Le journal DFS
JavaScript
-
Open WebUI : XSS via le champ embed_url des citations
P3 · Élevée · CVE-2026-109291 — Open WebUI de la version 0.6.33 à toute version antérieure à 0.11.4 permet à un utilisateur authentifié d’enregistrer une URL…
-
Open WebUI : XSS via des liens javascript: dans les conversations partagées
P3 · Élevée · CVE-2026-109288 — Open WebUI avant 0.11.4 ne valide pas le schéma des URL de liens Markdown, permettant à un utilisateur authentifié d’insérer…
-
Nginx UI : application de directives restreintes via l’interface MCP
P3 · Élevée · CVE-2026-84319 — Nginx UI présente un contrôle insuffisant dans son interface de configuration MCP : un utilisateur secondaire authentifié peut appliquer des…
-
music-metadata : épuisement de mémoire ou arrêt fatal via des longueurs EBML non vérifiées
P4 · Moyenne · CVE-2026-107389 — Le parseur EBML de `music-metadata` utilisait des longueurs déclarées dans les fichiers sans vérifier qu’elles tenaient dans l’entrée ou le…
-
XSS authentifiée dans l’interface IBM — CVE-2026-78407
P4 · Moyenne · CVE-2026-78407 — IBM Security Verify Access 10.0 jusqu’à 10.0.9.2 et IBM Verify Identity Access 11.0 jusqu’à 11.0.3 présentent une faille de script…
-
XSS dans l’interface locale de gestion IBM — CVE-2026-11936
P4 · Moyenne · CVE-2026-11936 — IBM Security Verify Access 10.0 jusqu’à 10.0.9.2 et IBM Verify Identity Access 11.0 jusqu’à 11.0.3 présentent, dans certaines configurations, une…
-
CVE-2026-107390 — music-metadata : déni de service lors de l’analyse MP4
P4 · Moyenne · CVE-2026-107390 — music-metadata présentait une vulnérabilité de déni de service dans l’analyse des fichiers MP4, due à la gestion d’une taille d’atome…
-
msgpack5 : épuisement de pile par imbrication excessive
P4 · Moyenne · CVE-2026-107298 — Les versions de msgpack5 antérieures à 6.1.0 ne limitent pas la profondeur d’imbrication des tableaux et maps décodés. Une entrée…
-
XSS dans l’interface Web d’IBM DataPower Gateway pour un utilisateur authentifié
P4 · Moyenne · CVE-2026-13258 — Un utilisateur authentifié peut injecter du JavaScript arbitraire dans l’interface Web d’IBM DataPower Gateway. L’exploitation peut altérer le fonctionnement de…
-
music-metadata : épuisement mémoire par taille de tag ID3v2 non validée
P4 · Moyenne · CVE-2026-107388 — Le parseur ID3v2 de `music-metadata` utilise la taille déclarée du tag pour allouer un tampon sans vérifier qu’elle correspond aux…