Le journal DFS
PHP
-
Kiota : injection de code via les commentaires de documentation générés
P3 · Élevée · CVE-2026-105796 — Kiota versions 0.5.0 à 1.35.0 présente une faille dans l’assainissement des commentaires de documentation Java générés à partir de descriptions…
-
HortusFox : exécution de code via l’import de thèmes
P3 · Élevée · CVE-2026-104069 — HortusFox antérieur à 6.2 permet à un administrateur authentifié de provoquer une exécution de code à distance par l’import d’un…
-
Désérialisation non sécurisée dans le plugin TrueLayer pour Magento 2
P3 · Élevée · CVE-2026-103831 — La désérialisation PHP non restreinte dans le composant Psr16CacheAdapter du plugin TrueLayer pour Magento 2 peut permettre l’exécution de code…
-
CakePHP : injection dans Content-Disposition pouvant mener à une XSS stockée
P3 · Élevée · CVE-2026-106512 — Dans CakePHP, `CakeResponse::download()` insère un nom de fichier fourni par l’appelant dans l’en-tête `Content-Disposition` sans assainissement. Un nom contenant des…
-
Injection SQL dans le point de vérification utilisateur d’eLoanApp
P3 · Élevée · CVE-2026-4889 — L’application eLoanApp est affectée par une injection SQL dans le paramètre POST `logina` de `/ajax/users.php?op=verify`. L’exploitation peut révéler le moteur…
-
Craft CMS : exécution de code à distance via app/render-components
P3 · Élevée · CVE-2026-105985 — Craft CMS présente une exécution de code à distance dans l’action Control Panel `app/render-components`, accessible à un utilisateur authentifié disposant…
-
Kusalkasilva Learning-Management-System : injection SQL au point de connexion administrateur
P3 · Moyenne · CVE-2026-105919 — Le point de connexion administrateur de Kusalkasilva Learning-Management-System présente une injection SQL à distance via les paramètres username/password de `admin/login.php`.…
-
Kusalkasilva Learning-Management-System : injection SQL au point de connexion
P3 · Moyenne · CVE-2026-105918 — Une injection SQL à distance affecte le point de connexion de Kusalkasilva Learning-Management-System, dans `login.php`, par manipulation des paramètres username/password.…
-
Plugin Crayons pour SPIP : défaut d’autorisation pouvant mener à l’exécution de PHP
P3 · Critique · CVE-2026-104070 — Le plugin Crayons pour SPIP avant 3.5.0 présente un défaut d’autorisation permettant à un attaquant non authentifié de modifier des…
-
Smarty : injection de code dans le cache PHP des modèles
P3 · Critique · CVE-2026-82531 — Smarty présente une injection de code pouvant conduire à l’exécution de PHP lors de l’inclusion d’un fichier cache régénéré. Le…