Le journal DFS
JavaScript
-
Injection de code dans dot-access
P3 · Critique · CVE-2026-107700 — Dans `dot-access`, le chemin fourni à `get()` est incorporé dans le corps d’une fonction JavaScript construite dynamiquement, ce qui permet…
-
Fanvil x7a — injection de JavaScript dans les journaux
P4 · CVE-2025-70515 — Le composant de journalisation de l’appareil Fanvil x7a en firmware 2.6.0.1182 ne neutralisait pas correctement des données fournies par l’utilisateur, permettant l’injection…
-
CVE-2026-76276 — Splunk Enterprise : exposition de code source via des source maps
P4 · Moyenne · CVE-2026-76276 — Splunk Enterprise pouvait exposer le code source original de l’application Discover Splunk Observability Cloud à des utilisateurs de faible privilège,…
-
Fanvil x7a — injection de JavaScript dans les journaux
P4 · Moyenne · CVE-2025-70519 — Le composant de journalisation du Fanvil x7a en firmware 2.6.0.1182 ne neutralisait pas correctement des données utilisateur réfléchies, ce qui…
-
SMA1000 AMC — XSS stockée après authentification
P4 · Moyenne · CVE-2026-102258 — La console Appliance Management Console du SMA1000 présentait une vulnérabilité XSS stockée après authentification, pouvant permettre à un attaquant distant…
-
Apache Impala — XSS stockée dans le plan de requête Web
P4 · Moyenne · CVE-2026-93684 — Dans Apache Impala jusqu’à la version 4.5.2 incluse, un utilisateur SQL disposant uniquement du droit SELECT pouvait insérer du JavaScript…
-
Gitea — exécution de JavaScript via l’API média
P4 · Moyenne · CVE-2026-96594 — Gitea ne définissait pas les en-têtes de contenu adaptés pour certains fichiers HTML de 1 Kio ou moins servis par…
-
If-So Dynamic Content — XSS dans une page d’administration
P3 · Élevée · CVE-2026-87971 — Le plugin WordPress If-So Dynamic Content antérieur à la version 1.10.2 ne validait pas le schéma d’une URL fournie dans…
-
Gitea : exécution de JavaScript via les blobs du registre de conteneurs
P4 · CVE-2026-103667 — Le registre de conteneurs Gitea sert des blobs avec un type de contenu tiré des manifestes poussés, sans `Content-Disposition` ni politique de…
-
Node-convict : déni de service par pollution de prototype dans config.set()
P4 · CVE-2026-106550 — `config.set()` dans Node-convict est vulnérable à une pollution de prototype permettant à un attaquant contrôlant une clé de configuration d’écraser des propriétés…