Le journal DFS
Backend & données
-
Tandoor Recipes : déni de service par expression régulière coûteuse
P4 · Moyenne · CVE-2026-59966 — Dans Tandoor Recipes avant 2.6.10, un utilisateur authentifié peut enregistrer dans une automatisation une expression régulière provoquant un retour arrière…
-
CVE-2026-109461 — Divulgation d’informations dans MSAL Node
P3 · Élevée · CVE-2026-109461 — Une erreur de validation d’origine dans le flux `auth_code` de MSAL Node peut permettre à un attaquant non autorisé de…
-
undici : plantage du processus Node.js lors du traitement de réponses décompressées
P4 · Moyenne · CVE-2026-87029 — Une erreur levée par un gestionnaire de réponse depuis un rappel asynchrone du flux zlib peut échapper au traitement d’erreurs…
-
CVE-2026-85985 : contrôles d’accès insuffisants dans les UDF de fichiers CONNECT
P4 · Moyenne · CVE-2026-85985 — Les UDF d’accès aux fichiers du moteur CONNECT ne vérifient pas correctement le privilège FILE ni le paramètre secure_file_priv. Un…
-
CVE-2026-85745 : lecture hors limites dans ST_Area
P4 · Moyenne · CVE-2026-85745 — Le traitement d’un WKB MultiPolygon invalide par ST_Area peut lire au-delà du tampon alloué et divulguer de la mémoire. Les…
-
Craftplan : création non autorisée de clients via GraphQL
P4 · Moyenne · CVE-2026-111349 — Craftplan jusqu’à la version 0.7.5 ne vérifie pas correctement l’autorisation de créer des clients dans la ressource CRM Customer. Un…
-
CVE-2026-62362 — Injection SQL dans PeerBanHelper, y compris avec le mapper PostgreSQL
P4 · Moyenne · CVE-2026-62362 — Une injection SQL dans l’endpoint `/api/statistic/analysis/field` de PeerBanHelper permet à un utilisateur authentifié d’interroger les données de la base, y…
-
Exposition d’identifiants MySQL dans HUSKY Products Filter
P4 · Moyenne · CVE-2026-107646 — HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données…
-
Arcane : contournement du contrôle administrateur sur les routes pprof
P4 · Moyenne · CVE-2026-96628 — Dans Arcane 2.10.2, un jeton d’accès d’environnement valide peut contourner le contrôle réservé aux administrateurs sur les routes `/api/debug/pprof/*`. Les…
-
Junrar : déni de service par boucle infinie lors du traitement d’une archive RAR4
P3 · Élevée · CVE-2026-97370 — Junrar peut rester bloqué dans une boucle consommant du processeur lors du traitement d’une archive RAR4 spécialement conçue, ce qui…