Le journal DFS
Journal technique
-
Apache Impala — XSS stockée dans le plan de requête Web
P4 · Moyenne · CVE-2026-93684 — Dans Apache Impala jusqu’à la version 4.5.2 incluse, un utilisateur SQL disposant uniquement du droit SELECT pouvait insérer du JavaScript…
-
Gitea — exécution de JavaScript via l’API média
P4 · Moyenne · CVE-2026-96594 — Gitea ne définissait pas les en-têtes de contenu adaptés pour certains fichiers HTML de 1 Kio ou moins servis par…
-
Hustle : défaut d’autorisation
P4 · Moyenne · CVE-2026-103075 — Le plugin Hustle de WPMU DEV présente un défaut d’autorisation permettant l’exploitation de niveaux de contrôle d’accès mal configurés. Les…
-
PowerPress Podcasting : SSRF via redirection d’URL de média
P4 · Moyenne · CVE-2026-97354 — PowerPress Podcasting avant la version 11.17.11 ne valide pas la destination des redirections lors de la récupération d’une URL de…
-
User Private Files : divulgation d’adresses électroniques
P4 · Moyenne · CVE-2026-97331 — User Private Files avant la version 2.1.9 ne vérifie pas que l’utilisateur fourni est associé au document concerné. Un utilisateur…
-
Divulgation des identifiants Optimole à des utilisateurs authentifiés
P4 · Moyenne · CVE-2026-96530 — Optimole avant 4.2.15 ne vérifie pas les permissions avant d’afficher les données de compte d’optimisation d’images dans un widget du…
-
MetForm : injection de balisage dans les courriels de notification
P4 · Moyenne · CVE-2026-86833 — MetForm avant 4.3.1 n’assainit ni n’échappe les valeurs soumises dans les champs de formulaire avant de les insérer dans le…
-
Magee Shortcodes : envoi de courriels à des destinataires arbitraires
P4 · Moyenne · CVE-2026-105322 — Magee Shortcodes jusqu’à la version 2.1.1 incluse ne restreint pas le destinataire de certaines actions de formulaire de contact accessibles…
-
MPG : injection SQL via les données de projet importées
P4 · Moyenne · CVE-2026-104953 — Un utilisateur ayant le rôle Éditeur ou supérieur peut exploiter des données de projet importées pour effectuer une injection SQL…
-
Animated Number Counters : injection SQL de second ordre
P4 · Moyenne · CVE-2026-104667 — Une valeur enregistrée par un utilisateur de niveau Éditeur ou supérieur peut provoquer une injection SQL de second ordre lorsqu’un…