Le journal DFS
Journal technique
-
Craft CMS : divulgation de contenu hors périmètre via GraphQL
P4 · Moyenne · CVE-2026-124426 — Craft CMS 5.0.0 à 5.11.1 présente un contournement d’autorisation dans l’API GraphQL : des clients non authentifiés peuvent lire du…
-
OpenAM : déni de service par données Java sérialisées non bornées
P3 · Élevée · CVE-2026-123543 — OpenAM antérieur à 16.1.4 accepte des données Java sérialisées sans limites suffisantes, ce qui permet à un attaquant non authentifié…
-
SunEditor : XSS dans la liste de signets de la fenêtre de lien
P3 · Élevée · CVE-2026-124492 — SunEditor avant 3.4.0 insère dans innerHTML de la liste de signets le texte décodé des en-têtes, sans échappement. Une charge…
-
Injection SQL dans Productive Commerce
P3 · Élevée · CVE-2026-109925 — Productive Commerce avant la version 1.1.54 ne nettoie ni n’échappe correctement un paramètre avant de l’utiliser dans une requête SQL.…
-
Exécution de code à distance dans Craft CMS
P3 · Élevée · CVE-2026-124430 — Craft CMS de la branche 5.10.x avant 5.11.2 présente une vulnérabilité d’exécution de code à distance exploitable par un utilisateur…
-
CVE-2026-124429 — récupération d’un compte désactivé et de ses permissions
P3 · Élevée · CVE-2026-124429 — Une faille de réattribution de compte peut permettre à une inscription publique de récupérer un compte non administrateur désactivé et…
-
CVE-2026-124428 — lecture arbitraire de fichiers SVG
P3 · Élevée · CVE-2026-124428 — Une faille de lecture de fichiers permet à un utilisateur authentifié du panneau de contrôle de lire des fichiers SVG…
-
XSS stockée dans Turisbook Booking System
P3 · Élevée · CVE-2026-103303 — Le plugin Turisbook Booking System jusqu’à la version 1.3.8 ne vérifie pas correctement les droits ni les requêtes CSRF lors…
-
Prise de contrôle de comptes dans Ecommerce Affiliate
P3 · Élevée · CVE-2026-106015 — Ecommerce Affiliate jusqu’à la version 1.0.0 ne réserve pas l’émission et la vérification des mots de passe à usage unique…
-
Subscribe2 — XSS stockée non authentifiée
P3 · Élevée · CVE-2026-120531 — La faille permet à des attaquants non authentifiés d’injecter du JavaScript persistant via le paramètre `data[ip]`, exécuté lorsqu’une page infectée…