Le journal DFS
JavaScript
-
Apache Wicket — injection de script via des identifiants non échappés (CVE-2026-95863)
P3 · Élevée · CVE-2026-95863 — Des identifiants de composants ou d’éléments contenant certains caractères sont insérés dans des chaînes JavaScript sans échappement adapté, ce qui…
-
Apache Wicket : injection JavaScript via ExternalLink
P3 · Élevée · CVE-2026-84231 — Dans Apache Wicket 8.x, ExternalLink pouvait construire un gestionnaire JavaScript avec une URL non échappée lorsque le composant était associé…
-
Apache Wicket : échappement incomplet dans JavaScriptUtils.escapeQuotes()
P3 · Élevée · CVE-2026-83559 — La méthode JavaScriptUtils.escapeQuotes() d’Apache Wicket n’échappait pas les antislashs, ce qui pouvait rendre inopérant l’échappement des guillemets et permettre une…
-
Apache Wicket : injection JavaScript via window.name
P3 · Élevée · CVE-2026-82956 — Apache Wicket ne neutralisait pas la valeur client window.name mémorisée par AjaxNewWindowNotifyingBehavior avant de l’insérer dans du JavaScript, permettant une…
-
Apache Wicket : injection de script via des textes de ressources non échappés
P3 · Élevée · CVE-2026-111089 — Apache Wicket n’échappait pas certains textes de ressources et noms de classes CSS avant de les insérer dans du JavaScript…
-
QuickJS-NG : débordement de tampon sur hôtes 32 bits
P3 · Élevée · CVE-2026-120438 — QuickJS-NG antérieur à 0.16.0 présentait un débordement d’entier dans js_proxy_get_own_property_names(), pouvant provoquer un débordement de tampon sur le tas sur…
-
i18next — corruption possible de fonctions intégrées par fusion profonde (CVE-2026-63402)
P4 · Moyenne · CVE-2026-63402 — Dans i18next, `deepExtend` pouvait corrompre des fonctions intégrées partagées et provoquer un déni de service lorsque des données contrôlées par…
-
Redux Framework — exposition de données d’options à des abonnés (CVE-2026-103997)
P4 · Moyenne · CVE-2026-103997 — Redux Framework exposait des valeurs du bloc d’options Redux, potentiellement notamment des identifiants et clés, à des utilisateurs authentifiés disposant…
-
Meow Lightbox — XSS persistante sous conditions (CVE-2026-109234)
P3 · Élevée · CVE-2026-109234 — Le module WordPress Meow Lightbox présentait une XSS persistante via le contenu de réponses bbPress, permettant l’exécution de scripts dans…
-
Acadlix LMS — suppression de fichiers arbitraires (CVE-2026-103882)
P3 · Critique · CVE-2026-103882 — Le plugin WordPress Acadlix LMS permettait la suppression de fichiers arbitraires par une route insuffisamment protégée, avec un nonce rendu…