Le journal DFS
Veille sécurité
-
Fallow — suivi de configurations de test hors du projet
P4 · Faible · CVE-2026-115569 — Fallow pouvait suivre des chemins de configuration Jest ou Vitest contrôlés par un attaquant hors de la racine du projet,…
-
Fermeture non autorisée d’avis dans LiteSpeed Cache
P4 · Faible · CVE-2026-113501 — LiteSpeed Cache avant la version 7.9.2 ne vérifie pas les capacités de l’utilisateur lors de la fermeture d’avis d’administration et…
-
Action non autorisée sur les popups dans Popup Builder
P4 · Faible · CVE-2026-112230 — Popup Builder avant la version 4.4.6 ne vérifie pas les autorisations avant de déplacer du contenu de popup vers la…
-
XSS stockée dans Speed Optimizer
P4 · Faible · CVE-2026-111737 — Speed Optimizer antérieur à 7.8.5 n’assainit ni n’échappe certains paramètres avant de les insérer dans l’en-tête des pages publiques. Des…
-
Contrôle d’accès insuffisant dans l’approbation des connexions multisite
P4 · Faible · CVE-2026-110537 — Essential Addons for Elementor antérieur à 6.8.7 ne vérifie pas correctement si un administrateur peut gérer les comptes visés par…
-
Injection d’éléments HTML dans Essential Addons for Elementor
P4 · Faible · CVE-2026-110510 — Essential Addons for Elementor antérieur à 6.8.7 ne valide pas certains paramètres de balise HTML utilisés par des widgets pour…
-
pghoard — identifiants de base de données consignés dans les journaux debug
P4 · Faible · CVE-2026-54711 — Dans pghoard, l’utilisation de .pgpass pouvait entraîner l’écriture du nom d’utilisateur et du mot de passe de connexion à la…
-
SvelteKit — redirection ouverte via les actions de formulaire améliorées
P4 · Faible · CVE-2026-114060 — SvelteKit présente une redirection ouverte dans les actions de formulaire améliorées (`use:enhance`) lorsque des routes acceptent des chemins commençant par…
-
FastMCP : contrôle d’autorisation omis après transformation de composants
P4 · Moyenne — Dans certains chemins d’accès directs, FastMCP appliquait une transformation à un composant sans vérifier à nouveau l’autorisation sur le composant transformé, permettant…
-
FastMCP : absence de liaison d’émetteur dans les fournisseurs OAuth
P4 · Moyenne — Les fournisseurs OAuth de FastMCP ne liaient pas les identifiants client à l’émetteur du serveur d’autorisation attendu, ce qui pouvait transmettre un…