Les sujets à surveiller, en un regard.
233 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 14 sujet(s) en rouge, 5 en orange.
Shopify
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou annonce de sécurité Shopify datée de la période demandée (2026-10-14T00:00:00+02:00 à 2026-10-15T00:00:00+02:00) n’a été identifiée dans les résultats consultés. L’avis GHSA-3h8r-q86m-44c7, trouvé pendant la recherche, est daté du 2026-08-10 et ne relève donc pas de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif ou événement d’exploitation Wix daté de la période demandée. La page d’état Wix consultée indique qu’aucun incident n’a été signalé le 14 octobre 2026; le changelog développeur consulté ce jour-là décrit des nouveautés fonctionnelles, pas des informations de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a fait ressortir aucun avis, correctif ou événement de vulnérabilité vérifiable daté du 2026-10-14T00:00:00+02:00 inclus au 2026-10-15T00:00:00+02:00 exclu. Les résultats consultés étaient soit sans lien avec une vulnérabilité de Solocal, soit antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis Craft CMS dont la publication ou la mise à jour est vérifiée dans la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les avis Craft CMS remontés dans les résultats consultés sont datés d’avant cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-10-14 dans la période demandée. Les résultats consultés concernant des avis GitHub datent de septembre 2026, et le changelog Ghost consulté présente une entrée du 2026-10-07 ; ils sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée sur Strapi n’a pas identifié de vulnérabilité nouvelle, d’avis ou de correctif de sécurité, d’exploitation, ni de changement substantiel vérifié comme étant daté de la période demandée. Les deux candidats sont des fiches publiées antérieurement dont la date de mise à jour NVD tombe dans la période; cette seule modification ne suffit pas à établir un événement de sécurité admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou changement de sécurité Directus daté du 2026-10-14 dans les sources consultées. Les avis Directus repérés sur GitHub portent des dates antérieures à la période demandée; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée sur OpenCart a été effectuée. Les résultats consultés portent sur des avis ou changements datés hors de la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00 ; aucun événement admissible dans cette période n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Aucune nouveauté de sécurité cPanel datée du 2026-10-14 n’a été vérifiée dans les sources consultées. Les candidats fournis correspondent à des CVE publiées avant la période ; leur mise à jour NVD du 14 octobre, à elle seule, ne démontre pas un changement de sécurité substantiel daté de cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
La recherche dédiée a identifié des avis et publications Ruby proches de la période, mais les éléments datés du 14 octobre 2026 n’établissent pas de nouvel avis, correctif, exploitation ou changement substantiel pertinent pour Ruby pendant la fenêtre demandée. Les fiches NVD candidates sont des vulnérabilités antérieures dont la date de mise à jour, à elle seule, ne permet pas de conclure à un événement de sécurité nouveau. Aucun avis n’est retenu pour la période. Les douze candidats indiquent une publication le 2026-10-11, antérieure à la période, et leurs seules dates ultérieures fournies sont des horodatages de mise à jour du 2026-10-14, sans élément établissant un changement substantiel survenu ce jour-là. Le candidat décrit un avis GHSA concernant un paquet RubyGems malveillant, publié le 2026-10-11. La seule date située dans la période est une mise à jour du 2026-10-14, sans preuve fournie d’un changement substantiel pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ni avis de sécurité concernant le runtime Bun n’a été vérifié comme nouveau ou substantiellement mis à jour pendant la période demandée. Le candidat NVD porte sur KiloCode et son usage de `Bun.file`, et non sur une vulnérabilité attribuée à Bun.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche dédiée sur Deno n’a relevé aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel dont la date vérifiée se situe dans la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les avis Deno repérés dans les sources consultées sont publiés hors de cette période; aucune information connue uniquement après la borne de fin n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
La recherche dédiée sur Go n’a pas permis de vérifier de nouvel avis, correctif, événement d’exploitation ou changement substantiel daté dans la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les deux candidats sont des mises à jour de fiches NVD; les éléments consultés ne démontrent pas qu’elles correspondent à un changement de sécurité substantiel survenu pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kotlin
