Le journal DFS
Journal technique
-
MeterSphere : SSRF dans l’analyseur Swagger3
P4 · Faible · CVE-2026-109189 — MeterSphere présente une vulnérabilité SSRF dans le composant Swagger3 Parser : la valeur swaggerUrl transmise à Swagger3ParserApiDefinition.testUrlTimeout peut être manipulée…
-
PublicCMS : redirection ouverte via returnUrl
P4 · Faible · CVE-2026-109160 — PublicCMS comporte une redirection ouverte dans SafeConfigComponent.getSafeUrl, au niveau du point de terminaison pay : la valeur returnUrl peut être…
-
Adobe Commerce — contournement de sécurité via validation des entrées (CVE-2026-95630)
P4 · Moyenne · CVE-2026-95630 — Adobe a publié le 13 octobre 2026 le bulletin APSB26-153, qui couvre cette vulnérabilité de validation incorrecte des entrées dans…
-
TYPO3 CMS — exposition potentielle de fichiers téléversés (CVE-2026-109162)
P4 · Moyenne · CVE-2026-109162 — Dans TYPO3 CMS, les éléments FileUpload et ImageUpload configurés avec un saveToFileMount personnalisé pouvaient enregistrer les fichiers téléversés dans le…
-
auth0/java-jwt : terminaison de thread lors de l’analyse de revendications temporelles
P4 · Moyenne · CVE-2026-85473 — La bibliothèque auth0/java-jwt peut terminer un thread lorsqu’elle traite un JWT contenant une valeur hors plage dans une revendication temporelle…
-
SLE API for Java : déni de service par longueur de PDU non bornée
P4 · Moyenne · CVE-2026-54086 — Avant SLE API for Java 5.1.7, le traitement des PDU ISP1 pouvait allouer un tableau à partir d’une longueur contrôlée…
-
Conductor : SSRF dans Agentspan Agent Runtime
P4 · Moyenne · CVE-2026-109404 — Conductor-oss Conductor jusqu’à 3.33.0-rc10 comporte une SSRF dans le composant Agentspan Agent Runtime, associée à AgentController.java. Les éléments fournis ne…
-
OAuthLib : fuite temporelle dans la vérification PKCE
P4 · Moyenne · CVE-2026-49265 — Dans OAuthLib, les comparaisons des valeurs code_verifier et des challenges PKCE utilisent une égalité de chaînes ordinaire, susceptible de révéler…
-
Évasion du bac à sable et accès mémoire arbitraire dans asteval
P4 · Moyenne · CVE-2026-102734 — Dans asteval, l’interpréteur par défaut avec NumPy activé expose un type ctypes accessible permettant des accès mémoire via from_address, tandis…
-
Adobe Experience Manager : XSS basée sur le DOM
P4 · Moyenne · CVE-2026-83960 — Adobe Experience Manager présente une vulnérabilité XSS basée sur le DOM, exploitable si une victime visite une page web préparée.…