Les sujets à surveiller, en un regard.
66 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 4 sujet(s) en rouge, 4 en orange.
Shopify
Recherche du sujet effectuée
Les vérifications effectuées n’ont relevé aucun avis de sécurité Shopify daté du 27 septembre 2026 dans les sources consultées. Le changelog officiel Shopify consulté ne montre pas d’entrée de cette date; cette conclusion se limite aux sources et recherches indiquées ci-dessous.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou alerte de sécurité Wix datée de la période demandée n’a été vérifiée dans les résultats consultés. Un résultat du forum Wix Studio daté du 27 septembre 2026 évoque une détection de phishing présumée sur un sous-domaine, mais ne constitue pas un avis de vulnérabilité confirmé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche dédiée sur Solocal n’a pas identifié de vulnérabilité, d’avis ou de correctif de sécurité daté de la période du 2026-09-27T00:00:00+02:00 au 2026-09-28T00:00:00+02:00. L’information repérée sur Solocal concernant la clôture d’une injonction de la CNIL est datée du 2026-09-24, hors période, et ne constitue pas un avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée sur Craft CMS n’a pas permis de vérifier de vulnérabilité, d’avis de sécurité, de correctif ou d’événement d’exploitation daté du 2026-09-27 dans la période demandée. Les avis Craft CMS repérés dans les résultats de recherche portent des dates antérieures à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche web dédiée sur Ghost n’a pas fait apparaître de vulnérabilité, d’avis/correctif de sécurité ni de changement substantiel daté du 2026-09-27 dans les résultats consultés. Les avis Ghost affichés et les autres éléments de sécurité repérés sont antérieurs à la période; aucune information publiée après la borne de fin n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Les sources consultées n’indiquent pas de nouvel avis ou correctif de sécurité Strapi daté du 2026-09-27 dans la période demandée. Les avis de sécurité Strapi visibles dans le dépôt consulté sont antérieurs à cette période, et les notes de version consultées indiquent une version publiée le 2026-09-24, sans élément de sécurité signalé pour la date visée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub de Directus, ses pages de sécurité et de versions, ainsi que des recherches ciblées sur les CVE et les avis datés du 27 septembre 2026. Parmi les sources consultées, aucun avis, correctif, événement d’exploitation ou changement substantiel Directus daté de la période demandée n’a été vérifié; plusieurs avis affichés étaient datés antérieurement et n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou changement de sécurité OpenCart daté de la période demandée parmi les résultats consultés. La page de sécurité GitHub du projet indique qu’aucun avis de sécurité n’y est publié ; cela ne permet pas, à lui seul, de conclure à l’absence de toute nouveauté ailleurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Aucun avis ou changement de sécurité cPanel daté de la période demandée n’a pu être vérifié dans les sources consultées. Les sources éditeur visibles recensent notamment des avis du 22 septembre et des entrées de journal de modifications jusqu’au 24 septembre 2026, hors de la période visée; cela ne permet pas de conclure à l’absence de toute nouveauté.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis Debian publié dans la période demandée corrige onze CVE affectant le paquet ruby-oj dans Debian 13/trixie. L’avis attribue collectivement à ces vulnérabilités des risques de déni de service ou de divulgation de mémoire, sans détailler l’impact de chaque CVE séparément.
Debian corrige CVE-2026-54500 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54500 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54502 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54502 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54592 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54592 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54896 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54896 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54897 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54897 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54898 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54898 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54899 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54899 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54900 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54900 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54901 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54901 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54902 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54902 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Debian corrige CVE-2026-54903 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54903 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire, sans préciser l’impact propre à cette CVE.
Action recommandée : Sur Debian 13/trixie, mettre à jour ruby-oj vers 3.16.3-1+deb13u1.
Bun
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Bun, aux entrées CVE/NVD et aux informations disponibles sur GitHub n’a pas mis en évidence de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel Bun daté de la période du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu. La page des avis de sécurité GitHub consultée indique qu’aucun avis n’est publié; les résultats relatifs à une version canary du 27 septembre ne signalent pas de vulnérabilité directe connue, mais ne constituent pas à eux seuls une preuve exhaustive.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche dédiée sur Deno n’a pas identifié de nouvel avis de sécurité, de correctif de sécurité, d’exploitation ni de changement substantiel daté entre le 2026-09-27T00:00:00+02:00 et le 2026-09-28T00:00:00+02:00. Les avis de sécurité Deno consultés et la version indiquée dans les notes de publication étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
La recherche dédiée sur l’écosystème Go n’a pas permis d’identifier de vulnérabilité, correctif, avis ou changement substantiel vérifié comme daté dans la période du 2026-09-27T00:00:00+02:00 au 2026-09-28T00:00:00+02:00. Les avis Go consultés dans la base de vulnérabilités étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kotlin
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Kotlin, à la base GitHub Advisory Database, aux résultats NVD et aux publications du projet n’a identifié aucun nouvel avis, correctif de sécurité ou événement d’exploitation daté du 2026-09-27 dans la période demandée. Les avis repérés sur Kotlin concernent des dates antérieures à cette période et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité du projet Electron et ses pages de versions GitHub. Aucun avis, correctif ou événement de sécurité Electron daté du 2026-09-27 n’a été vérifié dans les résultats consultés ; les avis Electron repérés étaient datés d’autres jours et sont donc hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité du projet jQuery, à ses dépôts et aux bases d’avis accessibles n’a pas fait ressortir de vulnérabilité, de correctif, d’avis de sécurité, d’exploitation ni de changement substantiel concernant jQuery daté de la période du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu. Les avis jQuery visibles dans les résultats consultés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche ciblée dans les avis de sécurité GitHub de Laravel et les sources Laravel consultées n’a identifié aucun avis, correctif de sécurité ou changement substantiel daté du 27 septembre 2026 dans la période demandée. Les avis visibles dans le dépôt Laravel consulté sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte n’a pas identifié d’avis, de correctif de sécurité ou d’autre changement substantiel daté du 2026-09-27 dans les sources consultées. Les avis Svelte visibles dans les résultats consultés portent sur des dates antérieures à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
Pour la période du 2026-09-27T00:00:00+02:00 au 2026-09-28T00:00:00+02:00, la recherche dédiée dans les résultats consultés du blog et des avis de sécurité Symfony ainsi que des avis GitHub n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ou changement substantiel daté de cette période. Les publications Symfony datées du 27 septembre repérées dans le blog étaient des actualités générales, non des avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche web dédiée à Flask a consulté les avis de sécurité et les versions du projet sur GitHub, ainsi que des résultats liés aux CVE/NVD et aux sources de sécurité. Les avis Flask repérés dans les résultats datent d’avant la période demandée; aucun événement Flask vérifiable daté du 2026-09-27 n’a été identifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Les sources consultées ne montrent pas de nouvel avis ni de correctif de sécurité Django daté du 27 septembre 2026. L’avis Django le plus récent trouvé dans l’archive consultée date du 4 août 2026. Le candidat fourni concerne HostList et n’est pas identifié comme une vulnérabilité de Django; ses dates NVD indiquées précèdent la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Recherche web dédiée à FastAPI effectuée pour la période du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu. Les résultats consultés n’établissent aucun nouvel avis, correctif ou événement de sécurité FastAPI daté de cette période; les avis trouvés sont antérieurs et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée a porté sur Express.js et ses avis de sécurité. Aucun avis ou changement de sécurité répondant aux critères de la période du 2026-09-27 au 2026-09-28 n’a été vérifié dans les résultats consultés. Les deux candidats concernent le plugin WordPress Optima Express IDX, un homonyme hors sujet, et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de mise à jour substantielle daté dans la période demandée. Les avis NestJS visibles dans les résultats consultés sont antérieurs au 27 septembre 2026. Une entrée secondaire datée du 28 septembre est hors période : la date indiquée ne permet pas de la situer avant la borne de fin du 28 septembre à 00:00 +02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
La recherche dédiée n’a trouvé aucun avis de sécurité, correctif de sécurité, événement d’exploitation ni changement substantiel MySQL daté du 2026-09-27 dans les sources consultées. Les avis MySQL repérés sur le site du projet portent des dates antérieures à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis PostgreSQL correspondant à la période du 2026-09-27T00:00:00+02:00 au 2026-09-28T00:00:00+02:00. Le candidat fourni concerne une vulnérabilité de HostList/Django, et non une vulnérabilité du produit PostgreSQL; la mention de PostgreSQL décrit seulement une erreur de base de données susceptible d’être divulguée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
La recherche dédiée a consulté la page officielle des alertes MongoDB, les avis GitHub du dépôt MongoDB et un avis du Centre canadien pour la cybersécurité. Les alertes MongoDB visibles dans les résultats étaient datées du 24 septembre 2026 ou d’avant; aucun avis, correctif ou autre événement de sécurité MongoDB daté du 27 septembre 2026 n’a été vérifié dans les sources consultées. Aucun item n’est donc retenu pour la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
La recherche dédiée sur Redis n’a pas identifié, dans les sources consultées, d’avis de sécurité Redis répondant à la période du 2026-09-27. Le candidat fourni concerne heym et son nœud de workflow Redis, pas une vulnérabilité du produit Redis ; il est donc exclu du sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy a consulté les avis de sécurité GitHub du projet, les éléments de versions et d’activité du dépôt ainsi que des recherches ciblant la période demandée. Parmi les résultats consultés, aucun avis, correctif ou événement de sécurité vérifié n’est daté du 2026-09-27 dans la période définie.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée sur SvelteKit a repéré des avis de sécurité publiés avant la période demandée, mais aucun élément vérifié comme nouveau, corrigé, publié ou substantiellement mis à jour entre le 2026-09-27T00:00:00+02:00 et le 2026-09-28T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche Web dédiée à Babel a consulté les avis de sécurité et les informations de projet Babel sur GitHub, ainsi que des recherches ciblant les CVE et les sources de sécurité. Les avis Babel trouvés dans les résultats étaient datés du 13 juin 2026, du 5 mai 2026, du 11 mars 2025 et du 12 octobre 2023; aucun résultat consulté n’établit un nouvel avis, correctif ou changement substantiel daté du 27 septembre 2026. La recherche complémentaire a échoué; cette conclusion se limite donc aux résultats effectivement consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Les sources consultées n’établissent aucun avis ou événement de sécurité Elasticsearch daté dans la période demandée. Les résultats pertinents repérés renvoient à un avis Elasticsearch publié le 1er septembre 2026 et à une entrée NVD pour Kibana datée du 26 septembre 2026 ; ils ne répondent pas aux critères de sujet et de période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche web dédiée à RabbitMQ n’a fait apparaître aucun avis de sécurité, correctif, cas d’exploitation ou changement substantiel daté du 2026-09-27 dans la période demandée. Les avis RabbitMQ repérés dans les résultats étaient datés du 2026-09-18 ou de dates antérieures et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche web dédiée sur Memcached n’a pas permis d’identifier de nouvel avis, correctif, exploitation ou changement substantiel daté du 2026-09-27 dans la période demandée. Les avis Memcached repérés dans les résultats étaient datés du 2026-09-21 et du 2026-09-23, donc antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Faible
Une nouvelle publication concernant GraphQL a été relevée pendant la période : CVE-2026-101061 affecte utcp-gql avant 1.1.1, avec un problème de validation d’URL pouvant permettre une SSRF. Le même avis couvre aussi utcp-websocket.
