Le journal DFS
Journal technique
-
CVE-2026-107775 : contrôle d’autorisation insuffisant pour les vendeurs dans Dokan
P4 · CVE-2026-107775 — Dokan avant la version 5.3.3 ne vérifie pas correctement qu’un administrateur de sous-site WordPress Multisite peut gérer chaque utilisateur sélectionné avant de…
-
CVE-2026-107774 : usurpation de l’adresse d’expéditeur dans Dokan
P4 · CVE-2026-107774 — Dokan avant la version 5.3.3 utilise l’adresse fournie par un visiteur non authentifié comme expéditeur d’un message transmis aux vendeurs. Cela peut…
-
Multiples vulnérabilités dans MongoDB
P4 — Le CERT-FR a publié le 5 novembre 2026 un avis signalant plusieurs vulnérabilités dans MongoDB, avec des risques pouvant inclure l’exécution de code à…
-
Injection SQL dans Apache OFBiz sur MySQL/MariaDB
P4 · CVE-2026-81815 — Apache OFBiz présente une injection SQL dans le service générique performFind de son moteur d’entités lorsque le déploiement utilise MySQL ou MariaDB.…
-
nvm : exécution de commandes via une valeur LTS malveillante
P4 · Faible · CVE-2026-121751 — Dans nvm 0.39.6 à 0.40.8, des valeurs reçues depuis l’index d’un miroir Node.js pouvaient être évaluées comme expressions arithmétiques shell…
-
nvm : archive rejetée réutilisable depuis le cache hors ligne
P4 · Faible · CVE-2026-121750 — Dans nvm 0.40.5 à 0.40.8, une archive dont la somme de contrôle échouait pouvait rester dans le cache puis être…
-
nvm : modification de fichiers de configuration détournée par .npmrc
P4 · Faible · CVE-2026-121748 — Dans nvm 0.27.0 à 0.40.8, `nvm use –delete-prefix` pouvait laisser le fichier `.npmrc` du projet déterminer quel fichier de configuration…
-
nvm : divulgation locale du jeton NVM_AUTH_HEADER
P4 · Faible · CVE-2026-121745 — Dans nvm 0.40.0 à 0.40.8, lorsque NVM_AUTH_HEADER est défini, le jeton d’accès pouvait apparaître dans les arguments de curl ou…
-
Dokan : incohérence de rapprochement des paiements de commissions
P4 · Faible · CVE-2026-107776 — Dokan ne rapproche pas le montant porté au crédit du registre de retrait inversé d’un vendeur du montant réellement perçu…
-
ingress-nginx : déni de service via l’annotation mirror-target
P4 · Faible · CVE-2026-116472 — Un utilisateur autorisé à créer un Ingress pouvait exploiter l’annotation mirror-target pour écrire dans une API de configuration non authentifiée…