Recherche du sujet effectuée
La recherche dédiée a identifié le candidat CVE-2026-108714, mais les éléments consultés ne permettent pas de vérifier qu’un avis, un correctif ou un changement substantiel relatif à Kotlin a été publié pendant la période demandée. Le candidat indique une mise à jour NVD le 14 octobre, mais une modification administrative de fiche ne suffit pas à établir un événement de sécurité admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité Electron sur GitHub, les versions Electron et les fiches NVD pertinentes. Aucun avis ou changement de sécurité propre à Electron daté dans la période demandée n’a été identifié parmi les sources consultées ; une préversion publiée le 14 octobre n’est pas, à elle seule, un avis ni un correctif de sécurité vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée aux avis du projet jQuery et aux vulnérabilités associées n’a identifié aucun avis, correctif de sécurité, signalement d’exploitation ou changement substantiel concernant jQuery daté de la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Le candidat fourni concerne Trilium, et non le projet jQuery ; la mention de jQuery décrit une méthode utilisée dans le chemin de rendu de Trilium.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a relevé trois publications de vulnérabilités datées du 14 octobre 2026 dans la période demandée : deux affectent VentureDrake Laravel CRM et une InvoiceShelf. Les trois avis indiquent une correction en version 2.4.0; aucune exploitation active n’est établie par les éléments consultés.
VentureDrake Laravel CRM : contournement d’autorisations via Livewire
Dans VentureDrake Laravel CRM avant 2.4.0, des utilisateurs authentifiés disposant de droits limités peuvent contourner les autorisations par rôles via des actions Livewire ou certaines routes insuffisamment protégées. Cela peut leur permettre de modifier des deals, devis, commandes ou factures.
Action recommandée : Mettre à niveau vers la version 2.4.0 ou ultérieure.
VentureDrake Laravel CRM : attribution de rôles et suppressions hors périmètre
Dans VentureDrake Laravel CRM avant 2.4.0, un utilisateur ayant accès à la gestion des utilisateurs peut attribuer des rôles non autorisés, notamment le rôle Owner ou des rôles d’autres équipes. Une suppression d’utilisateur sans restriction adéquate de périmètre peut également toucher des utilisateurs d’autres équipes.
Action recommandée : Mettre à niveau vers la version 2.4.0 ou ultérieure.
InvoiceShelf : injection SQL via orderByField
InvoiceShelf avant 2.4.0 transmet une valeur contrôlée par l’utilisateur, orderByField, à des appels Laravel orderBy sans la restreindre aux identifiants de colonnes. Un utilisateur authentifié peut ainsi provoquer une injection SQL dans une clause ORDER BY et tenter d’extraire des informations de la base de données par observation booléenne.
Action recommandée : Mettre à niveau vers InvoiceShelf 2.4.0 ou ultérieure.
Svelte
Recherche du sujet effectuée
La recherche dédiée a fait remonter des avis GitHub concernant Svelte et SvelteKit, mais les dates de publication visibles sont antérieures à la période demandée. Aucun élément vérifié dans les sources consultées ne remplit les critères d’inclusion pour le 2026-10-14.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
Les sources consultées montrent que Symfony 8.1.9, 7.4.21 et 6.4.48 ont été publiées le 14 octobre 2026. Les éléments accessibles ne permettent pas de vérifier qu’il s’agissait d’avis ou de correctifs de sécurité répondant aux critères de cette veille; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité du projet Flask n’a pas identifié de nouveauté vérifiée datée du 2026-10-14 dans la période demandée. Les avis Flask trouvés lors de la recherche sont antérieurs à cette période. Les deux candidats concernent des vulnérabilités d’OctoPrint et de RansomLook, et non une vulnérabilité du projet Flask lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif ou changement substantiel concernant le projet Django dans la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. L’archive officielle consultée date les avis Django repérés au 2026-10-06, hors période ; les candidats portent sur d’autres produits ou sur des mises à jour administratives de fiches préexistantes.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée a identifié FastAPI 0.143.1, publié le 2026-10-14, avec une correction fonctionnelle de métadonnées de routes; la note de version consultée ne la présente pas comme un correctif de sécurité. Aucun avis ou correctif de sécurité FastAPI daté de la période demandée n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis de sécurité, exploitation signalée ou mise à jour substantielle concernant le framework Express n’a été vérifiée pour la période demandée. Les candidats fournis concernent PCI Express (PCIe), et non le framework Express.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-10-14 dans les sources consultées. Les avis NestJS repérés pendant la recherche sont antérieurs à cette période; cette conclusion porte sur les sources consultées, pas sur une absence garantie sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