CVE-2026-101061 — SSRF dans utcp-gql et utcp-websocket
Une validation insuffisante des URL dans utcp-gql permet de contourner le contrôle d’hôte et de provoquer des requêtes vers des services internes ou des points de terminaison de métadonnées cloud. L’avis signale également une absence de validation dans utcp-websocket; des secrets transmis aux hôtes contrôlés par l’attaquant peuvent être exposés.
Action recommandée : Mettre à niveau utcp-gql et utcp-websocket vers la version 1.1.1 ou ultérieure.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité nouvelle concernant l’extension Mailchimp for WooCommerce a été publiée dans la période : CVE-2026-92436, affectant les versions antérieures à 6.3. La recherche n’a pas établi d’exploitation active.
Accès non autorisé aux paniers sauvegardés dans Mailchimp for WooCommerce
Mailchimp for WooCommerce ne vérifie ni l’authentification ni la propriété du panier avant de charger un panier sauvegardé à partir d’un identifiant fourni dans la requête et dérivé de l’adresse e-mail d’un client. Un attaquant non authentifié connaissant cette adresse peut confirmer que la personne est cliente et lire le contenu de son panier; mettre à jour vers la version 6.3 ou ultérieure.
Action recommandée : Mettre à jour Mailchimp for WooCommerce vers la version 6.3 ou ultérieure.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press a consulté la fiche WordPress.org, WPScan et une fiche NVD. Aucune vulnérabilité nouvelle, publication d’avis/correctif, exploitation ni mise à jour substantielle datée du 2026-09-27 (période +02:00) n’a été vérifiée dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche dédiée aux avis de Docker et de Moby n’a identifié aucun nouvel avis, correctif de sécurité ou changement substantiel concernant Docker daté du 2026-09-27. Les avis Docker/Moby repérés dans les résultats consultés sont datés d’autres jours.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié huit publications NVD datées du 27 septembre 2026 pour Contrast, runtime de conteneurs confidentiels utilisé avec Kubernetes, correspondant aux candidats fournis. La recherche a également relevé un avis Kubernetes distinct publié le 28 septembre 2026 sur kubectl cp sous Windows ; sa date est hors de la période figée et il n’est donc pas inclus.
Contrast : fuite du secret du workload dans les journaux
Dans Contrast de 1.9.0 à toute version antérieure à 1.12.2, l’initialiseur journalisait à INFO la réponse NewMeshCert, qui contient le secret du workload. Les utilisateurs Kubernetes autorisés à lire les journaux des pods pouvaient ainsi accéder aux secrets ; mettre à niveau vers 1.12.2 ou ultérieur.
Action recommandée : Mettre à niveau Contrast vers 1.12.2 ou ultérieur et examiner l’accès aux journaux ainsi que l’exposition antérieure des secrets.
Contrast : divulgation de secrets dans les journaux de l’initialiseur
Avant Contrast 1.8.1, l’initialiseur pouvait écrire le secret du workload sur stderr lorsque CONTRAST_LOG_LEVEL était réglé sur info ou debug, et INFO est indiqué comme valeur par défaut. Les lecteurs des journaux Kubernetes pouvaient alors obtenir ces secrets ; mettre à niveau vers 1.8.1 ou ultérieur.
Action recommandée : Mettre à niveau vers Contrast 1.8.1 ou ultérieur et traiter comme compromis les secrets éventuellement exposés dans les journaux.
Contrast : vérification insuffisante de la seed pendant la récupération du Coordinator
Dans Contrast avant 1.4.1, un Coordinator en récupération ne vérifiait pas la seed fournie par la partie qui récupère, ce qui pouvait permettre l’installation d’un Coordinator malveillant si le trafic était redirigé. Sous certaines conditions de validation du certificat racine, l’attaquant pouvait récupérer les secrets de workloads déployés après l’attaque ; mettre à niveau vers 1.4.1 ou ultérieur.
Action recommandée : Mettre à niveau vers Contrast 1.4.1 ou ultérieur et comparer le certificat racine du Coordinator avec une référence de confiance.
Contrast : les politiques générées ne vérifient pas tous les remplacements d’images
Les politiques générées par Contrast de 1.14.0 à toute version antérieure à 1.23.1 pouvaient accepter certaines substitutions d’images sans vérifier leur digest. Un acteur ayant accès à l’API de l’agent Kata pouvait ainsi substituer une image satisfaisant les autres règles ; mettre à niveau vers 1.23.1 ou ultérieur.
Action recommandée : Mettre à niveau vers Contrast 1.23.1 ou ultérieur ; si cela n’est pas possible, appliquer et valider la solution de contournement de l’avis.
Contrast : écriture arbitraire dans le système de fichiers racine invité
Avant Contrast 1.19.1, une faille dans la vérification CopyFile des politiques de l’agent Kata pouvait autoriser des écritures arbitraires dans le système de fichiers racine invité. Un processus malveillant de l’hôte pouvant joindre le VSOCK de l’agent pouvait remplacer des fichiers sensibles ou provoquer une divulgation de données ; mettre à niveau vers 1.19.1 ou appliquer la politique Rego équivalente indiquée par le projet.
Action recommandée : Mettre à niveau vers Contrast 1.19.1 ou ultérieur ; sinon appliquer la politique Rego équivalente recommandée et vérifier son déploiement.
Contrast : injection AML pouvant compromettre la confidentialité de l’invité
Avant Contrast 1.18.0, des tables ACPI/AML contrôlées par l’hôte pouvaient être interprétées par le noyau invité avec accès à la mémoire privée, ouvrant la voie à l’exécution de code et à la divulgation ou modification de données confidentielles. La version 1.18.0 atténue le risque en isolant l’interpréteur AML du noyau ; l’avis indique que Metal-QEMU-TDX n’est pas affecté.
Action recommandée : Mettre à niveau vers Contrast 1.18.0 ou ultérieur sur les plateformes affectées.
Contrast : contournement du chiffrement des volumes persistants sécurisés
Dans Contrast avant 1.12.1, un hôte malveillant pouvait fournir un volume LUKS2 conçu pour que le runtime accepte un chiffrement nul et écrive des données confidentielles en clair ou avec une clé connue de l’hôte. Mettre à niveau vers 1.12.1 ou une version ultérieure ; la validation renforcée et la protection d’intégrité du stockage sont ajoutées dans 1.13.0.
Action recommandée : Mettre à niveau Contrast au minimum vers 1.12.1 ; privilégier 1.13.0 ou ultérieur pour les protections de validation et d’intégrité décrites.
Contrast : écriture arbitraire dans un répertoire de conteneur
Dans Contrast jusqu’à la version 1.9.0 incluse, sur des déploiements bare-metal concernés, un hôte non fiable pouvait écrire des fichiers arbitraires sous un point de montage ajouté pour une directive VOLUME non montée par Kubernetes. La version 1.9.1 corrige le problème en interdisant cette configuration lors de contrast generate ; les déploiements AKS ne sont pas affectés selon l’avis.
Action recommandée : Mettre à niveau vers Contrast 1.9.1 ou ultérieur ; vérifier les images et montages concernés, en particulier sur bare-metal.
