Le journal DFS
Côté navigateur
-
OpenHuman : exécution de commandes sans approbation via Yuanbao
P3 · Critique · CVE-2026-54141 — OpenHuman peut exécuter des commandes JavaScript et système à la suite d’un message direct Yuanbao, sans demander l’approbation attendue, lorsque…
-
XSS dans Data::MuForm via des valeurs et libellés non échappés
P4 · CVE-2026-121632 — Data::MuForm pour Perl, jusqu’à la version 0.05 incluse, rend sans échappement des valeurs d’attributs et des libellés d’options, ce qui peut permettre…
-
XSS dans SQL::Abstract::Tree via le profil html
P4 · CVE-2026-121008 — SQL::Abstract::Tree pour Perl, avant la version 2.000001_04, n’échappe pas le texte SQL ni les valeurs de liaison dans son profil html, ce…
-
XSS dans CGI pour Perl via des apostrophes non échappées dans les URL
P4 · CVE-2026-120643 — CGI pour Perl, dans les versions 4.62 à antérieures à 5.00, peut produire des URL contenant des apostrophes non échappées, ce qui…
-
CGI pour Perl : redirection ouverte et injection de script via REQUEST_URI
P4 · CVE-2026-120636 — Les versions de CGI pour Perl antérieures à 5.00 peuvent construire des URL ou des actions de formulaire à partir de REQUEST_URI…
-
Bagisto : XSS stockée via des pièces jointes HTML RMA
P4 · Faible · CVE-2026-121733 — Bagisto avant la version 2.4.5 permet à des clients authentifiés de téléverser des fichiers HTML via la messagerie RMA sans…
-
XSS réfléchie dans Eclipse Mojarra via l’identifiant client window
P4 · Moyenne · CVE-2026-120421 — Eclipse Mojarra est vulnérable dans les versions 2.2.0 à 4.0.28, 4.1.0 à 4.1.19 et 5.0.0-M1 à 5.0.0-M11 lorsque le mode…
-
XSS réfléchie dans le module Tenders de Coupa Supplier Portal
P4 · Moyenne · CVE-2026-111037 — Le module Tenders de Coupa Supplier Portal SaaS présente une XSS réfléchie: le paramètre list_item_function est renvoyé sans encodage adéquat…
-
XSS stockée dans le shortcode de Simple CAPTCHA with Cloudflare Turnstile
P4 · Moyenne · CVE-2026-93900 — Le plugin Simple CAPTCHA with Cloudflare Turnstile pour WordPress, dans les versions jusqu’à 1.44.3 incluses, permet une XSS stockée via…
-
XSS stockée via des attributs de blocs dans VikWidgetsLoader
P4 · Moyenne · CVE-2026-118983 — VikWidgetsLoader pour WordPress, avant la version 1.12.3, n’assainit ni n’échappe plusieurs attributs de blocs avant de les placer dans des…