Le journal DFS
Veille sécurité
-
Élévation de privilèges dans Mobile builder
P3 · Élevée · CVE-2026-104799 — Le plugin Mobile builder présente une élévation de privilèges via son gestionnaire REST `wcfmmp_profile_settings()`. Un utilisateur authentifié à partir du…
-
Import and export users and customers : élévation de privilèges vers administrateur
P3 · Élevée · CVE-2026-120554 — Une séquence non atomique d’écriture des options dans Import and export users and customers peut modifier des paramètres de tâche…
-
Slim Jetpack : XSS stockée non authentifiée dans le formulaire de contact
P3 · Élevée · CVE-2026-115498 — Slim Jetpack ne nettoie ni n’échappe suffisamment le champ de contact « Website », ce qui permet à des visiteurs…
-
Doofinder for WooCommerce : exposition de données sensibles
P3 · Élevée · CVE-2026-56065 — Doofinder for WooCommerce est affecté par une vulnérabilité d’insertion d’informations sensibles dans un fichier ou répertoire accessible de l’extérieur. Les…
-
DataLinkDC Dinky : SSRF dans le proxy Flink Web
P3 · Moyenne · CVE-2026-122009 — Dans DataLinkDC Dinky, une SSRF affecte l’endpoint proxy `flink_web` via la fonction `FlinkWebURITemplateProxyServlet.getNewTargetUri`. La manipulation du paramètre `_authority` peut être…
-
bitcoinjs-lib : validation de racine de Merkle insuffisante
P3 · Critique · CVE-2026-107846 — Une validation de racine de Merkle dans bitcoinjs-lib peut accepter un bloc dont la liste de transactions contient des doublons…
-
Active Storage : lecture et écriture de fichiers via le traitement ImageMagick
P3 · Critique · CVE-2026-122006 — Dans Active Storage, l’analyse d’une pièce jointe par ImageMagick sans politique de sécurité adéquate peut permettre la lecture ou l’écriture…
-
Code malveillant dans le gem RubyGems w002yardprobe
P3 · Critique — L’avis signale du code malveillant dans les versions 0.0.4 et 0.0.5 du gem w002yardprobe. La génération de documentation YARD déclenche un script…
-
Debian publie une mise à jour de sécurité pour Squid
P4 — Debian a publié un avis de sécurité pour Squid signalant plusieurs problèmes pouvant, dans certaines conditions, permettre une désynchronisation de requêtes, des dépassements de…
-
Linux io_uring : limiter les callbacks répétés pendant l’annulation
P4 · CVE-2026-99254 — Lors de l’annulation io_uring, des callbacks task_work pouvaient être réémis en boucle tandis que la tâche exécutait la cancellation, consommant du temps…