Le journal DFS
Côté navigateur
-
Splunk Enterprise — déni de service via le logger JavaScript de Splunk Web
P3 · Élevée · CVE-2026-76288 — Une requête non authentifiée spécialement construite pouvait bloquer le traitement des requêtes par Splunk Web. Le service restait indisponible jusqu’au…
-
Strands Agents SDK : exposition de conversations entre sessions A2A
P3 · Élevée · CVE-2026-115419 — Le serveur A2A de Strands Agents SDK peut partager l’historique de conversation entre des appelants ayant des context_id différents, permettant…
-
DOMPurify : expressions de template conservées dans les shadow roots
P3 · Critique — Dans certains modes de retour DOM, `SAFE_FOR_TEMPLATES` ne réexamine pas les expressions de template réunies dans le contenu d’un shadow root attaché…
-
Better Auth — contournement de l’authentification Magic Link via l’état OAuth
P3 · Critique · CVE-2026-114607 — Dans certaines configurations combinant Magic Link et OAuth, Better Auth pouvait accepter l’état OAuth comme jeton Magic Link, permettant à…
-
Code malveillant dans formatting-subtitles (npm)
P3 · Critique — L’avis GHSA-2cph-9873-fh57 signale du code malveillant dans le paquet npm formatting-subtitles@1.0.2. Son script preinstall exécute des commandes shell qui contactent un collecteur…
-
SvelteKit — XSS via un en-tête cache-control non fiable dans une page prérendue
P4 · Faible · CVE-2026-114061 — SvelteKit peut produire une XSS lorsqu’une page prérendue transmet, par `setHeaders`, une valeur `cache-control` non fiable : cette valeur est…
-
ApostropheCMS : absence d’authentification sur la route cleanExport
P4 · Faible · CVE-2026-113648 — La route `clean-export` du module `@apostrophecms/import-export` ne vérifie pas l’authentification ni l’autorisation avant d’appeler sa méthode de nettoyage. Un client…
-
Astro : injection CSS dans les View Transitions
P4 · Faible · CVE-2026-114127 — Le générateur CSS serveur d’Astro ne confinait pas certaines valeurs de propriétés d’animation dans leur déclaration CSS. Une valeur contrôlée…
-
Nuxt : contournement de correction `javascript:` avec `pages` désactivé
P4 · Faible · CVE-2026-114130 — Une correction antérieure de Nuxt pouvait être contournée lorsque l’application n’utilisait pas le système `pages` et que l’URL était préfixée…