Le journal DFS
Veille sécurité
-
Product Delivery Date for WooCommerce : divulgation de détails de commande
P4 · Faible · CVE-2026-110191 — Product Delivery Date for WooCommerce avant la version 3.3.2 ne vérifie pas les capacités avant de divulguer des informations de…
-
CoreDNS : panic provoqué par un transfert AXFR k8s_external avec un lot vide
P4 · Faible · CVE-2026-62994 — Une requête AXFR visant une zone CoreDNS configurée avec `k8s_external` peut provoquer un panic si un service headless Kubernetes possède…
-
Scoold : partage de données et actions authentifiées possibles via une configuration CORS permissive
P4 · Moyenne · CVE-2026-55842 — Scoold autorise une origine web arbitraire à effectuer des requêtes API avec les identifiants de session d’un utilisateur connecté, en…
-
AsyncHttpClient : exposition d’informations et écrasement de fichier via l’état des téléchargements reprenables
P4 · Moyenne · CVE-2026-102740 — La bibliothèque AsyncHttpClient peut exposer des URL de téléchargement et permettre à un utilisateur local d’écraser un fichier accessible au…
-
Xiaozhi-esp32-server-java : contournement d’authentification pour les jetons d’appareil
P4 · Moyenne · CVE-2026-111623 — Une requête OTA peut permettre à un attaquant non authentifié d’obtenir un jeton WebSocket valide en fournissant une adresse MAC…
-
Tandoor Recipes : déni de service par expression régulière coûteuse
P4 · Moyenne · CVE-2026-59966 — Dans Tandoor Recipes avant 2.6.10, un utilisateur authentifié peut enregistrer dans une automatisation une expression régulière provoquant un retour arrière…
-
CVE-2026-109461 — Divulgation d’informations dans MSAL Node
P3 · Élevée · CVE-2026-109461 — Une erreur de validation d’origine dans le flux `auth_code` de MSAL Node peut permettre à un attaquant non autorisé de…
-
undici : plantage du processus Node.js lors du traitement de réponses décompressées
P4 · Moyenne · CVE-2026-87029 — Une erreur levée par un gestionnaire de réponse depuis un rappel asynchrone du flux zlib peut échapper au traitement d’erreurs…
-
Aureus ERP : XSS stockée dans les noms de jours fériés
P4 · Moyenne · CVE-2026-111284 — CVE-2026-111284 concerne une XSS stockée dans Aureus ERP jusqu’à la version 1.6.0 : un utilisateur autorisé à créer des jours…
-
tarteaucitron.js : XSS par URL JavaScript dans un attribut data-
P4 · Moyenne · CVE-2026-111713 — CVE-2026-111713 est une XSS dans tarteaucitron.js avant la version 1.37.0 : la résolution d’attributs préfixés par « data- » n’est…