Debloat – Remove Unused CSS, Optimize JS présente une faille de traversée de répertoires dans les versions jusqu’à 1.3.0 incluse. La fiche indique un accès administrateur pour les attaquants, ainsi que des conditions liées à l’activation de l’optimisation CSS et à l’option Inline Google Fonts; mettre à jour vers une version corrigée et désactiver la fonctionnalité concernée en attendant.
Source : NVD — CVE-2026-104769
Analyse technique
La faille passe par le paramètre `s` et peut conduire à la lecture de fichiers arbitraires lorsque les conditions de configuration indiquées sont réunies. La description mentionne une incohérence sur les privilèges nécessaires : elle exige un accès administrateur, tout en décrivant ensuite un déclenchement par une requête publique; la portée exacte n’est donc pas établie par les éléments fournis.
Impact, versions et correctif
Action recommandée
Mettre à jour Debloat vers une version corrigée; dans l’intervalle, désactiver Optimize CSS et l’option Inline Google Fonts si elles sont actives.
Sources
Priorisation DFS : P4 · 1 source(s).