Le journal DFS
Veille sécurité
-
CVE-2026-47736 : croissance mémoire et coût processeur dans Puma
P4 · CVE-2026-47736 — Debian a publié DLA-4826-1 pour une vulnérabilité de Puma lorsque la prise en charge du protocole PROXY v1 est activée : l’absence…
-
CP Media Player : contrôles d’accès insuffisants aux réglages
P4 · Faible · CVE-2026-104678 — Un utilisateur disposant du rôle Contributeur peut gérer les configurations globales du lecteur multimédia et modifier une option réservée aux…
-
Apache YuniKorn : contournement des contrôles de quota lors de la mise à jour de charges de travail
P4 · Faible · CVE-2026-92393 — Apache YuniKorn ne vérifie pas les étiquettes et annotations utilisateur lors de la mise à jour d’une charge de travail…
-
OrdaSoft Touch Slider : opérations destructrices sans authentification
P4 · Moyenne · CVE-2026-102781 — OrdaSoft Touch Slider pour Joomla présente une faille de contrôle d’accès permettant à un visiteur non authentifié d’effectuer des opérations…
-
AsyncHttpClient : remplacement de l’en-tête Cookie dans les clients partagés
P4 · Moyenne · CVE-2026-107228 — Dans un client partagé, le magasin de cookies activé par défaut peut remplacer un en-tête Cookie explicitement défini par setHeader…
-
AsyncHttpClient : validation insuffisante du domaine des cookies
P4 · Moyenne · CVE-2026-107229 — La validation incomplète des attributs Domain par ThreadSafeCookieStore peut permettre à une origine de déposer un cookie qui sera ensuite…
-
PraisonAI Platform : suppression non autorisée de dépendances entre problèmes
P4 · Moyenne · CVE-2026-62179 — Dans PraisonAI Platform, un membre peut supprimer une dépendance entre problèmes en ciblant dans l’URL le problème dont il est…
-
wger : corruption des journaux d’entraînement d’un autre utilisateur
P4 · Moyenne · CVE-2026-46438 — Un utilisateur authentifié peut créer des entrées de journal d’entraînement liées à la séance d’un autre utilisateur, car la propriété…
-
wger : les jetons API ne sont pas révoqués après déconnexion ou changement de mot de passe
P4 · Moyenne · CVE-2026-46437 — Dans wger, les identifiants API de type DRF et les jetons JWT de renouvellement restent utilisables après déconnexion ou changement…
-
wger : changement de session forcé par requête GET sans protection CSRF
P4 · Moyenne · CVE-2026-45161 — La vue `trainer_login` de wger accepte une requête GET pour basculer la session vers un autre compte sans protection CSRF…