Le journal DFS
JavaScript
-
XSS stockée dans « Theme to Components » de GetSimple CMS
P3 · Élevée · CVE-2026-71542 — GetSimple CMS et GetSimple CMS CE jusqu’à la version 3.3.22 incluse sont vulnérables à une XSS stockée dans la fonctionnalité…
-
XSS dans l’afficheur de sauvegardes de GetSimple CMS
P3 · Élevée · CVE-2026-70650 — GetSimple CMS et GetSimple CMS CE jusqu’à la version 3.3.22 incluse présentent une XSS stockée dans l’afficheur de sauvegardes de…
-
CVE-2026-92948 : évasion du bac à sable vm2 via node:test
P3 · Critique · CVE-2026-92948 — Une configuration de vm2 qui autorise le module intégré `node:test` peut permettre à du code exécuté dans un `NodeVM` de…
-
vm2 : contournement de la liste d’autorisation des modules externes
P3 · Critique · CVE-2026-92951 — Dans vm2, la vérification de la liste d’autorisation des modules externes de NodeVM peut accepter un nom de paquet qui…
-
vm2 : contournement de la garde nesting avec un require sous forme de tableau
P3 · Critique · CVE-2026-92935 — Dans vm2, le contrôle de configuration de `NodeVM` accepte un tableau comme valeur de `require`, ce qui permet de contourner…
-
vm2 : contournement de la désinfection des erreurs de promesse hôte
P3 · Critique · CVE-2026-92937 — Un contournement du correctif GHSA-m283-3h24-438v dans vm2 permet de transmettre à du code sandboxé une erreur de promesse hôte contenant…
-
vm2 : exécution de code natif via une extension node:sqlite
P3 · Critique · CVE-2026-92938 — Dans vm2 3.11.6, autoriser `node:sqlite` dans une `NodeVM` permet au code non fiable de charger une extension native SQLite depuis…
-
vm2 : chargement de code natif via crypto.setEngine
P3 · Critique · CVE-2026-92939 — Dans vm2 3.11.6, autoriser le builtin `crypto` dans une `NodeVM` permet à du code non fiable d’utiliser `crypto.setEngine()` pour charger…
-
Injection JavaScript dans la WebView de Joyland AI
P3 · Critique · CVE-2026-102667 — Joyland AI permet à un attaquant ayant un accès au réseau partagé d’injecter du JavaScript dans du contenu chargé dans…
-
DOMPurify — risque de XSS DOM avec des hooks après sanitisation en mode IN_PLACE
P4 · Faible — En mode `IN_PLACE`, DOMPurify peut laisser des gestionnaires d’événements actifs dans un sous-arbre détaché par certains hooks d’après-sanitisation, créant un risque de…