Le journal DFS
Veille sécurité
-
Indico : exécution de script via des URL javascript personnalisées
P4 · Moyenne · CVE-2026-107396 — Dans Indico, des utilisateurs pouvant gérer des événements ou créer du contenu peuvent enregistrer des URL javascript dans certains champs…
-
CVE-2026-107395 — contrôle d’accès manquant dans l’export de sessions Indico
P4 · Moyenne · CVE-2026-107395 — L’API historique d’export de sessions d’Indico ne vérifiait pas correctement les droits d’accès, ce qui pouvait divulguer les métadonnées d’une…
-
CVE-2026-107394 — vérification SSRF incomplète dans Indico
P4 · Moyenne · CVE-2026-107394 — Une vérification SSRF incomplète dans Indico permet à un organisateur d’événement de faire accepter une URL visant une cible locale…
-
Contournement de la limite des trames avant négociation dans le client RabbitMQ Go
P4 · Moyenne · CVE-2026-107386 — L’avis GHSA-w6r9-248c-frg8, publié le 2026-10-08 à 21:40:19 +02:00, décrit un contournement de la limite de taille des trames avant la…
-
Coraza : accumulation de descripteurs de fichiers dans le traitement multipart
P4 · Moyenne — Le processeur multipart de Coraza diffère la fermeture des fichiers temporaires jusqu’à la fin du traitement de la requête, ce qui peut…
-
Coraza : corps de formulaire URL-encoded avec paramètres ignoré par l’inspection
P4 · Moyenne — Coraza ne sélectionne pas son processeur de corps URL-encoded lorsque le type de contenu valide comporte des paramètres, par exemple un paramètre…
-
Coraza : épuisement de ressources possible avec des réponses JSON profondément imbriquées
P4 · Moyenne — Le processeur de réponses JSON de Coraza n’applique pas de limite de récursion, ce qui peut mobiliser fortement le processeur face à…
-
Coraza : contournement de règles d’inspection des noms de fichiers multipart
P4 · Moyenne — Lors du traitement des fichiers multipart, Coraza peut ignorer un nom fourni par le paramètre étendu `filename*` si son jeu de caractères…
-
Coraza — confusion de parseur de cookies pouvant contourner des règles WAF
P4 · Moyenne — Coraza ne retirait pas certains caractères de contrôle placés au bord du nom ou de la valeur d’un cookie, ce qui pouvait…
-
Coraza : inspection des paramètres GET contournable sur URI malformée dans certaines intégrations
P4 · Moyenne — Coraza ne renseigne pas `QUERY_STRING` ni les arguments GET si `url.ParseRequestURI` échoue, ce qui peut empêcher des règles WAF d’inspecter ces données.…