Le journal DFS
Journal technique
-
Kirki : injection d’objet PHP et élévation de privilèges
P3 · Élevée · CVE-2026-75891 — Le plugin Kirki jusqu’à la version 6.2.5 inclus présente une injection d’objet PHP via la désérialisation d’une entrée non fiable,…
-
Analytics Insights : XSS stocké via le titre de page
P3 · Élevée · CVE-2026-111820 — Analytics Insights – Google Analytics Dashboard for WordPress est vulnérable à un XSS stocké via le titre de page dans…
-
Dolibarr : injection SQL dans la mise à jour des tiers
P3 · Élevée · CVE-2026-33944 — Une injection SQL est présente dans la mise à jour des tiers de Dolibarr via les paramètres de taxe locale,…
-
CVE-2026-7710 : consigne de désactivation de mock-enable en production
P3 · Moyenne · CVE-2026-7710 — La mise à jour NVD de CVE-2026-7710 précise que le jeton fictif reste une fonctionnalité de développement et que les…
-
CVE-2026-7679 : précision NVD sur le chemin de compatibilité OAuth conservé
P3 · Moyenne · CVE-2026-7679 — La mise à jour NVD de CVE-2026-7679 précise que l’application conserve volontairement un chemin de compatibilité acceptant un jeton de…
-
Agno : exécution de code via le champ `field_type` de FunctionCall
P3 · Critique · CVE-2026-35002 — Agno utilisait `eval()` sur le champ `field_type` de données FunctionCall pouvant être influencées par un utilisateur, ce qui peut permettre…
-
MONAI : valeurs DICOM invalides pouvant perturber ou interrompre l’inférence
P3 · Critique · CVE-2026-48705 — Un fichier DICOM conçu à cet effet peut provoquer un plantage de MONAILabel ou fausser silencieusement les résultats d’inférence en…
-
Désérialisation de scorers tiers pouvant permettre l’exécution de code dans MLflow
P3 · Critique · CVE-2026-116692 — MLflow acceptait des descendants de modules Python autorisés au lieu de vérifier une correspondance exacte lors de la désérialisation de…
-
Contournement de middleware Express monté sur un chemin dans @fastify/express
P3 · Critique · CVE-2026-112362 — Dans @fastify/express 4.0.5 à 4.0.8, une requête HTTP en forme absolue, combinée à l’option Fastify ignoreDuplicateSlashes, peut faire exécuter une…
-
Gridbox : contrôle d’autorisation manquant dans le contrôleur Editor
P3 · Critique · CVE-2026-102789 — CVE-2026-102789 est un défaut de contrôle d’autorisation dans Gridbox, affectant les versions antérieures à 2.20.4.2. La tâche du contrôleur Editor…