Le journal DFS
JavaScript
-
Seroval : déni de service par nœud de tableau mal validé
P3 · Élevée · CVE-2026-116584 — Les désérialiseurs de Seroval n’exigent pas qu’un nœud de tableau contienne une véritable liste de valeurs ; une entrée spécialement…
-
Seroval : déni de service par index `done` non validé
P3 · Élevée · CVE-2026-116581 — Seroval ne valide pas correctement l’index `done` d’un nœud de séquence dans ses fonctions de désérialisation, ce qui permet de…
-
Seroval : validation insuffisante de valeurs lors de la désérialisation
P3 · Élevée · CVE-2026-116580 — Seroval présente une validation incomplète lors de la désérialisation de données non fiables : avec un plugin applicatif exposant une…
-
CreditNirvana Agentic AI Call Centre : clé API exposée dans le JavaScript client
P3 · Élevée · CVE-2026-110474 — L’application CreditNirvana Agentic AI Call Centre embarque une clé API statique dans son bundle JavaScript côté client. Un attaquant distant…
-
XSS stockée dans les commentaires de YesWiki
P4 · Moyenne · CVE-2026-116206 — YesWiki comporte une XSS stockée dans les commentaires : un utilisateur authentifié peut insérer du contenu HTML brut qui est…
-
YesWiki — XSS dans l’action filtertags
P4 · Moyenne · CVE-2026-116203 — YesWiki avant 4.7.0 présente une XSS dans l’action filtertags : des valeurs contrôlées par un attaquant sont renvoyées sans encodage…
-
XSS stockée dans le rendu des blocs mathématiques de SiYuan
P4 · Moyenne · CVE-2026-116169 — SiYuan comporte une XSS stockée dans le rendu des blocs mathématiques : un utilisateur disposant d’un droit de modification peut…
-
AVideo — XSS stockée dans les commentaires Markdown
P4 · Moyenne · CVE-2026-116139 — AVideo 26.0 à 29.3.0 présente une XSS stockée dans le rendu Markdown des commentaires : un commentateur authentifié peut injecter…
-
SiYuan — XSS via la redirection de /check-auth
P3 · Élevée · CVE-2026-116167 — SiYuan versions 2.9.0 à 3.8.6 présente une XSS sur la page non authentifiée /check-auth, qui redirige vers une URL sans…
-
Contournement de l’échappement HTML dans serialize-javascript
P4 · Faible · CVE-2026-115897 — Dans serialize-javascript avant 7.1.3, une fonction sérialisée dont le texte source est contrôlé peut contourner l’échappement et fermer prématurément un…