Le journal DFS
JavaScript
-
FacturaScripts : XSS persistante dans ListAlmacen
P4 · Moyenne · CVE-2026-11959 — FacturaScripts 2025.61 comporte une XSS persistante due à une validation ou assainissement insuffisant des champs « city » et «…
-
LIFF SDK : XSS basée sur le DOM via une URL spécialement construite
P4 · Moyenne · CVE-2026-112148 — Le LIFF SDK présente une vulnérabilité XSS basée sur le DOM : l’ouverture d’une URL spécialement construite dans un navigateur…
-
fast-uri — usurpation de schéma URI par décodage d’un schéma encodé
P4 · Moyenne · CVE-2026-110306 — `fast-uri` décode le composant de schéma avec `unescape()` avant validation, ce qui peut transformer une entrée au schéma encodé en…
-
Vitest sous Windows : lecture de fichiers hors des chemins autorisés
P4 · Moyenne · CVE-2026-112950 — Sous Windows, Vitest interprète différemment les antislashs dans le contrôle d’accès aux fichiers et dans leur lecture. Un client pouvant…
-
Vitest : injection de code via l’enregistrement non authentifié de mocks manuels
P4 · Moyenne · CVE-2026-112949 — Le plugin d’interception de mocks de Vitest accepte des enregistrements manuels non authentifiés par WebSocket et insère une URL de…
-
Angular : fuite possible du jeton XSRF via une URL mal normalisée
P4 · Moyenne · CVE-2026-111753 — Lorsque la protection XSRF est activée, l’intercepteur `xsrfInterceptorFn` d’Angular peut traiter à tort certaines URL contrôlées par un attaquant comme…
-
Angular SSR : redirection vers une origine externe par normalisation d’URL
P4 · Moyenne · CVE-2026-111754 — Dans Angular SSR, la normalisation d’une URL peut permettre de contourner une vérification préalable et de produire un chemin commençant…
-
Vite : divulgation des premiers octets de fichiers hors des règles server.fs
P4 · Moyenne · CVE-2026-112947 — Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines…
-
Vite : divulgation possible d’un fichier hôte via safeModulePaths
P4 · Moyenne · CVE-2026-112946 — Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu…
-
ApostropheCMS : épuisement de ressources non authentifié via l’import par blocs
P3 · Élevée · CVE-2026-113711 — Une vulnérabilité de consommation incontrôlée de ressources dans le traitement des imports par blocs de `@apostrophecms/import-export` permet à un attaquant…