Le journal DFS
Journal technique
-
Exécution de commandes via les fichiers d’un dépôt dans Markdown Preview Enhanced
P3 · Élevée · CVE-2026-54566 — Markdown Preview Enhanced exécutait des fichiers de configuration et de parser contrôlés par le dépôt dans un contexte vm.runInNewContext qui…
-
Injection de commandes dans @offactory/compress-fonts
P3 · Élevée · CVE-2026-110648 — @offactory/compress-fonts présentait une injection de commandes système lorsque des chemins de polices contrôlés étaient intégrés sans échappement à une commande…
-
CVE-2026-108259 — Tina : injection de code dans le build d’aperçu
P3 · Élevée · CVE-2026-108259 — Avant Tina 3.0.0, @tinacms/cli pouvait incorporer une valeur de branche Git non fiable dans des littéraux de chaîne JavaScript générés,…
-
Markdown Preview Enhanced — appels de commandes non restreints depuis la webview
P3 · Élevée · CVE-2026-54702 — Markdown Preview Enhanced pour Visual Studio Code permet à du JavaScript déjà exécuté dans la webview d’appeler des commandes privilégiées…
-
Déni de service par boucle infinie dans le rendu serveur Angular
P3 · Élevée · CVE-2026-101895 — Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone…
-
affiliate-toolkit : exécution de code PHP via un modèle fourni par un utilisateur
P3 · Élevée · CVE-2026-86787 — Dans affiliate-toolkit, un utilisateur ayant au moins le rôle Contributor peut fournir un modèle que le moteur de rendu embarqué…
-
Inclusion et lecture de fichiers locaux dans Ultimate Multisite
P3 · Élevée · CVE-2026-107508 — Ultimate Multisite ne valide pas une valeur fournie par l’utilisateur qui sert à sélectionner un fichier à inclure. Un attaquant…
-
Forms : injection de script dans l’écran d’administration des soumissions
P3 · Élevée · CVE-2026-86799 — Forms ne nettoie pas les valeurs soumises avant leur stockage et ne les échappe pas sur l’écran d’administration des soumissions.…
-
XSS stockée dans WP Booking System
P3 · Élevée · CVE-2026-107126 — WP Booking System stocke puis affiche dans une page d’administration une valeur de requête contrôlable par le client sans la…
-
Divulgation du mot de passe de domaine dans FOG
P3 · Élevée · CVE-2026-54554 — FOG, avant la version 1.5.10.1870, peut divulguer à distance et sans authentification la valeur du mot de passe par défaut…