Le journal DFS
Backend & données
-
Nginx UI : application de directives restreintes via l’interface MCP
P3 · Élevée · CVE-2026-84319 — Nginx UI présente un contrôle insuffisant dans son interface de configuration MCP : un utilisateur secondaire authentifié peut appliquer des…
-
Nginx UI : contournement de la validation des configurations via MCP
P3 · Élevée · CVE-2026-84318 — Dans Nginx UI, l’outil MCP `nginx_config_add` pouvait écrire et recharger une configuration sans valider les directives dangereuses, contrairement à l’API…
-
Nginx UI : validation de directives absente sur l’ajout de configuration MCP
P3 · Élevée · CVE-2026-84317 — Dans Nginx UI avant 2.4.1, l’outil MCP nginx_config_add écrit une configuration et recharge Nginx sans appeler le contrôle qui bloque…
-
Nginx UI : contournement de la validation des directives de configuration
P3 · Élevée · CVE-2026-84316 — Dans Nginx UI avant 2.4.1, la validation de configuration peut ne vérifier que le premier jeton d’une ligne et être…
-
Nginx UI : opérations sensibles accessibles sans session renforcée
P3 · Élevée · CVE-2026-84315 — Dans Nginx UI avant 2.4.1, plusieurs routes de modification ne demandent pas la session renforcée attendue pour les utilisateurs ayant…
-
Nginx UI : modification du mot de passe d’un autre utilisateur sans session renforcée
P3 · Élevée · CVE-2026-84314 — Dans Nginx UI avant 2.4.1, un utilisateur authentifié peut modifier le mot de passe d’un autre utilisateur via POST /api/users/:id…
-
Nginx UI : enrôlement non autorisé d’un facteur d’authentification
P3 · Élevée · CVE-2026-84313 — Dans Nginx UI avant 2.4.1, certaines routes d’enrôlement OTP et de passkey acceptent une session authentifiée sans revérifier le mot…
-
Nginx UI : contournement de l’exigence de session sécurisée via MCP
P3 · Élevée · CVE-2026-84360 — Avant Nginx UI 2.4.1, les routes MCP de modification de configuration exigeaient une authentification ordinaire mais pas la session sécurisée…
-
@neo4j/graphql : inversion du quantificateur none dans les filtres d’autorisation
P3 · Élevée · CVE-2026-92682 — Dans @neo4j/graphql de 7.0.0 à toute version antérieure à 7.6.4, le quantificateur none des filtres @authorization de relations et connexions…
-
Metasploit Framework : traversée de chemin dans le module de collecte iOS
P3 · Élevée · CVE-2026-87690 — Une traversée de chemin dans le module Metasploit `post/apple_ios/gather/ios_image_gather` permet à un appareil iOS hostile de faire écrire des fichiers…