Le journal DFS
Côté navigateur
-
DOMPurify — XSS via attributs SVG en mode XHTML
P4 · Moyenne · CVE-2026-116802 — DOMPurify avant 3.4.17 présente un contournement du filtrage XSS dans certaines configurations XHTML : la casse de l’attribut attributeName n’est…
-
Mauvaise tokenisation CSS dans Crass permettant un contournement d’assainissement
P4 · Moyenne · CVE-2026-116695 — Crass pouvait mal analyser certains jetons URL CSS, ce qui pouvait permettre à un assainisseur utilisant cette bibliothèque de laisser…
-
Pollution de prototype et exécution de JavaScript dans CKEditor 5 — CVE-2026-116688
P3 · Élevée · CVE-2026-116688 — CKEditor 5 utilise une version vulnérable de es-toolkit dont le comportement de pollution de prototype est atteignable pendant le traitement…
-
XSS via des images SVG dans l’API de sessions IA
P3 · Élevée · CVE-2026-117494 — Le traitement d’images SVG soumises à l’API /api/v2/ai/sessions peut permettre l’exécution de scripts intégrés lorsque le contenu est affiché dans…
-
XSS stockée dans les widgets BloX
P3 · Élevée · CVE-2026-117493 — BloX permet une XSS stockée dans les widgets : le contenu HTML ou JavaScript reçu dans les paramètres desc et…
-
Seroval : injection de JavaScript dans la sérialisation de tableaux typés
P4 · Moyenne · CVE-2026-116583 — Dans Seroval, les API qui produisent du JavaScript peuvent incorporer comme code exécutable le nom de constructeur contrôlé d’un tableau…
-
Seroval : XSS possible lors de l’intégration de RegExp sérialisées dans HTML
P4 · Moyenne · CVE-2026-116582 — Les API de sortie JavaScript de Seroval n’échappent pas correctement le caractère inférieur à dans certaines sources de RegExp sérialisées,…
-
Esri Portal for ArcGIS — XSS réfléchie (CVE-2026-50096)
P4 · Moyenne · CVE-2026-50096 — Une XSS réfléchie dans Esri Portal for ArcGIS peut permettre à un attaquant distant non authentifié d’exécuter du JavaScript dans…
-
Esri Portal for ArcGIS — XSS réfléchie (CVE-2026-33520)
P4 · Moyenne · CVE-2026-33520 — Une XSS réfléchie dans Esri Portal for ArcGIS peut permettre à un attaquant distant non authentifié de faire exécuter du…
-
Webasyst Framework : XSS persistante dans l’application Photos
P4 · Moyenne · CVE-2026-116212 — Dans Webasyst Framework jusqu’à la version 4.4.0, un utilisateur authentifié disposant de droits de modification d’album peut injecter du JavaScript…