La recherche dédiée aux avis MySQL de l’éditeur et aux notes de version consultées n’a identifié aucun avis ou correctif de sécurité MySQL daté du 2026-10-14. Les candidats fournis concernent libcurl ou SQLite, et leurs dates de publication initiale sont antérieures à la période demandée; leurs mises à jour NVD ne constituent pas à elles seules de nouvelles vulnérabilités. Aucun candidat du lot ne concerne MySQL : les fiches portent sur SQLite ou libxml2. Aucun item MySQL vérifiable n’est retenu à partir des sources fournies. Aucun candidat ne concerne MySQL : les entrées portent sur SQLite, libxml2 ou MIT Kerberos. Le lot ne fournit donc aucun événement de sécurité pertinent pour le sujet demandé. Aucun candidat fourni ne concerne MySQL : ils portent sur curl ou MIT Kerberos et ne sont donc pas retenus pour le sujet demandé. Aucun événement vérifié concernant MySQL ne satisfait les critères de la période dans les candidats fournis. Les entrées pertinentes par proximité de nom portent sur MariaDB ou un connecteur MariaDB, et leur date indiquée dans la période correspond à une mise à jour NVD, sans preuve fournie d’un changement substantiel intervenu alors. Aucun candidat fourni ne documente une vulnérabilité ou un avis concernant le produit MySQL : quatre candidats concernent MariaDB, un concerne une application tierce utilisant mysql_query, et l’avis Debian porte sur MariaDB.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Vérification incomplète
Une annonce de sécurité psqlODBC datée du 2026-10-14 signale un correctif pour CVE-2026-109448 dans la version 18.00.0005. Les détails de la faille ne sont pas établis par les informations consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis CERT-FR daté du 14 octobre 2026 signale plusieurs vulnérabilités dans MongoDB Server, avec risque d’exécution de code arbitraire ou de déni de service à distance. Les identifiants CVE, versions concernées et correctifs ne sont pas établis par les informations consultées.
Multiples vulnérabilités dans MongoDB Server
Le CERT-FR signale plusieurs vulnérabilités dans MongoDB Server, susceptibles de permettre une exécution de code arbitraire ou un déni de service à distance. Les CVE, versions concernées et correctifs ne sont pas précisés dans les éléments consultés ; consultez l’avis CERT-FR et appliquez les mises à jour éditeur correspondant à votre déploiement.
Action recommandée : Consulter l’avis CERT-FR et les bulletins MongoDB pour identifier les versions concernées et appliquer les correctifs appropriés.
Redis
Recherche du sujet effectuée
La recherche dédiée sur Redis n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel vérifié comme daté du 2026-10-14 dans les sources consultées. Les avis Redis trouvés dans la recherche sont antérieurs à la période figée; les candidats mentionnant Redis concernent d’autres produits ou des modifications administratives NVD.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée a relevé un avis de sécurité Caddy publié le 2026-10-13, hors de la période demandée. Aucun élément vérifié ne correspond à un nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-14 dans la fenêtre indiquée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité GitHub du projet SvelteKit et des résultats NVD. Les avis SvelteKit repérés dans ces résultats sont datés du 5 octobre 2026 ou de dates antérieures; aucun élément vérifié comme nouveau ou substantiellement mis à jour pendant la période demandée n’a été identifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
Pour Babel (compilateur JavaScript), les sources consultées n’indiquent aucun nouvel avis, correctif de sécurité ou autre événement de sécurité répondant aux critères entre le 2026-10-14T00:00:00+02:00 et le 2026-10-15T00:00:00+02:00. Les avis Babel retrouvés sont antérieurs à cette période et ne sont pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucun avis de sécurité ni changement substantiel concernant Elasticsearch/Kibana daté de la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00 inclusivement pour le début, borne de fin exclue, n’a été identifié dans les sources consultées. Le candidat fourni concerne une mise à jour NVD d’une fiche publiée le 2026-05-28; les éléments consultés ne permettent pas d’établir que cette modification était substantielle.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Niveau relevé : Moyenne
Deux CVE RabbitMQ ont une date de publication NVD dans la période examinée : CVE-2026-67414, risque de consommation mémoire via AMQP 1.0, et CVE-2026-67416, mauvaise classification de certains descripteurs de corps AMQP 1.0. Les versions correctives indiquées sont 4.0.24, 4.1.15, 4.2.10 et 4.3.4.
