Le journal DFS
Journal technique
-
Injection de code PHP dans CTX Feed
P3 · Élevée · CVE-2026-87964 — CVE-2026-87964 est une injection de code PHP dans CTX Feed, qui permet à des utilisateurs authentifiés disposant de droits de…
-
JupyterLab Desktop : injection JavaScript pouvant mener à l’exécution de code
P3 · Critique · CVE-2026-102530 — JupyterLab Desktop avant 4.6.2-1 insère des URL de serveurs distants sans encodage sûr dans des vues rendues par l’application; une…
-
Chartbrew : injection SQL via les variables de tableaux de bord
P3 · Critique · CVE-2026-54349 — Chartbrew avant 5.2.1 comporte une injection SQL dans la substitution de variables de tableaux de bord, pouvant être déclenchée par…
-
Babelfish pour PostgreSQL : exécution de commandes par débordement dans le parseur TDS
P3 · Critique · CVE-2026-119923 — Un débordement de tampon dans le parseur TDS prelogin de Babelfish peut permettre à un attaquant distant d’exécuter des commandes…
-
LXD : écriture de fichier sur l’hôte via le lien symbolique exec-output
P3 · Critique — L’avis GHSA-9j25-mm2h-2f76 décrit une écriture de fichiers sur l’hôte via un lien symbolique exec-output dans une image manipulée, exploitable par la fonction…
-
LXD : contournement des restrictions de projet via les instantanés
P3 · Critique — Les instantanés d’instances ne respectent pas le réglage restricted.containers.lowlevel=block, ce qui permet de contourner les restrictions de projet et d’exécuter des commandes…
-
LXD : écriture arbitraire de fichier via un en-tête de serveur d’images
P3 · Critique — Dans le client Incus, un serveur d’images malveillant peut fournir un en-tête Incus-Image-Hash forgé et provoquer une écriture arbitraire de fichier, susceptible…
-
LXD : injection d’arguments dans la compression des sauvegardes
P3 · Critique — Une validation incomplète du paramètre d’algorithme de compression d’une sauvegarde permet à un utilisateur autorisé d’injecter des arguments et d’écrire un fichier…
-
Craft CMS : injection SQL non authentifiée dans la recherche d’éléments
P3 · Critique · CVE-2026-123488 — Une injection SQL non authentifiée dans le point d’accès de recherche d’éléments peut permettre la lecture et la modification de…
-
Paquet PyPI malveillant hello-bat-fwi9
P3 · Critique — Un paquet malveillant publié sur PyPI, `hello-bat-fwi9`, embarque un fichier BAT obfusqué qui délivre un RAT à l’aide de son propre runtime…