Le journal DFS
Backend & données
-
Nginx UI : écriture de sauvegardes hors du répertoire prévu
P4 · Moyenne · CVE-2026-84320 — Avant Nginx UI 2.4.3, le nom contrôlé par l’utilisateur d’une sauvegarde automatique n’était pas filtré contre les séparateurs de chemin…
-
Nginx UI : un jeton court révoqué peut rester valide via le cache
P4 · Moyenne · CVE-2026-84321 — Dans Nginx UI antérieur à 2.4.1, la révocation des jetons ne supprimait pas toujours du cache les jetons courts créés…
-
Parse Server : contournement du contrôle d’introspection GraphQL via le cache de requêtes persistées
P4 · Moyenne · CVE-2026-109302 — Parse Server ne vérifiait pas son contrôle d’introspection GraphQL pour les opérations obtenues depuis le cache Apollo des requêtes persistées…
-
Coraza : corps multipart tronqué non signalé comme erreur stricte
P4 · Moyenne · CVE-2026-41508 — Lorsqu’un corps multipart tronqué provoque io.ErrUnexpectedEOF, Coraza peut arrêter l’analyse sans activer le signal MULTIPART_STRICT_ERROR. Les règles défensives recommandées peuvent…
-
Coraza : falsification de lignes dans les journaux d’audit Native
P4 · Moyenne · CVE-2026-41504 — Avec le format d’audit Native, des retours chariot ou sauts de ligne contrôlés par un attaquant peuvent forger des lignes…
-
Injection SQL dans JEEWMS (CVE-2026-108777)
P3 · Faible · CVE-2026-108777 — JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `WvGiController.list`, via l’argument `searchstr`. La fiche indique qu’un exploit public…
-
Injection SQL dans JEEWMS (CVE-2026-108775)
P3 · Faible · CVE-2026-108775 — JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `WvNoticeController.list`, via l’argument `searchstr`. La fiche signale un exploit public,…
-
Injection SQL dans JEEWMS (CVE-2026-108774)
P3 · Faible · CVE-2026-108774 — JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `getbinall/getbinallagv` de `MdBinController.java`, par manipulation des arguments `binstore`, `binid`, `des`…
-
Injection SQL dans JEEWMS (CVE-2026-108773)
P3 · Faible · CVE-2026-108773 — JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL exploitable à distance dans la fonction `docheck` de `WmOmNoticeHController.java`, via l’argument `goodscode`. La…
-
Open WebUI : divulgation du code source Python des outils partagés
P3 · Élevée · CVE-2026-109293 — La fiche NVD fournie décrit une divulgation du code source Python des outils partagés en lecture seule dans Open WebUI.…