Le journal DFS
Côté navigateur
-
XSS stockée dans Frappe LMS
P4 · Moyenne · CVE-2026-39375 — Dans Frappe LMS, un utilisateur authentifié disposant d’un rôle d’édition de cours peut injecter du JavaScript dans des champs de…
-
Liens javascript: insuffisamment filtrés dans RTIR
P4 · Moyenne · CVE-2026-105456 — RTIR laisse passer des liens contenant un marqueur interne, y compris des liens utilisant le schéma javascript:, ce qui permet…
-
Téléversement de fichiers pouvant conduire à l’exécution de JavaScript dans des modules Protectel
P4 · Moyenne · CVE-2025-68391 — Les modules ARKETEAM Protectel PROTECTELMAJ et BDF permettent le téléversement de fichiers arbitraires et l’écrasement de fichiers dans un répertoire…
-
Zuke : suivi de liens symboliques dans les commandes d’échafaudage
P4 · Moyenne · CVE-2026-119291 — Avant la version 1.4.0, @zuke/cli inspectait certains noms d’échafaudage sans empêcher ensuite les opérations de lecture, d’écriture ou de changement…
-
XSS stockée dans myTinyWMS
P3 · Élevée · CVE-2026-61804 — Dans myTinyWMS, un utilisateur authentifié peut enregistrer un nom de produit ou de catégorie malveillant qui exécute du JavaScript lorsqu’un…
-
XSS stockée dans SharePoint Manager Plus
P3 · Élevée · CVE-2026-119680 — Une XSS stockée dans la fonction graphique de SharePoint Manager Plus permet d’exécuter du JavaScript dans le navigateur d’autres utilisateurs…
-
n8n : exécution de code via des nœuds dépréciés hors isolation
P3 · Élevée · CVE-2026-119408 — Une vulnérabilité d’exécution de code à distance dans n8n permet à des utilisateurs authentifiés pouvant créer, modifier ou importer des…
-
CVE-2026-119333 — exécution d’un exécutable malveillant via le chemin de recherche Windows dans draw.io Desktop
P3 · Élevée · CVE-2026-119333 — draw.io Desktop sous Windows pouvait lancer un exécutable malveillant placé dans le dossier d’un diagramme ouvert depuis l’Explorateur, si l’application…
-
Zuke : exposition possible de secrets dans le résumé GitHub Actions
P3 · Élevée · CVE-2026-119290 — Avant la version 1.51.0, @zuke/core pouvait écrire des notes de résumé GitHub Actions sans appliquer le masquage des valeurs sensibles…
-
Zuke : validation insuffisante d’un workflow GitHub déclenché
P3 · Élevée · CVE-2026-119289 — Avant la version 1.10.0, la vérification de workflow de @zuke/gh pouvait accepter un résultat de workflow_dispatch en se fondant seulement…