Le journal DFS
Veille sécurité
-
virtualenv : injection de paramètres dans pyvenv.cfg
P4 · Moyenne · CVE-2026-102938 — Dans virtualenv, un prompt contrôlé peut ajouter des lignes et des clés à pyvenv.cfg, notamment une valeur home qui détourne…
-
Mako : traversal de répertoire lors de la résolution des templates sous Windows
P4 · Moyenne · CVE-2026-102991 — Sur Windows, Mako peut résoudre un URI de template de façon incohérente et permettre de sortir du répertoire de templates…
-
MISP — XSS stockée via le champ icône des galaxies
P4 · Moyenne · CVE-2026-103389 — MISP ne validait pas côté serveur le champ icône d’un objet galaxy, puis l’insérait directement dans le HTML du graphe…
-
MISP — XSS stockée via la source d’un Galaxy Cluster
P4 · Moyenne · CVE-2026-103388 — MISP peut enregistrer dans le champ « source » d’un Galaxy Cluster une URL `javascript:` et l’afficher comme lien cliquable,…
-
CVE-2026-71189 — exécution de JavaScript dans la session d’un autre utilisateur
P4 · Moyenne · CVE-2026-71189 — Une requête préparée par un attaquant peut, si un autre utilisateur de l’application l’exécute, déclencher l’exécution de JavaScript dans son…
-
Contournement de la liste d’autorisation du Netlify Image CDN dans Astro
P4 · Moyenne · CVE-2026-102983 — Une validation insuffisamment ancrée des URL autorisées pour le Netlify Image CDN peut permettre de contourner la liste image.domains ou…
-
Broken Link Notifier : contournement du filtre d’adresses internes
P4 · Moyenne · CVE-2026-97316 — Broken Link Notifier ne revalide pas la destination des redirections lorsqu’il vérifie des liens, ce qui permet de contourner son…
-
Course Booking System : export non protégé de données clients
P4 · Moyenne · CVE-2026-96886 — Course Booking System ne restreint pas l’accès à l’export des réservations. Un utilisateur non authentifié peut télécharger les noms, adresses…
-
YayReviews : exposition d’avis et de données personnelles
P4 · Moyenne · CVE-2026-94274 — YayReviews expose sans restriction une route d’API qui renvoie les avis individuels, y compris ceux en attente de modération. Des…
-
InPost PL : falsification possible des statuts d’expédition
P4 · Moyenne · CVE-2026-93580 — InPost PL ne vérifie pas l’authenticité des requêtes de webhook de suivi d’expédition et se repose sur un identifiant non…