Le journal DFS
CMS & e-commerce
-
Ghost : hébergement de fichiers arbitraires via les cartes de signet
P3 · Élevée · CVE-2026-105651 — Ghost permettait à un membre du personnel de faire héberger, sur le domaine du site, des fichiers non image récupérés…
-
Ghost : scripts non fiables via l’intégration d’URL
P3 · Élevée · CVE-2026-105650 — CVE-2026-105650 concerne l’intégration dans Ghost d’une URL provenant d’un site contrôlé par un attaquant, qui pouvait conduire à l’enregistrement de…
-
Ghost : SVG non assainis dans les médias téléversés
P3 · Élevée · CVE-2026-105649 — CVE-2026-105649 concerne des miniatures de médias SVG et des images SVG téléversées avec une extension non-SVG qui étaient enregistrées sans…
-
Ghost : XSS stocké possible via les cartes embed
P3 · Élevée · CVE-2026-105643 — Les cartes embed de Ghost pouvaient contourner les protections contre le cross-site scripting stocké et enregistrer des scripts exécutés lorsqu’un…
-
Ghost : exécution de commandes possible via le traitement d’images SVG
P3 · Élevée · CVE-2026-105642 — Dans Ghost, la création d’une carte bookmark vers un site contrôlé par un attaquant pouvait déclencher l’exécution de commandes sur…
-
Contournement d’autorisation sur le téléchargement de fichiers dans Phoca Cart
P3 · Élevée · CVE-2026-102775 — Phoca Cart 5.0.0 à 6.1.8 ne vérifie pas les jetons fournis pour télécharger les fichiers de commandes. Un utilisateur distant,…
-
Injection SQL non authentifiée dans OrdaSoft Joomla CCK
P3 · Critique · CVE-2026-102428 — OrdaSoft Joomla CCK avant 8.3.16 présente une injection SQL non authentifiée via la colonne de tri des enregistrements. Mettre à…
-
Code malveillant dans focus-visible-polyfill-lite (npm)
P3 · Critique — L’avis signale que focus-visible-polyfill-lite@1.0.0 exécute à l’import des commandes de reconnaissance système et transmet les résultats à un serveur externe. Son interface…
-
Code malveillant dans css-starting-style-polyfill (npm)
P3 · Critique — L’avis signale que css-starting-style-polyfill@1.0.0 exécute à son chargement des commandes de reconnaissance et transmet les résultats à un serveur externe. Le paquet…
-
Code malveillant dans css-light-dark-polyfill (npm)
P3 · Critique — L’avis signale que css-light-dark-polyfill@1.0.0 contient un module qui, à son chargement, collecte des informations sur l’hôte et les transmet à un serveur…