Le journal DFS
JavaScript
-
XSS stockée dans SimpleChat via le nom d’un document de groupe
P3 · Élevée · CVE-2026-105798 — Dans SimpleChat, un nom de fichier de document de groupe spécialement construit peut provoquer une XSS stockée dans l’origine de…
-
CakePHP : injection dans Content-Disposition pouvant mener à une XSS stockée
P3 · Élevée · CVE-2026-106512 — Dans CakePHP, `CakeResponse::download()` insère un nom de fichier fourni par l’appelant dans l’en-tête `Content-Disposition` sans assainissement. Un nom contenant des…
-
Handlebars — injection JavaScript par confusion de type dans un AST pré-parsé
P3 · Critique · CVE-2026-106446 — Handlebars ne validait pas tous les champs d’un AST pré-parsé, permettant à un objet AST non fiable de faire injecter…
-
Handlebars : exécution de JavaScript par contournement du contrôle des propriétés propres
P3 · Critique · CVE-2026-106445 — Un contournement de la liste de refus d’accès aux propriétés de prototype permet d’obtenir le constructeur `Function` et d’exécuter du…
-
vm2 : pollution de prototypes hôtes de tableaux typés et d’ArrayBuffer
P3 · Critique · CVE-2026-92953 — Une protection incomplète dans vm2 permet à du code exécuté dans un `VM` par défaut de modifier des prototypes natifs…
-
Exfiltration de données et exécution de code dans css-jptvix-polyfill
P3 · Critique — L’avis décrit un paquet npm malveillant qui collecte des informations système et l’environnement du processus, puis les transmet à un hôte externe.…
-
Code malveillant dans le paquet npm hardhat-init
P3 · Critique — L’avis signale que hardhat-init@2.21.0 contient un fichier JavaScript fortement obfusqué exécuté dès le chargement du module. Le paquet ne semble pas fournir…
-
DigitalCanion : XSS stockée affectant la gestion des utilisateurs
P4 · Faible · CVE-2026-104808 — Un utilisateur authentifié peut injecter du JavaScript ou du HTML persistant dans le champ « Microsoft Exchange mailbox » de…
-
DigitalCanion : XSS stockée dans le champ Description
P4 · Faible · CVE-2026-104807 — Un utilisateur authentifié peut injecter du contenu JavaScript ou HTML persistant dans le champ « Description » de Configuration →…
-
Penpot : exécution de JavaScript via des médias SVG non assainis
P4 · Moyenne · CVE-2026-105694 — Penpot enregistrait des médias SVG téléversés par des utilisateurs ayant le droit de modifier un fichier sans assainir les scripts,…