Les sujets à surveiller, en un regard.
86 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 13 sujet(s) en rouge, 7 en orange.
Shopify
Recherche du sujet effectuée
La recherche web dédiée à Shopify n’a pas permis de vérifier de vulnérabilité, de correctif ou d’avis de sécurité daté de la période du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00. Le changelog officiel consulté affiche des entrées d’octobre datées du 1er, du 7 et du 8, sans entrée de sécurité vérifiée pour le 12 octobre ; cela ne suffit pas à conclure qu’aucun événement n’a eu lieu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Vérification incomplète
La recherche dédiée a été effectuée, mais le candidat GHSA-3p4f-rhj3-crjv n’a pas pu être vérifié à partir de sa fiche ou de sa source OpenSSF : les résultats consultés ne confirment pas l’avis ni sa date de publication dans la période. Aucun item vérifié n’est donc retenu.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a pas permis d’établir de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de mise à jour substantielle répondant aux critères pour la période du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00. Les résultats consultés incluaient des pages d’information générales et une actualité CNIL datée du 2026-09-24, hors période; elles ne sont pas retenues comme événements de sécurité de cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé des avis Craft CMS antérieurs à la période, dont un avis GitHub sur la lecture de fichier via DOMDocument publié le 22 septembre 2026 et plusieurs avis publiés le 5 octobre 2026. Les éléments fournis ne permettent pas de confirmer qu’une modification NVD de CVE-2026-78416 le 12 octobre correspond à un changement substantiel plutôt qu’administratif; aucun item n’est donc retenu pour la période demandée. Une vulnérabilité de Craft CMS publiée dans la période permet potentiellement l’exécution de code par des utilisateurs authentifiés disposant de droits liés aux mises à jour. Les versions corrigées indiquées sont 4.18.7 et 5.10.14.
Exécution de code possible via le paramètre updates dans Craft CMS
Craft CMS transmet sans nettoyage le paramètre de requête `updates` à `UpdatesModel`, ce qui peut permettre l’injection de comportements ou de gestionnaires d’événements et l’exécution de code arbitraire. L’exploitation nécessite un utilisateur authentifié du panneau de contrôle disposant de la permission `performUpdates` ou d’un accès à l’utilitaire Updates.
Action recommandée : Mettre à jour Craft CMS vers la version 4.18.7 ou 5.10.14, selon la branche utilisée.
Ghost
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou changement de sécurité Ghost dont la date de publication ou l’événement soit établi dans la période demandée. Les avis Ghost visibles dans les résultats consultés sont antérieurs à cette période; le résultat daté du 12 octobre concerne une actualisation de données d’un avis déjà publié, et non une nouvelle vulnérabilité. Ghostscript est un homonyme distinct et n’est pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Aucune nouveauté de sécurité Strapi datée de façon vérifiable dans la période demandée n’a été retenue. Un résultat secondaire mentionne une mise à jour le 2026-10-12 pour CVE-2026-90561, mais ne permet pas d’établir qu’il s’agissait d’un changement substantiel pendant cette période; les avis Strapi consultés concernent des divulgations antérieures.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée sur Directus n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00. Les avis Directus consultés sur GitHub sont antérieurs à cette période; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
Les recherches effectuées sur OpenCart n’ont pas permis de vérifier de vulnérabilité nouvelle, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00. Les éléments repérés concernaient des avis publiés antérieurement ou des activités du projet hors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Recherche web dédiée effectuée sur cPanel, notamment dans l’index des avis de sécurité et les annonces de cPanel. Les sources consultées ne montrent aucun avis, correctif ou changement de sécurité cPanel daté du 2026-10-12 dans la période demandée; les éléments de sécurité visibles sont datés d’autres jours.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Critique
Trois vulnérabilités datées du 12 octobre 2026 concernent des projets Ruby ou reposant sur Ruby : Metasploit Framework, ManageIQ et Square Squash. La mise à jour NVD de CVE-2026-62382 est exclue : les éléments fournis décrivent une modification de fiche, sans preuve d’un nouvel événement de sécurité dans la période.
Square Squash : désérialisation YAML non sûre via l’API de symbolication
Square Squash permet à un utilisateur non authentifié d’enregistrer des données YAML contrôlées via l’API de symbolication; ces données peuvent ensuite être désérialisées de manière non sûre. Le CVE décrit un risque d’exécution de code, mais les éléments consultés ne donnent ni version corrigée ni version de remplacement.
Action recommandée : Éviter d’exposer l’API de symbolication à des entrées non fiables et rechercher un correctif auprès du projet; aucun numéro de version corrigée n’est établi ici.
ManageIQ : désérialisation YAML non sûre pouvant mener à une exécution de code
ManageIQ présente une désérialisation dangereuse de YAML : dans certaines conditions, `YamlLoadAliases` retombe de `YAML.safe_load` à `YAML.unsafe_load`. Un attaquant authentifié disposant du droit d’importer des dialogues peut viser l’exécution de code à distance; l’avis indique qu’aucun correctif ne sera publié pour Red Hat CloudForms, en fin de vie.
Action recommandée : Évaluer l’exposition des fonctions d’import de dialogues et suivre les avis ManageIQ pour les mesures correctives; aucune version corrigée n’est établie ici.
Metasploit Framework : traversée de chemin dans le module de collecte iOS
Une traversée de chemin dans le module Metasploit `post/apple_ios/gather/ios_image_gather` permet à un appareil iOS hostile de faire écrire des fichiers hors du répertoire de collecte, potentiellement jusqu’à la configuration locale de Metasploit. Rapid7 indique que les versions antérieures à 6.5.5 sont concernées; mettre à niveau vers 6.5.5 ou une version ultérieure.
Action recommandée : Mettre à niveau Metasploit Framework vers la version 6.5.5 ou ultérieure.
Bun
Recherche du sujet effectuée
La recherche dédiée a repéré Bun v1.4.3, publiée le 2026-10-10, avec une mention de durcissement TLS liée à CVE-2026-48618. Cette publication est antérieure à la période demandée, qui commence le 2026-10-12T00:00:00+02:00 ; aucun élément consulté ne répond donc au critère de date pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Dans les sources du projet Deno et la page des avis de sécurité GitHub consultées, aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel de sécurité daté du 2026-10-12 (dans la période demandée) n’a été vérifié. L’annonce Deno publiée le 2026-10-09 et les avis GitHub affichés comme publiés en mai et juin 2026 sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé quatre publications NVD dans la période portant sur Coraza, une bibliothèque WAF écrite en Go. Elles concernent le décodage t:jsDecode, la limite d’arguments, les journaux Native et l’analyse multipart; aucune exploitation active n’a été confirmée par les sources consultées.
Coraza : omission d’arguments et consommation mémoire excessive
Coraza peut omettre silencieusement des arguments au-delà de SecArgumentsLimit, de sorte que les règles de sécurité ne les inspectent pas. Le traitement de certains corps peut aussi consommer une quantité excessive de mémoire; une mise à niveau vers la version corrigée est indiquée.
Action recommandée : Mettre à niveau vers Coraza 3.8.1 ou ultérieure et appliquer les règles de contrôle d’ARGUMENTS_LIMIT_REACHED recommandées par le projet.
OWASP Coraza WAF : contournement de règles avec des échappements octaux JavaScript
OWASP Coraza WAF traite incorrectement certaines séquences d’échappement octales JavaScript avec la transformation t:jsDecode. Un attaquant non authentifié peut ainsi faire inspecter au WAF une représentation différente de celle interprétée par l’application, ce qui peut contourner des règles de protection.
Action recommandée : Mettre à niveau Coraza WAF vers la version 3.8.0 ou ultérieure.
Coraza : falsification de lignes dans les journaux d’audit Native
Avec le format d’audit Native, des retours chariot ou sauts de ligne contrôlés par un attaquant peuvent forger des lignes dans un enregistrement de transaction. Cela risque d’induire en erreur les opérateurs ou les traitements SIEM qui analysent les journaux ligne par ligne.
Action recommandée : Mettre à niveau vers Coraza 3.8.0 ou ultérieure; si la mise à niveau est impossible, examiner l’usage du format Native et la robustesse des traitements de journaux.
Coraza : corps multipart tronqué non signalé comme erreur stricte
Lorsqu’un corps multipart tronqué provoque io.ErrUnexpectedEOF, Coraza peut arrêter l’analyse sans activer le signal MULTIPART_STRICT_ERROR. Les règles défensives recommandées peuvent alors ne pas se déclencher, laissant passer un contenu interprété différemment par le serveur en aval.
Action recommandée : Mettre à niveau vers Coraza 3.8.0 ou ultérieure et vérifier le traitement défensif des corps multipart tronqués.
Kotlin
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun avis de sécurité, nouvelle vulnérabilité, exploitation ou changement substantiel concernant Kotlin daté de la période demandée. Les éléments trouvés étaient hors période : notamment CVE-2026-53914, publiée le 2026-06-26, et Kotlin 2.4.21, publiée le 2026-10-08.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis ou correctif de sécurité Electron daté du 2026-10-12 n’a été identifié dans les sources consultées. Le site officiel des versions indique des versions bêta et nightly publiées ce jour-là, sans information de sécurité associée dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
Aucune vulnérabilité nouvelle concernant la bibliothèque jQuery elle-même n’a été vérifiée pour cette période. Le candidat porte sur une XSS du plugin Grav Guestbook : jQuery est mentionné comme mécanisme d’insertion dans le DOM, mais le composant vulnérable identifié est le plugin, et non jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié une publication de CVE liée à Rapyd Admin pendant la période. La fiche CVE signale toutefois une divulgation publique antérieure, au 2026-09-28. Les autres candidats sont des mises à jour NVD de vulnérabilités publiées avant la période ; aucune preuve consultée ne les établit comme nouvel avis, correctif ou changement substantiel daté du 2026-10-12.
Rapyd Admin : identifiants super-administrateur codés en dur
Rapyd Admin contient des identifiants super-administrateur codés en dur, permettant à un attaquant distant non authentifié d’obtenir un accès privilégié. Les versions 9.0.0 à 9.19.x sont concernées ; mettre à niveau vers la version 9.20.0 ou ultérieure.
Action recommandée : Mettre à niveau vers Rapyd Admin 9.20.0 ou ultérieur et examiner les comptes et accès administratifs.
Svelte
Recherche du sujet effectuée
La recherche ciblée n’a identifié aucun avis ou correctif de sécurité daté de la période pour le projet Svelte. Les candidats concernent Open WebUI : la mention de fichiers .svelte ne les rattache pas au framework Svelte.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif de sécurité, signalement d’exploitation ni changement substantiel de sécurité concernant Symfony daté du 2026-10-12 dans la période demandée. Les résultats consultés comprennent un article Symfony publié le 2026-10-12 sur une fonctionnalité de Symfony 8.2, sans indication qu’il s’agisse d’un avis ou d’un correctif de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis Flask pertinent dont la publication ou le changement substantiel soit daté dans la période du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu. Le candidat concerne RansomLook et CVE-2026-78553, mais les informations consultées situent sa publication en août 2026; la modification NVD indiquée au 12 octobre ne suffit pas, à elle seule, à établir une nouveauté de sécurité durant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a identifié une mise à jour d’avis concernant Django datée du 2026-10-12 : GHSA-q238-5cxm-5c9h étend les versions concernées de CVE-2026-15830 à la série 6.1 en préversion. Les autres candidats portent sur des divulgations antérieures, une mise à jour NVD sans preuve de changement substantiel dans la période, ou une vulnérabilité de Wagtail plutôt que de Django.
CVE-2026-15830 — Mise à jour des versions concernées par le déni de service GeoDjango
La mise à jour de l’avis GHSA du 2026-10-12 étend les versions concernées à la série Django 6.1 en préversion. La vulnérabilité peut provoquer un déni de service lors du traitement de collections géométriques imbriquées profondément.
Action recommandée : Mettre à niveau vers une version corrigée : 5.2.17, 6.0.8 ou 6.1.1 selon la série utilisée.
FastAPI
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis de sécurité, exploitation ou mise à jour substantielle de FastAPI datée dans la période demandée n’a été vérifiée. Les résultats consultés comprennent un avis FastAPI publié en 2021, des notes de version antérieures à la période et une entrée CVE concernant LlamaFarm datée du 2026-10-11, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée sur Express n’a fait ressortir aucun avis, correctif ou événement de sécurité daté dans la période du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu. Les avis Express visibles dans les sources consultées sont antérieurs à cette période; cela ne permet pas d’affirmer qu’aucune nouveauté n’a existé ailleurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Vérification incomplète
Niveau relevé : Critique
Un correctif de sécurité NestJS daté du 12 octobre 2026 a été relevé : la version 12.1.3 met à jour Multer vers 2.4.0 pour CVE-2026-88932. Aucun des candidats fournis n’a été retenu : leurs avis indiquent une publication le 9 octobre, antérieure à la période, et leur seule date de mise à jour du 12 octobre ne suffit pas à prouver un changement substantiel survenu pendant celle-ci. Un avis concernant un paquet npm malveillant se faisant passer pour une intégration NestJS Swagger a été mis à jour le 2026-10-12. Le comportement décrit peut exposer des identifiants et des informations sur l’hôte lors de l’import du paquet.
Mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 : paquet npm malveillant usurpant une intégration NestJS Swagger
Une mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 signale un paquet npm malveillant se faisant passer pour une intégration NestJS Swagger. Lors de son import, son code natif peut exfiltrer des identifiants et des informations sur l’hôte vers un serveur externe.
Action recommandée : Vérifier les dépendances et journaux de build pour détecter ce paquet. En cas d’installation ou d’import, le retirer et renouveler les secrets accessibles au processus.
MySQL
Vérification incomplète
L’avis Amazon Linux daté du 2026-10-12 concerne notamment deux vulnérabilités MySQL documentées individuellement ici : CVE-2026-47023 dans la réplication et CVE-2026-47064 dans l’Optimizer, toutes deux pouvant entraîner un déni de service. Les autres candidats fournis ne décrivent pas une vulnérabilité du produit MySQL. Le candidat concerne un paquet npm malveillant nommé « @revizahoshii/hoshino-store-mysql », et non une vulnérabilité ou un avis de sécurité du produit MySQL.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
L’avis CERT-FR du 12 octobre 2026 signale deux vulnérabilités de PostgreSQL JDBC, CVE-2026-107314 et CVE-2026-107315. Le correctif indiqué est pgJDBC 42.7.14, publié avant la période examinée.
pgJDBC : restriction requireAuth non appliquée
Dans pgJDBC, une valeur `requireAuth` excluant toutes les méthodes d’authentification n’était pas appliquée dans les versions 42.7.11 à 42.7.13, permettant au client d’accepter la méthode demandée par le serveur, y compris `password` en clair. Mettre à jour vers 42.7.14 ; à défaut, remplacer cette configuration par une liste positive de méthodes autorisées.
Action recommandée : Mettre à jour pgJDBC vers 42.7.14 ou une version ultérieure et vérifier la configuration `requireAuth`.
pgJDBC : réutilisation d’octets d’instructions antérieures lors du remplissage
Dans pgJDBC, lorsqu’une application déclarait une longueur supérieure au nombre d’octets effectivement écrits, les versions 42.7.4 à 42.7.13 pouvaient compléter la valeur avec des octets de messages précédemment envoyés sur la même connexion. Ces octets, susceptibles de contenir des données de requêtes antérieures, pouvaient alors être enregistrés côté serveur ; mettre à jour vers 42.7.14.
Action recommandée : Mettre à jour pgJDBC vers 42.7.14 ou une version ultérieure.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis CERT-FR daté du 12 octobre 2026 signale plusieurs vulnérabilités dans MongoDB. Les éléments consultés ne permettent pas de confirmer les CVE ni les versions concernées.
Multiples vulnérabilités dans MongoDB
Le CERT-FR signale plusieurs vulnérabilités dans les produits MongoDB, pouvant notamment entraîner un déni de service à distance et un problème de sécurité dont la nature n’est pas précisée dans le résumé disponible. L’avis ne fournit ici ni CVE ni versions affectées ou corrigées ; consultez l’avis éditeur associé et appliquez les correctifs correspondant aux produits déployés.
Action recommandée : Consulter l’avis et les notes de sécurité MongoDB correspondant aux produits utilisés, puis installer les versions corrigées indiquées par l’éditeur.
Redis
Recherche du sujet effectuée
Aucune nouveauté de sécurité concernant le projet Redis n’a été vérifiée dans la période demandée. Les résultats consultés comprennent une version bêta d’ioredis datée du 2026-10-12, sans indication de correctif de sécurité; les avis Redis trouvés étaient antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis ou de vulnérabilité attribuable au logiciel Caddy et daté de la période demandée. Le candidat CVE-2026-109326 décrit un problème dans la configuration Caddy fournie avec Grav : cela ne constitue pas, d’après les éléments disponibles, une vulnérabilité de Caddy lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub du projet SvelteKit et des références CVE/NVD pertinentes. Les avis SvelteKit repérés dans ces sources sont datés d’avant la période figée; aucun nouvel avis, correctif ou changement substantiel daté du 2026-10-12 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité et publications Babel pour la période du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00 n’a relevé aucun avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté dans cette fenêtre. Les avis Babel consultés sont antérieurs à la période; les versions Babel consultées sont datées du 2026-10-07.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Vérification incomplète
Un avis Check Point daté du 12 octobre 2026 signale CVE-2026-103005, un déni de service dans Elasticsearch touchant des utilisateurs authentifiés disposant de privilèges de gestion des connecteurs. L’avis fournit les plages affectées et les versions corrigées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
RabbitMQ
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité du dépôt officiel RabbitMQ sur GitHub et recherché des avis/CVE associés à la période demandée. Les avis RabbitMQ repérés dans les résultats consultés étaient datés avant le 2026-10-12 ; aucun élément correspondant à la période figée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, exploitation ni changement substantiel concernant Memcached daté de la période demandée. Les résultats Memcached trouvés portent sur une CVE publiée antérieurement ou ne concernent pas Memcached; aucun n’est retenu pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a vérifié deux avis Neo4j GraphQL datés du 2026-10-12 et la publication NVD du CVE-2026-109302 le même jour. Le candidat Keystone CVE-2026-63421 a été exclu : sa publication est antérieure à la période et les éléments consultés n’établissent qu’une mise à jour NVD, sans changement substantiel daté du 2026-10-12.
@neo4j/graphql : contournement de l’authentification sur des champs @cypher
Dans @neo4j/graphql jusqu’à la version 7.6.3, les directives @authentication au niveau du schéma ou des types Query/Mutation ne protégeaient pas les champs de premier niveau annotés @cypher. Un appelant non authentifié pouvait ainsi exécuter la requête Cypher avec les privilèges du compte de service; mettre à niveau vers 7.6.4 ou ultérieure.
Action recommandée : Mettre à niveau @neo4j/graphql vers 7.6.4 ou ultérieure; vérifier les champs @cypher et leur contrôle d’accès.
@neo4j/graphql : inversion du quantificateur none dans les filtres d’autorisation
Dans @neo4j/graphql de 7.0.0 à toute version antérieure à 7.6.4, le quantificateur none des filtres @authorization de relations et connexions était traduit sans négation et se comportait comme some. Des utilisateurs authentifiés visés par une règle de refus pouvaient accéder à des données protégées et, selon les mutations concernées, créer ou supprimer des données; installer 7.6.4 ou ultérieure.
Action recommandée : Mettre à niveau @neo4j/graphql vers 7.6.4 ou ultérieure; en attendant, éviter none dans les filtres concernés et vérifier les autorisations.
Parse Server : contournement du contrôle d’introspection GraphQL via le cache de requêtes persistées
Parse Server ne vérifiait pas son contrôle d’introspection GraphQL pour les opérations obtenues depuis le cache Apollo des requêtes persistées automatiques. Un utilisateur non authentifié possédant l’identifiant d’application public et la clé client pouvait rejouer une requête d’introspection mise en cache et récupérer le schéma; les versions corrigées indiquées sont 8.6.94 et 9.10.1-alpha.14 pour leurs branches respectives.
Action recommandée : Mettre à niveau vers une version corrigée de la branche utilisée et examiner la configuration GraphQL et le cache des requêtes persistées.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Trois fiches CVE liées à des extensions WooCommerce ont été publiées par le NVD le 12 octobre 2026 et sont retenues. La page WordPress.org consultée pour le plugin WooCommerce principal indique une version 11.2.1 datée du 9 octobre 2026; aucune publication de sécurité datée du 12 octobre n’y apparaît dans les éléments consultés. Trois fiches NVD fournies indiquent une publication pendant la période : CVE-2026-106605, CVE-2023-25996 et CVE-2026-107863. Les autres candidats correspondent à des fiches publiées avant la période et leur mise à jour NVD seule ne suffit pas à établir un événement de sécurité nouveau pendant celle-ci.
CVE-2026-106605 — manipulation de données via une quantité mal validée
Une validation incorrecte de la quantité saisie dans Flexible Quantity – Measurement Price Calculator for WooCommerce permet une manipulation des données d’entrée. Les versions concernées vont jusqu’à 2.3.22 ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source fournie.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.
CVE-2023-25996 — exposition de données sensibles dans Booster Elite for WooCommerce
Booster Elite for WooCommerce présente une vulnérabilité d’insertion d’informations sensibles dans les données envoyées, permettant la récupération de données sensibles intégrées. La source indique que les versions antérieures à 8.4.0 sont concernées ; elle ne précise pas les détails de l’impact ni de l’exploitation.
Action recommandée : Utiliser la version 8.4.0 ou une version ultérieure.
CVE-2026-107863 — autorisation manquante dans Products Restricted Users for WooCommerce
Products Restricted Users for WooCommerce présente une vulnérabilité d’autorisation manquante, liée à des contrôles d’accès mal configurés. Les versions jusqu’à 0.7 sont concernées ; la source fournie ne mentionne ni version corrigée ni contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.
Simple:Press
Recherche du sujet effectuée
Les sources consultées ne montrent aucune nouvelle vulnérabilité, aucun avis/correctif de sécurité ni changement substantiel concernant Simple:Press daté du 2026-10-12 dans la période demandée. Les entrées de vulnérabilités visibles dans les bases consultées sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
Deux informations Docker datées du 2026-10-12 ont été retenues : un avis Docker Hub sur CVE-2026-105445 et une note de version Docker Desktop 4.95.0 signalant le correctif de CVE-2026-31431. Les candidats fournis concernent Blinko, Crawl4AI, Nginx UI, Termix et docker-socket-proxy ; ils ne décrivent pas des vulnérabilités du produit Docker lui-même.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Élevée
Aucun nouvel avis ou événement de sécurité Kubernetes correspondant à la période figée n’a pu être vérifié dans les sources consultées. Les candidats NVD publiés pendant la période concernent IBM Maximo, et les candidats modifiés ce jour-là ne fournissent pas, dans les éléments consultés, de preuve d’un changement substantiel daté de cette période. Quatre nouvelles entrées NVD datées du 12 octobre concernent des vulnérabilités de composants IBM Maximo Location Service for Esri liés à des opérateurs ou politiques Kubernetes. Deux candidats plus anciens n’ont été modifiés que le 12 octobre et ont été exclus comme simples mises à jour de fiches, sans preuve d’un changement substantiel ce jour-là.
IBM Maximo Location Service for Esri : sortie réseau non prévue liée à une NetworkPolicy
CVE-2026-18517 concerne une politique réseau Kubernetes mal configurée dans IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. Cette configuration permet une sortie réseau non prévue ; les informations fournies ne précisent pas de version corrigée.
IBM Maximo Location Service for Esri : injection de commande dans une tâche d’opérateur
CVE-2026-18529 concerne une injection de commande dans une tâche d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. La cause indiquée est l’assainissement insuffisant d’une valeur contrôlée par l’utilisateur transmise à une commande shell ; aucune version corrigée n’est précisée dans les informations fournies.
IBM Maximo Location Service for Esri : validation inadéquate d’une référence d’image
CVE-2026-18537 concerne une validation inadéquate dans un modèle d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. La référence d’image de conteneur n’est pas assainie ; les informations fournies ne précisent ni version corrigée ni impact détaillé.
IBM Maximo Location Service for Esri : validation inadéquate de la configuration d’image
CVE-2026-18533 concerne une validation inadéquate des entrées dans un modèle d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. La description fournie indique une configuration d’image de conteneur non assainie, sans préciser de version corrigée ni d’impact détaillé.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un correctif du noyau Linux concernant une course pouvant entraîner une utilisation après libération dans le suivi des groupes de cache de l’ordonnanceur a été publié le 12 octobre 2026. Aucun autre candidat fourni ne correspond à une vulnérabilité du noyau Linux nouvellement publiée ou à un changement substantiel vérifié dans la période.
Linux : risque d’utilisation après libération dans le suivi des groupes de cache de l’ordonnanceur
Le noyau Linux corrige un risque d’utilisation après libération (use-after-free) dans le suivi des statistiques d’ordonnancement liées aux groupes de cache, causé par une course lors du changement d’espace mémoire d’une tâche. Le correctif sépare l’objet de groupe de cache de `mm_struct` et gère sa durée de vie par comptage de références; les versions affectées et les versions corrigées ne sont pas précisées dans les éléments consultés.
