Le journal DFS
JavaScript
-
ApostropheCMS : contournement de validation d’un champ couleur permettant une XSS persistante
P4 · Moyenne · CVE-2026-112951 — La validation d’un champ couleur peut accepter une chaîne commençant par une couleur `rgb()` ou `hsl()` valide même si elle…
-
ApostropheCMS : pollution de prototype dans le contexte d’administration
P4 · Moyenne · CVE-2026-113659 — Avant ApostropheCMS 4.33.0, un attaquant sans authentification pouvait construire une URL dont la chaîne de requête était interprétée par `apos.http.parseQuery`…
-
sanitize-html : valeurs meta refresh dangereuses conservées
P4 · Moyenne · CVE-2026-113661 — Avant sanitize-html 2.18.0, une configuration non standard autorisant les éléments `meta refresh` et leurs attributs `http-equiv` et `content` pouvait conserver…
-
Cachet : XSS stockée dans la création d’incidents
P4 · Moyenne · CVE-2026-113712 — Une faille XSS stockée dans les champs Nom et Message du formulaire de création d’incident peut exécuter du JavaScript dans…
-
SolarWinds Observability Self-Hosted : XSS stockée
P4 · Moyenne · CVE-2026-28330 — SolarWinds Observability Self-Hosted présente une XSS stockée permettant à un attaquant authentifié d’injecter du contenu malveillant ou du JavaScript. Celui-ci…
-
VPL pour Moodle : XSS réfléchie dans la comparaison de fichiers
P4 · Moyenne · CVE-2026-113683 — Virtual Programming Lab pour Moodle présente une XSS réfléchie dans `similarity/diff.php`, liée aux paramètres `filename1` et `filename2` qui ne sont…
-
Vitest : application incorrecte de server.fs.deny exposant des fichiers sensibles
P4 · Moyenne · CVE-2026-112948 — Dans certaines configurations Vitest 5 qui démarrent un serveur HTTP, les règles `server.fs.deny` sont appliquées incorrectement, ce qui peut exposer…
-
Cypht : XSS via les valeurs d’images externes dans un courriel HTML
P4 · Moyenne · CVE-2026-113583 — Cypht webmail présente une XSS basée sur le DOM lorsqu’un message HTML contient des valeurs alt ou URL malveillantes dans…
-
Chatwoot : XSS dans l’intégration vidéo du Help Center
P4 · Moyenne · CVE-2026-113355 — Chatwoot comporte une XSS persistante dans les liens d’intégration vidéo des articles du Help Center : une destination de lien…
-
react-admin : XSS via des URI javascript: dans UrlField et FileField
P4 · Moyenne · CVE-2026-113350 — Dans react-admin, des URI javascript: stockées dans des champs d’enregistrement peuvent déclencher une XSS lorsque UrlField ou FileField les affiche.…