Le journal DFS
Node.js
-
Ghost : scripts hébergés sur le domaine du site via des SVG importés
P4 · Moyenne · CVE-2026-105644 — Ghost stockait sans assainissement les images SVG incluses dans des imports de contenu, ce qui pouvait permettre d’héberger des scripts…
-
flatted : pollution de prototype via parse()
P3 · Élevée · CVE-2026-33228 — La fonction `parse()` de flatted peut traiter une valeur contrôlée comme un index de tableau sans vérifier qu’elle est numérique,…
-
adm-zip : élévation de privilèges possible lors de l’extraction d’archives ZIP
P3 · Élevée · CVE-2026-102282 — Une archive ZIP spécialement conçue peut faire créer par adm-zip un fichier extrait avec les bits setuid/setgid/sticky lorsque `keepOriginalPermission=true` est…
-
Ghost : exécution possible de fichiers téléversés sur le domaine du site
P3 · Élevée · CVE-2026-105679 — Sur les sites Ghost utilisant l’adaptateur de stockage local par défaut, les restrictions de type de contenu appliquées aux fichiers…
-
Ghost : exécution de code serveur via un thème malveillant
P3 · Élevée · CVE-2026-105677 — Dans Ghost, un administrateur authentifié pouvait exploiter le chargement des fichiers de traduction pour exécuter du code arbitraire sur le…
-
Ghost : élévation de privilèges par exposition de jetons d’invitation
P3 · Élevée · CVE-2026-105675 — Dans Ghost, les membres du personnel autorisés à consulter les invitations pouvaient découvrir le jeton secret d’invitations en attente, y…
-
Ghost : hébergement de fichiers arbitraires via les cartes de signet
P3 · Élevée · CVE-2026-105651 — Ghost permettait à un membre du personnel de faire héberger, sur le domaine du site, des fichiers non image récupérés…
-
Ghost : scripts non fiables via l’intégration d’URL
P3 · Élevée · CVE-2026-105650 — CVE-2026-105650 concerne l’intégration dans Ghost d’une URL provenant d’un site contrôlé par un attaquant, qui pouvait conduire à l’enregistrement de…
-
Ghost : SVG non assainis dans les médias téléversés
P3 · Élevée · CVE-2026-105649 — CVE-2026-105649 concerne des miniatures de médias SVG et des images SVG téléversées avec une extension non-SVG qui étaient enregistrées sans…
-
Ghost : XSS stocké possible via les cartes embed
P3 · Élevée · CVE-2026-105643 — Les cartes embed de Ghost pouvaient contourner les protections contre le cross-site scripting stocké et enregistrer des scripts exécutés lorsqu’un…