Le journal DFS
Journal technique
-
CoreDNS : panic provoqué par un transfert AXFR k8s_external avec un lot vide
P4 · Faible · CVE-2026-62994 — Une requête AXFR visant une zone CoreDNS configurée avec `k8s_external` peut provoquer un panic si un service headless Kubernetes possède…
-
Scoold : partage de données et actions authentifiées possibles via une configuration CORS permissive
P4 · Moyenne · CVE-2026-55842 — Scoold autorise une origine web arbitraire à effectuer des requêtes API avec les identifiants de session d’un utilisateur connecté, en…
-
AsyncHttpClient : exposition d’informations et écrasement de fichier via l’état des téléchargements reprenables
P4 · Moyenne · CVE-2026-102740 — La bibliothèque AsyncHttpClient peut exposer des URL de téléchargement et permettre à un utilisateur local d’écraser un fichier accessible au…
-
Xiaozhi-esp32-server-java : contournement d’authentification pour les jetons d’appareil
P4 · Moyenne · CVE-2026-111623 — Une requête OTA peut permettre à un attaquant non authentifié d’obtenir un jeton WebSocket valide en fournissant une adresse MAC…
-
Tandoor Recipes : déni de service par expression régulière coûteuse
P4 · Moyenne · CVE-2026-59966 — Dans Tandoor Recipes avant 2.6.10, un utilisateur authentifié peut enregistrer dans une automatisation une expression régulière provoquant un retour arrière…
-
CVE-2026-109461 — Divulgation d’informations dans MSAL Node
P3 · Élevée · CVE-2026-109461 — Une erreur de validation d’origine dans le flux `auth_code` de MSAL Node peut permettre à un attaquant non autorisé de…
-
undici : plantage du processus Node.js lors du traitement de réponses décompressées
P4 · Moyenne · CVE-2026-87029 — Une erreur levée par un gestionnaire de réponse depuis un rappel asynchrone du flux zlib peut échapper au traitement d’erreurs…
-
Aureus ERP : XSS stockée dans les noms de jours fériés
P4 · Moyenne · CVE-2026-111284 — CVE-2026-111284 concerne une XSS stockée dans Aureus ERP jusqu’à la version 1.6.0 : un utilisateur autorisé à créer des jours…
-
tarteaucitron.js : XSS par URL JavaScript dans un attribut data-
P4 · Moyenne · CVE-2026-111713 — CVE-2026-111713 est une XSS dans tarteaucitron.js avant la version 1.37.0 : la résolution d’attributs préfixés par « data- » n’est…
-
CVE-2026-85985 : contrôles d’accès insuffisants dans les UDF de fichiers CONNECT
P4 · Moyenne · CVE-2026-85985 — Les UDF d’accès aux fichiers du moteur CONNECT ne vérifient pas correctement le privilège FILE ni le paramètre secure_file_priv. Un…