Le journal DFS
JavaScript
-
OpenTelemetry JavaScript Contrib : divulgation des noms de comptes DB (CVE-2026-104872)
P4 · Moyenne · CVE-2026-104872 — CVE-2026-104872 concerne huit bibliothèques d’instrumentation OpenTelemetry JavaScript qui transmettent par défaut le nom du compte de base de données dans…
-
ProseMirror : XSS via le traitement du contenu collé
P3 · Élevée · CVE-2026-104847 — Une validation insuffisante du HTML collé dans un éditeur ProseMirror permet l’exécution de JavaScript contrôlé par un attaquant dans le…
-
Contournement des droits et XSS persistante dans YesWiki
P3 · Élevée · CVE-2026-104450 — Dans YesWiki avant la version 4.6.7, l’action pointimage enregistre du contenu sur une page choisie sans vérifier correctement les droits…
-
LimeSurvey : XSS stockée dans les questions Date/Time (CVE-2026-102626)
P3 · Élevée · CVE-2026-102626 — Dans LimeSurvey Community Edition 7.4.0, un utilisateur authentifié disposant du droit global de créer des enquêtes peut stocker une valeur…
-
CVE-2026-93367 — XSS stockée non authentifiée dans Visitors Traffic Real Time Statistics Pro
P3 · Élevée · CVE-2026-93367 — Le plugin WordPress Visitors Traffic Real Time Statistics Pro présente une XSS stockée non authentifiée : la valeur `page_title` est…
-
tinypool : exécution de code via pollution de prototype dans les options du worker
P3 · Critique · CVE-2026-104849 — Si une application transmet à `pool.run()` un objet d’options dont `filename` est hérité après une pollution de prototype, tinypool peut…
-
Tinypool : options héritées pouvant conduire à l’exécution de code dans un worker
P3 · Critique · CVE-2026-104848 — Avant Tinypool 2.1.1, des options de worker héritées d’un prototype pollué peuvent être transmises à `worker_threads.Worker` et entraîner le chargement…
-
KaTeX — pollution de prototype héritée pouvant contourner les restrictions de confiance
P4 · Faible · CVE-2026-103923 — KaTeX pouvait interpréter des propriétés héritées comme des options de rendu, notamment `trust`, si le prototype de l’objet d’options ou…
-
XSS stockée dans If-So Dynamic Content pour WordPress
P4 · Faible · CVE-2026-87973 — If-So Dynamic Content pour WordPress ne nettoie pas le nom d’une conversion avant son stockage et son affichage dans la…
-
vm2 : contournement de readonly/freeze via des propriétés accessor
P4 · Moyenne · CVE-2026-92949 — Dans vm2, du code sandboxé pouvait appeler directement un setter hôte récupéré depuis le descripteur d’une propriété accessor d’un objet…