Le journal DFS
Côté navigateur
-
HomeBox : XSS via un lien `javascript:` dans un champ personnalisé
P4 · Moyenne · CVE-2026-75599 — Dans HomeBox, un utilisateur authentifié peut enregistrer dans un champ personnalisé un lien Markdown utilisant le schéma `javascript:`. Si un…
-
OpenHuman sur macOS : capture du bureau depuis une vue intégrée
P4 · Moyenne · CVE-2026-54144 — Sur macOS, du JavaScript exécuté dans une origine intégrée autorisée peut obtenir une capture réelle du bureau par `getDisplayMedia` sans…
-
Huginn : XSS stockée via le nom d’affichage d’un compte OAuth
P4 · Moyenne · CVE-2026-123094 — Huginn présente une XSS stockée dans `service_label` : un utilisateur authentifié peut relier un compte OAuth doté d’un nom ou…
-
VitaFit cloud API : XSS stocké via des SVG
P4 · Moyenne · CVE-2026-54380 — La VitaFit cloud API avant le 2026-10-30 permettait à un utilisateur authentifié de téléverser un SVG contenant du JavaScript, ensuite…
-
Les clients MCP indépendants peuvent être empêchés d’ouvrir une session dans tsParticles
P4 · Moyenne · CVE-2026-76893 — Le mode HTTP de `@tsparticles/mcp-server` réutilisait un transport avec état partagé entre les clients; un premier client non authentifié pouvait…
-
Readest : accès arbitraire à des fichiers depuis le webview privilégié
P3 · Élevée · CVE-2026-57567 — Dans les versions desktop Tauri de Readest antérieures à 0.11.10, des commandes accessibles depuis le webview acceptaient des chemins contrôlés…
-
CVE-2026-76892 : arrêt du serveur MCP par JSON malformé
P3 · Élevée · CVE-2026-76892 — Avant la version 4.3.1, une requête POST /mcp contenant un JSON malformé pouvait provoquer une exception SyntaxError non interceptée et…
-
Exécution de commandes lors de la publication stable de tsParticles
P3 · Élevée · CVE-2026-76826 — La publication stable de tsParticles pouvait exécuter des commandes shell lors du traitement de notes de version contrôlées par un…
-
CVE-2026-63655 : épuisement mémoire dans le serveur HTTP de @tsparticles/mcp-server
P3 · Élevée · CVE-2026-63655 — Avant la version 4.3.1, le serveur HTTP de @tsparticles/mcp-server acceptait des requêtes POST /mcp sans authentification et accumulait sans limite…
-
noname Electron : serveur local vulnérable permettant la modification de fichiers depuis un site malveillant
P3 · Élevée · CVE-2026-123208 — Dans les versions de bureau noname Electron 1.11.2 à 1.11.6.1, un serveur de fichiers local non authentifié avec CORS générique…