Le journal DFS
Côté navigateur
-
Advanced Custom Fields : XSS stockée via une définition de champ
P3 · Élevée · CVE-2026-110813 — Le plugin Advanced Custom Fields (ACF) avant la version 6.8.11 assainit incorrectement une définition de champ stockée modifiable via le…
-
Hisense VIDAA : service WebDriver exposé sans authentification
P3 · Élevée · CVE-2026-123993 — Une version QA du moteur Cobalt dans le firmware VIDAA concerné expose sans authentification un service WebDriver accessible sur le…
-
MCB WordPress : XSS stockée dans les statistiques d’administration
P3 · Élevée · CVE-2026-110525 — Le plugin WordPress MCB jusqu’à la version 1.0.0 ne neutralise pas les valeurs d’en-tête HTTP avant de les afficher dans…
-
JupyterLab Desktop : injection JavaScript pouvant mener à l’exécution de code
P3 · Critique · CVE-2026-102530 — JupyterLab Desktop avant 4.6.2-1 insère des URL de serveurs distants sans encodage sûr dans des vues rendues par l’application; une…
-
Chartbrew : injection SQL via les variables de tableaux de bord
P3 · Critique · CVE-2026-54349 — Chartbrew avant 5.2.1 comporte une injection SQL dans la substitution de variables de tableaux de bord, pouvant être déclenchée par…
-
ReelShort pour Android : interfaces JavaScript accessibles depuis une page non fiable
P4 · CVE-2026-106716 — ReelShort pour Android 3.8.55 chargeait dans un WebView une URL activityUrl fournie par un lien profond sans vérifier l’origine, tout en exposant…
-
NewsBreak pour Android : validation d’origine insuffisante dans le pont JavaScript de WebView
P4 · CVE-2026-106715 — NewsBreak pour Android 26.21.0 considère certaines URL data:text/html comme des origines fiables pour son pont JavaScript de WebView. Un lien profond malveillant…
-
Chewy pour Android : validation insuffisante de l’hôte d’un lien profond et divulgation de profils
P4 · CVE-2026-106714 — Dans Chewy pour Android 26.23.0, un lien profond vers une page dont l’hôte n’est pas correctement vérifié peut charger un site contrôlé…
-
Apache OFBiz : XSS dans le visualiseur d’images du catalogue
P4 · CVE-2026-114229 — Le visualiseur d’images du catalogue Apache OFBiz 24.09 présente une faille XSS permettant à un attaquant non authentifié d’exécuter du JavaScript dans…
-
WP PageNavi Style : XSS persistante via des paramètres non protégés contre CSRF
P4 · CVE-2026-109150 — WP PageNavi Style jusqu’à la version 1.4 ne nettoie ni n’échappe correctement certains paramètres et ne vérifie pas les requêtes CSRF lors…