Le journal DFS
Backend & données
-
ProxySQL — lecture de données non initialisées lors de la décompression de paquets MySQL
P3 · Élevée · CVE-2026-102664 — Une vérification insuffisante de la longueur des données décompressées dans ProxySQL peut conduire à lire des données non initialisées et…
-
Symfony HttpClient : mise à jour substantielle de la fiche sur la fuite d’identifiants des scopes
P3 · Élevée · CVE-2026-121971 — ScopingHttpClient pouvait fusionner les options d’authentification du scope avant de résoudre une URL relative, puis conserver ces options lorsque la…
-
Symfony Security : mise à jour substantielle de la fiche sur l’extraction d’identifiant depuis un DN X.509
P3 · Élevée · CVE-2026-118513 — Symfony a corrigé une extraction de l’identifiant utilisateur depuis le DN du certificat client qui pouvait confondre des séparateurs échappés…
-
Coupa Supplier Portal : SSRF lors de la conversion de modèles DOCX
P3 · Élevée · CVE-2026-111036 — La plateforme SaaS Coupa Supplier Portal présente une SSRF dans la conversion de documents DOCX en PDF avec la bibliothèque…
-
DataLinkDC Dinky : SSRF dans le proxy Flink Web
P3 · Moyenne · CVE-2026-122009 — Dans DataLinkDC Dinky, une SSRF affecte l’endpoint proxy `flink_web` via la fonction `FlinkWebURITemplateProxyServlet.getNewTargetUri`. La manipulation du paramètre `_authority` peut être…
-
bitcoinjs-lib : validation de racine de Merkle insuffisante
P3 · Critique · CVE-2026-107846 — Une validation de racine de Merkle dans bitcoinjs-lib peut accepter un bloc dont la liste de transactions contient des doublons…
-
Active Storage : lecture et écriture de fichiers via le traitement ImageMagick
P3 · Critique · CVE-2026-122006 — Dans Active Storage, l’analyse d’une pièce jointe par ImageMagick sans politique de sécurité adéquate peut permettre la lecture ou l’écriture…
-
Code malveillant dans le gem RubyGems w002yardprobe
P3 · Critique — L’avis signale du code malveillant dans les versions 0.0.4 et 0.0.5 du gem w002yardprobe. La génération de documentation YARD déclenche un script…
-
Multiples vulnérabilités dans PostgreSQL — avis CERTFR-2026-AVI-1445
P4 — Le CERT-FR a publié un avis faisant état de vulnérabilités dans PostgreSQL, avec des impacts mentionnés d’injection SQL, de contournement de la politique de…
-
CVE-2026-121263 — Parcours de chemin dans MoTranslator
P4 · Faible · CVE-2026-121263 — CVE-2026-121263 concerne MoTranslator jusqu’à la version 6.0.1 : la fonction `Loader::getTranslator` peut subir un parcours de chemin lorsque l’argument `locale`…