Le journal DFS
JavaScript
-
Injection de JavaScript via les shortcodes de galerie Final Tiles Grid
P4 · Moyenne · CVE-2026-104646 — Une faille de script intersite stocké permet à des contributeurs ou à des utilisateurs de niveau supérieur d’injecter du JavaScript…
-
Contournement de validation d’URL dans la bibliothèque SVG utilisée par certains modules Drupal
P4 · Moyenne · CVE-2026-107380 — Une faille dans `enshrined/svg-sanitize` permet à un SVG spécialement conçu de contourner la validation des URL et d’introduire une URL…
-
Indico : exécution de script via des URL javascript personnalisées
P4 · Moyenne · CVE-2026-107396 — Dans Indico, des utilisateurs pouvant gérer des événements ou créer du contenu peuvent enregistrer des URL javascript dans certains champs…
-
OWASP Coraza WAF : contournement de règles avec des échappements octaux JavaScript
P4 · Moyenne · CVE-2026-104774 — OWASP Coraza WAF traite incorrectement certaines séquences d’échappement octales JavaScript avec la transformation t:jsDecode. Un attaquant non authentifié peut ainsi…
-
msgpack5 : épuisement de pile par récursion du décodeur de flux
P3 · Élevée · CVE-2026-107300 — Le décodeur de flux de msgpack5 antérieur à 6.1.0 s’appelle récursivement pour chaque valeur complète restante dans un fragment. Un…
-
Contournement du filtre MathJax et exécution de code dans Obsidian Desktop
P3 · Élevée · CVE-2026-104078 — Une formule MathJax malveillante dans une note peut contourner un filtre d’URL et produire un lien `javascript:` exécutable dans Obsidian…
-
Exécution de code via une note de présentation dans Obsidian Desktop
P3 · Élevée · CVE-2026-104077 — Une note Markdown spécialement conçue peut contourner l’assainissement de l’attribut `data-background-iframe` et provoquer l’exécution de code dans Obsidian Desktop. Si…
-
XSS sans authentification dans l’interface IBM — CVE-2026-17189
P3 · Élevée · CVE-2026-17189 — IBM Security Verify Access 10.0 jusqu’à 10.0.9.2 et IBM Verify Identity Access 11.0 jusqu’à 11.0.3 sont affectés par une faille…
-
XSS dans l’interface Web d’IBM DataPower Gateway
P3 · Critique · CVE-2026-14990 — IBM DataPower Gateway présente une faille de script intersite qui permet à un attaquant non authentifié d’insérer du JavaScript dans…
-
Paquet npm hardhat-pack 2.0.1 signalé comme malveillant
P3 · Critique — L’avis signale du code malveillant dans `hardhat-pack` version 2.0.1 : l’importation du paquet charge une grande charge utile JavaScript obfusquée sans justification…