Le journal DFS
Veille sécurité
-
OrdaSoft Simple Membership : injection SQL non authentifiée
P3 · Critique · CVE-2026-102782 — OrdaSoft Simple Membership pour Joomla présente une injection SQL accessible sans authentification dans le traitement de la tâche checkLoginPass. Les…
-
PraisonAI : injection de code dans la génération du serveur de déploiement
P3 · Critique · CVE-2026-62176 — PraisonAI interpole directement le paramètre `agents_file` dans du code Python généré, ensuite exécuté, ce qui peut permettre une injection de…
-
Homer : identifiants administrateur par défaut sur les nouvelles installations
P3 · Critique · CVE-2026-62252 — Sur une nouvelle installation Homer utilisant l’authentification interne, un compte administrateur est créé avec un mot de passe par défaut…
-
Homer : contournement de l’authentification lorsque le secret JWT est vide
P3 · Critique · CVE-2026-62253 — Dans Homer, un secret JWT vide entraîne l’absence de contrôle d’authentification sur des routes API protégées, exposant potentiellement des fonctions…
-
LMCache : exécution de code à distance non authentifiée (CVE-2026-107204)
P3 · Critique · CVE-2026-107204 — LMCache jusqu’à la version 0.5.5 présente une vulnérabilité d’exécution de code à distance non authentifiée via le point de terminaison…
-
Gitea : exécution de JavaScript via les blobs du registre de conteneurs
P4 · CVE-2026-103667 — Le registre de conteneurs Gitea sert des blobs avec un type de contenu tiré des manifestes poussés, sans `Content-Disposition` ni politique de…
-
Node-convict : déni de service par pollution de prototype dans config.set()
P4 · CVE-2026-106550 — `config.set()` dans Node-convict est vulnérable à une pollution de prototype permettant à un attaquant contrôlant une clé de configuration d’écraser des propriétés…
-
DLA-4821-2 : correction d’une régression liée à CVE-2026-42496
P4 · CVE-2026-42496 — Debian a publié DLA-4821-2 pour corriger une régression de tests dans libmodule-cpants-analyse-perl causée par le correctif de CVE-2026-42496. La source ne précise…
-
DSA-6546-1 — mise à jour de sécurité de Rails
P4 — Debian a publié un avis de sécurité pour Rails couvrant plusieurs problèmes pouvant entraîner du XSS, un déni de service, une traversée de chemins…
-
DSA-6547-1 — mise à jour de sécurité de ruby-jwt
P4 — Debian a publié un avis de sécurité pour ruby-jwt : la validation du HMAC de certains jetons était insuffisante. L’avis recommande la mise à…