Node.js

P4 · Moyenne · CVE-2026-113662 — Un utilisateur authentifié disposant d’un droit d’import peut fournir un objet ou un opérateur comme valeur de clé de mise…

P4 · Moyenne · CVE-2026-113660 — Avant ApostropheCMS 4.33.0, l’API `exist-in-locale` permettait à un utilisateur authentifié de faible privilège de découvrir l’existence de documents restreints dans…

P4 · Moyenne · CVE-2026-113656 — Avant la version 1.5.5 de l’extension ApostropheCMS Form, la route de soumission acceptait des téléversements multipart sans limites de taille,…

P4 · Moyenne · CVE-2026-113655 — Avant ApostropheCMS 4.33.0, un éditeur authentifié disposant de droits de modification sur une page existante pouvait modifier l’ordre de pages…

P4 · Moyenne · CVE-2026-113654 — Avant sanitize-html 2.18.0, une configuration non standard de `nonTextTags` incluant `noscript` pouvait laisser sortir trop tôt la région à supprimer…

P4 · Moyenne · CVE-2026-113653 — Avant ApostropheCMS 4.33.0, des visiteurs anonymes pouvaient obtenir certains champs d’objets utilisateur exposés dans des relations ou une API publique…

P4 · Moyenne · CVE-2026-112952 — Un utilisateur connecté pouvait interroger l’API slugTaken et déterminer si un slug existait parmi des documents privés, brouillons ou archivés,…

P4 · Moyenne · CVE-2026-112943 — Sous Windows, launch-editor n’échappait pas le caractère % lors du passage d’arguments à cmd, ce qui pouvait permettre l’exécution de…

P4 · Moyenne · CVE-2026-110180 — Pour les schémas HTTP, canonicalizeHost() peut accepter un hôte réécrit par le parseur WHATWG sans vérifier que toute l’entrée a…