Le journal DFS
Backend & données
-
VentureDrake Laravel CRM : contournement d’autorisations via Livewire
P3 · Élevée · CVE-2026-110629 — Dans VentureDrake Laravel CRM avant 2.4.0, des utilisateurs authentifiés disposant de droits limités peuvent contourner les autorisations par rôles via…
-
Incohérence de traitement des entités XML dans njs
P3 · Élevée · CVE-2026-101019 — Le module XML de NGINX JavaScript (njs) peut exposer de façon incohérente des attributs XML contenant des entités internes pendant…
-
Inclusion locale de fichier dans LifterLMS via le shortcode checkout
P3 · Élevée · CVE-2026-110284 — La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans LifterLMS, affectant les versions jusqu’à…
-
Inclusion de fichier local dans BP Profile Search
P3 · Élevée · CVE-2026-104995 — BP Profile Search peut inclure un fichier local à partir d’une valeur de modèle contrôlée par le client dans une…
-
CVE-2026-91184 — injection de directives via NGINX Gateway Fabric
P3 · Élevée · CVE-2026-91184 — Un attaquant authentifié disposant de droits dans un espace de noms peut fournir une valeur realm spécialement construite dans une…
-
CVE-2026-96615 — lecture de clés TLS entre espaces de noms dans NGINX Gateway Fabric
P3 · Élevée · CVE-2026-96615 — Un attaquant authentifié disposant d’un accès à un compte de service peut usurper la connexion gRPC authentifiée de NGINX Agent.…
-
CVE-2026-104939 — accès non authentifié avec externalAuth dans NGINX Ingress Controller
P3 · Élevée · CVE-2026-104939 — Une mauvaise gestion de la réponse HTTP de l’IdP OAuth avec une politique externalAuth peut permettre à un attaquant distant…
-
Debian publie DSA-6575-1 pour CVE-2026-97629 dans nginx
P4 · Moyenne · CVE-2026-97629 — Debian a signalé le 21 octobre un défaut de synchronisation des clés de tickets de session TLS entre processus workers,…
-
Injection de commandes dans Stills
P3 · Critique · CVE-2026-110649 — Stills présentait une injection de commandes système lors du traitement de chemins de fichiers multimédias forgés. Un attaquant pouvant fournir…
-
Injection de commandes dans Video-stitch
P3 · Critique · CVE-2026-110645 — Video-stitch présentait une injection de commandes système lorsque des noms de fichiers contrôlés étaient interpolés sans échappement dans des commandes…