Le journal DFS
Veille sécurité
-
nvm : motif de version interprété comme option de grep
P4 · Moyenne · CVE-2026-121749 — Dans nvm 0.5.0 à 0.40.8, un motif de version commençant par un tiret était transmis à grep sans protection contre…
-
nvm : affichage involontaire du contenu d’un fichier via .nvmrc symbolique
P4 · Moyenne · CVE-2026-121747 — Dans nvm 0.2.0 à 0.40.8, un `.nvmrc` symbolique pouvait amener certaines commandes à afficher le contenu du fichier visé dans…
-
nvm : écriture à travers un lien symbolique .nvmrc
P4 · Moyenne · CVE-2026-121746 — Dans nvm 0.40.0 à 0.40.8, les commandes `nvm use –save` et `nvm install –save` pouvaient suivre un lien symbolique `.nvmrc`…
-
HomeBox : XSS via un lien `javascript:` dans un champ personnalisé
P4 · Moyenne · CVE-2026-75599 — Dans HomeBox, un utilisateur authentifié peut enregistrer dans un champ personnalisé un lien Markdown utilisant le schéma `javascript:`. Si un…
-
OpenHuman sur macOS : capture du bureau depuis une vue intégrée
P4 · Moyenne · CVE-2026-54144 — Sur macOS, du JavaScript exécuté dans une origine intégrée autorisée peut obtenir une capture réelle du bureau par `getDisplayMedia` sans…
-
Huginn : XSS stockée via le nom d’affichage d’un compte OAuth
P4 · Moyenne · CVE-2026-123094 — Huginn présente une XSS stockée dans `service_label` : un utilisateur authentifié peut relier un compte OAuth doté d’un nom ou…
-
VitaFit cloud API : XSS stocké via des SVG
P4 · Moyenne · CVE-2026-54380 — La VitaFit cloud API avant le 2026-10-30 permettait à un utilisateur authentifié de téléverser un SVG contenant du JavaScript, ensuite…
-
Les clients MCP indépendants peuvent être empêchés d’ouvrir une session dans tsParticles
P4 · Moyenne · CVE-2026-76893 — Le mode HTTP de `@tsparticles/mcp-server` réutilisait un transport avec état partagé entre les clients; un premier client non authentifié pouvait…
-
Webmin : SSRF dans les modules File Manager et Upload and Download
P4 · Moyenne · CVE-2026-102337 — Webmin présentait une vulnérabilité SSRF dans les modules File Manager et Upload and Download : des utilisateurs non fiables disposant…
-
Content Egg : exposition de données produit de publications non publiées
P4 · Moyenne · CVE-2026-119751 — La route REST de rendu de blocs de Content Egg peut exposer les données produit de publications non publiées lorsqu’elle…