Le journal DFS
PHP
-
Balbooa Forms : divulgation de fichiers locaux par traversée de chemin
P3 · Élevée · CVE-2026-102424 — Balbooa Forms peut accepter des chemins de fichiers contrôlés par un invité et joindre des fichiers locaux à la réponse…
-
Exécution de code à distance dans Balbooa Forms pour Joomla
P3 · Critique · CVE-2026-102425 — CVE-2026-102425 concerne Balbooa Forms pour Joomla : une injection de valeur de champ dans le traitement PHP après soumission d’un…
-
DOMSanitizer — filtrage incomplet des URL data encodées
P4 · Moyenne · CVE-2026-100370 — DOMSanitizer, bibliothèque de nettoyage DOM/SVG/MathML pour PHP, peut laisser passer des URL data dans les attributs href et xlink:href lorsque…
-
DLA-4819-1 : lecture hors limites dans la vérification de nom TLS
P4 · CVE-2026-91767 — Debian a publié le 5 octobre 2026 une mise à jour de sécurité pour php8.2 corrigeant une lecture hors limites lors de…
-
DLA-4819-1 : déni de service par imbrication XML SOAP
P4 · CVE-2026-91765 — Debian a publié le 5 octobre 2026 une mise à jour de sécurité pour php8.2 corrigeant la récursion sans limite de profondeur…
-
DLA-4819-1 : fuite d’identifiants lors de redirections HTTP
P4 · CVE-2026-91766 — Debian a publié le 5 octobre 2026 une mise à jour de sécurité pour php8.2 concernant une fuite d’identifiants par le wrapper…
-
YAHMAN Add-ons pour WordPress : CVE-2026-75799, écriture PHP distante et RCE
P4 · CVE-2026-75799 — Le plugin WordPress YAHMAN Add-ons antérieur à 0.9.31 ne valide pas le type des fichiers distants mis en cache dans un répertoire…
-
CMSimple 5.24 : CVE-2026-88418, CSRF désactivé par défaut menant à du PHP évalué
P4 · CVE-2026-88418 — CMSimple 5.24 est publié avec une protection CSRF désactivée par défaut. Une requête forgée visant un administrateur connecté peut injecter un marqueur…
-
WuzhiCMS 5.0.0 : CVE-2026-88419 permet l’upload de PHP et l’exécution de code
P3 · Élevée · CVE-2026-88419 — Le point d’entrée de téléversement de miniatures de WuzhiCMS 5.0.0 accepte des fichiers dangereux et conserve l’extension fournie par le…
-
CVE-2026-88855 : injection SQL privilégiée dans OrdaSoft Joomla Gallery avant 6.2.7
P3 · Élevée · CVE-2026-88855 — OrdaSoft Joomla Gallery contient une injection SQL exploitables par un utilisateur authentifié disposant de la permission core.manage sur le composant,…