Linux (noyau)
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis ou de correctif de sécurité attribuable au noyau Linux et daté dans la période demandée. Le candidat CVE-2026-100839, publié le 2026-09-27T02:17:22.230Z (2026-09-27T04:17:22.230+02:00), concerne Contrast et son environnement d’exécution pour Kubernetes, plutôt qu’un avis de vulnérabilité du noyau Linux.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
Les avis Debian DSA-6522-1 et DSA-6520-1, publiés le 27 septembre 2026, annoncent des mises à jour de sécurité pour exim4 et lemonldap-ng et citent respectivement trois CVE chacun. Les détails des impacts ne sont pas attribués individuellement à chaque CVE dans les éléments vérifiés. L’avis DSA-6521-1 fourni pour ruby-oj n’a pas pu être vérifié suffisamment pour établir les CVE et le correctif ; la vérification du lot reste donc incomplète.
Debian corrige CVE-2026-94054 dans exim4
L’avis Debian DSA-6522-1 cite CVE-2026-94054 parmi plusieurs vulnérabilités d’Exim pouvant entraîner différents impacts. L’avis recommande de mettre à niveau le paquet exim4 vers la version corrigée indiquée pour Debian 13.
Action recommandée : Mettre à niveau exim4 vers 4.98.2-1+deb13u5 sur Debian 13.
Debian corrige CVE-2026-94056 dans exim4
L’avis Debian DSA-6522-1 cite CVE-2026-94056 parmi plusieurs vulnérabilités d’Exim pouvant entraîner différents impacts. L’avis recommande de mettre à niveau le paquet exim4 vers la version corrigée indiquée pour Debian 13.
Action recommandée : Mettre à niveau exim4 vers 4.98.2-1+deb13u5 sur Debian 13.
Debian corrige CVE-2026-94057 dans exim4
L’avis Debian DSA-6522-1 cite CVE-2026-94057 parmi plusieurs vulnérabilités d’Exim pouvant entraîner différents impacts. L’avis recommande de mettre à niveau le paquet exim4 vers la version corrigée indiquée pour Debian 13.
Action recommandée : Mettre à niveau exim4 vers 4.98.2-1+deb13u5 sur Debian 13.
Debian corrige CVE-2026-92288 dans Lemonldap::NG
L’avis Debian DSA-6520-1 cite CVE-2026-92288 parmi plusieurs vulnérabilités de Lemonldap::NG, avec des impacts décrits collectivement dans l’avis. Il recommande de mettre à niveau lemonldap-ng vers la version corrigée indiquée pour Debian 13.
Action recommandée : Mettre à niveau lemonldap-ng vers 2.21.2+ds-1+deb13u4 sur Debian 13.
Debian corrige CVE-2026-92289 dans Lemonldap::NG
L’avis Debian DSA-6520-1 cite CVE-2026-92289 parmi plusieurs vulnérabilités de Lemonldap::NG, avec des impacts décrits collectivement dans l’avis. Il recommande de mettre à niveau lemonldap-ng vers la version corrigée indiquée pour Debian 13.
Action recommandée : Mettre à niveau lemonldap-ng vers 2.21.2+ds-1+deb13u4 sur Debian 13.
Debian corrige CVE-2026-95811 dans Lemonldap::NG
L’avis Debian DSA-6520-1 cite CVE-2026-95811 parmi plusieurs vulnérabilités de Lemonldap::NG, avec des impacts décrits collectivement dans l’avis. Il recommande de mettre à niveau lemonldap-ng vers la version corrigée indiquée pour Debian 13.
Action recommandée : Mettre à niveau lemonldap-ng vers 2.21.2+ds-1+deb13u4 sur Debian 13.
Alpine Linux
Recherche du sujet effectuée
Aucune vulnérabilité, publication de correctif ou avis de sécurité Alpine Linux daté de la période demandée n’a été vérifié dans les résultats et sources consultés. Les annonces visibles du projet concernent d’autres dates; cela ne permet pas d’établir qu’aucun événement n’a eu lieu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée dans les avis du projet Apache HTTP Server et les résultats CVE/NVD consultés n’a pas établi de nouveauté de sécurité propre à Apache HTTP Server datée de la période demandée. Le candidat fourni concerne wolfSSL ; la mention d’Apache httpd décrit une configuration de compilation possible et ne fait pas de la vulnérabilité une faille d’Apache HTTP Server.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité nginx, au dépôt GitHub officiel et aux publications pertinentes n’a pas permis de vérifier de vulnérabilité, de correctif, d’avis ou d’événement d’exploitation nginx daté de la période demandée. Les trois candidats concernent wolfSSL, et non nginx.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant le langage PHP ou PHP-FPM daté du 2026-09-27 dans la période demandée. Les avis PHP officiels repérés concernaient des publications du 2026-09-24, hors période. Aucun candidat ne concerne le langage PHP lui-même ni PHP-FPM : les éléments portent sur des applications ou extensions distinctes, même lorsqu’elles sont écrites en PHP ou mentionnent PHP dans leur nom. Aucun item n’est donc retenu pour le sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WordPress
Recherche du sujet effectuée
Niveau relevé : Élevée
Les dix candidats fournis correspondent à des publications NVD datées du 27 septembre 2026 dans la période demandée et concernent des plugins WordPress. Ils couvrent des problèmes de contrôle d’accès, divulgation de secrets, inclusion de fichiers, XSS, désérialisation non sûre et requêtes serveur vers des ressources internes ; aucune information fournie ne confirme une exploitation active. Neuf vulnérabilités WordPress ont une publication NVD horodatée dans la période du 2026-09-27 : elles concernent WPeMatico RSS Feed Fetcher, Mailchimp for WooCommerce, Verge3D Publishing and E-Commerce, WP YouTube Lyte, Malcure Malware Shield, Optima Express IDX (deux CVE), NextScripts: Social Networks Auto-Poster et PowerPress Podcasting. La modification de fiche NVD pour CVE-2023-54358 est antérieure à la période et ne constitue pas une nouvelle vulnérabilité publiée pendant celle-ci. Aucun événement WordPress substantiel daté de la période n’est établi par les éléments fournis. Les trois candidats signalent une mise à jour de fiche NVD, sans préciser de changement substantiel intervenu dans la période.
Ad Inserter : contrôle d’accès insuffisant et injection de contenu exécutable
CVE-2026-81655 concerne un contrôle d’accès insuffisant à une page de réglages d’Ad Inserter, dans certaines configurations permises par le plugin. Un utilisateur authentifié dès le rôle abonné peut enregistrer du contenu qui sera exécuté comme PHP ou servi sans échappement aux visiteurs.
Action recommandée : Mettre à jour Ad Inserter vers la version 2.8.19 ou ultérieure.
Download Manager Pro : XSS persistante via le formulaire de téléchargement verrouillé
CVE-2026-86609 touche uniquement l’édition commerciale Pro de Download Manager : les données soumises par le formulaire d’abonnement aux téléchargements verrouillés par e-mail ne sont pas correctement assainies ni échappées avant leur affichage dans l’administration. Cela peut permettre à un attaquant non authentifié de déclencher une XSS persistante visant les administrateurs ; l’édition gratuite ne comprend pas la fonctionnalité concernée.
Action recommandée : Mettre à jour Download Manager Pro vers la version 7.5.6 ou ultérieure.
Contrôle d’autorisation manquant dans Malcure Malware Shield
Malcure Malware Shield ne vérifie pas les autorisations sur l’une de ses actions AJAX, ce qui permet à un administrateur de sous-site d’un réseau multisite d’écrire ou de supprimer des fichiers arbitraires dans le système de fichiers partagé. Cette capacité peut conduire à une exécution de code à distance; mettre à jour vers la version 19.9.7 ou ultérieure.
Action recommandée : Mettre à jour Malcure Malware Shield vers la version 19.9.7 ou ultérieure.
Accès non autorisé aux paniers sauvegardés dans Mailchimp for WooCommerce
Mailchimp for WooCommerce ne vérifie ni l’authentification ni la propriété du panier avant de charger un panier sauvegardé à partir d’un identifiant fourni dans la requête et dérivé de l’adresse e-mail d’un client. Un attaquant non authentifié connaissant cette adresse peut confirmer que la personne est cliente et lire le contenu de son panier; mettre à jour vers la version 6.3 ou ultérieure.
Action recommandée : Mettre à jour Mailchimp for WooCommerce vers la version 6.3 ou ultérieure.
UpdraftPlus : divulgation possible des identifiants de stockage distant
CVE-2026-82841 affecte une routine d’UpdraftPlus qui peut afficher les paramètres de stockage distant sans vérifier les permissions lorsque le site reste dans un état particulier après migration. Un utilisateur authentifié, par exemple un abonné, peut alors récupérer des identifiants de destination de sauvegarde, dont des mots de passe et clés secrètes.
Action recommandée : Mettre à jour vers la version corrigée correspondant à la branche utilisée et examiner l’exposition des identifiants de stockage distant.
EmbedPress : XSS persistante via un attribut de bloc non échappé
CVE-2026-85002 résulte de l’absence d’échappement d’un attribut de bloc EmbedPress avant son insertion dans un attribut HTML. Un utilisateur ayant au moins le rôle contributeur peut provoquer une XSS persistante susceptible de toucher des utilisateurs plus privilégiés qui consultent l’article.
Action recommandée : Mettre à jour EmbedPress vers la version 4.6.7 ou ultérieure.
WebFacing : inclusion de fichier local accessible sans authentification
CVE-2026-84069 concerne un script fourni avec WebFacing qui ne restreint pas correctement l’accès et ne valide pas le chemin transmis avant d’inclure un fichier local. Un attaquant non authentifié peut ainsi tenter une inclusion de fichier local.
