Le journal DFS
Veille sécurité
-
fast-uri : une référence relative peut sortir de son répertoire attendu
P4 · Faible · CVE-2026-110095 — La normalisation d’une référence relative peut supprimer un segment « .. » et la faire pointer hors du répertoire attendu.…
-
ApostropheCMS : modification ou suppression non autorisée de notifications
P4 · Faible · CVE-2026-113665 — Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB…
-
uploadfs : traversée de chemin dans le backend de stockage local
P4 · Faible · CVE-2026-113651 — Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire…
-
sanitize-html : contournement de la protection des URL dans certains SVG
P4 · Faible · CVE-2026-113657 — Dans sanitize-html 2.17.7 à 2.17.x, une configuration autorisant certains éléments SVG d’animation préfixés par un espace de noms et des…
-
fast-uri — injection de schéma via un deux-points non échappé
P4 · Faible · CVE-2026-110725 — Avec l’option non standard `reference: ‘suffix’`, `fast-uri` peut sérialiser un deux-points non échappé dans le premier segment d’une référence relative…
-
Vite : exécution de script inter-origines via un middleware personnalisé
P4 · Faible · CVE-2026-112945 — Dans certaines configurations de serveur de développement Vite utilisant un middleware personnalisé, une URL contrôlée par un site malveillant peut…
-
CVE-2026-112069 — Contournement du contrôle d’accès dans FAL Protect
P4 · Moyenne · CVE-2026-112069 — Dans FAL Protect, des fichiers stockés avec un chemin de base relatif non standard pouvaient être servis sans contrôle d’accès,…
-
A2A Java SDK : fuite de clé API lors d’une redirection
P4 · Moyenne · CVE-2026-111763 — Le client JDK du SDK A2A Java peut placer une clé API dans un en-tête dont le nom est fourni…
-
A2A Java SDK : requêtes serveur vers des destinations non validées
P4 · Moyenne · CVE-2026-111761 — Avec les notifications push activées, le SDK A2A Java peut envoyer des données de tâche à une destination choisie par…
-
A2A Java SDK : identifiants de notification push exposés dans les journaux
P4 · Moyenne · CVE-2026-111762 — En cas d’échec de désérialisation protobuf d’une requête, le gestionnaire REST du SDK A2A Java journalise le corps JSON complet.…