Le journal DFS
Journal technique
-
Appointment Booking Plugin : divulgation de confirmations de commande
P4 · Moyenne · CVE-2026-105198 — Avant la version 5.7.3, Appointment Booking Plugin ne vérifie pas que l’appelant est propriétaire de la commande associée à l’identifiant…
-
Easy Digital Downloads : exposition de commandes et de liens de téléchargement
P4 · Moyenne · CVE-2026-105194 — Avant la version 3.7.1, Easy Digital Downloads ne limite pas les données de commande fournies par un bloc aux commandes…
-
Booking Calendar : empreintes d’accès aux réservations prédictibles
P4 · Moyenne · CVE-2026-105193 — Avant la version 11.8, Booking Calendar génère des empreintes d’accès aux réservations prévisibles à partir de valeurs temporelles peu entropiques.…
-
Injection de JavaScript via les shortcodes de galerie Final Tiles Grid
P4 · Moyenne · CVE-2026-104646 — Une faille de script intersite stocké permet à des contributeurs ou à des utilisateurs de niveau supérieur d’injecter du JavaScript…
-
Aurora Heatmap : XSS stockée déclenchée par un lien injecté
P4 · Moyenne · CVE-2026-94154 — Aurora Heatmap jusqu’à la version 1.7.2 incluse est vulnérable à une XSS stockée via le paramètre « url ». Un…
-
LatePoint : modification non autorisée des données client
P4 · Moyenne · CVE-2026-17538 — LatePoint jusqu’à la version 5.6.9 présente une IDOR permettant à un utilisateur authentifié ayant le rôle Subscriber ou supérieur de…
-
Dolibarr : modification d’extrafields sans permission d’écriture
P4 · Moyenne · CVE-2026-107706 — Dolibarr ERP CRM avant la version 24.0.2 vérifiait seulement le droit de lecture avant d’autoriser la modification de champs extrafields.…
-
Contournement de validation d’URL dans la bibliothèque SVG utilisée par certains modules Drupal
P4 · Moyenne · CVE-2026-107380 — Une faille dans `enshrined/svg-sanitize` permet à un SVG spécialement conçu de contourner la validation des URL et d’introduire une URL…
-
Déni de service dans la bibliothèque SVG utilisée par certains modules Drupal
P4 · Moyenne · CVE-2026-107379 — Une faille dans la bibliothèque PHP `enshrined/svg-sanitize` peut provoquer un déni de service lorsqu’un SVG spécialement conçu est traité. Elle…
-
Malcolm : accès non authentifié à Arkime via une incohérence de casse dans la configuration nginx
P4 · Moyenne · CVE-2026-107336 — Une configuration du reverse proxy nginx de Malcolm associe un emplacement correspondant sans distinction de casse à une réécriture sensible…