Action recommandée : Mettre à jour WebFacing vers la version 5.4 ou ultérieure.
Online Scheduling : désérialisation non sûre et accès insuffisant à une fonction privilégiée
CVE-2026-86841 affecte une fonctionnalité de maintenance privilégiée d’Online Scheduling and Appointment Booking System : la désérialisation d’entrées non fiables et les restrictions d’accès sont insuffisantes. Un utilisateur auquel un administrateur a explicitement attribué une capacité personnalisée de gestion des réservations peut injecter des objets PHP, remplacer des options privilégiées et lire des secrets d’intégration.
Action recommandée : Mettre à jour le plugin vers la version 28.3 ou ultérieure et revoir les capacités personnalisées attribuées.
WPeMatico : requêtes serveur vers des ressources internes depuis une URL de flux
CVE-2026-89000 concerne la récupération côté serveur d’une URL de flux fournie par l’utilisateur sans vérification de capacité ni validation adéquate de la destination. Un utilisateur ayant au moins le rôle contributeur peut faire interroger des ressources internes et lire les réponses.
Action recommandée : Mettre à jour WPeMatico vers la version 2.8.27 ou ultérieure.
WPeMatico : publication de contenu et usurpation d’auteur par des contributeurs
CVE-2026-89001 concerne l’absence de vérification des permissions lors de l’exécution d’une campagne de flux dans WPeMatico. Un utilisateur ayant au moins le rôle contributeur peut publier directement des articles et les attribuer à n’importe quel compte, y compris celui d’un administrateur.
Action recommandée : Mettre à jour WPeMatico vers la version 2.8.27 ou ultérieure.
WPeMatico : récupération et affichage de réponses d’hôtes internes
CVE-2026-89003 concerne une fonction de WPeMatico qui récupère et affiche la réponse d’une URL fournie par l’utilisateur sans vérifier les capacités requises. Un utilisateur ayant au moins le rôle contributeur peut forcer le serveur à contacter des hôtes internes et lire les réponses obtenues.
Action recommandée : Mettre à jour WPeMatico vers la version 2.8.27 ou ultérieure.
XSS stockée dans WPeMatico RSS Feed Fetcher
Dans WPeMatico RSS Feed Fetcher, les contenus importés depuis un flux ne sont pas assainis avant leur enregistrement comme contenu d’article, ce qui permet à un contributeur ou à un rôle supérieur d’injecter du JavaScript exécuté lors de l’affichage. Mettre à jour vers la version 2.8.27 ou ultérieure.
Action recommandée : Mettre à jour WPeMatico RSS Feed Fetcher vers la version 2.8.27 ou ultérieure.
XSS stockée dans les blocs YouTube de WP YouTube Lyte
WP YouTube Lyte n’échappe pas certains attributs des blocs d’intégration YouTube lorsqu’ils sont rendus dans un attribut HTML, ce qui peut permettre à un contributeur ou à un rôle supérieur d’injecter un script persistant. Mettre à jour vers la version 1.7.31 ou ultérieure.
Action recommandée : Mettre à jour WP YouTube Lyte vers la version 1.7.31 ou ultérieure.
Action AJAX non autorisée dans Optima Express IDX
Optima Express IDX ne vérifie pas les autorisations sur une action AJAX accessible aux utilisateurs non connectés. Un attaquant non authentifié peut provoquer la création d’un compte au rôle auteur et faire tourner son mot de passe d’application sur une installation connectée; mettre à jour vers la version 8.7.6 ou ultérieure.
Action recommandée : Mettre à jour Optima Express IDX vers la version 8.7.6 ou ultérieure.
XSS stockée dans Optima Express IDX via un point de terminaison REST
Optima Express IDX ne neutralise pas correctement une valeur de script soumise via un point de terminaison REST avant de la stocker et de l’insérer dans l’en-tête du document rendu. Un utilisateur ayant au moins le rôle auteur peut ainsi réaliser une XSS stockée; mettre à jour vers la version 8.7.6 ou ultérieure.
Action recommandée : Mettre à jour Optima Express IDX vers la version 8.7.6 ou ultérieure.
XSS stockée dans PowerPress Podcasting by Blubrry
PowerPress Podcasting by Blubrry n’assainit pas et n’échappe pas un attribut de bloc avant de l’afficher dans une page, ce qui peut permettre à un contributeur ou à un rôle supérieur d’injecter un script persistant. Mettre à jour vers la version 11.17.2 ou ultérieure.
Action recommandée : Mettre à jour PowerPress Podcasting by Blubrry vers la version 11.17.2 ou ultérieure.
Téléchargement non autorisé de fichiers de commande dans Verge3D
Verge3D Publishing and E-Commerce ne restreint pas l’accès à un gestionnaire de téléchargement, permettant à des utilisateurs non authentifiés de télécharger sans autorisation les fichiers numériques associés à des commandes. La source fournie indique que le problème touche les versions jusqu’à 4.13.0, sans préciser de version corrective.
Contrôles d’accès insuffisants dans NextScripts: Social Networks Auto-Poster
NextScripts: Social Networks Auto-Poster se fie à un nonce sans vérifier les capacités ni la propriété pour plusieurs actions AJAX. Des utilisateurs auxquels un administrateur a accordé l’accès aux fonctions de publication peuvent exporter les identifiants de comptes sociaux configurés, supprimer des articles arbitraires et réinitialiser la configuration; mettre à jour vers la version 4.4.8 ou ultérieure.
Action recommandée : Mettre à jour NextScripts: Social Networks Auto-Poster vers la version 4.4.8 ou ultérieure.
Online Scheduling : accès indu aux rendez-vous et paiements d’autres membres du personnel
CVE-2026-86839 concerne les actions AJAX de personnel d’Online Scheduling and Appointment Booking System, qui ne vérifient pas que les rendez-vous et paiements demandés appartiennent au membre du personnel connecté. Un compte de personnel peut ainsi consulter, modifier ou supprimer les dossiers d’autres membres, y compris des informations personnelles de clients.
Action recommandée : Mettre à jour le plugin vers la version 28.3 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
Aucun avis, correctif ou événement de sécurité PrestaShop daté du 2026-09-27 n’a été établi par les résultats consultés. Les avis de sécurité du dépôt officiel visibles dans la recherche sont antérieurs à la période (notamment ceux publiés le 2026-08-18) et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit a consulté le blog officiel du projet et la page GitHub Security du dépôt. Les avis Cockpit affichés dans ces sources sont datés du 9 avril et du 26 mai 2026, et les publications du blog visibles ne font pas état d’un événement de sécurité daté du 27 septembre 2026 ; aucun élément admissible pour la période demandée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée aux avis et versions de CloudPanel, ainsi qu’aux sources CVE et de sécurité pertinentes, n’a pas identifié d’événement vérifiable correspondant aux critères pour la période du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu. Les résultats trouvés concernaient des éléments antérieurs ou hors période; ils ne sont pas retenus comme nouveautés de ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche web dédiée a été effectuée pour Uptime Kuma, notamment dans les avis de sécurité du dépôt officiel GitHub. Aucun avis, correctif, événement d’exploitation ni changement substantiel daté de la période demandée n’a été vérifié dans les résultats consultés; cela ne signifie pas qu’une absence de nouveauté a été établie sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée sur MariaDB n’a pas identifié, dans les sources consultées, de vulnérabilité nouvelle, d’avis ou de correctif de sécurité daté du 2026-09-27 dans la période demandée. Les avis et correctifs repérés étaient datés d’autres jours et ont été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée à phpMyAdmin n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-09-27 dans la période demandée. Les avis de sécurité du projet visibles dans la source consultée sont antérieurs à cette période; cette conclusion porte sur les sources et résultats vérifiés, et non sur une garantie d’exhaustivité de tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée sur pgAdmin n’a pas identifié de nouvel avis, correctif de sécurité, exploitation signalée ou changement substantiel daté dans la période du 2026-09-27T00:00:00+02:00 au 2026-09-28T00:00:00+02:00. Les éléments de sécurité trouvés concernaient des publications antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, signalement d’exploitation ou changement substantiel concernant Virtualmin daté de la période demandée (du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu). Le changelog officiel consulté recense une publication Virtualmin 8.2.0 datée du 1er septembre 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Les sources consultées ont fait apparaître des avis Webmin publiés avant la période demandée, notamment les 21 et 30 juillet 2026. Aucun élément daté du 27 septembre 2026 n’a été vérifié dans les résultats consultés comme répondant aux critères d’inclusion.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité de Vue.js et aux bases de vulnérabilités n’a pas fait apparaître de vulnérabilité, de correctif, d’avis ni d’exploitation attribuable à Vue.js et daté de la période demandée. La documentation de sécurité officielle du projet consultée décrit des recommandations générales, sans avis daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
Les avis de sécurité Vite consultés ne montrent aucun nouvel avis ni changement substantiel daté du 2026-09-27 dans la période demandée. Les avis Vite visibles dans le registre GitHub consulté sont antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
