Le journal DFS
Journal technique
-
Ryot : contrôle d’accès insuffisant dans une requête GraphQL
P4 · Moyenne · CVE-2026-119800 — La requête GraphQL `collectionContents` de Ryot ne vérifiait pas les droits d’accès à la collection demandée, permettant à un utilisateur…
-
DataEase : XSS lors du traitement de fichiers SVG
P3 · Faible · CVE-2026-123992 — Une faille XSS dans le traitement des SVG affecte DataEase jusqu’à la version 2.10.27. Le correctif mentionné dans l’avis est…
-
iLeads SMS Gateway by Exsile : modification d’options et élévation de privilèges
P3 · Élevée · CVE-2026-121866 — CVE-2026-121866 concerne iLeads SMS Gateway by Exsile : avant la version 2.0.0, plusieurs actions AJAX ne vérifiaient ni les capacités…
-
XSS dans le composant Menu de KendoReact
P4 · Moyenne · CVE-2026-106134 — Le composant Menu de KendoReact est affecté par une XSS lorsqu’un utilisateur à faibles privilèges peut influencer les données d’un…
-
Magic Link : connexion possible à un compte administrateur
P3 · Élevée · CVE-2026-121848 — CVE-2026-121848 concerne Magic Link : avant la version 2.2.6, le plugin ne vérifiait pas que l’utilisateur demandant un lien de…
-
XSS stockée dans FV Flowplayer Video Player
P3 · Élevée · CVE-2026-117525 — FV Flowplayer Video Player avant 7.5.57.7212 ne neutralise pas certaines valeurs d’attribut de shortcode intégrées dans des commentaires. Si l’analyse…
-
Komfortkasse for WooCommerce : création possible d’un compte administrateur
P3 · Élevée · CVE-2026-122001 — CVE-2026-122001 concerne Komfortkasse for WooCommerce : avant la version 1.4.9, le plugin ne validait pas correctement l’authenticité des requêtes REST…
-
XSS stockée dans le plugin WordPress Optimole
P3 · Élevée · CVE-2026-120739 — Le plugin WordPress Optimole est vulnérable à une XSS stockée via des données de srcsets insuffisamment assainies. La description indique…
-
KendoReact : pollution de prototype dans l’utilitaire setter
P4 · Moyenne · CVE-2026-106127 — Une pollution de prototype dans l’utilitaire `setter` de KendoReact peut être déclenchée si un utilisateur fortement privilégié contrôle un chemin…
-
Treeio : exécution de code possible par désérialisation pickle non sûre
P3 · Élevée · CVE-2026-124318 — Treeio jusqu’à la version 2.0 désérialise des données pickle non vérifiées dans des fonctions liées aux flux d’actualité. Un membre…