Le journal DFS
JavaScript
-
Accès mémoire hors limites dans Array.prototype.sort de MuJS
P4 · Moyenne · CVE-2026-110715 — MuJS antérieur à 1.3.9 comporte un défaut de lecture et d’écriture hors limites dans Array.prototype.sort, déclenchable par un tableau dont…
-
Validation insuffisante des messages dans Angular DevTools
P4 · Moyenne · CVE-2026-101897 — Angular DevTools avant la version 1.21.1 ne vérifie pas suffisamment l’origine des messages runtime reçus par son service worker, ce…
-
XSS stockée dans la configuration de galerie Final Tiles Grid
P4 · Moyenne · CVE-2026-107178 — Image Photo Gallery Final Tiles Grid n’échappe pas les valeurs de configuration de la lightbox avant de les écrire dans…
-
XSS stockée dans Schedule Post Changes With PublishPress Future
P4 · Moyenne · CVE-2026-105261 — Le plugin WordPress Schedule Post Changes With PublishPress Future ne neutralise pas correctement du contenu contrôlé par l’utilisateur dans un…
-
Final Tiles Grid : XSS stockée dans un script intégré
P4 · Moyenne · CVE-2026-104644 — Le plug-in Image Photo Gallery Final Tiles Grid pour WordPress ne neutralise pas certaines valeurs de configuration de galerie avant…
-
Fuite mémoire du parseur XML njs sur erreur
P4 · Moyenne · CVE-2026-101025 — Le moteur njs intégré ne libère pas un contexte du parseur libxml2 lorsque xml.parse() échoue, ce qui permet à un…
-
CVE-2026-108259 — Tina : injection de code dans le build d’aperçu
P3 · Élevée · CVE-2026-108259 — Avant Tina 3.0.0, @tinacms/cli pouvait incorporer une valeur de branche Git non fiable dans des littéraux de chaîne JavaScript générés,…
-
Markdown Preview Enhanced — appels de commandes non restreints depuis la webview
P3 · Élevée · CVE-2026-54702 — Markdown Preview Enhanced pour Visual Studio Code permet à du JavaScript déjà exécuté dans la webview d’appeler des commandes privilégiées…
-
Déni de service par boucle infinie dans le rendu serveur Angular
P3 · Élevée · CVE-2026-101895 — Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone…
-
Incohérence de traitement des entités XML dans njs
P3 · Élevée · CVE-2026-101019 — Le module XML de NGINX JavaScript (njs) peut exposer de façon incohérente des attributs XML contenant des entités internes pendant…