Le journal DFS
Côté navigateur
-
CVE-2026-71189 — exécution de JavaScript dans la session d’un autre utilisateur
P4 · Moyenne · CVE-2026-71189 — Une requête préparée par un attaquant peut, si un autre utilisateur de l’application l’exécute, déclencher l’exécution de JavaScript dans son…
-
Contournement de la liste d’autorisation du Netlify Image CDN dans Astro
P4 · Moyenne · CVE-2026-102983 — Une validation insuffisamment ancrée des URL autorisées pour le Netlify Image CDN peut permettre de contourner la liste image.domains ou…
-
Validation insuffisante des URL dans le plugin WordPress Audio Player Block
P4 · Moyenne · CVE-2026-85415 — Le plugin WordPress Audio Player Block, dans les versions antérieures à 1.6.3, ne vérifie pas le schéma des URL fournies…
-
ammonia : contournement de l’assainissement SVG pouvant mener à une XSS
P4 · Moyenne · CVE-2026-102342 — La bibliothèque Rust ammonia peut conserver dans certains SVG une animation ciblant href avec une valeur utilisant le schéma javascript:,…
-
XSS réfléchi dans EasyFlow .NET
P4 · Moyenne · CVE-2026-102459 — EasyFlow .NET présente une vulnérabilité de cross-site scripting réfléchi permettant à un attaquant distant non authentifié de faire exécuter du…
-
Épuisement mémoire du rendu serveur Angular via l’analyse d’URL
P3 · Élevée · CVE-2026-101896 — Dans Angular, l’analyseur d’URL de @angular/router pouvait consommer une quantité disproportionnée de mémoire avec certains paramètres numériques lorsque le rendu…
-
Un Host malformé peut interrompre l’adaptateur Node d’Astro
P3 · Élevée · CVE-2026-102984 — Un en-tête Host contenant un port malformé peut faire échouer la construction de l’URL de requête dans l’adaptateur Node d’Astro.…
-
Fichiers téléversés non validés dans le plugin WordPress Verge3D
P3 · Élevée · CVE-2026-92994 — Le plugin WordPress Verge3D Publishing and E-Commerce, dans les versions antérieures à 4.13.1, ne valide pas le contenu des fichiers…
-
XSS stockée dans Kiteworks Core permettant une élévation de privilèges
P3 · Élevée · CVE-2026-102126 — Kiteworks Core présente une XSS stockée qu’un administrateur disposant d’une permission déléguée limitée peut exploiter pour exécuter du JavaScript dans…
-
MISP — XSS stockée dans l’aperçu du graphe d’événement
P3 · Élevée · CVE-2026-103321 — MISP présente une XSS stockée dans l’aperçu du graphe d’événement : la valeur de l’image, non validée côté serveur, est…