Le journal DFS
Backend & données
-
PHP : nouvelle vulnérabilité RCE divulguée
P4 — Le 23 octobre, le CERT-EU a relayé la divulgation par PHP d’une nouvelle vulnérabilité d’exécution de code à distance, concernant des applications configurées d’une…
-
DB-GPT expose une instance MySQL avec des identifiants root statiques
P3 · Critique · CVE-2026-77933 — La configuration Docker par défaut de DB-GPT jusqu’à la version 0.8.2 fixe un mot de passe root MySQL et expose…
-
Paquet PyPI malveillant déclenché au chargement de Python
P2 · Critique — Un paquet PyPI malveillant, `security-research-startup-snapshot-810764b303` version 0.1.0, a été signalé le 2026-10-20. Son fichier `.pth` s’exécute au chargement de Python et collecte…
-
Apache Kylin : désérialisation Java non sûre via un service de cache externe
P4 · CVE-2026-64610 — Apache Kylin est affecté par une désérialisation Java non sûre pouvant survenir à partir d’un service de cache externe défaillant. Les versions…
-
crmeb_java : accès non autorisé aux commandes d’autres membres
P4 · Faible · CVE-2026-111354 — Une faille de contrôle d’accès permet à un membre authentifié de consulter des commandes appartenant à d’autres utilisateurs en fournissant…
-
CVE-2026-111628 — injection d’objets PHP dans 10up Distributor
P4 · Faible · CVE-2026-111628 — 10up Distributor, avant la version 2.3.2, présente une injection d’objets PHP déclenchable par des utilisateurs ayant le rôle Contributeur. L’impact…
-
CoreDNS : panic provoqué par un transfert AXFR k8s_external avec un lot vide
P4 · Faible · CVE-2026-62994 — Une requête AXFR visant une zone CoreDNS configurée avec `k8s_external` peut provoquer un panic si un service headless Kubernetes possède…
-
Scoold : partage de données et actions authentifiées possibles via une configuration CORS permissive
P4 · Moyenne · CVE-2026-55842 — Scoold autorise une origine web arbitraire à effectuer des requêtes API avec les identifiants de session d’un utilisateur connecté, en…
-
AsyncHttpClient : exposition d’informations et écrasement de fichier via l’état des téléchargements reprenables
P4 · Moyenne · CVE-2026-102740 — La bibliothèque AsyncHttpClient peut exposer des URL de téléchargement et permettre à un utilisateur local d’écraser un fichier accessible au…
-
Xiaozhi-esp32-server-java : contournement d’authentification pour les jetons d’appareil
P4 · Moyenne · CVE-2026-111623 — Une requête OTA peut permettre à un attaquant non authentifié d’obtenir un jeton WebSocket valide en fournissant une adresse MAC…