Le journal DFS
GraphQL
-
Ryot : contrôle d’accès insuffisant dans une requête GraphQL
P4 · Moyenne · CVE-2026-119800 — La requête GraphQL `collectionContents` de Ryot ne vérifiait pas les droits d’accès à la collection demandée, permettant à un utilisateur…
-
Craft CMS : injection SQL non authentifiée via l’eager-loading GraphQL
P3 · Élevée · CVE-2026-123491 — Le 6 novembre 2026, Craft CMS a publié un avis concernant une injection SQL dans l’eager-loading GraphQL, exploitable sans authentification…
-
HeyForm : téléversement de HTML actif pouvant mener à une XSS persistante
P3 · Élevée · CVE-2026-102615 — Une validation insuffisante des fichiers téléversés peut permettre à un utilisateur ordinaire de déposer du HTML actif, servi depuis l’origine…
-
SourceHut meta.sr.ht : contournement de l’interdiction d’inscription via GraphQL
P4 · Moyenne · CVE-2026-121728 — Une vérification d’autorisation manquante dans meta.sr.ht permet à un attaquant non authentifié de créer un compte même lorsque l’inscription publique…
-
Coop : création non authentifiée d’organisations via GraphQL
P4 · Moyenne · CVE-2026-63399 — Avant la version 1.0.0, la mutation GraphQL `createOrg` permettait à un acteur non authentifié de créer des organisations sur une…
-
Coop : divulgation de données par l’API GraphQL
P3 · Élevée · CVE-2026-63396 — Avant la version 1.0.0, un acteur non authentifié pouvait interroger `Query.allOrgs` sur une instance Coop publiquement accessible et obtenir des…
-
AxonHub : élévation de privilèges via les portées de clés de service
P4 · Moyenne · CVE-2026-119599 — AxonHub permettait à des utilisateurs de projet ayant le droit write_api_keys de créer des clés de service avec des portées…
-
ArcadeDB : remplacement non autorisé du schéma GraphQL
P4 · Moyenne · CVE-2026-119576 — Dans ArcadeDB, un utilisateur disposant uniquement du droit readRecord pouvait remplacer le schéma GraphQL partagé via un point d’accès de…
-
GraphQL-core : déni de service par fuite mémoire lors de validations interrompues
P3 · Élevée · CVE-2026-119286 — GraphQL-core peut subir un déni de service par épuisement mémoire lorsque des validations dépassant `max_errors` sont répétées. La version 3.3.1…
-
XSS lors de la prévisualisation de fichiers dans Mythic
P3 · Élevée · CVE-2026-119764 — Mythic 3.2.16 à 3.4.0.61 présente une XSS stockée exploitable par un attaquant contrôlant des fichiers déposés sur un terminal cible.…