Le journal DFS
Veille sécurité
-
Ghost : fuite de hachages de mots de passe via l’Admin API
P4 · Moyenne · CVE-2026-103275 — Des membres du personnel peuvent exploiter des filtres sur des champs restreints dans les points de terminaison d’édition et de…
-
Ghost : divulgation de commentaires en mode privé
P4 · Moyenne · CVE-2026-103274 — En mode privé, des visiteurs non authentifiés peuvent lire des commentaires qui devraient être restreints. Mettez Ghost à jour vers…
-
Ghost : contournement des restrictions d’édition d’articles par des membres du personnel
P4 · Moyenne · CVE-2026-103273 — Des membres du personnel disposant de privilèges inférieurs peuvent utiliser des jetons du personnel pour contourner les restrictions d’édition d’articles.…
-
Ghost : lecture non autorisée d’extraits d’articles protégés
P4 · Moyenne · CVE-2026-103269 — Un membre authentifié peut lire les extraits d’articles réservés auxquels il n’a pas accès. Mettez Ghost à jour vers la…
-
Ghost : contournement d’authentification lors de l’acceptation d’invitations du personnel
P4 · Moyenne · CVE-2026-103267 — La validation d’une invitation de membre du personnel peut accepter une adresse électronique fournie par l’utilisateur plutôt que celle attendue.…
-
GitPython : oracle de contenu de fichiers locaux via l’API diff
P4 · Moyenne — Une voie de l’API diff de GitPython permet d’utiliser –no-index sans activer explicitement les options dangereuses, et de transformer une différence de…
-
PyJWT : mutation du dictionnaire d’options pouvant neutraliser des contrôles de revendications
P4 · Moyenne · CVE-2026-103001 — Un avis PyJWT publié antérieurement décrit une mutation en place du dictionnaire options lors d’un décodage où verify_signature est désactivé.…
-
Fastify : déni de service via les trailers de réponse HTTP/2
P4 · Moyenne · CVE-2026-92081 — Fastify pouvait terminer le processus Node.js avec une exception non interceptée lorsqu’une réponse HTTP/2 utilisait `reply.trailer()`, car l’en-tête `Transfer-Encoding: chunked`…
-
XSS dans les restrictions de durée de séjour QloApps
P4 · Moyenne · CVE-2026-103590 — QloApps jusqu’à la version 1.7.0 présente une XSS dans les champs de durée minimale et maximale de séjour de l’éditeur…
-
XSS dans l’éditeur des types de chambre QloApps
P4 · Moyenne · CVE-2026-103589 — QloApps jusqu’à la version 1.7.0 présente une XSS dans l’éditeur des types de chambre du back-office: les champs room_num, floor…