Action recommandée : Suivre les avis de sécurité de sa distribution Linux et appliquer le noyau corrigé dès sa disponibilité; les versions corrigées ne sont pas établies par les sources consultées.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Les candidats fournis comprennent cinq avis DSA Debian datés du 2026-10-12 et un avis LTS DLA-4831-1 couvrant quatre CVE distinctes dans libgit2. Les détails individuels, versions affectées et versions correctives ne sont pas tous établis par les informations consultées ; aucun statut d’exploitation n’est confirmé.
DSA-6557-1 — NTFS-3G : mise à jour de sécurité
L’avis Debian signale plusieurs vulnérabilités dans NTFS-3G, susceptibles d’entraîner un déni de service, une fuite d’informations ou une élévation locale de privilèges. Les CVE, versions affectées et version corrective ne sont pas précisées dans les éléments disponibles ; consultez l’avis Debian et appliquez la mise à jour correspondante.
Action recommandée : Consulter l’avis et mettre à jour le paquet NTFS-3G vers la version corrigée pour la distribution concernée.
DSA-6556-1 — Nagios : mise à jour de sécurité
Debian signale plusieurs vulnérabilités dans Nagios pouvant permettre une falsification de requête intersites, des scripts intersites ou l’exécution de commandes arbitraires. Les éléments fournis ne précisent ni les CVE ni les versions concernées et corrigées ; consultez l’avis pour identifier le paquet à mettre à jour.
Action recommandée : Consulter l’avis Debian et mettre à jour Nagios vers la version corrigée correspondant à votre distribution.
DSA-6555-1 — librsvg : mise à jour de sécurité
Une analyse incorrecte de fichiers SVG comportant des inclusions XML imbriquées dans librsvg pourrait provoquer un déni de service ou, potentiellement, l’exécution de code arbitraire. Les versions affectées et correctives ainsi que les identifiants CVE ne sont pas indiqués dans les éléments disponibles.
Action recommandée : Consulter l’avis Debian et installer la mise à jour de librsvg adaptée à votre distribution.
DSA-6554-1 — Keystone : mise à jour de sécurité
Une vulnérabilité dans la gestion de l’authentification déléguée de Keystone, le service d’identité OpenStack, pourrait entraîner une divulgation d’informations ou une élévation de privilèges. Les éléments fournis ne précisent ni CVE ni versions affectées et corrigées.
Action recommandée : Consulter l’avis Debian et mettre à jour Keystone vers la version corrigée correspondant à votre distribution.
DSA-6553-1 — Chromium : mise à jour de sécurité
Debian signale des problèmes de sécurité dans Chromium pouvant conduire à l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. Les CVE et les versions concernées ou corrigées ne sont pas indiquées dans les éléments fournis.
Action recommandée : Consulter l’avis Debian et mettre à jour Chromium vers le paquet corrigé pour votre distribution.
CVE-2026-5917 — libgit2 : échappement du chemin de dépôt transmis par SSH
Dans libgit2, un chemin de dépôt contenant une apostrophe pouvait être transmis sans échappement dans la commande SSH et permettre l’exécution de commandes sur le serveur SSH. L’avis indique que le chemin est désormais échappé ; les versions affectées et la version corrective ne sont pas précisées dans les éléments disponibles.
Action recommandée : Consulter l’avis DLA et appliquer la mise à jour Debian corrigeant libgit2.
CVE-2026-53584 — libgit2 : validation des chemins de sous-modules
Dans libgit2, les chemins de sous-modules provenant de .gitmodules n’étaient pas contrôlés contre la présence de « .. », ce qui pouvait amener certaines opérations sur les sous-modules à agir en dehors de l’arborescence de travail. L’avis indique que ces chemins sont désormais rejetés ; les versions affectées et la version corrective ne sont pas précisées dans les éléments disponibles.
Action recommandée : Consulter l’avis DLA et appliquer la mise à jour Debian corrigeant libgit2.
CVE-2026-53585 — libgit2 : allocations excessives lors de l’application de deltas
Dans libgit2, l’application d’un delta pouvait allouer la taille de résultat déclarée dans l’en-tête, permettant à un petit packfile malveillant de provoquer une allocation mémoire massive et un déni de service. L’avis indique que les objets issus de l’application des deltas sont désormais limités par défaut à 2 Gio ; les versions affectées et la version corrective ne sont pas précisées dans les éléments disponibles.
Action recommandée : Consulter l’avis DLA et appliquer la mise à jour Debian corrigeant libgit2.
CVE-2026-53586 — libgit2 : risque de divulgation d’identifiants après redirection
Après une redirection externe lors d’une requête HTTP initiale, libgit2 pouvait transmettre au rappel d’identifiants l’URL d’origine, exposant potentiellement les identifiants de l’hôte initial à la cible de redirection. L’avis indique que le rappel reçoit désormais l’hôte effectivement contacté ; les versions affectées et la version corrective ne sont pas précisées dans les éléments disponibles.
Action recommandée : Consulter l’avis DLA et appliquer la mise à jour Debian corrigeant libgit2.
Alpine Linux
Recherche du sujet effectuée
La recherche web dédiée a été effectuée pour Alpine Linux. Les sources consultées disponibles ne vérifient aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-12 dans la période demandée; les éléments antérieurs repérés sont hors période. La page d’index de secdb ne permet pas, à elle seule, d’établir un résultat exhaustif pour cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Vérification incomplète
Un avis Amazon Linux 2 daté du 2026-10-12 signale CVE-2026-42356 dans Apache HTTP Server. La recherche sur les sources du projet a aussi fait apparaître des avis dont les correctifs ou mises à jour sont datés d’autres jours; ils ne sont pas retenus comme événements de la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé une vulnérabilité de ngx_cache_purge et neuf vulnérabilités de Nginx UI publiées le 2026-10-12. Le candidat Grav a été écarté : la vulnérabilité décrite concerne les configurations fournies par Grav et la divulgation de répertoires .git imbriqués, pas le projet Nginx. Les candidats vérifiés signalent sept vulnérabilités de Nginx UI, toutes corrigées en version 2.4.1, ainsi qu’une vulnérabilité de ngx_cache_purge corrigée en version 3.0.4. Les fiches indiquent une publication NVD dans la période pour ces huit éléments. Les cinq candidats fournis décrivent des vulnérabilités de Nginx UI et indiquent leur publication le 12 octobre 2026 dans la période demandée. Les versions correctives indiquées vont de 2.4.1 à 2.4.3 selon la vulnérabilité.
Nginx UI : contournement de l’exigence de session sécurisée via MCP
Avant Nginx UI 2.4.1, les routes MCP de modification de configuration exigeaient une authentification ordinaire mais pas la session sécurisée renforcée requise par les routes HTTP correspondantes. Un utilisateur disposant d’un JWT valide mais dépourvu de session sécurisée pouvait donc contourner cette étape de contrôle et modifier la configuration Nginx via MCP; mettre à jour vers la version 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers la version 2.4.1.
Nginx UI : enrôlement non autorisé d’un facteur d’authentification
Dans Nginx UI avant 2.4.1, certaines routes d’enrôlement OTP et de passkey acceptent une session authentifiée sans revérifier le mot de passe ni exiger la session renforcée prévue. Un JWT dérobé peut ainsi permettre d’ajouter un moyen d’authentification contrôlé par l’attaquant ; mettre à jour vers 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers 2.4.1.
Nginx UI : modification du mot de passe d’un autre utilisateur sans session renforcée
Dans Nginx UI avant 2.4.1, un utilisateur authentifié peut modifier le mot de passe d’un autre utilisateur via POST /api/users/:id sans le contrôle de session renforcée. Cette faille peut permettre de prendre le contrôle du compte administrateur initial ; mettre à jour vers 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers 2.4.1.
Nginx UI : opérations sensibles accessibles sans session renforcée
Dans Nginx UI avant 2.4.1, plusieurs routes de modification ne demandent pas la session renforcée attendue pour les utilisateurs ayant activé OTP. Une session authentifiée dérobée peut alors servir à modifier des paramètres sensibles, notamment les sauvegardes, certificats et configurations ; mettre à jour vers 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers 2.4.1.
Nginx UI : contournement de la validation des directives de configuration
Dans Nginx UI avant 2.4.1, la validation de configuration peut ne vérifier que le premier jeton d’une ligne et être contournée par des directives supplémentaires séparées par des points-virgules ou chargées par include. Un utilisateur authentifié peut ainsi contourner les restrictions de directives, avec possibilité d’exécution de code selon les modules disponibles ; mettre à jour vers 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers 2.4.1.
Nginx UI : validation de directives absente sur l’ajout de configuration MCP
Dans Nginx UI avant 2.4.1, l’outil MCP nginx_config_add écrit une configuration et recharge Nginx sans appeler le contrôle qui bloque certaines directives dangereuses. Un utilisateur MCP authentifié peut ainsi injecter des directives restreintes et provoquer une exécution de code si les modules concernés sont disponibles ; mettre à jour vers 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers 2.4.1.
Nginx UI : contournement de la validation des configurations via MCP
Dans Nginx UI, l’outil MCP `nginx_config_add` pouvait écrire et recharger une configuration sans valider les directives dangereuses, contrairement à l’API REST. Un utilisateur authentifié pouvait ainsi contourner les protections et, lorsque certains modules Nginx étaient chargés, parvenir à une exécution de code à distance; mettre à jour vers la version 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers la version 2.4.1.
Nginx UI : application de directives restreintes via l’interface MCP
Nginx UI présente un contrôle insuffisant dans son interface de configuration MCP : un utilisateur secondaire authentifié peut appliquer des directives Nginx restreintes qui sont refusées par l’API HTTP ordinaire. Cette possibilité peut permettre de charger le module NJS, d’importer du JavaScript contrôlé par l’attaquant et de l’exécuter dans le contexte d’un worker Nginx.
Action recommandée : Mettre à niveau Nginx UI vers la version 2.4.1 ou ultérieure.
Nginx UI : un jeton court révoqué peut rester valide via le cache
Dans Nginx UI antérieur à 2.4.1, la révocation des jetons ne supprimait pas toujours du cache les jetons courts créés sans jeton long associé. Si le compte correspondant était réactivé avant l’expiration de l’entrée en cache, le jeton court révoqué pouvait de nouveau authentifier des requêtes HTTP ou WebSocket; mettre à jour vers la version 2.4.1.
Action recommandée : Mettre à jour Nginx UI vers la version 2.4.1.
Nginx UI : écriture de sauvegardes hors du répertoire prévu
Avant Nginx UI 2.4.3, le nom contrôlé par l’utilisateur d’une sauvegarde automatique n’était pas filtré contre les séparateurs de chemin ou les composants de remontée de répertoire. Un utilisateur authentifié autorisé à créer ou modifier une sauvegarde pouvait faire écrire l’archive, et éventuellement son fichier de clé de chiffrement, hors du répertoire validé; mettre à jour vers la version 2.4.3.
Action recommandée : Mettre à jour Nginx UI vers la version 2.4.3.
ngx_cache_purge : suppression de fichiers possible par suivi de liens symboliques
Dans ngx_cache_purge antérieur à 3.0.4, le parcours du cache peut suivre des liens symboliques et permettre la suppression de fichiers, sous certaines conditions, notamment lorsque nginx et une application servie partagent le même compte système. Mettre à jour vers 3.0.4 ou appliquer le correctif ; limiter aussi l’accès en écriture aux répertoires de cache et éviter de faire tourner nginx et du code applicatif non fiable sous le même compte.
Action recommandée : Mettre à jour ngx_cache_purge vers 3.0.4 ou appliquer le correctif amont correspondant ; contrôler les permissions et liens symboliques dans les chemins de cache.
