Le journal DFS
Veille sécurité
-
SiYuan — XSS via la redirection de /check-auth
P3 · Élevée · CVE-2026-116167 — SiYuan versions 2.9.0 à 3.8.6 présente une XSS sur la page non authentifiée /check-auth, qui redirige vers une URL sans…
-
Duplicator : exécution de PHP arbitraire possible dans un environnement multisite
P3 · Élevée · CVE-2026-115251 — La publication NVD du 25 octobre signale que Duplicator, avant la version 5.0.0, expose une procédure de mise à niveau…
-
Datawiza Proxy Auth Plugin : usurpation possible d’un compte administrateur
P3 · Critique · CVE-2026-115214 — La publication NVD du 25 octobre signale que Datawiza Proxy Auth Plugin, avant la version 1.1.1, ne vérifie pas l’origine…
-
Logiciel malveillant signalé dans le paquet npm redis-dumper
P3 · Critique — Le 25 octobre 2026, GitHub a publié un avis concernant un logiciel malveillant dans le paquet npm `redis-dumper`. L’avis recommande de considérer…
-
Debian DSA-6583-1 : mise à jour de sécurité de libheif
P4 — Debian a publié DSA-6583-1 pour corriger plusieurs problèmes de sécurité dans libheif. Le traitement d’images HEIF ou AVIF spécialement conçues pouvait provoquer un déni…
-
Linux : dépassement de tampon dans le pilote ims-pcu
P4 · CVE-2026-64565 — Une vérification de bornes manquante dans le pilote `ims-pcu` du noyau Linux peut provoquer un dépassement de tampon sur le tas lorsqu’un…
-
Debian DLA-4857-1 : correctifs de sécurité pour Caddy
P4 · CVE-2026-52845 — Debian a publié DLA-4857-1 pour corriger plusieurs problèmes de sécurité dans Caddy, notamment des contournements de contrôles d’accès, l’exécution d’un fichier inattendu…
-
Contournement de l’échappement HTML dans serialize-javascript
P4 · Faible · CVE-2026-115897 — Dans serialize-javascript avant 7.1.3, une fonction sérialisée dont le texte source est contrôlé peut contourner l’échappement et fermer prématurément un…
-
GeoDirectory : modification non autorisée d’annonces d’invités
P4 · Faible · CVE-2026-113674 — GeoDirectory avant 2.8.194 vérifie incorrectement la propriété des annonces soumises par des utilisateurs déconnectés avant d’en autoriser la modification. Si…
-
MLflow : SSRF via l’invocation de scorers tiers
P4 · Moyenne · CVE-2026-115886 — Une désérialisation de scorer MLflow peut permettre, sans authentification, des requêtes HTTP sortantes vers une destination contrôlée par l’attaquant, sous…