CVE-2026-67414 — consommation mémoire via arrays AMQP 1.0
Un client AMQP 1.0 authentifié peut provoquer une forte consommation mémoire en envoyant une trame contenant de nombreuses arrays dont les éléments s’expansent en mémoire. Mettez à jour vers une version corrigée; la fiche consultée décrit un risque d’épuisement mémoire et de perturbation des publications.
Action recommandée : Mettre à niveau vers RabbitMQ 4.0.24, 4.1.15, 4.2.10 ou 4.3.4, selon la branche utilisée.
CVE-2026-67416 — mauvaise classification de corps AMQP 1.0
Un éditeur AMQP 1.0 authentifié disposant du droit d’écriture peut envoyer un descripteur inconnu dont le préfixe est interprété à tort comme un type de corps enregistré. Des consommateurs peuvent alors échouer au décodage du message; la mise à niveau vers une version corrigée est recommandée.
Action recommandée : Mettre à niveau vers RabbitMQ 4.0.24, 4.1.15, 4.2.10 ou 4.3.4, selon la branche utilisée.
Memcached
Recherche du sujet effectuée
La recherche dédiée a fait apparaître des avis et changements Memcached antérieurs à la période demandée, notamment un avis publié en mai 2026 et des versions publiées en juillet 2026. Aucun élément vérifié ne correspond à un événement daté du 2026-10-14 dans la fenêtre indiquée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Critique
Deux nouvelles vulnérabilités associées à des produits utilisant GraphQL ont été publiées dans la période : un contournement de limitation des tentatives d’authentification dans Zimbra et une exposition de routes administratives de Dgraph Zero. Les autres candidats fournis ne montrent pas, sur la base des éléments disponibles, de nouvel avis, correctif ou changement substantiel daté de cette période.
Dgraph Zero : routes administratives accessibles sans authentification
Dgraph Zero expose des routes HTTP administratives sans authentification lorsque son interface d’administration est activée. Un attaquant distant pouvant joindre le port HTTP 6080 peut accéder à certaines opérations administratives et, via la suppression d’un membre, perturber le plan de contrôle et déstabiliser les nœuds Alpha dépendants; la fiche indique que le problème est corrigé dans la version 25.4.0.
Action recommandée : Mettre à niveau vers Dgraph 25.4.0 ou une version ultérieure; restreindre l’accès réseau au port 6080 et désactiver l’interface administrative si elle n’est pas nécessaire.
Zimbra : contournement de la limitation des tentatives de connexion via GraphQL
Zimbra Collaboration Suite présente un contournement de la limitation des tentatives d’authentification via GraphQL : un attaquant non authentifié peut effectuer des essais de mots de passe sans incrémenter le compteur d’échecs associé à l’adresse IP, notamment en utilisant des alias GraphQL. La fiche fournie indique que les versions 10.1.0 à 10.1.21 sont concernées; le correctif et les mesures d’atténuation ne sont pas précisés dans les informations vérifiées.
