Le journal DFS
Java
-
Keycloak : injection de rôles dans des jetons
P4 · Moyenne · CVE-2026-97848 — CVE-2026-97848 concerne la validation de claims structurés dans Keycloak : un protocole mapper configuré pour émettre des claims JSON peut…
-
JSON-java : déni de service par chaîne numérique non bornée
P4 · Moyenne · CVE-2026-59171 — L’avis décrit un déni de service par consommation excessive de ressources lors de l’analyse de chaînes numériques de longueur non…
-
DataEase : XSS lors du traitement de fichiers SVG
P3 · Faible · CVE-2026-123992 — Une faille XSS dans le traitement des SVG affecte DataEase jusqu’à la version 2.10.27. Le correctif mentionné dans l’avis est…
-
DataEase : injection SQL dans le traitement des opérateurs
P3 · Moyenne · CVE-2026-123990 — Une injection SQL à distance affecte le traitement des opérateurs dans le gestionnaire de données de graphiques de DataEase. Les…
-
DataEase : téléversement sans restriction via le filtre d’authentification
P3 · Moyenne · CVE-2026-123991 — Une vulnérabilité d’upload sans restriction affecte le filtre d’authentification de DataEase jusqu’à la version 2.10.27. L’avis recommande la mise à…
-
GROBID : épuisement des threads via l’endpoint d’entraînement
P3 · Élevée · CVE-2026-123356 — Avant GROBID 0.9.1, l’endpoint non authentifié /api/modelTraining crée un exécuteur à chaque requête et laisse ses threads actifs. Des requêtes…
-
Emissary : validation insuffisante des liens de navigation
P4 · Moyenne · CVE-2026-54442 — Emissary acceptait des URL relatives au protocole comme liens de navigation configurés, que le navigateur peut normaliser vers une origine…
-
Apache OFBiz : requêtes sortantes et lecture de fichiers via ViewDataFile
P4 · Moyenne · CVE-2026-82902 — Dans Apache OFBiz 24.09 avant 24.09.08, l’action ViewDataFile pouvait émettre des requêtes HTTP arbitraires depuis le serveur et, avec des…
-
vault-java-driver : épuisement de pile avec des réponses JSON profondément imbriquées
P4 · Moyenne · CVE-2026-112072 — Le parseur JSON embarqué dans vault-java-driver ne limite pas la profondeur d’imbrication ; une réponse Vault profondément imbriquée peut provoquer…
-
Apache OFBiz CMS : injection de code dans ModelFormField
P3 · Élevée · CVE-2026-82960 — Dans le greffon CMS d’Apache OFBiz, une entrée contrôlée par un utilisateur authentifié disposant d’un accès d’éditeur de contenu pouvait…