personnalisé DevLXD appartenant à un autre invité et d’en…
-
Incus : contournement des restrictions de projet lors de la copie d’instances
P3 · Élevée · CVE-2026-55622 — Incus ne vérifie pas correctement les restrictions de projet lors de la copie d’une instance depuis un autre projet, ce…
-
SiYuan : SSRF dans l’endpoint forwardProxy
P3 · Élevée · CVE-2026-32110 — Une validation insuffisante de l’URL dans l’endpoint authentifié `/api/network/forwardProxy` permet à un utilisateur authentifié de faire effectuer au serveur des…
-
Apache Juneau : initialisation de classes contrôlée par des données analysées
P3 · Critique · CVE-2026-73098 — Apache Juneau pouvait initialiser une classe nommée par une valeur analysée lorsqu’elle était affectée à une propriété de type java.lang.Class,…
-
LMFDB : injection de modèle permettant l’exécution de commandes
P3 · Critique · CVE-2026-123198 — LMFDB avant le commit 01829bd présente une injection de modèle côté serveur dans `render_knowl`, exploitable par des requêtes construites pour…
-
GHSA-f2fc-vc88-6w7q : mise à jour de l’avis sur l’injection de commandes dans @siteboon/claude-code-ui
P3 · Critique · CVE-2026-31862 — L’avis GHSA-f2fc-vc88-6w7q décrit une injection de commandes dans plusieurs API Git de @siteboon/claude-code-ui, où des paramètres contrôlés par l’utilisateur étaient…
-
kaniko : fuite possible de jetons Azure vers un hôte de registre usurpé
P3 · Critique · CVE-2026-105769 — Une validation insuffisante du nom d’hôte dans l’assistant d’identifiants ACR de kaniko pouvait transmettre un jeton d’accès Azure à un…