Le journal DFS
Veille sécurité
-
Phase Console : accès indu à l’historique des secrets via GraphQL
P4 · Moyenne · CVE-2026-110210 — Dans Phase Console, un défaut d’autorisation sur la requête GraphQL `secretHistory` pouvait permettre à des membres d’une organisation dépourvus du…
-
WPGraphQL : récupération de données sensibles par défaut d’autorisation
P4 · Moyenne · CVE-2026-109703 — WPGraphQL est affecté par un défaut d’autorisation pouvant permettre la récupération de données sensibles intégrées. La fiche NVD indique que…
-
GitLab : lecture non autorisée de notes via l’API GraphQL
P4 · Moyenne · CVE-2026-85529 — GitLab CE/EE présentait un défaut d’autorisation dans l’API GraphQL pouvant permettre, sous certaines conditions, à un utilisateur non authentifié de…
-
Lecture de mémoire libérée possible lors d’agrégations MongoDB Server
P4 · Moyenne · CVE-2026-96297 — Un défaut d’utilisation de mémoire libérée dans la fonctionnalité d’agrégation de MongoDB Server peut conduire à lire des données qui…
-
Divulgation possible de valeurs dans les agrégations MongoDB Server
P4 · Moyenne · CVE-2026-103965 — MongoDB Server peut mal traiter certaines constantes lors de la réécriture interne de requêtes d’agrégation, et renvoyer des valeurs de…
-
Frappe — XSS stockée dans les filtres de graphiques
P4 · Moyenne · CVE-2026-109602 — Frappe présente une XSS stockée dans les filtres des graphiques de tableau de bord : des valeurs saisies sont rendues…
-
ConnectBot SSH Client Library : déni de service par paquet SSH malformé
P4 · Moyenne · CVE-2026-54700 — Avant la version 0.3.1, le parseur de protocole SSH de ConnectBot SSH Client Library ne vérifie pas que les longueurs…
-
Analyse DER de clés privées : dépassement d’entier et allocation excessive dans ConnectBot SSH Client Library
P4 · Moyenne · CVE-2026-54697 — Dans `sshlib` jusqu’à la version 0.3.0, l’analyse des longueurs DER d’une clé privée fournie à l’application peut provoquer un dépassement…
-
SSRF dans la gem Ruby IFSC de Razorpay
P4 · Moyenne · CVE-2026-110222 — La gem Ruby IFSC de Razorpay présente une SSRF : une valeur IFSC spécialement construite peut détourner la requête HTTP…
-
Conductor : SSRF dans la tâche de publication Kafka
P4 · Moyenne · CVE-2026-109405 — Conductor-oss Conductor jusqu’à 3.33.0-rc10 comporte une SSRF dans KafkaPublishTask.start : la valeur kafka_request.bootStrapServers peut être manipulée à distance. Une divulgation…