Recherche dédiée effectuée sur Nuxt. Les avis de sécurité Nuxt consultés et les notes de versions visibles sont datés de périodes antérieures au 27 septembre 2026 ; aucun nouvel avis, correctif ou événement de sécurité Nuxt daté de la période demandée n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée a fait ressortir un avis Next.js publié le 2026-09-22 et une annonce de prochaine mise à jour prévue le 2026-09-30. Ces dates sont hors de la période demandée; aucun élément consulté n’établit un événement Next.js daté du 2026-09-27.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Dans les sources React consultées, aucun avis, correctif de sécurité, événement d’exploitation ni changement substantiel concernant React n’a été vérifié comme daté dans la période du 2026-09-27T00:00:00+02:00 au 2026-09-28T00:00:00+02:00. Les éléments de sécurité visibles dans les avis GitHub et le blog officiel sont datés d’autres périodes; aucune nouveauté n’est donc retenue pour cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité GitHub des dépôts Angular et Angular CLI ainsi que des résultats NVD. Les avis Angular visibles les plus récents étaient datés du 23 septembre 2026 pour angular/angular et du 2 septembre 2026 pour angular/angular-cli ; aucun résultat consulté n’établit un événement de sécurité Angular daté du 27 septembre 2026. Cette constatation porte sur les sources consultées et ne prouve pas l’absence de toute information ailleurs sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub du projet Astro et les publications Astro pertinentes. Les avis de sécurité retrouvés sont datés du 27 août 2026, donc hors de la période demandée (du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu) ; aucune nouveauté de sécurité Astro datée de cette période n’a été vérifiée dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche dédiée sur TypeScript n’a pas identifié d’avis de sécurité, de vulnérabilité nouvelle, de correctif de sécurité, d’exploitation confirmée ou de changement substantiel correspondant à la période demandée, du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu. Les résultats consultés sur les versions et les commits du projet ne montrent pas d’événement de sécurité daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Vérification incomplète
La recherche dédiée a relevé des avis et entrées CVE datés du 27 septembre, mais aucun n’a pu être confirmé comme une nouveauté de sécurité portant sur JavaScript au sens du sujet demandé. Une mise à jour NVD de CVE-2026-100673 tombe dans la période, mais les éléments consultés ne permettent pas d’établir qu’elle constitue un changement substantiel plutôt qu’une modification administrative.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
HTML5
Recherche du sujet effectuée
Recherche web effectuée pour HTML5 sur la période du 2026-09-27T00:00:00+02:00 inclus au 2026-09-28T00:00:00+02:00 exclu. Aucun avis, correctif ou événement de sécurité vérifié comme daté de cette période n’a été retenu. Les résultats repérés concernant des vulnérabilités HTML ou des pages HTML étaient datés hors période ou ne permettaient pas d’établir un événement pertinent dans la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée à « CSS3 » n’a fait ressortir aucun avis de sécurité, correctif ou changement substantiel directement attribuable au standard CSS3 pour la période demandée. Les résultats de sécurité repérés concernaient d’autres produits et ne sont pas retenus comme éléments CSS3.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée à Tailwind CSS n’a fait ressortir aucun avis, correctif ou événement de sécurité daté du 2026-09-27. Les résultats trouvés étaient hors période ou ne constituaient pas un événement de sécurité pertinent pour cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, signalement d’exploitation ni changement substantiel relatif au framework Bootstrap daté du 2026-09-27 dans la période demandée. Le dépôt GitHub du projet ne présente aucun avis de sécurité publié; cette observation ne constitue pas une preuve d’absence de toute information sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-09-27 dans la période demandée. Les avis Webpack repérés pendant la recherche étaient antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Rollup
Recherche du sujet effectuée
La recherche dédiée sur Rollup n’a pas identifié de nouvelle vulnérabilité, d’avis ou de correctif de sécurité, d’exploitation, ni de changement substantiel daté du 2026-09-27 (fuseau +02:00). Les avis Rollup relevés dans les résultats consultés sont antérieurs à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a relevé, dans les sources consultées, aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-09-27 (période +02:00). Les avis et correctifs esbuild visibles dans les résultats consultés sont datés antérieurement à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée aux avis de Parcel, à son dépôt GitHub et aux bases de vulnérabilités n’a pas fait apparaître de vulnérabilité, d’avis de sécurité, de correctif ni d’événement d’exploitation concernant le projet Parcel daté de la période demandée. Un résultat concernant react-server-dom-parcel renvoie à un avis publié le 21 juillet 2026, hors période ; il ne constitue donc pas un élément à retenir pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Aucune nouveauté de sécurité Node.js répondant aux critères de la période figée n’a été vérifiée. Les deux candidats sont des vulnérabilités publiées avant la période; les changements NVD datés du 27 septembre ne suffisent pas à établir un nouvel avis, correctif, événement d’exploitation ou changement substantiel durant celle-ci.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié des publications de vulnérabilités datées du 27 septembre 2026 concernant MONAI, Heym et python-utcp/utcp-mcp. Les correctifs indiqués dans les fiches sont MONAI : version corrigée à confirmer auprès du projet; Heym : 0.0.91 pour CVE-2026-100863 et CVE-2026-100864, 0.0.53 pour CVE-2026-100865; utcp-mcp : 1.1.3; utcp-http : 1.1.12; python-utcp : 1.1.4. La fiche CVE-2026-84724 a été exclue : sa date de mise à jour fournie est le 26 septembre, hors de la période demandée. Six avis de sécurité publiés pendant la période signalent du code malveillant dans des paquets distribués sur PyPI. Les descriptions mentionnent notamment l’exécution de code distant et, pour plusieurs paquets, le vol et l’exfiltration de données ; aucune version corrigée n’est indiquée dans les informations fournies.
Code malveillant dans scrapetools2
L’avis signale du code malveillant dans scrapetools2, versions 0.2.0, 0.2.1, 1.2.0 et 1.2.1 : le mécanisme de mise à jour récupère du code distant puis l’exécute dans le processus Python. Aucune version corrigée n’est indiquée ; retirez ces versions et vérifiez les environnements où elles ont été installées.
Action recommandée : Retirer les versions affectées et vérifier les systèmes où elles ont été installées.
Code malveillant dans aseity
L’avis signale du code malveillant dans aseity 0.1.0, qui récupère à l’installation du code dissimulé dans une image et embarque un voleur d’informations. Le code collecte des données sensibles et les exfiltre vers un serveur de commande ; aucune version corrigée n’est indiquée, aussi retirez le paquet et vérifiez les systèmes concernés.
Action recommandée : Retirer aseity 0.1.0 et vérifier les systèmes où il a été installé.
Code malveillant dans donutautosellsrc
L’avis signale du code malveillant dans donutautosellsrc, versions 0.3.7, 0.3.8 et 0.3.9, qui télécharge à l’installation du code dissimulé dans une image. Le module natif contient un voleur d’informations obfusqué qui exfiltre les données vers un serveur de commande ; aucune version corrigée n’est indiquée, retirez donc les versions affectées et vérifiez les systèmes concernés.
Action recommandée : Retirer les versions affectées et vérifier les systèmes où elles ont été installées.
Code malveillant dans donutpromotion
L’avis signale du code malveillant dans donutpromotion 0.1.0, qui récupère à l’installation du code dissimulé dans une image et embarque un voleur d’informations. Celui-ci exfiltre les données vers un serveur de commande ; aucune version corrigée n’est indiquée, retirez le paquet et vérifiez les systèmes concernés.
Action recommandée : Retirer donutpromotion 0.1.0 et vérifier les systèmes où il a été installé.
Code malveillant dans claudedashbord
L’avis signale du code malveillant dans claudedashbord, versions 0.1.0 à 0.1.3, qui récupère à l’installation du code dissimulé dans une image. Le module natif contient un voleur d’informations obfusqué et l’avis ne donne aucune version corrigée ; retirez les versions affectées et vérifiez les systèmes concernés.
Action recommandée : Retirer les versions affectées et vérifier les systèmes où elles ont été installées.
Code malveillant dans coinscan
L’avis signale du code malveillant dans coinscan 0.1.0, qui récupère à l’installation du code dissimulé dans une image et embarque un voleur d’informations. Le code exfiltre les données vers un serveur de commande ; aucune version corrigée n’est indiquée, retirez le paquet et vérifiez les systèmes concernés.
Action recommandée : Retirer coinscan 0.1.0 et vérifier les systèmes où il a été installé.
MONAI : exécution de code via la configuration des bundles
MONAI permettait à un bundle malveillant d’exécuter du code lors de son chargement, car le moteur de configuration pouvait résoudre des cibles vers des fonctions Python arbitraires et évaluer des expressions. Les versions jusqu’à 1.6.0 sont concernées; mettre à niveau vers une version corrigée selon l’avis du projet.
Action recommandée : Mettre à jour MONAI vers une version corrigée et ne pas charger de bundles provenant de sources non fiables.
Heym : échappement du sandbox d’expressions
Une faille dans le moteur d’expressions de Heym permettait à des utilisateurs authentifiés de contourner le sandbox et d’exécuter du code Python arbitraire. Les versions antérieures à 0.0.91 sont concernées; appliquer la mise à niveau corrective.
Action recommandée : Mettre à niveau Heym vers 0.0.91 ou ultérieure.
Heym : exécution de code via les conditions de workflow
Heym évaluait certaines conditions de workflow avec Python eval() sans isolation suffisante, permettant à un utilisateur authentifié de faire exécuter du code arbitraire. Les versions antérieures à 0.0.53 sont concernées; mettre à niveau vers 0.0.53 ou une version ultérieure.
Action recommandée : Mettre à niveau Heym vers 0.0.53 ou ultérieure.
utcp-http : requêtes SSRF vers l’interface loopback
utcp-http ne rejetait pas les URL d’outils pointant vers l’interface loopback de l’agent lorsqu’elles étaient déclarées dans un manuel UTCP découvert depuis une origine distante. La correction est disponible dans utcp-http 1.1.12; mettre à niveau le paquet.