PHP
Recherche du sujet effectuée
La recherche dédiée sur PHP/PHP-FPM n’a identifié aucun avis ou correctif PHP vérifiable comme daté de la période du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00. Les avis PHP affichés dans le dépôt officiel consulté sont datés du 2026-09-24, donc hors période; les candidats fournis concernent d’autres produits. Les candidats fournis concernent idcCMS, Zen Cart, Cairo-Dock et Thelia. Ils ne décrivent pas de vulnérabilité du produit PHP ni d’avis de sécurité PHP ; aucun item correspondant au sujet demandé n’est retenu. Aucun candidat du lot ne concerne une vulnérabilité du langage ou du runtime PHP (PHP/php-fpm). Les candidats portent sur des applications ou bibliothèques distinctes qui utilisent PHP. Aucune vulnérabilité ou évolution vérifiée dans ce lot ne concerne le produit PHP ou PHP-FPM lui-même. Les candidats portent sur des applications ou bibliothèques distinctes, même lorsqu’elles sont écrites en PHP ou destinées à son écosystème. Aucun candidat fourni ne concerne le langage ou le runtime PHP lui-même : ils portent sur des applications distinctes. Aucun item PHP n’est donc retenu pour la période. Aucun candidat fourni ne concerne une vulnérabilité, un correctif ou un avis de sécurité de PHP ou PHP-FPM. Les candidats décrivent des failles dans des applications ou extensions tierces ; la mention de PHP dans leur description ne les rattache pas au sujet demandé. Aucun événement répondant aux critères pour PHP n’est établi à partir de ce lot. Les entrées sont des modifications de fiches NVD dont le caractère substantiel pendant la période n’est pas démontré; les autres concernent des produits hors sujet. Aucun candidat fourni ne concerne PHP lui-même : les vulnérabilités décrites portent sur iTop, xShop, des extensions WordPress/Joomla ou AVideo. Le lot…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WordPress
Vérification incomplète
Niveau relevé : Critique
La recherche a relevé six avis NVD publiés le 12 octobre dans la fenêtre demandée concernant des plugins WordPress, ainsi qu’un signalement d’exploitation de Bricksforge daté du même jour. Aucun avis WordPress Core daté du 12 octobre n’a été relevé dans la catégorie de sécurité officielle consultée; CVE-2026-108981 concerne ngx_cache_purge et non WordPress, et les trois modifications NVD sans changement substantiel établi ont été exclues. Les dix candidats concernent des CVE publiées en 2025. Les éléments fournis indiquent une mise à jour de fiche NVD le 12 octobre 2026, mais ne documentent aucun changement substantiel daté de cette journée ; une modification administrative seule ne suffit pas à retenir un item. Les candidats fournis concernent des CVE publiées en 2025. Pour chacun, les éléments disponibles indiquent une mise à jour NVD le 12 octobre 2026, mais ne documentent aucun changement substantiel de sécurité pendant la période ; aucune nouveauté ne peut donc être retenue sur cette base. Les candidats fournis signalent des mises à jour de fiches NVD le 12 octobre 2026, mais ne documentent aucun changement substantiel intervenu à cette date. Ils ne sont donc pas retenus comme nouveautés ou avis de sécurité pour la période. Les dix candidats sont des CVE publiées le 2026-08-22. Les données fournies indiquent une mise à jour de fiches NVD le 2026-10-12, sans préciser de changement substantiel ; elles ne permettent donc pas de retenir ces entrées comme de nouvelles vulnérabilités ou comme des avis/correctifs de sécurité datés de la période. Aucun événement de sécurité WordPress daté de la période n’est établi par ces candidats. Les fiches NVD fournies ont été publiées en août 2026 et leur seule modification indiquée date du 12 octobre ; aucun changement substantiel…
Débordement de tampon critique dans Ghostscript utilisé par certaines chaînes WordPress de traitement PDF
Une vulnérabilité de débordement de tampon dans Ghostscript peut être déclenchée par un PDF spécialement conçu contenant une image JPEG 2000; Wordfence indique avoir démontré une exécution de code à distance dans un environnement WordPress de test particulier. Le problème concerne Ghostscript et non WordPress lui-même, et le correctif est indiqué dans Ghostscript 10.08.0; les systèmes et conteneurs doivent recevoir le paquet corrigé fourni par leur distributeur ou fournisseur.
Action recommandée : Installer le paquet Ghostscript corrigé fourni par le système ou l’hébergeur; reconstruire et redéployer les conteneurs depuis une image de base mise à jour, puis suivre les consignes de redémarrage du fournisseur.
Patreon WordPress — vulnérabilité CSRF jusqu’à 1.9.17
Le plugin Patreon WordPress `patreon-connect` est affecté par une vulnérabilité CSRF jusqu’à la version 1.9.17 incluse. Les informations consultées ne précisent pas les actions vulnérables ni la version corrigée; il convient donc de vérifier les avis de l’éditeur avant de conclure sur la portée exacte ou le correctif.
Action recommandée : Vérifier les avis de l’éditeur et appliquer un correctif dès qu’une version corrigée est confirmée; limiter l’exposition du plugin dans l’intervalle.
Patreon WordPress — vulnérabilité CSRF jusqu’à 1.10.0
Le plugin Patreon WordPress `patreon-connect` est affecté par une vulnérabilité CSRF jusqu’à la version 1.10.0 incluse. Les éléments consultés ne permettent pas de préciser les actions vulnérables ni la version corrigée pour cette CVE particulière.
Action recommandée : Vérifier les avis de l’éditeur et appliquer un correctif dès qu’une version corrigée est confirmée; limiter l’exposition du plugin dans l’intervalle.
WP Comment Cleaner — suppression non autorisée de commentaires
WP Comment Cleaner, avant la version 7.2, ne vérifie ni les permissions ni le nonce dans une fonction de suppression groupée de commentaires. Un utilisateur authentifié disposant de faibles privilèges, tel qu’un abonné, peut ainsi effacer définitivement les commentaires du site.
Action recommandée : Mettre à jour vers la version 7.2 ou ultérieure; à défaut, désactiver le plugin ou restreindre les comptes utilisateurs.
Hotel Booking — CSRF dans la gestion des réservations
Hotel Booking pour WordPress jusqu’à la version 3.8 ne protège pas contre les requêtes CSRF dans la gestion administrative des commandes de réservation. Un attaquant peut tromper un administrateur connecté afin de créer, modifier ou supprimer des commandes de réservation.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif; limiter l’accès administratif et désactiver le plugin si aucune version corrigée n’est disponible.
Hotel Booking — accès non autorisé aux données de réservation
Hotel Booking pour WordPress jusqu’à la version 3.8 ne vérifie pas que la réservation consultée appartient à l’utilisateur qui en demande l’accès. Un utilisateur authentifié, y compris un abonné, peut donc consulter des renseignements personnels d’autres clients en utilisant l’identifiant de leur réservation.
Action recommandée : Mettre à jour dès qu’un correctif est publié; dans l’intervalle, désactiver le plugin ou restreindre l’accès aux comptes authentifiés.
HireZoot — XSS stockée dans une page de réglages
Le plugin HireZoot pour WordPress, avant la version 4.0.0, ne filtre pas correctement un paramètre de spécification d’emploi affiché dans une page de réglages administratifs. Un utilisateur disposant de la capacité de gestion du plugin peut y stocker un script qui s’exécutera dans le navigateur d’un administrateur consultant cette page, notamment lorsque `unfiltered_html` est désactivé.
Action recommandée : Mettre à jour le plugin vers la version 4.0.0 ou ultérieure; si aucune mise à jour n’est disponible, désactiver le plugin.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée à PrestaShop a été réalisée. Les avis du dépôt PrestaShop consultés affichent des publications antérieures au 2026-10-12 ; aucun élément vérifié comme nouveau, corrigé, exploité ou substantiellement mis à jour pendant la période demandée n’a été retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Vérification incomplète
Une vulnérabilité nouvelle concernant Cockpit CMS a été publiée pendant la période : CVE-2026-109379, portant sur une différence de temps susceptible de révéler l’existence de comptes. La recherche n’a pas permis de confirmer une version corrigée ou une mesure de contournement.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée à CloudPanel n’a pas fait apparaître d’avis, de correctif de sécurité, d’exploitation ni de changement substantiel dont la date soit comprise dans la période demandée (du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu). Les résultats consultés incluent des publications antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
Les sources consultées signalent un avis de sécurité Uptime Kuma publié le 2026-10-09, hors de la période demandée. Aucun événement admissible daté du 2026-10-12 (+02:00) n’a été identifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, signalement d’exploitation ou changement substantiel concernant MariaDB daté de la période demandée. Le candidat fourni concerne Django et une modification de sa fiche NVD, et non une vulnérabilité de MariaDB nouvellement publiée pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée sur phpMyAdmin a été effectuée. Les sources consultées n’ont fait apparaître aucun avis ou événement de sécurité vérifiable correspondant à la période demandée ; cela ne constitue pas une affirmation d’absence de nouveauté sur l’ensemble du Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La page officielle des avis de sécurité de pgAdmin a été consultée. Les avis visibles concernent des vulnérabilités publiées avant la période demandée; aucun avis ou correctif daté du 2026-10-12 n’a été vérifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin n’a fait ressortir aucun avis, correctif de sécurité, vulnérabilité nouvellement publiée, exploitation ou changement substantiel vérifiable daté de la période du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00. Des pages du dépôt GitHub officiel ont été consultées, mais les éléments visibles concernaient des dates antérieures ou ne documentaient pas d’événement de sécurité dans cette période ; cela ne constitue pas une affirmation d’exhaustivité sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche ciblée sur Webmin n’a pas identifié de nouvel avis, correctif de sécurité, exploitation signalée ni mise à jour substantielle daté du 2026-10-12 dans la période demandée. Les avis Webmin trouvés dans les résultats consultés sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée sur Vue.js a repéré un avis de sécurité GitHub publié le 2026-08-31, hors de la période demandée. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-12 n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
Les avis de sécurité Vite consultés sont datés du 6 octobre 2026, avant la période demandée. Aucun nouvel avis, correctif ou changement substantiel propre au projet Vite daté du 12 octobre 2026 n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée sur Nuxt n’a pas permis d’identifier de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période demandée (2026-10-12T00:00:00+02:00 inclus – 2026-10-13T00:00:00+02:00 exclu). Les avis Nuxt repérés dans les résultats sont datés antérieurement à cette fenêtre et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
Les sources consultées n’indiquent pas de nouvel avis, correctif, exploitation ou changement substantiel Next.js daté de la période demandée. L’annonce Next.js repérée concerne une mise à jour prévue le 14 octobre 2026 et a été publiée le 8 octobre, donc elle est hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
La recherche dédiée sur React n’a pas identifié de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de mise à jour substantielle daté de la période du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu. Les avis React repérés lors de la recherche sont antérieurs à cette période; les alertes CERT-FR datées du 12 octobre consultées concernent d’autres produits.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée sur Angular n’a identifié aucun nouvel avis ou changement de sécurité daté du 2026-10-12 dans les résultats consultés. Les trois candidats portent sur des paquets npm malveillants distincts qui imitent une façade de style Angular, et non sur le projet Angular.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche web dédiée sur Astro n’a fait ressortir aucun avis, correctif, signalement d’exploitation ou changement substantiel dont la date de publication ou de mise à jour soit établie dans la période demandée, du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu. Les avis Astro repérés dans les résultats consultés portent des dates antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis candidat daté de la période concerne un paquet npm de configuration TypeScript signalé comme malveillant. Les deux entrées CVE-2026-105283 portent sur `ash_typescript`, un projet Elixir distinct du langage TypeScript, et sont donc exclues du sujet.
Logiciel malveillant signalé dans @airbnb-extended/typescript-config
GitHub Advisory Database signale comme malveillant le paquet npm `@airbnb-extended/typescript-config`. L’avis recommande de retirer le paquet et de considérer comme compromis tout système où il a été installé ou exécuté; il recommande aussi de faire tourner les secrets depuis un autre appareil.
Action recommandée : Retirer le paquet; considérer les systèmes où il a été installé ou exécuté comme compromis et renouveler les secrets depuis un autre appareil.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Élevée
Les dix candidats fournis correspondent à des fiches NVD datées du 12 octobre 2026 et décrivent des vulnérabilités permettant l’exécution de JavaScript, principalement des XSS. Les informations de versions corrigées ne sont renseignées que lorsqu’elles figurent dans les données des candidats ; l’exploitation active n’est pas établie ici. Neuf vulnérabilités publiées par la NVD pendant la période concernent JavaScript ou son exécution : un déni de service dans SurrealDB, une XSS dans LibreNMS, des défauts mémoire dans MarkLogic Server, trois XSS dans IBM Db2 Recovery Expert, un contournement de règles WAF dans Coraza, une XSS dans Rapyd Admin et un contrôle insuffisant de configuration dans Nginx UI. Aucune nouveauté de sécurité datée de la période n’est établie par les éléments fournis : les neuf CVE concernent des XSS dans AndSoft e-TMS v25.03 publiées en 2025, et la seule date dans la période est une mise à jour NVD. Le lot ne documente pas de changement substantiel de sécurité intervenu à cette date. Aucune nouvelle vulnérabilité, aucun correctif ni changement substantiel lié au sujet JavaScript n’est établi pour la période à partir des éléments fournis. Les candidats sont des mises à jour de fiches NVD concernant des vulnérabilités XSS publiées en 2025; la seule date dans la période est une mise à jour NVD, sans preuve fournie d’un changement substantiel. Aucun événement de sécurité nouveau ou changement substantiel daté de la période n’est établi par les candidats fournis. Les descriptions concernent des vulnérabilités déjà publiées; les candidats ne documentent que leur mise à jour dans NVD, sans préciser de modification substantielle survenue pendant la période. Les candidats fournis sont des fiches NVD publiées en août 2026 et portant une date de mise à jour au…
Nginx UI : application de directives restreintes via l’interface MCP
Nginx UI présente un contrôle insuffisant dans son interface de configuration MCP : un utilisateur secondaire authentifié peut appliquer des directives Nginx restreintes qui sont refusées par l’API HTTP ordinaire. Cette possibilité peut permettre de charger le module NJS, d’importer du JavaScript contrôlé par l’attaquant et de l’exécuter dans le contexte d’un worker Nginx.
