Le journal DFS
Côté navigateur
-
Lecture de fichiers arbitraires dans Product Designer App
P3 · Élevée · CVE-2026-75098 — CVE-2026-75098 est une vulnérabilité de traversée de répertoires dans Product Designer App, via le paramètre `svg`. Les versions jusqu’à 1.1.3…
-
XSS stockée non authentifiée dans Kiteworks Core
P3 · Critique · CVE-2026-102147 — Kiteworks Core présente une XSS stockée exploitable sans authentification, qui peut exécuter du JavaScript dans la session d’un administrateur consultant…
-
Injection de commandes dans `node:child_process` sous Windows
P3 · Critique · CVE-2026-103473 — Une injection de commandes affecte `node:child_process` sous Windows lorsque des arguments non fiables sont utilisés avec l’option `shell`. L’attaquant peut…
-
Code malveillant dans le paquet npm contoso-login-sim-loader
P3 · Critique — Un avis publié le 2026-09-30 signale du code malveillant dans contoso-login-sim-loader 1.0.1, distribué sous la forme d’un script navigateur chiffré et exécuté…
-
Avis de paquet npm malveillant concernant dotenv-preflight
P3 · Critique — L’avis classe `dotenv-preflight@1.0.0` comme paquet malveillant et décrit un module JavaScript fortement obfusqué. Son chargement peut exécuter le code du paquet dans…
-
Exfiltration de sessions WhatsApp dans cortana-md-engine
P3 · Critique — L’avis signale que cortana-md-engine 1.4.6 enregistre l’état d’authentification WhatsApp du bot dans des bases MongoDB distantes avec des identifiants inclus dans le…
-
Code malveillant dans esm-dotenv
P3 · Critique — L’avis signale que esm-dotenv 1.0.1 exécute du code malveillant dès son chargement sur un système Windows, par l’intermédiaire d’un contenu caché dans…
-
Code malveillant dans godsplan
P3 · Critique — L’avis signale que le CLI godsplan 3.0.2 se connecte au port de débogage de Chrome et injecte du JavaScript dans les pages…
-
Code malveillant dans json-bigint-rs
P3 · Critique — L’avis signale que json-bigint-rs 0.1.1 contient un chargeur malveillant dissimulé dans son module WASM, qui peut récupérer puis exécuter du JavaScript distant…
-
Code malveillant dans pixsvg
P3 · Critique — L’avis signale du code malveillant dans pixsvg 0.2.0 : une fonction exportée peut reconstruire du JavaScript à partir d’un SVG fourni en…