Action recommandée : Mettre à niveau utcp-http vers 1.1.12 ou ultérieure.
python-utcp : SSRF via redirection HTTP non revérifiée
Le client python-utcp validait l’URL initiale d’un outil HTTP, mais ne revérifiait pas la destination après une redirection. Les versions antérieures à 1.1.4 sont concernées; appliquer la mise à niveau corrective.
Action recommandée : Mettre à niveau python-utcp vers 1.1.4 ou ultérieure.
Heym : contournement des contrôles SSRF
Heym ne validait pas suffisamment les destinations de certaines requêtes HTTP(S), exposant l’application à des requêtes forgées vers des réseaux internes ou des services de métadonnées cloud. La faille concerne les versions antérieures à 0.0.91; mettre à niveau vers 0.0.91 ou une version ultérieure.
Action recommandée : Mettre à niveau Heym vers 0.0.91 ou ultérieure.
utcp-mcp : URL de serveur MCP non validées
Le plugin utcp-mcp ne validait pas les URL HTTP et WebSocket indiquées dans la configuration des serveurs MCP avant de s’y connecter. Les versions jusqu’à 1.1.2 sont concernées; la correction est disponible dans utcp-mcp 1.1.3.
Action recommandée : Mettre à niveau utcp-mcp vers 1.1.3 ou ultérieure et n’utiliser que des URL de serveurs MCP de confiance.
Java
Recherche du sujet effectuée
Niveau relevé : Exploitation rapportée
Trois nouvelles fiches NVD publiées pendant la période concernent des vulnérabilités de StarTraining, application Java : contournement d’autorisation, contrôle d’autorisation manquant et XSS. Les éléments fournis indiquent des versions affectées jusqu’à 3.8.1 et ne donnent pas de version corrigée.
StarTraining : contournement d’autorisation via les rôles
StarTraining jusqu’à la version 3.8.1 présente un contournement d’autorisation distant lié à la fonction `SysUser.isAdmin` et aux paramètres `userId`/`roleIds`. La fiche NVD signale un exploit public, mais ne précise ni version corrigée ni mesure de contournement; le fournisseur n’aurait pas répondu au signalement.
Action recommandée : Éviter d’exposer les versions affectées; surveiller une correction du fournisseur et appliquer une version corrigée dès sa publication.
StarTraining : contrôle d’autorisation manquant dans dataScope
StarTraining jusqu’à la version 3.8.1 présente une vérification d’autorisation insuffisante dans `checkRoleAllowed`, sur le composant dataScope Endpoint. La fiche NVD signale un exploit public, mais ne précise ni version corrigée ni mesure de contournement; le fournisseur n’aurait pas répondu au signalement.
Action recommandée : Éviter d’exposer les versions affectées; surveiller une correction du fournisseur et appliquer une version corrigée dès sa publication.
StarTraining : XSS via le point d’entrée de téléversement
StarTraining jusqu’à la version 3.8.1 présente une vulnérabilité XSS associée au traitement des fichiers dans `MimeTypeUtils`, sur le composant Upload Endpoint. La fiche NVD signale un exploit public, mais ne précise ni version corrigée ni mesure de contournement; le fournisseur n’aurait pas répondu au signalement.
Action recommandée : Éviter d’exposer les versions affectées; surveiller une correction du fournisseur et appliquer une version corrigée dès sa publication.
TYPO3
Recherche du sujet effectuée
La recherche dédiée sur TYPO3 n’a identifié aucun avis de sécurité, correctif ou événement d’exploitation daté du 2026-09-27 dans les sources consultées. Les avis TYPO3 visibles dans ces sources sont antérieurs à la période demandée, notamment ceux du 2026-09-08.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée a consulté les pages de sécurité Drupal et GitHub Advisory Database. Les résultats accessibles n’ont pas permis de vérifier de vulnérabilité, d’avis/correctif ou de changement substantiel Drupal daté du 2026-09-27 dans la période demandée ; les avis Drupal visibles dans les résultats portent des dates antérieures. Aucun candidat n’ayant été fourni, aucune décision de candidat n’est à rendre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié cinq avis CVE publiés le 27 septembre 2026 pour l’extension Joomla Event Gallery. Ils concernent les versions antérieures à 6.5.0; la version 6.5.0 est indiquée comme corrective. Les mises à jour NVD des cinq autres candidats portent sur des CVE publiées antérieurement et leur date de mise à jour fournie est le 26 septembre 2026 à 23:10Z, soit avant le début de la période en +02:00. Parmi les candidats fournis, cinq fiches NVD concernant l’extension Joomla Event Gallery ont été publiées le 27 septembre 2026 dans la période demandée. Elles signalent trois vulnérabilités CSRF, une suppression arbitraire de chemins par un utilisateur authentifié et une XSS réfléchie avec redirection ouverte ; les fiches indiquent Event Gallery < 6.5.0 comme versions concernées.
Event Gallery : suppression de chemins arbitraires via le nettoyage du cache
Dans Event Gallery, une tâche de nettoyage du cache permet à un utilisateur authentifié de provoquer la suppression récursive de répertoires accessibles en écriture au serveur web, en manipulant le paramètre `images`. Les versions antérieures à 6.5.0 sont concernées ; mettre à jour vers la version 6.5.0 ou ultérieure.
Action recommandée : Mettre à jour Event Gallery vers la version 6.5.0 ou ultérieure.
Event Gallery : CSRF lors du téléversement d’images
Une vérification CSRF dans le téléversement d’images d’Event Gallery fait défaut, ce qui peut permettre à un site tiers de téléverser des fichiers et d’écraser des fichiers existants portant le même nom. Les versions antérieures à 6.5.0 sont concernées ; mettre à jour vers la version 6.5.0 ou ultérieure.
Action recommandée : Mettre à jour Event Gallery vers la version 6.5.0 ou ultérieure.
Event Gallery : CSRF dans des actions du panier
Des actions du panier dans Event Gallery sont exposées à des requêtes intersites forgées (CSRF). Les versions antérieures à 6.5.0 sont concernées ; mettre à jour vers la version 6.5.0 ou ultérieure.
Action recommandée : Mettre à jour Event Gallery vers la version 6.5.0 ou ultérieure.
Event Gallery : CSRF dans les actions de nettoyage
Les actions de nettoyage du panneau d’administration d’Event Gallery sont exposées à des requêtes intersites forgées (CSRF). La source précise que le nettoyage ne supprime que des entrées de fichiers orphelines et des paniers datant de plus de 30 jours ; les versions antérieures à 6.5.0 sont concernées.
Action recommandée : Mettre à jour Event Gallery vers la version 6.5.0 ou ultérieure.
Event Gallery : XSS réfléchie et redirection ouverte
Event Gallery traite le paramètre `return` décodé en base64 et l’insère dans le lien « Back » sans validation, ce qui permet une XSS réfléchie et une redirection ouverte. Les versions antérieures à 6.5.0 sont concernées ; mettre à jour vers la version 6.5.0 ou ultérieure.
Action recommandée : Mettre à jour Event Gallery vers la version 6.5.0 ou ultérieure.