Action recommandée : Mettre à niveau Nginx UI vers la version 2.4.1 ou ultérieure.
Open WebUI : XSS via des liens javascript: dans les conversations partagées
Open WebUI avant 0.11.4 ne valide pas le schéma des URL de liens Markdown, permettant à un utilisateur authentifié d’insérer un lien javascript: dans une conversation partagée. Si une victime clique dessus, le JavaScript peut accéder au JWT conservé dans le stockage local ; aucune exploitation réelle n’est établie par les éléments fournis.
Action recommandée : Mettre à jour vers Open WebUI 0.11.4 ou une version ultérieure.
Open WebUI : XSS via le champ embed_url des citations
Open WebUI de la version 0.6.33 à toute version antérieure à 0.11.4 permet à un utilisateur authentifié d’enregistrer une URL javascript: dans le champ embed_url d’une citation. Le clic sur la citation d’une conversation partagée peut exécuter un script dans la session de la victime ; aucune exploitation réelle n’est établie par les éléments fournis.
Action recommandée : Mettre à jour vers Open WebUI 0.11.4 ou une version ultérieure.
SurrealDB : déni de service lié aux en-têtes non ASCII en JavaScript intégré
SurrealDB présente un déni de service lié à la lecture de valeurs d’en-tête non ASCII depuis le JavaScript intégré. Un utilisateur pouvant exécuter des requêtes avec les scripts activés peut provoquer l’arrêt du serveur en lisant ou en renvoyant ces valeurs.
Action recommandée : Mettre à niveau SurrealDB vers la version 3.3.0 ou ultérieure.
Progress MarkLogic Server : défauts mémoire dans l’intégration JavaScript
Progress MarkLogic Server présente des défauts de sûreté mémoire dans l’intégration de son moteur JavaScript. Ils peuvent entraîner une corruption mémoire, un échec contrôlé du processus ou une instabilité du serveur.
Action recommandée : Mettre à niveau vers MarkLogic Server 12.1.0 ou ultérieur, ou vers 11.3.7 ou ultérieur pour la branche 11.x.
OWASP Coraza WAF : contournement de règles avec des échappements octaux JavaScript
OWASP Coraza WAF traite incorrectement certaines séquences d’échappement octales JavaScript avec la transformation t:jsDecode. Un attaquant non authentifié peut ainsi faire inspecter au WAF une représentation différente de celle interprétée par l’application, ce qui peut contourner des règles de protection.
Action recommandée : Mettre à niveau Coraza WAF vers la version 3.8.0 ou ultérieure.
OTRS : exécution de JavaScript dans les pages personnalisées
Un administrateur OTRS peut publier du JavaScript dans une page personnalisée, qui s’exécute dans le navigateur des utilisateurs qui la consultent. La faille concerne les branches 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X et 2026.X avant 2026.7.X ; appliquez un correctif éditeur lorsqu’il est disponible et limitez la création de pages personnalisées aux administrateurs de confiance.
Action recommandée : Mettre à jour OTRS vers une version corrigée dès sa disponibilité et restreindre la création ou la modification de pages personnalisées aux administrateurs de confiance.
Pimcore : XSS stockée via les champs ExternalImage
Pimcore jusqu’à la version 2026.3.1 présente une XSS stockée dans des champs ExternalImage, exploitable par un utilisateur authentifié disposant des droits de modification d’objets de données. Le script peut s’exécuter dans l’origine d’administration lorsqu’un autre utilisateur consulte un aperçu ou une comparaison de versions ; la version corrigée n’est pas indiquée.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et réserver les droits de modification des objets aux utilisateurs de confiance.
Open WebUI : XSS stockée dans le rendu Markdown
Open WebUI de la version 0.6.31 à toute version antérieure à 0.11.4 comporte une XSS stockée dans le rendu Markdown de contenus de conversation et de citations. Des utilisateurs authentifiés peuvent créer des contenus dont les embeds s’exécutent dans des iframes avec scripts activés ; le détournement de session est signalé lorsque iframeSandboxAllowSameOrigin est activé.
Action recommandée : Mettre à jour vers Open WebUI 0.11.4 ou une version ultérieure ; examiner la configuration iframeSandboxAllowSameOrigin.
Admidio : XSS réfléchie dans le mécanisme de redirection
Admidio 4.0.12 à 4.3.17 et 5.0.0 à toute version antérieure à 5.0.15 présente une XSS réfléchie dans system/redirect.php, exploitable sans authentification via le paramètre GET url. Il s’agit d’un contournement incomplet du correctif de CVE-2021-43810 ; l’attaquant peut amener une victime à cliquer sur un lien de redirection conçu pour exécuter du JavaScript dans l’origine Admidio.
Action recommandée : Mettre à jour vers Admidio 5.0.15 ou une version ultérieure, ou vers une version corrigée de la branche utilisée.
Admidio : XSS stockée via le prénom à l’inscription
Admidio 5.0.0 à toute version antérieure à 5.0.15 présente une XSS stockée dans le flux d’inscription, exploitable sans authentification. Le prénom FIRST_NAME est inséré sans encodage dans un attribut data-message ; le JavaScript peut s’exécuter dans la session d’un administrateur qui survole l’entrée dans la page de gestion des inscriptions.
Action recommandée : Mettre à jour vers Admidio 5.0.15 ou une version ultérieure.
LibreNMS : XSS stockée dans l’onglet Wireless
LibreNMS présente une faille XSS stockée dans l’affichage des descriptions de capteurs sans échappement HTML. Une personne contrôlant l’agent SNMP d’un appareil surveillé peut faire exécuter du JavaScript lorsqu’un utilisateur authentifié consulte l’onglet Wireless de cet appareil.
Action recommandée : Mettre à niveau LibreNMS vers la version 26.9.0 ou ultérieure et examiner les valeurs SNMP affichées pour les appareils surveillés.
IBM Db2 Recovery Expert : XSS dans l’interface Web
IBM Db2 Recovery Expert for Linux, UNIX and Windows 5.5 IF 2 présente une faille XSS permettant à un attaquant non authentifié d’introduire du JavaScript dans l’interface Web. Le code peut modifier le fonctionnement de l’interface et potentiellement exposer des identifiants dans une session de confiance.
IBM Db2 Recovery Expert : XSS dans l’interface Web
IBM Db2 Recovery Expert for Linux, UNIX and Windows 5.5 IF 2 présente une faille XSS permettant à un attaquant non authentifié d’introduire du JavaScript dans l’interface Web. Le code peut modifier le fonctionnement de l’interface et potentiellement exposer des identifiants dans une session de confiance.
IBM Db2 Recovery Expert : XSS dans l’interface Web
IBM Db2 Recovery Expert for Linux, UNIX and Windows 5.5 IF 2 présente une faille XSS permettant à un attaquant non authentifié d’introduire du JavaScript dans l’interface Web. Le code peut modifier le fonctionnement de l’interface et potentiellement exposer des identifiants dans une session de confiance.
Rapyd Admin : XSS stockée dans le journal d’activité
Rapyd Admin présente une faille XSS stockée liée aux noms d’affichage des comptes auto-inscrits, rendus sans échappement dans le filtre Author du journal d’activité. Un attaquant non authentifié peut ainsi faire exécuter du JavaScript dans la session d’un administrateur.
Action recommandée : Mettre à niveau Rapyd Admin vers la version 9.20.0 ou ultérieure.
Craft CMS : XSS dans le flux de vérification 2FA
Craft CMS 5.0.0 à toute version antérieure à 5.10.14 présente une XSS fondée sur le DOM dans le flux de connexion au panneau de contrôle et de vérification 2FA. Une URL returnUrl contrôlée acceptant le schéma javascript: peut exécuter du JavaScript dans le panneau de contrôle lorsqu’une victime ayant activé la 2FA est amenée à ouvrir un lien spécialement construit pendant la vérification.
Action recommandée : Mettre à jour vers Craft CMS 5.10.14 ou une version ultérieure.
Thelia : XSS stockées dans l’interface d’administration et les pages produit
Thelia 2.6.0 présente des XSS stockées dans plusieurs fonctions d’administration, notamment la création de catégories et de produits, pouvant entraîner l’exécution de JavaScript dans l’interface d’administration ou sur les pages produit. La version corrigée et une mesure de contournement ne sont pas indiquées dans les informations fournies.
Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; limiter en attendant la saisie de contenus non fiables dans les fonctions concernées.
Thelia : XSS réfléchie via le paramètre « next »
Dans Thelia 2.6.0, les modèles Smarty address.html et address-update.html n’échappent pas correctement les guillemets doubles du paramètre « next », ce qui permet une XSS réfléchie. L’attaque décrite nécessite qu’un utilisateur authentifié ouvre un lien malveillant ; aucune version corrigée n’est précisée dans les informations fournies.
Action recommandée : Appliquer une version corrigée dès qu’elle est disponible et éviter d’ouvrir des liens non fiables lorsque la session Thelia est authentifiée.
HTML5
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun avis, correctif, exploitation ou changement substantiel concernant HTML5 qui soit à la fois pertinent et daté dans la période du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu. Les résultats repérés hors sujet ou publiés hors de cette fenêtre n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun avis de sécurité, correctif ou événement de vulnérabilité attribuable au sujet CSS3 et daté de la période demandée. Les résultats pertinents apparents concernaient d’autres produits ou des dates hors période; ils n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée à Tailwind CSS n’a pas mis en évidence de vulnérabilité, d’avis de sécurité, de correctif ou d’événement d’exploitation daté de la période demandée. Les résultats pertinents trouvés concernaient notamment une discussion GitHub publiée le 5 octobre 2026, antérieure à la période, et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée a porté sur Bootstrap (le framework twbs). Aucun nouvel avis de sécurité, correctif de sécurité, cas d’exploitation ou changement substantiel pertinent pour Bootstrap n’a été identifié dans la période du 2026-10-12T00:00:00+02:00 au 2026-10-13T00:00:00+02:00. Les avis de sécurité GitHub consultés n’affichent aucun avis publié pour le projet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Webpack, aux dépôts GitHub et aux références CVE/NVD n’a identifié aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté dans la période demandée (du 12 octobre 2026 à 00:00 +02:00 au 13 octobre 2026 à 00:00 +02:00). Les éléments repérés portant des dates antérieures à cette période ont été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-12 dans la période demandée. Les avis esbuild repérés dans les sources consultées sont datés de juin 2026, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche web dédiée à Parcel n’a pas identifié de vulnérabilité nouvelle, d’avis ou de correctif de sécurité, d’exploitation ni de changement substantiel vérifiable daté de la période demandée. Les avis retrouvés concernent des événements antérieurs à cette période et ne sont pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Niveau relevé : Critique
Une nouvelle publication NVD dans la période concerne easy-pdf-merge, une dépendance de l’écosystème Node.js. L’autre candidat NVD publié pendant la période (N3.js) n’a pas pu être vérifié par une source consultable dans cette recherche ; les autres candidats sont des mises à jour d’enregistrements antérieurs sans changement substantiel confirmé.
CVE-2020-37279 — injection de commande dans easy-pdf-merge
easy-pdf-merge utilise une commande shell construite à partir des chemins source et destination ou de l’option maxHeap ; des valeurs contrôlées par un utilisateur peuvent donc entraîner l’exécution de commandes avec les privilèges du processus Node.js. Les versions 0.1.0 à 0.2.6 sont concernées ; vérifier les dépendances et remplacer ou retirer les versions vulnérables, car aucun correctif fiable n’a été établi ici.
Action recommandée : Repérer les usages de easy-pdf-merge et ne pas exposer de chemins ou d’options non fiables aux versions 0.1.0–0.2.6. Mettre à niveau uniquement vers une version corrigée confirmée par le mainteneur ; à défaut, retirer ou remplacer la dépendance.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche a relevé un avis Amazon Linux du 2026-10-12 pour une vulnérabilité de déni de service affectant python-hpack, ainsi que deux CVE publiées ce jour-là concernant respectivement une injection de code dans agno et une divulgation de code Python dans Open WebUI. Les modifications NVD de fiches antérieures fournies comme candidats ne sont pas retenues : les éléments disponibles attestent d’une mise à jour de fiche, mais pas d’un changement substantiel daté de la période. Deux avis liés à Python sont retenus dans la période : une mise à jour substantielle de l’avis vLLM concernant un contournement concurrent, et la publication d’un avis sur le paquet malveillant py2ops.
py2ops : paquet PyPI malveillant exécutant du code téléchargé
L’avis signale un paquet PyPI malveillant qui installe la commande `python2` et communique avec un serveur distant pour récupérer puis exécuter du code en mémoire. La version concernée est py2ops 2.2 ; aucune version corrigée n’est indiquée.
