Le journal DFS
Veille sécurité
-
XSS conditionnelle dans CKEditor 5 — CVE-2026-116687
P4 · Faible · CVE-2026-116687 — Dans CKEditor 5, du balisage spécialement conçu peut provoquer une exécution de JavaScript dans un contexte isolé de l’origine de…
-
TiendaCrypto para WooCommerce : vérification de webhook défectueuse
P4 · Faible · CVE-2026-103325 — TiendaCrypto para WooCommerce jusqu’à la version 1.2.1 ne vérifie pas correctement la signature de son webhook de paiement, car la…
-
Phoca Download : faille CSRF dans la gestion des catégories
P4 · Moyenne · CVE-2026-102787 — CVE-2026-102787 concerne une faille CSRF dans la gestion des catégories de Phoca Download, affectant les versions 3.1.0 à 6.1.5. La…
-
GitPython : Submodule.move() peut suivre un lien symbolique hors du worktree
P4 · Moyenne — `Submodule.move()` de GitPython peut suivre un lien symbolique intermédiaire contrôlé par le contenu d’un dépôt et déplacer le sous-module hors de l’arborescence…
-
a2a-java : condition de concurrence dans TaskManager.saveTaskEvent
P4 · Moyenne · CVE-2026-117507 — CVE-2026-117507 concerne une condition de concurrence dans TaskManager.saveTaskEvent d’a2a-java, susceptible d’être déclenchée à distance. Les versions jusqu’à 1.2.0.Final sont concernées…
-
a2a-java : consommation excessive de ressources dans le Push Notification Config Store
P4 · Moyenne · CVE-2026-117506 — CVE-2026-117506 affecte le composant Push Notification Config Store d’a2a-java et peut entraîner une consommation excessive de ressources à distance. Les…
-
a2a-java — consommation de ressources dans ChildQueue
P4 · Moyenne · CVE-2026-117505 — Dans a2a-java, une manipulation de ChildQueue.queue.offer peut provoquer une consommation excessive de ressources et être déclenchée à distance. Les versions…
-
snappy-java : plages non vérifiées pouvant faire planter la JVM
P4 · Moyenne · CVE-2026-116590 — `Snappy.arrayCopy` et les méthodes de flux qui l’utilisent pouvaient transmettre à une copie native des offsets ou longueurs non vérifiés,…
-
GitPython : divulgation de variables d’environnement via un nom de sous-module construit
P4 · Moyenne — Lors du clonage d’un dépôt contenant un sous-module malveillant, GitPython pouvait développer une variable d’environnement présente dans le nom du sous-module et…
-
Le propagateur Jaeger d’OpenTelemetry Python peut subir un déni de service par valeurs de baggage volumineuses
P4 · Moyenne · CVE-2026-116694 — Le JaegerPropagator d’OpenTelemetry Python traitait les valeurs `uberctx-*` reçues sans limites sur leur nombre ni leur taille. Un flux non…