Action recommandée : Vérifier auprès de Zimbra les versions corrigées et appliquer le correctif dès sa disponibilité; limiter l’exposition de l’API GraphQL et surveiller les tentatives d’authentification répétées.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Critique
Neuf avis NVD publiés dans la période concernent des plugins WooCommerce ou des intégrations WooCommerce. Ils signalent notamment des injections SQL, des téléversements de fichiers, une élévation de privilèges, un contournement d’authentification et une faiblesse de webhook; un correctif précis est indiqué pour Walletdoc (1.8.5). Dix fiches CVE concernant WooCommerce ou ses extensions ont été publiées par le NVD le 2026-10-14. Elles portent notamment sur l’exposition ou l’altération de données, des contrôles d’autorisation insuffisants, des notifications de paiement non authentifiées et une injection de code. Sept vulnérabilités WooCommerce ou de plugins associés ont une publication NVD datée du 2026-10-14 dans les candidats fournis. Les autres candidats sont des modifications de fiches NVD pour des vulnérabilités publiées antérieurement, sans preuve fournie d’un changement substantiel dans la période. Les éléments fournis décrivent dix vulnérabilités publiées par le NVD le 14 octobre 2026 dans des extensions WordPress liées à WooCommerce. Elles concernent notamment l’exécution de code à distance, l’injection SQL, l’exposition de données, les contrôles de paiement et les contrôles d’accès ; les versions corrigées ne sont précisées que pour certains plugins. Quatre candidats décrivent des vulnérabilités de plugins WooCommerce publiées ou mises à jour le 14 octobre 2026 : contournement de validation de paiements, altération de données de paniers, divulgation de données avec Visma Pay et injection de code dans Email Template Customizer. Le candidat Hippoo Mobile App for WooCommerce a été exclu, car sa publication est postérieure à la période figée.
Contournement d’authentification dans Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce permet le contournement de l’authentification à partir de jetons de récupération de panier forgés, pouvant conduire à la prise de contrôle d’un compte. La description indique que des attaquants non authentifiés ayant accès à un lien de récupération légitime peuvent viser des comptes d’utilisateurs ayant abandonné un panier.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Injection SQL dans le panier persistant de Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce présente une injection SQL dans le traitement du panier persistant invité. La donnée injectée peut affecter la table des métadonnées utilisateur; la description signale qu’elle pourrait notamment permettre de modifier des métadonnées de compte.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Printcart Store : téléversement de fichier arbitraire menant à l’exécution de code
Le plugin WordPress Printcart Store (PCDesigner / NB Designer) permet à un attaquant non authentifié d’envoyer un fichier arbitraire par l’action AJAX `nbdesigner_copy_image_from_url`. Un fichier PHP peut être écrit dans un répertoire accessible depuis le Web, ce qui peut conduire à l’exécution de code à distance.
Action recommandée : Désactiver le plugin ou limiter l’accès à l’action concernée jusqu’à l’installation d’une version corrigée; vérifier le répertoire de téléversement temporaire pour détecter d’éventuels fichiers suspects.
Téléversement arbitraire de fichiers dans JTL-Connector for WooCommerce
JTL-Connector for WooCommerce accepte une valeur jtlauth vide comme identifiant valide et valide insuffisamment le type des fichiers envoyés, permettant le téléversement non authentifié de fichiers potentiellement exécutables. Toutes les versions jusqu’à 2.4.3 incluse sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée.
Action recommandée : Désactiver le connecteur jusqu’à disponibilité d’un correctif ; vérifier les fichiers récemment téléversés et l’intégrité du serveur.
Injection SQL dans Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce présente une injection SQL via le paramètre validate. La fiche indique qu’un attaquant non authentifié peut exploiter l’insuffisance d’échappement et de préparation de la requête pour extraire des données sensibles.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Injection SQL dans JTL-Connector for WooCommerce
JTL-Connector for WooCommerce présente une injection SQL temporelle non authentifiée sur le point de liaison d’identité product.push. Sont concernées les versions jusqu’à 2.4.3 incluse ; aucune version corrigée ni mesure de contournement n’est précisée dans la source.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; envisager de désactiver temporairement le connecteur si aucune mesure de protection n’est possible.
Escalade de privilèges dans Membership & User Roles for WooCommerce
Le plugin Membership & User Roles for WooCommerce peut réattribuer un rôle auparavant révoqué, y compris le rôle Administrateur, à un utilisateur authentifié. Le scénario décrit exige notamment que le compte ait auparavant reçu ce rôle et que le mode Replace Roles soit activé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, examiner les comptes et rôles affectés et désactiver le mode Replace Roles si cela convient à l’usage.
