Le journal DFS
Java
-
Apache PLC4X (PLC4J) : déni de service par épuisement des ressources
P3 · Élevée · CVE-2026-102509 — Apache PLC4X (PLC4J) présente plusieurs défauts de gestion des longueurs, des allocations et de la récursion, susceptibles d’épuiser la mémoire…
-
Handlebars.java : traversée de répertoires via chemin de modèle encodé
P3 · Élevée · CVE-2026-103088 — Handlebars.java est vulnérable à une traversée de répertoires dans certaines applications Spring MVC utilisant handlebars-springmvc avec un préfixe de modèle…
-
Apache MINA SSHD : contournement d’authentification par injection LDAP
P3 · Critique · CVE-2026-94053 — Le composant optionnel sshd-ldap d’Apache MINA SSHD n’échappait pas les caractères spéciaux des filtres LDAP, ce qui permettait un contournement…
-
Apache MINA SSHD : contournement d’authentification LDAP
P3 · Critique · CVE-2026-94052 — Un contrôle manquant dans LdapPasswordAuthenticator d’Apache MINA SSHD pouvait contourner l’authentification par mot de passe. Le problème concerne uniquement les…
-
Apache MINA SSHD : contournement d’authentification asynchrone
P3 · Critique · CVE-2026-77185 — Apache MINA SSHD comporte un défaut dans son mécanisme d’authentification asynchrone, susceptible de faire omettre la vérification d’une signature ou…
-
Apache Karaf — contournement du contrôle d’accès JMX pouvant mener à l’exécution de code
P3 · Élevée · CVE-2026-92142 — Dans Apache Karaf, les opérations JMX `createMBean`, `registerMBean` et `unregisterMBean` échappaient au contrôle d’accès fondé sur les rôles, ce qui…
-
kykms : injection SQL dans QueryGenerator.doMultiFieldsOrder
P4 · Moyenne · CVE-2026-102491 — Une injection SQL dans `QueryGenerator.doMultiFieldsOrder` peut être déclenchée à distance via l’argument `column`. La source indique que les versions affectées…
-
TacoMall : contournement d’autorisation dans OrgStaffServiceImpl.add
P4 · Moyenne · CVE-2026-102293 — Une vérification d’autorisation incorrecte dans `OrgStaffServiceImpl.add` permet à distance de manipuler les paramètres `isAdmin` et `jobId`. La source indique la…
-
jackson-databind : type de base Comparable absent de la liste de restriction du validateur
P4 · Moyenne · CVE-2026-83557 — Le validateur de types polymorphes utilisé avec `@JsonTypeInfo` sans validateur personnalisé ne bloque pas le type de base `java.lang.Comparable`. Dans…
-
jackson-databind : résolution de fournisseur de système de fichiers depuis un Path désérialisé
P4 · Moyenne · CVE-2026-19032 — La désérialisation d’un champ `java.nio.file.Path` peut transmettre une URI contrôlée à un fournisseur de système de fichiers découvert via `ServiceLoader`,…