Magento
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis ou changement de sécurité Magento daté du 2026-09-27 dans les sources consultées. La page Adobe consultée, mise à jour le 2026-09-22, répertorie pour Adobe Commerce des bulletins datés des 2026-09-08 et 2026-09-07, antérieurs à la période demandée ; ils ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
Pour la période du 2026-09-27T00:00:00+02:00 au 2026-09-28T00:00:00+02:00, la recherche dédiée n’a pas permis de vérifier de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ou de changement substantiel Adobe Commerce daté dans cette fenêtre. Les pages Adobe consultées répertorient des avis antérieurs, notamment APSB26-138 et APSB26-146, publiés le 2026-09-08 et le 2026-09-07.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Backend & données
28 alerte(s)Code malveillant dans scrapetools2
L’avis signale du code malveillant dans scrapetools2, versions 0.2.0, 0.2.1, 1.2.0 et 1.2.1 : le mécanisme de mise à jour récupère du code distant puis l’exécute dans le processus Python. Aucune version corrigée n’est indiquée ; retirez ce…
Source : GHSA-frv4-982x-mv7m — Malicious code in scrapetools2 (PyPI)
Code malveillant dans aseity
L’avis signale du code malveillant dans aseity 0.1.0, qui récupère à l’installation du code dissimulé dans une image et embarque un voleur d’informations. Le code collecte des données sensibles et les exfiltre vers un serveur de commande ;…
Source : GHSA-pvh9-pfxq-jq5q — Malicious code in aseity (PyPI)
Code malveillant dans donutautosellsrc
L’avis signale du code malveillant dans donutautosellsrc, versions 0.3.7, 0.3.8 et 0.3.9, qui télécharge à l’installation du code dissimulé dans une image. Le module natif contient un voleur d’informations obfusqué qui exfiltre les données…
Source : GHSA-2w77-qp99-3jvq — Malicious code in donutautosellsrc (PyPI)
Code malveillant dans donutpromotion
L’avis signale du code malveillant dans donutpromotion 0.1.0, qui récupère à l’installation du code dissimulé dans une image et embarque un voleur d’informations. Celui-ci exfiltre les données vers un serveur de commande ; aucune version c…
Source : GHSA-c2rx-rjgw-p83h — Malicious code in donutpromotion (PyPI)
Code malveillant dans claudedashbord
L’avis signale du code malveillant dans claudedashbord, versions 0.1.0 à 0.1.3, qui récupère à l’installation du code dissimulé dans une image. Le module natif contient un voleur d’informations obfusqué et l’avis ne donne aucune version co…
Source : GHSA-28f3-pmhh-qxcm — Malicious code in claudedashbord (PyPI)
Code malveillant dans coinscan
L’avis signale du code malveillant dans coinscan 0.1.0, qui récupère à l’installation du code dissimulé dans une image et embarque un voleur d’informations. Le code exfiltre les données vers un serveur de commande ; aucune version corrigée…
Source : GHSA-78pg-cc9h-7rf3 — Malicious code in coinscan (PyPI)
MONAI : exécution de code via la configuration des bundles
MONAI permettait à un bundle malveillant d’exécuter du code lors de son chargement, car le moteur de configuration pouvait résoudre des cibles vers des fonctions Python arbitraires et évaluer des expressions. Les versions jusqu’à 1.6.0 son…
Source : CVE-2026-100840 — NVD
Heym : échappement du sandbox d’expressions
Une faille dans le moteur d’expressions de Heym permettait à des utilisateurs authentifiés de contourner le sandbox et d’exécuter du code Python arbitraire. Les versions antérieures à 0.0.91 sont concernées; appliquer la mise à niveau corr…
Source : CVE-2026-100864 — NVD
Heym : exécution de code via les conditions de workflow
Heym évaluait certaines conditions de workflow avec Python eval() sans isolation suffisante, permettant à un utilisateur authentifié de faire exécuter du code arbitraire. Les versions antérieures à 0.0.53 sont concernées; mettre à niveau v…
Source : CVE-2026-100865 — NVD
utcp-http : requêtes SSRF vers l’interface loopback
utcp-http ne rejetait pas les URL d’outils pointant vers l’interface loopback de l’agent lorsqu’elles étaient déclarées dans un manuel UTCP découvert depuis une origine distante. La correction est disponible dans utcp-http 1.1.12; mettre à…
Source : CVE-2026-101058 — NVD
python-utcp : SSRF via redirection HTTP non revérifiée
Le client python-utcp validait l’URL initiale d’un outil HTTP, mais ne revérifiait pas la destination après une redirection. Les versions antérieures à 1.1.4 sont concernées; appliquer la mise à niveau corrective.
Source : CVE-2026-101060 — NVD
StarTraining : contournement d’autorisation via les rôles
StarTraining jusqu’à la version 3.8.1 présente un contournement d’autorisation distant lié à la fonction `SysUser.isAdmin` et aux paramètres `userId`/`roleIds`. La fiche NVD signale un exploit public, mais ne précise ni version corrigée ni…
Source : NVD — CVE-2026-100878
StarTraining : contrôle d’autorisation manquant dans dataScope
StarTraining jusqu’à la version 3.8.1 présente une vérification d’autorisation insuffisante dans `checkRoleAllowed`, sur le composant dataScope Endpoint. La fiche NVD signale un exploit public, mais ne précise ni version corrigée ni mesure…
Source : NVD — CVE-2026-100879
StarTraining : XSS via le point d’entrée de téléversement
StarTraining jusqu’à la version 3.8.1 présente une vulnérabilité XSS associée au traitement des fichiers dans `MimeTypeUtils`, sur le composant Upload Endpoint. La fiche NVD signale un exploit public, mais ne précise ni version corrigée ni…
Source : NVD — CVE-2026-100880
Heym : contournement des contrôles SSRF
Heym ne validait pas suffisamment les destinations de certaines requêtes HTTP(S), exposant l’application à des requêtes forgées vers des réseaux internes ou des services de métadonnées cloud. La faille concerne les versions antérieures à 0…
Source : CVE-2026-100863 — NVD
CVE-2026-101061 — SSRF dans utcp-gql et utcp-websocket
Une validation insuffisante des URL dans utcp-gql permet de contourner le contrôle d’hôte et de provoquer des requêtes vers des services internes ou des points de terminaison de métadonnées cloud. L’avis signale également une absence de va…
Source : NVD — CVE-2026-101061
utcp-mcp : URL de serveur MCP non validées
Le plugin utcp-mcp ne validait pas les URL HTTP et WebSocket indiquées dans la configuration des serveurs MCP avant de s’y connecter. Les versions jusqu’à 1.1.2 sont concernées; la correction est disponible dans utcp-mcp 1.1.3.
Source : CVE-2026-101057 — NVD
Debian corrige CVE-2026-54500 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54500 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54502 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54502 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54592 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54592 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54896 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54896 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54897 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54897 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54898 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54898 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54899 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54899 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54900 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54900 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54901 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54901 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54902 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54902 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
Debian corrige CVE-2026-54903 dans ruby-oj
L’avis Debian DSA-6521-1 du 27 septembre 2026 inclut CVE-2026-54903 parmi les vulnérabilités corrigées dans ruby-oj. Debian indique que l’ensemble des vulnérabilités couvertes peut entraîner un déni de service ou une divulgation de mémoire…
Source : DSA-6521-1 ruby-oj – security update
CMS & e-commerce
24 alerte(s)Event Gallery : suppression de chemins arbitraires via le nettoyage du cache
Dans Event Gallery, une tâche de nettoyage du cache permet à un utilisateur authentifié de provoquer la suppression récursive de répertoires accessibles en écriture au serveur web, en manipulant le paramètre `images`. Les versions antérieu…
Source : NVD — CVE-2026-97164
Ad Inserter : contrôle d’accès insuffisant et injection de contenu exécutable
CVE-2026-81655 concerne un contrôle d’accès insuffisant à une page de réglages d’Ad Inserter, dans certaines configurations permises par le plugin. Un utilisateur authentifié dès le rôle abonné peut enregistrer du contenu qui sera exécuté…
Source : NVD — CVE-2026-81655
Download Manager Pro : XSS persistante via le formulaire de téléchargement verrouillé
CVE-2026-86609 touche uniquement l’édition commerciale Pro de Download Manager : les données soumises par le formulaire d’abonnement aux téléchargements verrouillés par e-mail ne sont pas correctement assainies ni échappées avant leur affi…
Source : NVD — CVE-2026-86609
Contrôle d’autorisation manquant dans Malcure Malware Shield
Malcure Malware Shield ne vérifie pas les autorisations sur l’une de ses actions AJAX, ce qui permet à un administrateur de sous-site d’un réseau multisite d’écrire ou de supprimer des fichiers arbitraires dans le système de fichiers parta…
Source : NVD — CVE-2026-96896
Event Gallery : CSRF lors du téléversement d’images
Une vérification CSRF dans le téléversement d’images d’Event Gallery fait défaut, ce qui peut permettre à un site tiers de téléverser des fichiers et d’écraser des fichiers existants portant le même nom. Les versions antérieures à 6.5.0 so…
Source : NVD — CVE-2026-100747
Event Gallery : CSRF dans des actions du panier
Des actions du panier dans Event Gallery sont exposées à des requêtes intersites forgées (CSRF). Les versions antérieures à 6.5.0 sont concernées ; mettre à jour vers la version 6.5.0 ou ultérieure.
