Le journal DFS
Côté navigateur
-
Défaut d’autorisation Zimbra pouvant conduire à une exécution de JavaScript via le proxy
P3 · Élevée · CVE-2026-93639 — Un défaut d’autorisation dans Zimbra permet à un administrateur délégué sans droits administratifs explicites de modifier la configuration globale des…
-
XSS réfléchie dans les points d’accès IIIF Auth de Goobi viewer
P3 · Critique · CVE-2026-55486 — Goobi viewer présente une XSS réfléchie dans les points d’accès IIIF Auth 2.0 : le paramètre origin est repris sans…
-
Paquet npm malveillant portant le nom React
P3 · Critique — L’avis GitHub signale le paquet npm malveillant `@ecg-internal/js-react-i18n` et considère comme compromis tout ordinateur sur lequel il a été installé ou exécuté.…
-
Paquet npm malveillant dans l’écosystème Nuxt : @kibt/www-nuxt-i18n
P3 · Critique — Une version malveillante du paquet npm `@kibt/www-nuxt-i18n` a été signalée comme malware; les systèmes où il a été installé doivent être considérés…
-
CVE-2025-69723 : XSS réfléchie dans LocalStack 4.9.2
P4 · CVE-2025-69723 — Une vulnérabilité XSS réfléchie dans LocalStack 4.9.2 permet l’exécution de JavaScript dans le navigateur d’un utilisateur au moyen d’une URL conçue à…
-
DOMPurify : garde SMIL `attributeName=href` contournée en mode XHTML
P4 · Faible — En mode XHTML, DOMPurify peut ne pas appliquer une protection sur `attributeName` lorsque la casse est préservée, dans une configuration non par…
-
webpack-dev-server : divulgation de chemins locaux via open-editor
P4 · Moyenne · CVE-2026-114348 — L’endpoint open-editor peut contourner la validation de Host lorsqu’une valeur malformée commence par file: ou un schéma d’extension. Une requête…
-
stream-json : déni de service CPU via les filtres de chemin de FlexAssembler
P4 · Moyenne · CVE-2026-114129 — Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué…
-
ammonia : XSS conditionnelle via `annotation-xml` MathML
P4 · Moyenne · CVE-2026-63430 — Une faille XSS basée sur une confusion de parsing entre HTML et MathML peut permettre l’injection de JavaScript si certaines…
-
XSS stockée dans OpenCATS
P4 · Moyenne · CVE-2026-115513 — OpenCATS présente une XSS stockée avant la version 0.12.0 : des noms ou titres de fiches peuvent être affichés sans…