Action recommandée : Éviter d’installer py2ops 2.2 ; si le paquet est installé, supprimer la commande et examiner l’hôte ainsi que les identifiants potentiellement exposés.
Open WebUI : divulgation du code source Python des outils partagés
La fiche NVD fournie décrit une divulgation du code source Python des outils partagés en lecture seule dans Open WebUI. Un utilisateur authentifié non administrateur ayant la permission d’exporter des outils peut obtenir ce code, lequel pourrait contenir des clés API ou d’autres identifiants.
Action recommandée : Mettre à jour Open WebUI vers la version 0.11.4 ou ultérieure.
vLLM : contournement concurrent de la protection sur les prompt embeddings
Une condition de concurrence dans le chargement de parties `prompt_embeds` permet de contourner la protection ajoutée contre CVE-2025-62164, en désactivant temporairement la vérification des invariants des tenseurs creux. Le déclenchement nécessite `–enable-prompt-embeds` ; la version corrigée indiquée est vLLM 0.26.0.
Action recommandée : Mettre à niveau vers vLLM 0.26.0 ou ultérieur. Si la mise à niveau n’est pas possible, laisser désactivée l’option `–enable-prompt-embeds`.
agno : injection de code dans PythonTools
La fiche NVD fournie décrit une injection de code dans la fonction run_python_code du composant PythonTools d’agno, pouvant être déclenchée à distance. Les informations fournies indiquent que les versions jusqu’à 3.0.6 sont concernées; elles ne permettent pas de confirmer une version corrigée.
Java
Recherche du sujet effectuée
Niveau relevé : Exploitation rapportée
La recherche dédiée à Java (le langage/la plateforme Java) n’a vérifié aucun avis ou correctif de sécurité daté de la période demandée qu’il soit possible de retenir. Les candidats fournis concernent des produits distincts — JEEWMS, mall et DataEase — et non une vulnérabilité de Java lui-même; ils sont donc exclus du sujet, même si leurs descriptions mentionnent des fichiers .java. Cinq publications NVD datées dans la période concernent des vulnérabilités Java : quatre injections SQL dans JEEWMS et un défaut de gestion des cookies dans AsyncHttpClient, corrigé en 3.0.14. Les autres candidats étaient des mises à jour de fiches antérieures, sans preuve fournie d’un changement substantiel dans la période. Sept vulnérabilités touchant des applications ou bibliothèques Java ont été publiées par le NVD dans la période : cinq injections SQL ou défauts de logique dans JEEWMS, mall et DataEase, ainsi qu’un défaut de gestion des cookies dans AsyncHttpClient. Le correctif explicitement documenté pour AsyncHttpClient est la version 3.0.14 ; deux autres fiches donnent des commits correctifs.
Injection SQL dans JEEWMS (CVE-2026-108773)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL exploitable à distance dans la fonction `docheck` de `WmOmNoticeHController.java`, via l’argument `goodscode`. La fiche indique qu’un exploit public existe, mais ne fournit pas de correctif.
Action recommandée : Limiter l’exposition de l’endpoint concerné et appliquer un correctif éditeur dès qu’il sera disponible.
Injection SQL dans JEEWMS (CVE-2026-108774)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `getbinall/getbinallagv` de `MdBinController.java`, par manipulation des arguments `binstore`, `binid`, `des` ou `cengshu`. La fiche signale un exploit public et ne précise pas de version corrigée.
Action recommandée : Limiter l’exposition des endpoints concernés et appliquer un correctif éditeur dès qu’il sera disponible.
Injection SQL dans JEEWMS (CVE-2026-108775)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `WvNoticeController.list`, via l’argument `searchstr`. La fiche signale un exploit public, sans indiquer de version corrigée.
Action recommandée : Limiter l’exposition de l’endpoint concerné et appliquer un correctif éditeur dès qu’il sera disponible.
Injection SQL dans JEEWMS (CVE-2026-108777)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `WvGiController.list`, via l’argument `searchstr`. La fiche indique qu’un exploit public existe et ne précise pas de correctif.
Action recommandée : Limiter l’exposition de l’endpoint concerné et appliquer un correctif éditeur dès qu’il sera disponible.
AsyncHttpClient : gestion non sécurisée des cookies par défaut
Dans AsyncHttpClient, le `ThreadSafeCookieStore` par défaut ne conserve pas correctement l’information de transport sécurisé des cookies et permet à des réponses HTTP non chiffrées de les définir, remplacer ou supprimer. Cela peut compromettre l’état de session ou des jetons envoyés ensuite à une origine HTTPS ; le problème est corrigé en version 3.0.14.
Action recommandée : Mettre à niveau vers AsyncHttpClient 3.0.14 ou une version ultérieure.
mall : erreur de logique métier dans le paiement Alipay
La fonction de paiement Alipay de mall est affectée par une erreur de logique métier exploitable à distance via `total_amount`. La fiche NVD identifie un correctif par commit, mais ne fournit pas de version corrigée ; elle indique également que l’exploit est public.
Action recommandée : Appliquer le correctif identifié par le commit `dcaa93b3150352e5044708d7211b5bed0af4509f`.
JEEWMS : injection SQL dans le contrôle qualité des entrées PDA
Une injection SQL à distance affecte la fonction `WmInQmIController.list` de JEEWMS. La fiche NVD indique que des exploits sont publics, mais ne précise pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter l’exposition de l’interface concernée et valider les entrées.
JEEWMS : injection SQL dans la liste des marchandises entrantes
Une injection SQL à distance affecte la fonction `WmSttInGoodsController.list` de JEEWMS. La fiche NVD signale des exploits publics, sans indiquer de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et restreindre l’accès à l’interface concernée.
JEEWMS : injection SQL dans l’interface PDA de déplacement des marchandises
La fonction `WmToMoveGoodsController.list` de JEEWMS présente une injection SQL à distance. La fiche NVD précise que des exploits sont publics, mais ne donne pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter l’accès à l’interface PDA concernée.
JEEWMS : injection SQL dans le gestionnaire d’autocomplétion
Le gestionnaire d’autocomplétion de JEEWMS est vulnérable à une injection SQL à distance. La fiche NVD mentionne des exploits publics, sans préciser de correctif ni de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter l’accès à la fonctionnalité concernée.
DataEase : injection SQL lors de la construction de champs calculés
DataEase est vulnérable à une injection SQL à distance lors de la construction de champs calculés. La fiche NVD indique des exploits publics et identifie un commit correctif, sans préciser de version corrigée.
Action recommandée : Appliquer le correctif identifié par le commit `8509e218e6c1f0080eee9e379f269b2104785ef7`.
TYPO3
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité TYPO3 ni autre événement de sécurité pertinent publié dans la période demandée, du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu. Les résultats consultés concernant des avis de sécurité TYPO3 sont antérieurs à cette période; une note de version consultée mentionne des changements de code datés du 12 octobre, mais ne signale pas de correctif de sécurité à cette date.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Vérification incomplète
Une annonce officielle Drupal datée du 12 octobre 2026 signale une mise à jour critique du cœur prévue le 14 octobre. L’annonce ne publie pas encore les détails techniques ni les versions correctives.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Recherche du sujet effectuée
Recherche web dédiée effectuée sur Joomla, notamment dans le centre de sécurité Joomla et pour les CVE des candidats. Aucun événement nouveau ou changement substantiel daté de la période demandée n’a été vérifié : les dix candidats concernent des vulnérabilités publiées le 2026-08-22, et leur mise à jour NVD signalée le 2026-10-12 ne suffit pas à établir un changement substantiel dans cette période. Les candidats portent sur des CVE publiées en août 2026 et indiquent une mise à jour NVD le 12 octobre. Les informations fournies ne décrivent aucun changement substantiel intervenu ce jour-là ; une date de modification NVD seule ne suffit pas à établir un nouvel avis ou une évolution de sécurité à retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
Aucune nouveauté Magento vérifiée dans la période du 2026-10-12T00:00:00+02:00 inclus au 2026-10-13T00:00:00+02:00 exclu. Le résultat Adobe consulté annonce APSB26-153 le 2026-10-13, après la borne de fin, et les autres avis Adobe consultés sont antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche web dédiée à Adobe Commerce n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté de la période demandée. Les pages Adobe consultées indiquent des mises à jour antérieures à cette période; cela ne permet pas de conclure à une absence générale de nouveautés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée à Fooocus n’a pas identifié de vulnérabilité nouvelle, d’avis ou correctif de sécurité, d’exploitation signalée ni de changement substantiel daté dans la période demandée. Les résultats trouvés concernant CVE-2025-31114 renvoient à des publications antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
18 alerte(s)Logiciel malveillant signalé dans @airbnb-extended/typescript-config
GitHub Advisory Database signale comme malveillant le paquet npm `@airbnb-extended/typescript-config`. L’avis recommande de retirer le paquet et de considérer comme compromis tout système où il a été installé ou exécuté; il recommande auss…
Open WebUI : XSS via des liens javascript: dans les conversations partagées
Open WebUI avant 0.11.4 ne valide pas le schéma des URL de liens Markdown, permettant à un utilisateur authentifié d’insérer un lien javascript: dans une conversation partagée. Si une victime clique dessus, le JavaScript peut accéder au JW…
Source : NVD — CVE-2026-109288
Open WebUI : XSS via le champ embed_url des citations
Open WebUI de la version 0.6.33 à toute version antérieure à 0.11.4 permet à un utilisateur authentifié d’enregistrer une URL javascript: dans le champ embed_url d’une citation. Le clic sur la citation d’une conversation partagée peut exéc…
Source : NVD — CVE-2026-109291
SurrealDB : déni de service lié aux en-têtes non ASCII en JavaScript intégré
SurrealDB présente un déni de service lié à la lecture de valeurs d’en-tête non ASCII depuis le JavaScript intégré. Un utilisateur pouvant exécuter des requêtes avec les scripts activés peut provoquer l’arrêt du serveur en lisant ou en ren…
Source : NVD — CVE-2026-109338
Progress MarkLogic Server : défauts mémoire dans l’intégration JavaScript
Progress MarkLogic Server présente des défauts de sûreté mémoire dans l’intégration de son moteur JavaScript. Ils peuvent entraîner une corruption mémoire, un échec contrôlé du processus ou une instabilité du serveur.
