Le journal DFS
JavaScript
-
XSS non authentifiée dans Jane Menu
P3 · Élevée · CVE-2026-85683 — Le plugin Jane Menu expose sans authentification un gestionnaire de formulaire dépourvu de contrôles de capacité et de nonce, permettant…
-
XSS réfléchie dans User Profile Builder
P3 · Élevée · CVE-2026-111948 — Le plugin WordPress User Profile Builder ne protège pas suffisamment l’URL de la page courante avant de l’insérer dans un…
-
Injection JavaScript côté serveur dans Trudesk
P3 · Élevée · CVE-2026-114396 — Trudesk présente une injection de JavaScript côté serveur dans une clause MongoDB `$where` lors de la recherche de tickets. Un…
-
Sentry JavaScript : contournement du middleware avec tunnelRoute et webpack
P3 · Critique · CVE-2026-114139 — Avec tunnelRoute et une compilation webpack, l’exclusion du middleware peut couvrir des chemins plus larges que ceux réellement traités par…
-
ApostropheCMS : modification ou suppression non autorisée de notifications
P4 · Faible · CVE-2026-113665 — Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB…
-
uploadfs : traversée de chemin dans le backend de stockage local
P4 · Faible · CVE-2026-113651 — Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire…
-
sanitize-html : contournement de la protection des URL dans certains SVG
P4 · Faible · CVE-2026-113657 — Dans sanitize-html 2.17.7 à 2.17.x, une configuration autorisant certains éléments SVG d’animation préfixés par un espace de noms et des…
-
fast-uri — injection de schéma via un deux-points non échappé
P4 · Faible · CVE-2026-110725 — Avec l’option non standard `reference: ‘suffix’`, `fast-uri` peut sérialiser un deux-points non échappé dans le premier segment d’une référence relative…
-
Vite : exécution de script inter-origines via un middleware personnalisé
P4 · Faible · CVE-2026-112945 — Dans certaines configurations de serveur de développement Vite utilisant un middleware personnalisé, une URL contrôlée par un site malveillant peut…
-
ApostropheCMS : divulgation d’informations via des noms de fichiers d’export prévisibles
P4 · Moyenne · CVE-2026-112953 — Les fichiers d’export peuvent être accessibles anonymement par une URL prévisible pendant leur période de conservation, car leur nom est…