Le journal DFS
JavaScript
-
Highcharts Dashboards : XSS dans le libellé plein écran
P3 · Élevée · CVE-2026-118253 — Dans Highcharts Dashboards antérieur à 4.2.3, les libellés de langue du contrôle plein écran en mode édition sont interprétés comme…
-
Highcharts Dashboards : XSS dans la barre latérale du mode édition
P3 · Élevée · CVE-2026-118252 — Highcharts Dashboards versions antérieures à 4.2.3 insèrent comme HTML, plutôt que comme texte, certaines chaînes de langue de la barre…
-
Highcharts : exécution de JavaScript via credits.href
P3 · Élevée · CVE-2026-118251 — Dans Highcharts, une valeur `credits.href` commençant par `javascript:` pouvait être assignée à la destination de navigation lorsque l’utilisateur cliquait sur…
-
Highcharts : pollution de prototype via les chemins series.keys
P3 · Élevée · CVE-2026-118250 — Dans Highcharts, des chemins pointés définis par `series.keys` pouvaient être suivis sans filtrer leurs segments, permettant à des données contrôlées…
-
Highcharts : pollution de prototype lors de la construction des colonnes de séries
P3 · Élevée · CVE-2026-118249 — La construction des colonnes de séries de Highcharts utilisait directement certaines clés des objets de points, permettant à des clés…
-
GRR : XSS réfléchie dans le paramètre `forcemaj`
P3 · Élevée · CVE-2026-58205 — GRR reflète sans échappement adéquat le paramètre `forcemaj` dans `maj.php` si les fichiers d’installation restent accessibles. Un lien spécialement construit…
-
LangGraph : accès inter-utilisateurs au Store via l’authentification personnalisée JavaScript
P3 · Élevée · CVE-2026-118668 — Dans certaines configurations d’authentification personnalisée JavaScript ou TypeScript, les changements d’espace de noms renvoyés par le gestionnaire d’autorisation n’étaient pas…
-
CVE-2026-59176 : exécution de code via set_functype_version dans functype-mcp-server
P3 · Élevée · CVE-2026-59176 — Le serveur MCP functype-mcp-server permet à l’outil set_functype_version d’accepter une chaîne de version non validée et de l’utiliser pour installer…
-
Nuxt Ollama : exposition de la clé API dans la configuration publique
P3 · Élevée · CVE-2026-59158 — Nuxt Ollama expose la clé API configurée en la fusionnant dans `runtimeConfig.public.ollama`, que Nuxt sérialise dans le HTML rendu côté…
-
AI Marketing Expert : XSS stockée déclenchable sans authentification
P3 · Élevée · CVE-2026-109999 — Le plugin AI Marketing Expert permet une XSS stockée via le paramètre `name` lorsque le module chatbot est actif et…