Le journal DFS
Veille sécurité
-
GHSA-f2fc-vc88-6w7q : mise à jour de l’avis sur l’injection de commandes dans @siteboon/claude-code-ui
P3 · Critique · CVE-2026-31862 — L’avis GHSA-f2fc-vc88-6w7q décrit une injection de commandes dans plusieurs API Git de @siteboon/claude-code-ui, où des paramètres contrôlés par l’utilisateur étaient…
-
OpenHuman : exécution de commandes sans approbation via Yuanbao
P3 · Critique · CVE-2026-54141 — OpenHuman peut exécuter des commandes JavaScript et système à la suite d’un message direct Yuanbao, sans demander l’approbation attendue, lorsque…
-
Kyverno : contournement de validation de chemin dans les appels API de Policy
P3 · Critique · CVE-2026-122310 — Dans Kyverno 1.19.1, la validation de urlPath nettoyait le chemin mais l’exécution utilisait la valeur brute, permettant de dissimuler des…
-
kaniko : fuite possible de jetons Azure vers un hôte de registre usurpé
P3 · Critique · CVE-2026-105769 — Une validation insuffisante du nom d’hôte dans l’assistant d’identifiants ACR de kaniko pouvait transmettre un jeton d’accès Azure à un…
-
Incus : écriture de fichiers sur l’hôte via un lien symbolique dans une image
P3 · Critique · CVE-2026-48750 — Un lien symbolique `exec-output` dans une image Incus spécialement construite peut faire écrire les sorties d’exécution à un emplacement arbitraire…
-
Incus : contournement des restrictions de projet pouvant mener à l’exécution de commandes sur l’hôte
P3 · Critique · CVE-2026-48751 — Incus n’applique pas le réglage de restriction des fonctionnalités bas niveau lors de la restauration d’instantanés, ce qui peut permettre…
-
Security For WooCommerce : création non authentifiée de comptes administrateurs
P3 · Critique · CVE-2026-100109 — Une action accessible sans authentification permet de créer des comptes sans contrôle de capacité et laisse l’appelant choisir leur rôle.…
-
Jackson CBOR : déni de service par accumulation de tags
P4 · CVE-2026-106554 — Le parseur CBOR de `jackson-dataformat-cbor` peut subir un déni de service par complexité algorithmique lorsqu’il traite une longue suite de tags CBOR.…
-
XSS dans Data::MuForm via des valeurs et libellés non échappés
P4 · CVE-2026-121632 — Data::MuForm pour Perl, jusqu’à la version 0.05 incluse, rend sans échappement des valeurs d’attributs et des libellés d’options, ce qui peut permettre…
-
XSS dans SQL::Abstract::Tree via le profil html
P4 · CVE-2026-121008 — SQL::Abstract::Tree pour Perl, avant la version 2.000001_04, n’échappe pas le texte SQL ni les valeurs de liaison dans son profil html, ce…