Le journal DFS
Côté navigateur
-
Code malveillant dans le paquet npm hardhat-init
P3 · Critique — L’avis signale que hardhat-init@2.21.0 contient un fichier JavaScript fortement obfusqué exécuté dès le chargement du module. Le paquet ne semble pas fournir…
-
DigitalCanion : XSS stockée affectant la gestion des utilisateurs
P4 · Faible · CVE-2026-104808 — Un utilisateur authentifié peut injecter du JavaScript ou du HTML persistant dans le champ « Microsoft Exchange mailbox » de…
-
DigitalCanion : XSS stockée dans le champ Description
P4 · Faible · CVE-2026-104807 — Un utilisateur authentifié peut injecter du contenu JavaScript ou HTML persistant dans le champ « Description » de Configuration →…
-
Penpot : exécution de JavaScript via des médias SVG non assainis
P4 · Moyenne · CVE-2026-105694 — Penpot enregistrait des médias SVG téléversés par des utilisateurs ayant le droit de modifier un fichier sans assainir les scripts,…
-
Quay : XSS dans le gestionnaire de rappel OAuth
P4 · Moyenne · CVE-2026-102295 — Le gestionnaire de rappel OAuth de Quay présente une XSS qui peut exécuter du JavaScript dans la session d’un utilisateur…
-
CVE-2026-102426 — SP Page Builder Pro : XSS réfléchie
P4 · Moyenne · CVE-2026-102426 — La fiche NVD décrit une XSS réfléchie dans l’extension Dynamic Content Filter de SP Page Builder Pro, versions 3.0.0 à…
-
Exécution de JavaScript via le formulaire OAuth du type de média e-mail
P4 · Moyenne · CVE-2026-59788 — Dans le formulaire OAuth du type de média e-mail, la valeur du point de terminaison Authorization est transmise à window.open()…
-
Zabbix Server : lecture de données mémoire via le prétraitement JavaScript
P4 · Moyenne · CVE-2026-59782 — Le moteur de prétraitement JavaScript Duktape de Zabbix Server peut permettre à un administrateur disposant de privilèges limités de lire…
-
flatted : pollution de prototype via parse()
P3 · Élevée · CVE-2026-33228 — La fonction `parse()` de flatted peut traiter une valeur contrôlée comme un index de tableau sans vérifier qu’elle est numérique,…
-
Plane : XSS stockée via une pièce jointe SVG
P3 · Élevée · CVE-2026-105630 — Plane permettait à un membre authentifié, y compris un invité, de téléverser un SVG contenant du JavaScript comme pièce jointe.…