Source : NVD — CVE-2026-85965
OTRS : exécution de JavaScript dans les pages personnalisées
Un administrateur OTRS peut publier du JavaScript dans une page personnalisée, qui s’exécute dans le navigateur des utilisateurs qui la consultent. La faille concerne les branches 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X et 2026.X avant 2026.7…
Source : NVD — CVE-2026-48212
Pimcore : XSS stockée via les champs ExternalImage
Pimcore jusqu’à la version 2026.3.1 présente une XSS stockée dans des champs ExternalImage, exploitable par un utilisateur authentifié disposant des droits de modification d’objets de données. Le script peut s’exécuter dans l’origine d’adm…
Source : NVD — CVE-2026-109392
Open WebUI : XSS stockée dans le rendu Markdown
Open WebUI de la version 0.6.31 à toute version antérieure à 0.11.4 comporte une XSS stockée dans le rendu Markdown de contenus de conversation et de citations. Des utilisateurs authentifiés peuvent créer des contenus dont les embeds s’exé…
Source : NVD — CVE-2026-109300
Admidio : XSS réfléchie dans le mécanisme de redirection
Admidio 4.0.12 à 4.3.17 et 5.0.0 à toute version antérieure à 5.0.15 présente une XSS réfléchie dans system/redirect.php, exploitable sans authentification via le paramètre GET url. Il s’agit d’un contournement incomplet du correctif de CV…
Source : NVD — CVE-2026-109327
Admidio : XSS stockée via le prénom à l’inscription
Admidio 5.0.0 à toute version antérieure à 5.0.15 présente une XSS stockée dans le flux d’inscription, exploitable sans authentification. Le prénom FIRST_NAME est inséré sans encodage dans un attribut data-message ; le JavaScript peut s’ex…
Source : NVD — CVE-2026-109328
LibreNMS : XSS stockée dans l’onglet Wireless
LibreNMS présente une faille XSS stockée dans l’affichage des descriptions de capteurs sans échappement HTML. Une personne contrôlant l’agent SNMP d’un appareil surveillé peut faire exécuter du JavaScript lorsqu’un utilisateur authentifié…
Source : NVD — CVE-2026-109352
IBM Db2 Recovery Expert : XSS dans l’interface Web
IBM Db2 Recovery Expert for Linux, UNIX and Windows 5.5 IF 2 présente une faille XSS permettant à un attaquant non authentifié d’introduire du JavaScript dans l’interface Web. Le code peut modifier le fonctionnement de l’interface et poten…
Source : NVD — CVE-2025-27895
IBM Db2 Recovery Expert : XSS dans l’interface Web
IBM Db2 Recovery Expert for Linux, UNIX and Windows 5.5 IF 2 présente une faille XSS permettant à un attaquant non authentifié d’introduire du JavaScript dans l’interface Web. Le code peut modifier le fonctionnement de l’interface et poten…
Source : NVD — CVE-2025-27896
IBM Db2 Recovery Expert : XSS dans l’interface Web
IBM Db2 Recovery Expert for Linux, UNIX and Windows 5.5 IF 2 présente une faille XSS permettant à un attaquant non authentifié d’introduire du JavaScript dans l’interface Web. Le code peut modifier le fonctionnement de l’interface et poten…
Source : NVD — CVE-2025-27897
Rapyd Admin : XSS stockée dans le journal d’activité
Rapyd Admin présente une faille XSS stockée liée aux noms d’affichage des comptes auto-inscrits, rendus sans échappement dans le filtre Author du journal d’activité. Un attaquant non authentifié peut ainsi faire exécuter du JavaScript dans…
Source : NVD — CVE-2026-109565
Craft CMS : XSS dans le flux de vérification 2FA
Craft CMS 5.0.0 à toute version antérieure à 5.10.14 présente une XSS fondée sur le DOM dans le flux de connexion au panneau de contrôle et de vérification 2FA. Une URL returnUrl contrôlée acceptant le schéma javascript: peut exécuter du J…
Source : NVD — CVE-2026-109307
Thelia : XSS stockées dans l’interface d’administration et les pages produit
Thelia 2.6.0 présente des XSS stockées dans plusieurs fonctions d’administration, notamment la création de catégories et de produits, pouvant entraîner l’exécution de JavaScript dans l’interface d’administration ou sur les pages produit. L…
Source : NVD — CVE-2026-103524
Thelia : XSS réfléchie via le paramètre « next »
Dans Thelia 2.6.0, les modèles Smarty address.html et address-update.html n’échappent pas correctement les guillemets doubles du paramètre « next », ce qui permet une XSS réfléchie. L’attaque décrite nécessite qu’un utilisateur authentifié…
Source : NVD — CVE-2026-103527
Backend & données
43 alerte(s)Square Squash : désérialisation YAML non sûre via l’API de symbolication
Square Squash permet à un utilisateur non authentifié d’enregistrer des données YAML contrôlées via l’API de symbolication; ces données peuvent ensuite être désérialisées de manière non sûre. Le CVE décrit un risque d’exécution de code, ma…
Source : CVE-2026-109391 — fiche NVD
Mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 : paquet npm malveillant usurpant une intégration NestJS Swagger
Une mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 signale un paquet npm malveillant se faisant passer pour une intégration NestJS Swagger. Lors de son import, son code natif peut exfiltrer des identifiants et des informations sur l’hôte vers u…
Source : GHSA-7hxg-fr5p-9hp5 — Malicious code in @galicia-toolkit-nestjs/swagger (npm)
CVE-2020-37279 — injection de commande dans easy-pdf-merge
easy-pdf-merge utilise une commande shell construite à partir des chemins source et destination ou de l’option maxHeap ; des valeurs contrôlées par un utilisateur peuvent donc entraîner l’exécution de commandes avec les privilèges du proce…
Source : NVD — CVE-2020-37279
py2ops : paquet PyPI malveillant exécutant du code téléchargé
L’avis signale un paquet PyPI malveillant qui installe la commande `python2` et communique avec un serveur distant pour récupérer puis exécuter du code en mémoire. La version concernée est py2ops 2.2 ; aucune version corrigée n’est indiqué…
Source : GHSA-hfr2-qh7r-7xrr — Malicious code in py2ops (PyPI)
Rapyd Admin : identifiants super-administrateur codés en dur
Rapyd Admin contient des identifiants super-administrateur codés en dur, permettant à un attaquant distant non authentifié d’obtenir un accès privilégié. Les versions 9.0.0 à 9.19.x sont concernées ; mettre à niveau vers la version 9.20.0…
Source : NVD — CVE-2026-109566
@neo4j/graphql : contournement de l’authentification sur des champs @cypher
Dans @neo4j/graphql jusqu’à la version 7.6.3, les directives @authentication au niveau du schéma ou des types Query/Mutation ne protégeaient pas les champs de premier niveau annotés @cypher. Un appelant non authentifié pouvait ainsi exécut…
Source : CVE-2026-92681 — NVD
ManageIQ : désérialisation YAML non sûre pouvant mener à une exécution de code
ManageIQ présente une désérialisation dangereuse de YAML : dans certaines conditions, `YamlLoadAliases` retombe de `YAML.safe_load` à `YAML.unsafe_load`. Un attaquant authentifié disposant du droit d’importer des dialogues peut viser l’exé…
Source : CVE-2026-52903 — fiche NVD
Coraza : omission d’arguments et consommation mémoire excessive
Coraza peut omettre silencieusement des arguments au-delà de SecArgumentsLimit, de sorte que les règles de sécurité ne les inspectent pas. Le traitement de certains corps peut aussi consommer une quantité excessive de mémoire; une mise à n…
Source : NVD — CVE-2026-41510
Metasploit Framework : traversée de chemin dans le module de collecte iOS
Une traversée de chemin dans le module Metasploit `post/apple_ios/gather/ios_image_gather` permet à un appareil iOS hostile de faire écrire des fichiers hors du répertoire de collecte, potentiellement jusqu’à la configuration locale de Met…
Source : CVE-2026-87690 — fiche NVD
@neo4j/graphql : inversion du quantificateur none dans les filtres d’autorisation
Dans @neo4j/graphql de 7.0.0 à toute version antérieure à 7.6.4, le quantificateur none des filtres @authorization de relations et connexions était traduit sans négation et se comportait comme some. Des utilisateurs authentifiés visés par…
Source : CVE-2026-92682 — NVD
Nginx UI : contournement de l’exigence de session sécurisée via MCP
Avant Nginx UI 2.4.1, les routes MCP de modification de configuration exigeaient une authentification ordinaire mais pas la session sécurisée renforcée requise par les routes HTTP correspondantes. Un utilisateur disposant d’un JWT valide m…
Source : NVD — CVE-2026-84360
Nginx UI : enrôlement non autorisé d’un facteur d’authentification
Dans Nginx UI avant 2.4.1, certaines routes d’enrôlement OTP et de passkey acceptent une session authentifiée sans revérifier le mot de passe ni exiger la session renforcée prévue. Un JWT dérobé peut ainsi permettre d’ajouter un moyen d’au…
Source : NVD — CVE-2026-84313
Nginx UI : modification du mot de passe d’un autre utilisateur sans session renforcée
Dans Nginx UI avant 2.4.1, un utilisateur authentifié peut modifier le mot de passe d’un autre utilisateur via POST /api/users/:id sans le contrôle de session renforcée. Cette faille peut permettre de prendre le contrôle du compte administ…
Source : NVD — CVE-2026-84314
Nginx UI : opérations sensibles accessibles sans session renforcée
Dans Nginx UI avant 2.4.1, plusieurs routes de modification ne demandent pas la session renforcée attendue pour les utilisateurs ayant activé OTP. Une session authentifiée dérobée peut alors servir à modifier des paramètres sensibles, nota…
Source : NVD — CVE-2026-84315
Nginx UI : contournement de la validation des directives de configuration
Dans Nginx UI avant 2.4.1, la validation de configuration peut ne vérifier que le premier jeton d’une ligne et être contournée par des directives supplémentaires séparées par des points-virgules ou chargées par include. Un utilisateur auth…
Source : NVD — CVE-2026-84316
Nginx UI : validation de directives absente sur l’ajout de configuration MCP
Dans Nginx UI avant 2.4.1, l’outil MCP nginx_config_add écrit une configuration et recharge Nginx sans appeler le contrôle qui bloque certaines directives dangereuses. Un utilisateur MCP authentifié peut ainsi injecter des directives restr…
Source : NVD — CVE-2026-84317
Nginx UI : contournement de la validation des configurations via MCP
Dans Nginx UI, l’outil MCP `nginx_config_add` pouvait écrire et recharger une configuration sans valider les directives dangereuses, contrairement à l’API REST. Un utilisateur authentifié pouvait ainsi contourner les protections et, lorsqu…
Source : NVD — CVE-2026-84318
Nginx UI : application de directives restreintes via l’interface MCP
Nginx UI présente un contrôle insuffisant dans son interface de configuration MCP : un utilisateur secondaire authentifié peut appliquer des directives Nginx restreintes qui sont refusées par l’API HTTP ordinaire. Cette possibilité peut pe…
Source : NVD — CVE-2026-84319
Open WebUI : divulgation du code source Python des outils partagés
La fiche NVD fournie décrit une divulgation du code source Python des outils partagés en lecture seule dans Open WebUI. Un utilisateur authentifié non administrateur ayant la permission d’exporter des outils peut obtenir ce code, lequel po…
Source : NVD — CVE-2026-109293
Injection SQL dans JEEWMS (CVE-2026-108773)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL exploitable à distance dans la fonction `docheck` de `WmOmNoticeHController.java`, via l’argument `goodscode`. La fiche indique qu’un exploit public existe, mais ne fournit pas de co…
Source : NVD — CVE-2026-108773
Injection SQL dans JEEWMS (CVE-2026-108774)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `getbinall/getbinallagv` de `MdBinController.java`, par manipulation des arguments `binstore`, `binid`, `des` ou `cengshu`. La fiche signale un exploit public et ne p…
Source : NVD — CVE-2026-108774
Injection SQL dans JEEWMS (CVE-2026-108775)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `WvNoticeController.list`, via l’argument `searchstr`. La fiche signale un exploit public, sans indiquer de version corrigée.
Source : NVD — CVE-2026-108775
Injection SQL dans JEEWMS (CVE-2026-108777)
JEEWMS jusqu’à 2026.09.27-W39 présente une injection SQL à distance dans `WvGiController.list`, via l’argument `searchstr`. La fiche indique qu’un exploit public existe et ne précise pas de correctif.
Source : NVD — CVE-2026-108777
OWASP Coraza WAF : contournement de règles avec des échappements octaux JavaScript
OWASP Coraza WAF traite incorrectement certaines séquences d’échappement octales JavaScript avec la transformation t:jsDecode. Un attaquant non authentifié peut ainsi faire inspecter au WAF une représentation différente de celle interprété…
Source : NVD — CVE-2026-104774
Coraza : falsification de lignes dans les journaux d’audit Native
Avec le format d’audit Native, des retours chariot ou sauts de ligne contrôlés par un attaquant peuvent forger des lignes dans un enregistrement de transaction. Cela risque d’induire en erreur les opérateurs ou les traitements SIEM qui ana…
Source : NVD — CVE-2026-41504
Coraza : corps multipart tronqué non signalé comme erreur stricte
Lorsqu’un corps multipart tronqué provoque io.ErrUnexpectedEOF, Coraza peut arrêter l’analyse sans activer le signal MULTIPART_STRICT_ERROR. Les règles défensives recommandées peuvent alors ne pas se déclencher, laissant passer un contenu…
Source : NVD — CVE-2026-41508
CVE-2026-15830 — Mise à jour des versions concernées par le déni de service GeoDjango
La mise à jour de l’avis GHSA du 2026-10-12 étend les versions concernées à la série Django 6.1 en préversion. La vulnérabilité peut provoquer un déni de service lors du traitement de collections géométriques imbriquées profondément.