Source : NVD — CVE-2026-100748
Event Gallery : CSRF dans les actions de nettoyage
Les actions de nettoyage du panneau d’administration d’Event Gallery sont exposées à des requêtes intersites forgées (CSRF). La source précise que le nettoyage ne supprime que des entrées de fichiers orphelines et des paniers datant de plu…
Source : NVD — CVE-2026-100749
Event Gallery : XSS réfléchie et redirection ouverte
Event Gallery traite le paramètre `return` décodé en base64 et l’insère dans le lien « Back » sans validation, ce qui permet une XSS réfléchie et une redirection ouverte. Les versions antérieures à 6.5.0 sont concernées ; mettre à jour ver…
Source : NVD — CVE-2026-97165
Accès non autorisé aux paniers sauvegardés dans Mailchimp for WooCommerce
Mailchimp for WooCommerce ne vérifie ni l’authentification ni la propriété du panier avant de charger un panier sauvegardé à partir d’un identifiant fourni dans la requête et dérivé de l’adresse e-mail d’un client. Un attaquant non authent…
Source : NVD — CVE-2026-92436
UpdraftPlus : divulgation possible des identifiants de stockage distant
CVE-2026-82841 affecte une routine d’UpdraftPlus qui peut afficher les paramètres de stockage distant sans vérifier les permissions lorsque le site reste dans un état particulier après migration. Un utilisateur authentifié, par exemple un…
Source : NVD — CVE-2026-82841
EmbedPress : XSS persistante via un attribut de bloc non échappé
CVE-2026-85002 résulte de l’absence d’échappement d’un attribut de bloc EmbedPress avant son insertion dans un attribut HTML. Un utilisateur ayant au moins le rôle contributeur peut provoquer une XSS persistante susceptible de toucher des…
Source : NVD — CVE-2026-85002
WebFacing : inclusion de fichier local accessible sans authentification
CVE-2026-84069 concerne un script fourni avec WebFacing qui ne restreint pas correctement l’accès et ne valide pas le chemin transmis avant d’inclure un fichier local. Un attaquant non authentifié peut ainsi tenter une inclusion de fichier…
Source : NVD — CVE-2026-84069
Online Scheduling : désérialisation non sûre et accès insuffisant à une fonction privilégiée
CVE-2026-86841 affecte une fonctionnalité de maintenance privilégiée d’Online Scheduling and Appointment Booking System : la désérialisation d’entrées non fiables et les restrictions d’accès sont insuffisantes. Un utilisateur auquel un adm…
Source : NVD — CVE-2026-86841
WPeMatico : requêtes serveur vers des ressources internes depuis une URL de flux
CVE-2026-89000 concerne la récupération côté serveur d’une URL de flux fournie par l’utilisateur sans vérification de capacité ni validation adéquate de la destination. Un utilisateur ayant au moins le rôle contributeur peut faire interrog…
Source : NVD — CVE-2026-89000
WPeMatico : publication de contenu et usurpation d’auteur par des contributeurs
CVE-2026-89001 concerne l’absence de vérification des permissions lors de l’exécution d’une campagne de flux dans WPeMatico. Un utilisateur ayant au moins le rôle contributeur peut publier directement des articles et les attribuer à n’impo…
Source : NVD — CVE-2026-89001
WPeMatico : récupération et affichage de réponses d’hôtes internes
CVE-2026-89003 concerne une fonction de WPeMatico qui récupère et affiche la réponse d’une URL fournie par l’utilisateur sans vérifier les capacités requises. Un utilisateur ayant au moins le rôle contributeur peut forcer le serveur à cont…
Source : NVD — CVE-2026-89003
XSS stockée dans WPeMatico RSS Feed Fetcher
Dans WPeMatico RSS Feed Fetcher, les contenus importés depuis un flux ne sont pas assainis avant leur enregistrement comme contenu d’article, ce qui permet à un contributeur ou à un rôle supérieur d’injecter du JavaScript exécuté lors de l…
Source : NVD — CVE-2026-89006
XSS stockée dans les blocs YouTube de WP YouTube Lyte
WP YouTube Lyte n’échappe pas certains attributs des blocs d’intégration YouTube lorsqu’ils sont rendus dans un attribut HTML, ce qui peut permettre à un contributeur ou à un rôle supérieur d’injecter un script persistant. Mettre à jour ve…
Source : NVD — CVE-2026-96895
Action AJAX non autorisée dans Optima Express IDX
Optima Express IDX ne vérifie pas les autorisations sur une action AJAX accessible aux utilisateurs non connectés. Un attaquant non authentifié peut provoquer la création d’un compte au rôle auteur et faire tourner son mot de passe d’appli…
Source : NVD — CVE-2026-96897
XSS stockée dans Optima Express IDX via un point de terminaison REST
Optima Express IDX ne neutralise pas correctement une valeur de script soumise via un point de terminaison REST avant de la stocker et de l’insérer dans l’en-tête du document rendu. Un utilisateur ayant au moins le rôle auteur peut ainsi r…
Source : NVD — CVE-2026-96899
XSS stockée dans PowerPress Podcasting by Blubrry
PowerPress Podcasting by Blubrry n’assainit pas et n’échappe pas un attribut de bloc avant de l’afficher dans une page, ce qui peut permettre à un contributeur ou à un rôle supérieur d’injecter un script persistant. Mettre à jour vers la v…
Source : NVD — CVE-2026-97319
Téléchargement non autorisé de fichiers de commande dans Verge3D
Verge3D Publishing and E-Commerce ne restreint pas l’accès à un gestionnaire de téléchargement, permettant à des utilisateurs non authentifiés de télécharger sans autorisation les fichiers numériques associés à des commandes. La source fou…
Source : NVD — CVE-2026-92995
Contrôles d’accès insuffisants dans NextScripts: Social Networks Auto-Poster
NextScripts: Social Networks Auto-Poster se fie à un nonce sans vérifier les capacités ni la propriété pour plusieurs actions AJAX. Des utilisateurs auxquels un administrateur a accordé l’accès aux fonctions de publication peuvent exporter…
Source : NVD — CVE-2026-97227
Online Scheduling : accès indu aux rendez-vous et paiements d’autres membres du personnel
CVE-2026-86839 concerne les actions AJAX de personnel d’Online Scheduling and Appointment Booking System, qui ne vérifient pas que les rendez-vous et paiements demandés appartiennent au membre du personnel connecté. Un compte de personnel…
Source : NVD — CVE-2026-86839
Systèmes & serveurs
6 alerte(s)Debian corrige CVE-2026-94054 dans exim4
L’avis Debian DSA-6522-1 cite CVE-2026-94054 parmi plusieurs vulnérabilités d’Exim pouvant entraîner différents impacts. L’avis recommande de mettre à niveau le paquet exim4 vers la version corrigée indiquée pour Debian 13.
Source : DSA-6522-1 exim4 – security update
Debian corrige CVE-2026-94056 dans exim4
L’avis Debian DSA-6522-1 cite CVE-2026-94056 parmi plusieurs vulnérabilités d’Exim pouvant entraîner différents impacts. L’avis recommande de mettre à niveau le paquet exim4 vers la version corrigée indiquée pour Debian 13.
Source : DSA-6522-1 exim4 – security update
Debian corrige CVE-2026-94057 dans exim4
L’avis Debian DSA-6522-1 cite CVE-2026-94057 parmi plusieurs vulnérabilités d’Exim pouvant entraîner différents impacts. L’avis recommande de mettre à niveau le paquet exim4 vers la version corrigée indiquée pour Debian 13.
Source : DSA-6522-1 exim4 – security update
Debian corrige CVE-2026-92288 dans Lemonldap::NG
L’avis Debian DSA-6520-1 cite CVE-2026-92288 parmi plusieurs vulnérabilités de Lemonldap::NG, avec des impacts décrits collectivement dans l’avis. Il recommande de mettre à niveau lemonldap-ng vers la version corrigée indiquée pour Debian…
Debian corrige CVE-2026-92289 dans Lemonldap::NG
L’avis Debian DSA-6520-1 cite CVE-2026-92289 parmi plusieurs vulnérabilités de Lemonldap::NG, avec des impacts décrits collectivement dans l’avis. Il recommande de mettre à niveau lemonldap-ng vers la version corrigée indiquée pour Debian…
Debian corrige CVE-2026-95811 dans Lemonldap::NG
L’avis Debian DSA-6520-1 cite CVE-2026-95811 parmi plusieurs vulnérabilités de Lemonldap::NG, avec des impacts décrits collectivement dans l’avis. Il recommande de mettre à niveau lemonldap-ng vers la version corrigée indiquée pour Debian…
Cloud & DevOps
8 alerte(s)Contrast : fuite du secret du workload dans les journaux
Dans Contrast de 1.9.0 à toute version antérieure à 1.12.2, l’initialiseur journalisait à INFO la réponse NewMeshCert, qui contient le secret du workload. Les utilisateurs Kubernetes autorisés à lire les journaux des pods pouvaient ainsi a…
Source : NVD — CVE-2025-71423
Contrast : divulgation de secrets dans les journaux de l’initialiseur
Avant Contrast 1.8.1, l’initialiseur pouvait écrire le secret du workload sur stderr lorsque CONTRAST_LOG_LEVEL était réglé sur info ou debug, et INFO est indiqué comme valeur par défaut. Les lecteurs des journaux Kubernetes pouvaient alor…
Source : NVD — CVE-2025-71425
Contrast : vérification insuffisante de la seed pendant la récupération du Coordinator
Dans Contrast avant 1.4.1, un Coordinator en récupération ne vérifiait pas la seed fournie par la partie qui récupère, ce qui pouvait permettre l’installation d’un Coordinator malveillant si le trafic était redirigé. Sous certaines conditi…
Source : NVD — CVE-2025-71426
Contrast : les politiques générées ne vérifient pas tous les remplacements d’images
Les politiques générées par Contrast de 1.14.0 à toute version antérieure à 1.23.1 pouvaient accepter certaines substitutions d’images sans vérifier leur digest. Un acteur ayant accès à l’API de l’agent Kata pouvait ainsi substituer une im…
Source : NVD — CVE-2026-100833
Contrast : écriture arbitraire dans le système de fichiers racine invité
Avant Contrast 1.19.1, une faille dans la vérification CopyFile des politiques de l’agent Kata pouvait autoriser des écritures arbitraires dans le système de fichiers racine invité. Un processus malveillant de l’hôte pouvant joindre le VSO…
Source : NVD — CVE-2026-100838
Contrast : injection AML pouvant compromettre la confidentialité de l’invité
Avant Contrast 1.18.0, des tables ACPI/AML contrôlées par l’hôte pouvaient être interprétées par le noyau invité avec accès à la mémoire privée, ouvrant la voie à l’exécution de code et à la divulgation ou modification de données confident…
Source : NVD — CVE-2026-100839
Contrast : contournement du chiffrement des volumes persistants sécurisés
Dans Contrast avant 1.12.1, un hôte malveillant pouvait fournir un volume LUKS2 conçu pour que le runtime accepte un chiffrement nul et écrive des données confidentielles en clair ou avec une clé connue de l’hôte. Mettre à niveau vers 1.12…
Source : NVD — CVE-2025-71422
Contrast : écriture arbitraire dans un répertoire de conteneur
Dans Contrast jusqu’à la version 1.9.0 incluse, sur des déploiements bare-metal concernés, un hôte non fiable pouvait écrire des fichiers arbitraires sous un point de montage ajouté pour une directive VOLUME non montée par Kubernetes. La v…
Source : NVD — CVE-2025-71424