Le journal DFS
CMS & e-commerce
-
Paquet npm malveillant se faisant passer pour un utilitaire d’accessibilité
P4 — Le paquet npm `css-a11y-contrast-utils` version 1.0.0 est signalé comme malveillant et usurpe des modules internes Wix. Malgré son nom d’utilitaire d’accessibilité, son chargement collecte…
-
Paquet npm malveillant dissimulé derrière un utilitaire CSS
P4 — Le paquet npm `rgx33-css-grid-utils` version 1.0.0 est signalé comme malveillant et reproduit des identifiants de registres internes de Wix. Son chargement collecte et exfiltre…
-
Paquet npm malveillant ciblant l’espace de noms interne de Wix
P4 — Le paquet npm `css-anchor-pos-fallback` version 1.0.0 est signalé comme malveillant et usurpe des noms de registres internes associés à Wix. À l’import, il exécute…
-
Paquet npm malveillant se faisant passer pour un utilitaire d’accessibilité
P4 — Le paquet npm `minimal-a11y-contrast-check` version 1.0.0 est signalé comme malveillant et imite des noms de registres internes liés à Wix. Son import déclenche une…
-
Paquet npm malveillant ciblant des dépendances internes Wix
P4 — Le paquet npm `rgx33-flex-layout-core` version 1.0.0 est signalé comme malveillant et usurpe des noms de registres internes associés à Wix. Son chargement collecte des…
-
Ghost : accès possible à des fichiers locaux hors des répertoires prévus
P4 · Faible · CVE-2026-105683 — Une validation insuffisante des entrées dans Ghost pouvait permettre à un membre du personnel d’accéder à des fichiers locaux situés…
-
Ghost : SSRF via la fonctionnalité de webhooks
P4 · Faible · CVE-2026-105682 — La fonctionnalité de webhooks de Ghost comportait une vulnérabilité SSRF permettant à des membres du personnel de sonder des hôtes…
-
Ghost : divulgation de l’ordre relatif de mots de passe hachés
P4 · Faible · CVE-2026-105652 — Dans Ghost, un membre du personnel pouvait déterminer l’ordre relatif des mots de passe hachés d’autres membres du personnel. Cela…
-
Exécution non authentifiée de tâches d’automatisation dans TF Content
P4 · Moyenne · CVE-2026-102779 — TF Content 2.9.0 à 2.9.4 expose sans authentification une action permettant de lancer les tâches d’automatisation publiées. Un invité peut…
-
SSRF dans le sélecteur Google Photos d’Event Gallery
P4 · Moyenne · CVE-2026-102777 — Dans Event Gallery avant 6.6.0, le sélecteur Google Photos récupère des miniatures à une adresse fournie dans la requête sans…