Le journal DFS
Côté navigateur
-
Apache Impala — XSS stockée dans le plan de requête Web
P4 · Moyenne · CVE-2026-93684 — Dans Apache Impala jusqu’à la version 4.5.2 incluse, un utilisateur SQL disposant uniquement du droit SELECT pouvait insérer du JavaScript…
-
Gitea — exécution de JavaScript via l’API média
P4 · Moyenne · CVE-2026-96594 — Gitea ne définissait pas les en-têtes de contenu adaptés pour certains fichiers HTML de 1 Kio ou moins servis par…
-
If-So Dynamic Content — XSS dans une page d’administration
P3 · Élevée · CVE-2026-87971 — Le plugin WordPress If-So Dynamic Content antérieur à la version 1.10.2 ne validait pas le schéma d’une URL fournie dans…
-
Gitea : exécution de JavaScript via les blobs du registre de conteneurs
P4 · CVE-2026-103667 — Le registre de conteneurs Gitea sert des blobs avec un type de contenu tiré des manifestes poussés, sans `Content-Disposition` ni politique de…
-
Node-convict : déni de service par pollution de prototype dans config.set()
P4 · CVE-2026-106550 — `config.set()` dans Node-convict est vulnérable à une pollution de prototype permettant à un attaquant contrôlant une clé de configuration d’écraser des propriétés…
-
Quasar : échec possible de openURL via du HTML contrôlé
P4 · Faible · CVE-2026-106101 — Dans certaines configurations iOS, du HTML contrôlé par un attaquant peut faire échouer `openURL()` et perturber les redirections externes, notamment…
-
Handlebars : XSS par intégration en ligne non sûre de modèles précompilés
P4 · Moyenne · CVE-2026-106444 — La sortie JavaScript de `Handlebars.precompile()` peut contenir une séquence qui ferme l’élément HTML « , même lorsqu’elle se trouve dans une…
-
fast-copy : épuisement de pile lors de la copie de valeurs profondément imbriquées
P4 · Moyenne — La copie récursive de valeurs très imbriquées par fast-copy peut épuiser la pile d’appels et déclencher une `RangeError`. Mettez à niveau vers…
-
LiquidJS : divulgation de propriétés héritées malgré ownPropertyOnly
P4 · Moyenne · CVE-2026-106120 — Dans LiquidJS, l’option `ownPropertyOnly` ne bloque pas systématiquement la lecture d’indices de tableaux hérités par plusieurs opérations et filtres, notamment…
-
Ansible Platform : XSS DOM dans la route de redirection
P4 · Moyenne · CVE-2026-106033 — L’interface Ansible Platform est vulnérable à une XSS DOM via la route de redirection, qui reprend le paramètre de requête…