Le journal DFS
Veille sécurité
-
Ultimate Multisite : authentification indue via le parcours de paiement
P3 · Critique · CVE-2026-103646 — Ultimate Multisite avant la version 2.17.0 peut authentifier automatiquement un visiteur non connecté comme un compte WordPress existant correspondant à…
-
Alist : vérification TLS désactivée par défaut dans les communications avec les stockages
P3 · Critique · CVE-2026-25160 — Alist désactive par défaut la vérification des certificats TLS pour les communications sortantes avec les pilotes de stockage, ce qui…
-
Injection de commandes dans le gem Ruby image_optimizer
P3 · Critique · CVE-2026-107704 — Le gem Ruby image_optimizer présente une injection de commandes système dans ImageOptimizer#identify_format lorsque l’option identify est activée et qu’un attaquant…
-
PraisonAI : exécution de code généré sans sandbox effective dans CodeAgent
P3 · Critique · CVE-2026-61447 — PraisonAI a publié un avis sur l’exécution de code Python généré par le modèle sans sandbox effective dans `CodeAgent`, avec…
-
Injection de commandes dans @enmaso/node-convert
P3 · Critique · CVE-2026-107703 — Le paquet `@enmaso/node-convert` passe des arguments de fichier non assainis à une commande ImageMagick exécutée par `child_process.exec()`, permettant une injection…
-
Injection de commandes système dans ppt2png
P3 · Critique · CVE-2026-107699 — Le paquet `ppt2png` utilise `child_process.exec()` avec des chemins d’entrée ou de sortie non assainis, ce qui permet une injection de…
-
Paquet npm hardhat-pack 2.0.1 signalé comme malveillant
P3 · Critique — L’avis signale du code malveillant dans `hardhat-pack` version 2.0.1 : l’importation du paquet charge une grande charge utile JavaScript obfusquée sans justification…
-
Injection de code dans dot-access
P3 · Critique · CVE-2026-107700 — Dans `dot-access`, le chemin fourni à `get()` est incorporé dans le corps d’une fonction JavaScript construite dynamiquement, ce qui permet…
-
Bricksforge : téléversement de fichier arbitraire sans authentification
P3 · Critique · CVE-2026-85097 — Bricksforge jusqu’à la version 3.1.8.9 incluse permet le téléversement non authentifié de fichiers arbitraires en raison d’une validation insuffisante d’un…
-
Super Forms : suppression arbitraire de répertoires
P3 · Critique · CVE-2026-17609 — Super Forms jusqu’à la version 6.3.316 incluse comporte une faille dans submit_form permettant à un attaquant non authentifié de supprimer…