Le journal DFS
Veille sécurité
-
Apache DolphinScheduler : exposition de données kubeconfig à des utilisateurs non administrateurs
P3 · Élevée · CVE-2026-71895 — Un défaut d’autorisation dans Apache DolphinScheduler permet à un utilisateur authentifié non administrateur de récupérer des données kubeconfig destinées à…
-
IBM DataPower Gateway : déni de service par traitement des fragments GraphQL
P3 · Élevée · CVE-2026-15822 — IBM DataPower Gateway présente un déni de service possible lié à une mémorisation incorrecte des propagations de fragments GraphQL. L’avis…
-
graphql-php : épuisement de pile par récursion GraphQL excessive
P3 · Élevée · CVE-2026-107376 — Dans graphql-php avant la version 15.32.3, l’analyse récursive de certaines structures GraphQL n’imposait pas de limite de récursion. Une requête…
-
Injection SQL via le paramètre de tri des applications réactives générées par JHipster
P3 · Élevée · CVE-2026-107375 — JHipster générait une injection SQL dans le paramètre de tri des applications réactives utilisant Spring WebFlux, Spring Data R2DBC et…
-
MariaDB Connector/Node.js : injection SQL dans le protocole texte avec NO_BACKSLASH_ESCAPES
P3 · Élevée · CVE-2026-107385 — Avec le mode SQL `NO_BACKSLASH_ESCAPES`, l’échappement des paramètres du protocole texte ne protégeait pas correctement les apostrophes, ouvrant la voie…
-
MariaDB Connector/Node.js : injection SQL dans l’expansion SET des objets
P3 · Élevée · CVE-2026-107384 — Lorsque l’option non activée par défaut `permitSetMultiParamEntries` est utilisée, des clés contenant des accents graves pouvaient sortir de l’identifiant SQL…
-
MariaDB Connector/Node.js : divulgation de mémoire non initialisée via des paramètres GeoJSON mal formés
P3 · Élevée · CVE-2026-107383 — Le traitement des anneaux Polygon et MultiPolygon mal formés pouvait réserver un tampon non initialisé et en transmettre le contenu…
-
CVE-2026-107211 : panique d’Excelize lors de la lecture de tableaux croisés dynamiques malformés
P3 · Élevée · CVE-2026-107211 — Excelize peut paniquer en accédant à des indices de champs de cache de tableau croisé dynamique sans vérifier qu’ils sont…
-
Coraza : dépassement fatal de pile lors de la validation de JSON profondément imbriqué
P3 · Élevée — Le traitement des corps JSON de Coraza peut provoquer un dépassement fatal de pile avec des documents profondément imbriqués, car gjson.Valid valide…
-
Excelize : déni de service par numéro de ligne non borné dans Rows.Columns
P3 · Élevée · CVE-2026-107212 — Excelize peut boucler très longtemps lorsqu’un classeur contient un numéro de ligne démesuré après une ligne ordinaire : GetRows et…