Le journal DFS
Veille sécurité
-
Injection d’objets PHP dans Sunshine Photo Cart
P3 · Critique · CVE-2026-104730 — Le plugin Sunshine Photo Cart jusqu’à la version 3.7.4 incluse permet une injection d’objets PHP par désérialisation de données non…
-
Téléversement de fichiers arbitraires dans ELEX WordPress HelpDesk
P3 · Critique · CVE-2026-103768 — Le plugin ELEX WordPress HelpDesk & Customer Ticketing System présente une validation insuffisante du type des pièces jointes IMAP enregistrées.…
-
MailOptin expose les comptes WordPress à une prise de contrôle
P3 · Critique · CVE-2026-109515 — MailOptin peut permettre à un attaquant non authentifié de modifier le mot de passe d’un compte WordPress existant, y compris…
-
Mang Board : téléversement arbitraire de fichiers
P3 · Critique · CVE-2026-109219 — CVE-2026-109219 concerne Mang Board jusqu’à la version 2.4.4 incluse et permet le téléversement de fichiers potentiellement exécutables sans authentification, sous…
-
My Calendar : exécution de fonctions PHP et élévation de privilèges
P3 · Critique · CVE-2026-104798 — CVE-2026-104798 affecte My Calendar jusqu’à la version 3.8.7 incluse et peut permettre à un attaquant non authentifié d’exécuter des fonctions…
-
Linux igbvf : fuite de mapping DMA lors du nettoyage d’une erreur TX
P3 · Critique · CVE-2026-74495 — Le nettoyage d’une erreur DMA dans le pilote `igbvf` laissait fuir un mapping lorsque certaines opérations de mapping de buffers…
-
Linux SMC : use-after-free du socket pendant la terminaison d’un groupe de liens
P3 · Critique · CVE-2026-74493 — Pendant la terminaison d’un groupe de liens SMC, le socket pouvait être libéré après le retrait de la connexion de…
-
Chaskiq : SSRF non authentifiée via une mutation GraphQL
P3 · Critique · CVE-2026-111663 — Chaskiq jusqu’à la version 2.0.3 est vulnérable à une SSRF via la mutation GraphQL createUrlUpload. Un attaquant non authentifié peut…
-
Paquet PyPI pyyi : mise à jour d’un avis de paquet malveillant
P3 · Critique — Une mise à jour de l’avis GitHub signale le paquet PyPI malveillant `pyyi`, qui imite un interpréteur Python et peut récupérer puis…
-
SellKit : manipulation du prix d’un produit lors du paiement
P4 · CVE-2026-94254 — SellKit ne valide pas le prix d’un produit fourni par le client lorsque les totaux sont recalculés pendant le paiement. Avant la…