Le journal DFS
Veille sécurité
-
XSS stockée dans FiboSearch
P4 · Moyenne · CVE-2026-100106 — FiboSearch – Ajax Search for WooCommerce jusqu’à la version 1.34.2 incluse présente une XSS stockée via le paramètre `purchased_plan`. Un…
-
Craftplan : création non autorisée de clients via GraphQL
P4 · Moyenne · CVE-2026-111349 — Craftplan jusqu’à la version 0.7.5 ne vérifie pas correctement l’autorisation de créer des clients dans la ressource CRM Customer. Un…
-
CVE-2026-62362 — Injection SQL dans PeerBanHelper, y compris avec le mapper PostgreSQL
P4 · Moyenne · CVE-2026-62362 — Une injection SQL dans l’endpoint `/api/statistic/analysis/field` de PeerBanHelper permet à un utilisateur authentifié d’interroger les données de la base, y…
-
Exposition d’identifiants MySQL dans HUSKY Products Filter
P4 · Moyenne · CVE-2026-107646 — HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données…
-
Arcane : contournement du contrôle administrateur sur les routes pprof
P4 · Moyenne · CVE-2026-96628 — Dans Arcane 2.10.2, un jeton d’accès d’environnement valide peut contourner le contrôle réservé aux administrateurs sur les routes `/api/debug/pprof/*`. Les…
-
Junrar : déni de service par boucle infinie lors du traitement d’une archive RAR4
P3 · Élevée · CVE-2026-97370 — Junrar peut rester bloqué dans une boucle consommant du processeur lors du traitement d’une archive RAR4 spécialement conçue, ce qui…
-
JavaCV : boucle infinie et déni de service dans IPCameraFrameGrabber
P3 · Élevée · CVE-2026-102834 — JavaCV peut entrer dans une boucle infinie consommant le processeur lorsqu’il traite un flux MJPEG dont l’en-tête Content-Length est excessif,…
-
Countly Server — arrêt du service par requête non authentifiée
P3 · Élevée · CVE-2026-42270 — Countly Server présente une vulnérabilité de déni de service : une requête non authentifiée visant certaines routes d’images ou de…
-
CVE-2026-97380 : contrôle d’autorisation incorrect dans GRANT PROXY
P3 · Élevée · CVE-2026-97380 — Avec un mot de passe vide dans une clause IDENTIFIED, GRANT PROXY traite la clause comme si l’authentification n’était pas…
-
CVE-2026-86047 : injection SQL dans la sérialisation de sorties MariaDB
P3 · Élevée · CVE-2026-86047 — La sérialisation SQL par SHOW CREATE SERVER, SHOW CREATE USER et mariadb-dump ne protège pas systématiquement les identifiants et valeurs.…