Le journal DFS
Journal technique
-
dataclasses-avroschema : injection d’expression via un nom de record Avro
P3 · Élevée · CVE-2026-108376 — Dans dataclasses-avroschema, le nom d’un record référencé fourni par le schéma peut être inséré dans la position appelable d’une expression…
-
dataclasses-avroschema : injection de code via des valeurs de défaut Avro
P3 · Élevée · CVE-2026-108375 — Dans dataclasses-avroschema, des valeurs de champs contrôlées par le schéma sont insérées sans échappement dans des littéraux Python générés. Une…
-
Heym : contournement du bac à sable de l’outil Python
P3 · Élevée · CVE-2026-55376 — Dans Heym, un utilisateur authentifié pouvant créer ou modifier un workflow avec un outil Python personnalisé peut contourner le bac…
-
VNote : XSS dans l’ouverture de notes Markdown piégées
P3 · Élevée · CVE-2026-86016 — VNote permet l’exécution de JavaScript stocké lorsqu’un utilisateur ouvre une note Markdown piégée. La faille concerne les versions antérieures à…
-
Qwik : une requête peut provoquer l’arrêt du serveur lors de la désérialisation
P3 · Élevée · CVE-2026-84994 — Avant @builder.io/qwik 1.20.0 et @qwik.dev/core 2.0.0-beta.37, la désérialisation serveur peut traiter un objet contrôlé par l’attaquant comme une promesse et…
-
Froxlor : XSS stockée via la valeur de thème
P3 · Élevée · CVE-2026-109960 — Froxlor présente une XSS stockée permettant à un client authentifié d’injecter du HTML et du JavaScript via une valeur de…
-
CVE-2026-78557 — Exécution de JavaScript et risque d’exécution de code à distance dans Industrial Edge App Publisher
P3 · Élevée · CVE-2026-78557 — Industrial Edge App Publisher ne neutralise pas correctement certaines données reçues du backend avant de les afficher dans l’interface. Comme…
-
GitLab CE/EE — XSS via la sortie de coloration syntaxique
P3 · Élevée · CVE-2026-92883 — GitLab CE/EE présente une XSS dans la sortie de coloration syntaxique : un dépôt spécialement conçu peut entraîner l’exécution de…
-
FrankenPHP : fuite possible d’identifiants de session en mode worker
P3 · Élevée · CVE-2026-82416 — Dans certaines compilations de FrankenPHP antérieures à 1.12.5, le mode worker peut conserver l’état de session PHP entre des requêtes…
-
Nginx UI — défaut de validation OAuth `state` dans l’intégration Casdoor
P3 · Élevée · CVE-2026-84312 — Avant Nginx UI 2.4.1, l’intégration Casdoor utilisait une valeur OAuth `state` constante et ne la liait pas à la session…