Le journal DFS
Backend & données
-
Faille de validation dans spatie/url-signer
P4 · Moyenne · CVE-2026-121589 — La bibliothèque PHP `spatie/url-signer` présente une validation incorrecte de l’argument `expires` dans `AbstractUrlSigner::validate`, pouvant affecter la disponibilité. Les versions jusqu’à…
-
SourceHut meta.sr.ht : contournement de l’interdiction d’inscription via GraphQL
P4 · Moyenne · CVE-2026-121728 — Une vérification d’autorisation manquante dans meta.sr.ht permet à un attaquant non authentifié de créer un compte même lorsque l’inscription publique…
-
Symfony HtmlSanitizer : contournement du filtrage des redirections meta refresh
P4 · Moyenne · CVE-2026-121373 — Le sanitiseur de meta refresh peut laisser passer certaines formes de directive de redirection et ne pas appliquer le contrôle…
-
Symfony Routing : contournement possible des contrôles d’accès fondés sur le chemin
P4 · Moyenne · CVE-2026-118516 — Une différence d’interprétation entre CompiledUrlMatcher et UrlMatcher peut laisser un paramètre d’hôte consommer une partie du chemin et faire atteindre…
-
Arc : contournement du contrôle d’accès permettant la lecture de données d’autres bases
P4 · Moyenne · CVE-2026-55098 — Un avis publié le 4 novembre signale que des fonctions d’E/S DuckDB peuvent permettre à un utilisateur authentifié d’Arc de…
-
Sanluan PublicCMS : contournement d’autorisation dans le traitement des remboursements
P3 · Faible · CVE-2026-121583 — Dans Sanluan PublicCMS 5, la fonction `TradePaymentService.pendingRefund` présente un contournement d’autorisation lié au paramètre `userId`, permettant une attaque à distance.…
-
Apache Camel-PQC : désérialisation de données non fiables dans les fichiers de clés
P3 · Élevée · CVE-2026-40048 — Une mise à jour de l’avis GHSA signale une désérialisation de données non fiables dans Camel-PQC, susceptible de conduire à…
-
BC-JAVA : canal auxiliaire temporel lié à FrodoKEM
P3 · Élevée · CVE-2026-5598 — Une mise à jour de l’avis GHSA signale un canal auxiliaire temporel dans BC-JAVA, exploitable lors du déchiffrement d’encapsulations FrodoKEM.…
-
Traccar : contournement des contrôles d’accès aux fichiers média
P3 · Élevée · CVE-2026-104203 — Dans Traccar, un décalage d’interprétation des paramètres de chemin entre `MediaFilter` et Jetty permet à un attaquant non authentifié de…
-
Moleculer : déni de service via longueur de paquet TCP négative
P3 · Élevée · CVE-2026-97705 — Dans Moleculer, une longueur de paquet TCP négative pouvait déclencher une boucle synchrone infinie et bloquer la boucle d’événements Node.js.…