Le journal DFS
Veille sécurité
-
Angular SSR : redirection vers une origine externe par normalisation d’URL
P4 · Moyenne · CVE-2026-111754 — Dans Angular SSR, la normalisation d’une URL peut permettre de contourner une vérification préalable et de produire un chemin commençant…
-
Vite : divulgation des premiers octets de fichiers hors des règles server.fs
P4 · Moyenne · CVE-2026-112947 — Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines…
-
Vite : divulgation possible d’un fichier hôte via safeModulePaths
P4 · Moyenne · CVE-2026-112946 — Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu…
-
launch-editor : nom de fichier relatif interprété comme option d’éditeur
P4 · Moyenne · CVE-2026-112944 — launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs…
-
Meta Box : défaut d’autorisation
P4 · Moyenne · CVE-2026-109700 — Meta Box – WordPress Custom Fields Framework présente un défaut d’autorisation pouvant permettre l’exploitation de niveaux de contrôle d’accès mal…
-
DiviGear Carousel : XSS persistante via l’action AJAX de licence
P4 · Moyenne · CVE-2026-93878 — DiviGear Carousel est vulnérable à une injection XSS persistante via l’action AJAX `update_license`, en raison d’un assainissement et d’un échappement…
-
Easy Property Listings : accès non autorisé aux dossiers de contacts
P4 · Moyenne · CVE-2026-96903 — Easy Property Listings n’effectue pas les contrôles d’autorisation nécessaires sur plusieurs actions AJAX de lecture liées à la gestion des…
-
Easy Property Listings : divulgation d’informations de fiches via l’API REST
P4 · Moyenne · CVE-2026-96902 — Easy Property Listings ne limite pas les champs de fiches exposés par sa sortie publique de l’API REST, ce qui…
-
A2A Java SDK : contrôle d’autorisation absent par défaut sur les tâches
P3 · Élevée · CVE-2026-111764 — Dans la configuration par défaut du magasin de tâches A2A Java, la lecture d’une tâche ne vérifie pas que l’appelant…
-
A2A Java SDK Android : identifiants transférés lors de redirections
P3 · Élevée · CVE-2026-111765 — Dans les versions Android du SDK A2A Java allant de 1.3.0.Final à 1.3.1.Final, le chemin POST synchrone peut suivre des…