Parse Server : contournement du contrôle d’introspection GraphQL via le cache de requêtes persistées
Parse Server ne vérifiait pas son contrôle d’introspection GraphQL pour les opérations obtenues depuis le cache Apollo des requêtes persistées automatiques. Un utilisateur non authentifié possédant l’identifiant d’application public et la…
Source : CVE-2026-109302 — NVD
Nginx UI : un jeton court révoqué peut rester valide via le cache
Dans Nginx UI antérieur à 2.4.1, la révocation des jetons ne supprimait pas toujours du cache les jetons courts créés sans jeton long associé. Si le compte correspondant était réactivé avant l’expiration de l’entrée en cache, le jeton cour…
Source : NVD — CVE-2026-84321
Nginx UI : écriture de sauvegardes hors du répertoire prévu
Avant Nginx UI 2.4.3, le nom contrôlé par l’utilisateur d’une sauvegarde automatique n’était pas filtré contre les séparateurs de chemin ou les composants de remontée de répertoire. Un utilisateur authentifié autorisé à créer ou modifier u…
Source : NVD — CVE-2026-84320
vLLM : contournement concurrent de la protection sur les prompt embeddings
Une condition de concurrence dans le chargement de parties `prompt_embeds` permet de contourner la protection ajoutée contre CVE-2025-62164, en désactivant temporairement la vérification des invariants des tenseurs creux. Le déclenchement…
AsyncHttpClient : gestion non sécurisée des cookies par défaut
Dans AsyncHttpClient, le `ThreadSafeCookieStore` par défaut ne conserve pas correctement l’information de transport sécurisé des cookies et permet à des réponses HTTP non chiffrées de les définir, remplacer ou supprimer. Cela peut comprome…
Source : NVD — CVE-2026-107226
mall : erreur de logique métier dans le paiement Alipay
La fonction de paiement Alipay de mall est affectée par une erreur de logique métier exploitable à distance via `total_amount`. La fiche NVD identifie un correctif par commit, mais ne fournit pas de version corrigée ; elle indique égalemen…
Source : NVD — CVE-2026-108784
ngx_cache_purge : suppression de fichiers possible par suivi de liens symboliques
Dans ngx_cache_purge antérieur à 3.0.4, le parcours du cache peut suivre des liens symboliques et permettre la suppression de fichiers, sous certaines conditions, notamment lorsque nginx et une application servie partagent le même compte s…
Source : NVD — CVE-2026-108981
agno : injection de code dans PythonTools
La fiche NVD fournie décrit une injection de code dans la fonction run_python_code du composant PythonTools d’agno, pouvant être déclenchée à distance. Les informations fournies indiquent que les versions jusqu’à 3.0.6 sont concernées; ell…
Source : NVD — CVE-2026-108816
JEEWMS : injection SQL dans le contrôle qualité des entrées PDA
Une injection SQL à distance affecte la fonction `WmInQmIController.list` de JEEWMS. La fiche NVD indique que des exploits sont publics, mais ne précise pas de version corrigée.
Source : NVD — CVE-2026-108778
JEEWMS : injection SQL dans la liste des marchandises entrantes
Une injection SQL à distance affecte la fonction `WmSttInGoodsController.list` de JEEWMS. La fiche NVD signale des exploits publics, sans indiquer de version corrigée.
Source : NVD — CVE-2026-108779
JEEWMS : injection SQL dans l’interface PDA de déplacement des marchandises
La fonction `WmToMoveGoodsController.list` de JEEWMS présente une injection SQL à distance. La fiche NVD précise que des exploits sont publics, mais ne donne pas de version corrigée.
Source : NVD — CVE-2026-108781
JEEWMS : injection SQL dans le gestionnaire d’autocomplétion
Le gestionnaire d’autocomplétion de JEEWMS est vulnérable à une injection SQL à distance. La fiche NVD mentionne des exploits publics, sans préciser de correctif ni de version corrigée.
Source : NVD — CVE-2026-108782
DataEase : injection SQL lors de la construction de champs calculés
DataEase est vulnérable à une injection SQL à distance lors de la construction de champs calculés. La fiche NVD indique des exploits publics et identifie un commit correctif, sans préciser de version corrigée.
Source : NVD — CVE-2026-108824
pgJDBC : restriction requireAuth non appliquée
Dans pgJDBC, une valeur `requireAuth` excluant toutes les méthodes d’authentification n’était pas appliquée dans les versions 42.7.11 à 42.7.13, permettant au client d’accepter la méthode demandée par le serveur, y compris `password` en cl…
Source : CERT-FR — Multiples vulnérabilités dans PostgreSQL JDBC
pgJDBC : réutilisation d’octets d’instructions antérieures lors du remplissage
Dans pgJDBC, lorsqu’une application déclarait une longueur supérieure au nombre d’octets effectivement écrits, les versions 42.7.4 à 42.7.13 pouvaient compléter la valeur avec des octets de messages précédemment envoyés sur la même connexi…
Source : CERT-FR — Multiples vulnérabilités dans PostgreSQL JDBC
Multiples vulnérabilités dans MongoDB
Le CERT-FR signale plusieurs vulnérabilités dans les produits MongoDB, pouvant notamment entraîner un déni de service à distance et un problème de sécurité dont la nature n’est pas précisée dans le résumé disponible. L’avis ne fournit ici…
Source : CERT-FR — CERTFR-2026-AVI-1293
CMS & e-commerce
11 alerte(s)Débordement de tampon critique dans Ghostscript utilisé par certaines chaînes WordPress de traitement PDF
Une vulnérabilité de débordement de tampon dans Ghostscript peut être déclenchée par un PDF spécialement conçu contenant une image JPEG 2000; Wordfence indique avoir démontré une exécution de code à distance dans un environnement WordPress…
Source : Wordfence — Wordfence Argus Discovers Critical Vulnerability in Ghostscript
Patreon WordPress — vulnérabilité CSRF jusqu’à 1.9.17
Le plugin Patreon WordPress `patreon-connect` est affecté par une vulnérabilité CSRF jusqu’à la version 1.9.17 incluse. Les informations consultées ne précisent pas les actions vulnérables ni la version corrigée; il convient donc de vérifi…
Source : NVD — CVE-2026-108479
Patreon WordPress — vulnérabilité CSRF jusqu’à 1.10.0
Le plugin Patreon WordPress `patreon-connect` est affecté par une vulnérabilité CSRF jusqu’à la version 1.10.0 incluse. Les éléments consultés ne permettent pas de préciser les actions vulnérables ni la version corrigée pour cette CVE part…
Source : NVD — CVE-2026-108481
Exécution de code possible via le paramètre updates dans Craft CMS
Craft CMS transmet sans nettoyage le paramètre de requête `updates` à `UpdatesModel`, ce qui peut permettre l’injection de comportements ou de gestionnaires d’événements et l’exécution de code arbitraire. L’exploitation nécessite un utilis…
Source : CVE-2026-109308 — NVD
CVE-2026-106605 — manipulation de données via une quantité mal validée
Une validation incorrecte de la quantité saisie dans Flexible Quantity – Measurement Price Calculator for WooCommerce permet une manipulation des données d’entrée. Les versions concernées vont jusqu’à 2.3.22 ; aucune version corrigée ni me…
Source : NVD — CVE-2026-106605
CVE-2023-25996 — exposition de données sensibles dans Booster Elite for WooCommerce
Booster Elite for WooCommerce présente une vulnérabilité d’insertion d’informations sensibles dans les données envoyées, permettant la récupération de données sensibles intégrées. La source indique que les versions antérieures à 8.4.0 sont…
Source : NVD — CVE-2023-25996
CVE-2026-107863 — autorisation manquante dans Products Restricted Users for WooCommerce
Products Restricted Users for WooCommerce présente une vulnérabilité d’autorisation manquante, liée à des contrôles d’accès mal configurés. Les versions jusqu’à 0.7 sont concernées ; la source fournie ne mentionne ni version corrigée ni co…
Source : NVD — CVE-2026-107863
WP Comment Cleaner — suppression non autorisée de commentaires
WP Comment Cleaner, avant la version 7.2, ne vérifie ni les permissions ni le nonce dans une fonction de suppression groupée de commentaires. Un utilisateur authentifié disposant de faibles privilèges, tel qu’un abonné, peut ainsi effacer…
Source : NVD — CVE-2026-107791
Hotel Booking — CSRF dans la gestion des réservations
Hotel Booking pour WordPress jusqu’à la version 3.8 ne protège pas contre les requêtes CSRF dans la gestion administrative des commandes de réservation. Un attaquant peut tromper un administrateur connecté afin de créer, modifier ou suppri…
Source : NVD — CVE-2026-84166
Hotel Booking — accès non autorisé aux données de réservation
Hotel Booking pour WordPress jusqu’à la version 3.8 ne vérifie pas que la réservation consultée appartient à l’utilisateur qui en demande l’accès. Un utilisateur authentifié, y compris un abonné, peut donc consulter des renseignements pers…
Source : NVD — CVE-2026-84167
HireZoot — XSS stockée dans une page de réglages
Le plugin HireZoot pour WordPress, avant la version 4.0.0, ne filtre pas correctement un paramètre de spécification d’emploi affiché dans une page de réglages administratifs. Un utilisateur disposant de la capacité de gestion du plugin peu…
Source : NVD — CVE-2025-15703
Systèmes & serveurs
10 alerte(s)Linux : risque d’utilisation après libération dans le suivi des groupes de cache de l’ordonnanceur
Le noyau Linux corrige un risque d’utilisation après libération (use-after-free) dans le suivi des statistiques d’ordonnancement liées aux groupes de cache, causé par une course lors du changement d’espace mémoire d’une tâche. Le correctif…
Source : NVD — CVE-2026-98385
DSA-6557-1 — NTFS-3G : mise à jour de sécurité
L’avis Debian signale plusieurs vulnérabilités dans NTFS-3G, susceptibles d’entraîner un déni de service, une fuite d’informations ou une élévation locale de privilèges. Les CVE, versions affectées et version corrective ne sont pas précisé…
Source : DSA-6557-1 ntfs-3g – security update
DSA-6556-1 — Nagios : mise à jour de sécurité
Debian signale plusieurs vulnérabilités dans Nagios pouvant permettre une falsification de requête intersites, des scripts intersites ou l’exécution de commandes arbitraires. Les éléments fournis ne précisent ni les CVE ni les versions con…
Source : DSA-6556-1 nagios4 – security update
DSA-6555-1 — librsvg : mise à jour de sécurité
Une analyse incorrecte de fichiers SVG comportant des inclusions XML imbriquées dans librsvg pourrait provoquer un déni de service ou, potentiellement, l’exécution de code arbitraire. Les versions affectées et correctives ainsi que les ide…
Source : DSA-6555-1 librsvg – security update
DSA-6554-1 — Keystone : mise à jour de sécurité
Une vulnérabilité dans la gestion de l’authentification déléguée de Keystone, le service d’identité OpenStack, pourrait entraîner une divulgation d’informations ou une élévation de privilèges. Les éléments fournis ne précisent ni CVE ni ve…
DSA-6553-1 — Chromium : mise à jour de sécurité
Debian signale des problèmes de sécurité dans Chromium pouvant conduire à l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. Les CVE et les versions concernées ou corrigées ne sont pas indiquées dans les…
CVE-2026-5917 — libgit2 : échappement du chemin de dépôt transmis par SSH
Dans libgit2, un chemin de dépôt contenant une apostrophe pouvait être transmis sans échappement dans la commande SSH et permettre l’exécution de commandes sur le serveur SSH. L’avis indique que le chemin est désormais échappé ; les versio…
Source : DLA-4831-1 libgit2 – security update
CVE-2026-53584 — libgit2 : validation des chemins de sous-modules
Dans libgit2, les chemins de sous-modules provenant de .gitmodules n’étaient pas contrôlés contre la présence de « .. », ce qui pouvait amener certaines opérations sur les sous-modules à agir en dehors de l’arborescence de travail. L’avis…
Source : DLA-4831-1 libgit2 – security update
CVE-2026-53585 — libgit2 : allocations excessives lors de l’application de deltas
Dans libgit2, l’application d’un delta pouvait allouer la taille de résultat déclarée dans l’en-tête, permettant à un petit packfile malveillant de provoquer une allocation mémoire massive et un déni de service. L’avis indique que les obje…
Source : DLA-4831-1 libgit2 – security update
CVE-2026-53586 — libgit2 : risque de divulgation d’identifiants après redirection
Après une redirection externe lors d’une requête HTTP initiale, libgit2 pouvait transmettre au rappel d’identifiants l’URL d’origine, exposant potentiellement les identifiants de l’hôte initial à la cible de redirection. L’avis indique que…
Source : DLA-4831-1 libgit2 – security update
Cloud & DevOps
4 alerte(s)IBM Maximo Location Service for Esri : sortie réseau non prévue liée à une NetworkPolicy
CVE-2026-18517 concerne une politique réseau Kubernetes mal configurée dans IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. Cette configuration permet une sortie réseau non prévue ; les informations fourni…
Source : NVD — CVE-2026-18517
IBM Maximo Location Service for Esri : injection de commande dans une tâche d’opérateur
CVE-2026-18529 concerne une injection de commande dans une tâche d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. La cause indiquée est l’assainissement insuffisant d’une valeur con…
Source : NVD — CVE-2026-18529
IBM Maximo Location Service for Esri : validation inadéquate d’une référence d’image
CVE-2026-18537 concerne une validation inadéquate dans un modèle d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. La référence d’image de conteneur n’est pas assainie ; les informat…
Source : NVD — CVE-2026-18537
IBM Maximo Location Service for Esri : validation inadéquate de la configuration d’image
CVE-2026-18533 concerne une validation inadéquate des entrées dans un modèle d’opérateur Kubernetes d’IBM Maximo Application Suite Location Service for Esri, versions 9.0, 9.1 et 9.2. La description fournie indique une configuration d’imag…
Source : NVD — CVE-2026-18533