Le journal DFS
PHP
-
Déni de service dans rybakit/msgpack sur PHP 32 bits
P4 · CVE-2026-106971 — Un débordement d’entier dans `MessagePack\BufferUnpacker` de `rybakit/msgpack` peut provoquer un déni de service lorsque l’application utilise PHP 32 bits et traite une…
-
Debian : mise à jour de sécurité pour php-mongodb
P4 — Debian a publié un avis de sécurité pour le pilote MongoDB de PHP, signalant plusieurs vulnérabilités susceptibles de provoquer un déni de service. L’extrait…
-
PhpSpreadsheet : épuisement des ressources via les répétitions de lignes ODS
P3 · Élevée · CVE-2026-108359 — Le lecteur ODS de PhpSpreadsheet accepte sans limite l’attribut de répétition des lignes et peut matérialiser un très grand nombre…
-
PhpSpreadsheet : contournement du scanner XML par séquences ISO-2022
P3 · Élevée · CVE-2026-108358 — Le scanner XML de PhpSpreadsheet ne détecte pas certains contenus XML dissimulés à l’aide de séquences d’échappement ISO-2022, ce qui…
-
PhpSpreadsheet : contournement du scanner XML pouvant mener à une XXE et à un déni de service
P3 · Élevée · CVE-2026-108357 — Un contournement du contrôle XML dans le lecteur SpreadsheetML de PhpSpreadsheet peut permettre l’expansion d’entités XML, entraînant un déni de…
-
Dolibarr : injection SQL dans la mise à jour des tiers
P3 · Élevée · CVE-2026-33944 — Une injection SQL est présente dans la mise à jour des tiers de Dolibarr via les paramètres de taxe locale,…
-
Mautic : désérialisation non sécurisée pouvant conduire à l’exécution de code
P3 · Élevée · CVE-2026-115190 — Mautic présente une désérialisation non sécurisée de données de filtres de segments et de propriétés de champs personnalisés, pouvant permettre…
-
Grav : exposition possible des identifiants HTTP Basic via le contenu Twig
P4 · Moyenne · CVE-2026-114657 — Du contenu Twig fourni par un auteur de page peut exposer les identifiants HTTP Basic des visiteurs dans Grav. Les…
-
php-travel-agency-system : injection SQL dans le gestionnaire d’insertion
P4 · Moyenne · CVE-2026-114577 — Une injection SQL à distance a été signalée dans le gestionnaire d’insertion de php-travel-agency-system, via plusieurs paramètres de requête. La…
-
Roundcube Webmail : primitive d’injection d’objet dans la désérialisation de session
P3 · Élevée · CVE-2026-114724 — Une primitive d’injection d’objet PHP a été identifiée dans rcube_session::unserialize() de Roundcube Webmail. Les versions antérieures à 1.6.20 ainsi que…