CVE-2026-103358 : injection de code dans Email Template Customizer for WooCommerce
Une vulnérabilité de type injection de code a été signalée dans Email Template Customizer for WooCommerce de VillaTheme, pour les versions jusqu’à 1.3.4 incluses. Les informations fournies ne précisent ni le mécanisme exploitable ni la version corrective.
Action recommandée : Vérifier la disponibilité d’un correctif auprès de l’éditeur et limiter l’accès au plugin aux utilisateurs de confiance.
XSS réfléchie dans Hippoo Mobile App for WooCommerce
La fiche NVD décrit une XSS réfléchie dans Hippoo Mobile App for WooCommerce, affectant les versions jusqu’à 1.12.0. La source fournie ne précise ni correctif ni mesure d’atténuation.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; vérifier auprès de l’éditeur si un correctif existe.
Walletdoc Payment Gateway : injection SQL et validation de paiement insuffisante
Walletdoc Payment Gateway for WooCommerce avant la version 1.8.5 ne protège pas correctement une requête SQL et utilise par défaut un secret de signature de webhook vide. Un attaquant non authentifié peut ainsi provoquer une injection SQL et faire marquer arbitrairement des commandes comme payées.
Action recommandée : Mettre à jour vers la version 1.8.5 ou une version ultérieure.
Hyyan WooCommerce Polylang Integration : injection SQL
Hyyan WooCommerce Polylang Integration jusqu’à la version 1.5.0 incluse est vulnérable à une injection SQL via l’action AJAX woocommerce_remove_variations. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut potentiellement extraire des informations sensibles de la base de données.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes authentifiés aux rôles et permissions nécessaires.
CodeAtoZ B2B Suite : accès indu aux devis d’invités
CodeAtoZ B2B Suite for WooCommerce avant la version 1.6.1 ne contrôle pas suffisamment l’accès aux devis soumis en tant qu’invité. Un utilisateur non authentifié peut consulter le devis d’un autre invité en fournissant un identifiant énumérable, avec des données telles que son nom, son adresse e-mail et les articles demandés.
Action recommandée : Mettre à jour vers la version 1.6.1 ou une version ultérieure.
Trust Payments Gateway for WooCommerce : commandes validées sans paiement
Trust Payments Gateway for WooCommerce ne vérifie pas l’authenticité de la réponse renvoyée après un paiement hébergé, ne la lie pas à la commande visée et ne contrôle pas le montant. Un attaquant non authentifié peut marquer des commandes comme payées sans paiement et obtenir des détails de commande et de client; mettre à jour vers la version 3.1.0 ou ultérieure.
Action recommandée : Mettre à jour Trust Payments Gateway for WooCommerce vers la version 3.1.0 ou ultérieure.
Product Feed for WooCommerce Merchant : secret de boutique remplaçable sans authentification
Une action AJAX de Product Feed for Google Shopping, Microsoft Advertising and 40+ Channels for WooCommerce Merchant ne comporte ni vérification de nonce ni contrôle de capacité. Tout visiteur peut forcer la réinscription de la boutique et remplacer le secret stocké du service; mettre à jour vers la version 5.3.2 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 5.3.2 ou ultérieure.
Asaas Gateway for WooCommerce : validation insuffisante du webhook de paiement
Le webhook de paiement d’Asaas Gateway for WooCommerce n’authentifie pas correctement les notifications et ne vérifie pas que le paiement confirmé correspond à la commande. Avant la version 2.7.8, un attaquant non authentifié peut ainsi faire marquer arbitrairement des commandes comme payées.
Action recommandée : Mettre à jour le plugin vers la version 2.7.8 ou ultérieure.
Paymentfor Gateway for WooCommerce : fausses notifications de paiement
Paymentfor Gateway for WooCommerce ne vérifie pas l’authenticité des notifications de paiement entrantes avant de marquer une commande comme payée. Les versions antérieures à 1.0.6 sont concernées ; mettre à jour vers la version 1.0.6 ou ultérieure.
Action recommandée : Mettre à jour Paymentfor Gateway for WooCommerce vers la version 1.0.6 ou ultérieure.
Cart Abandonment Recovery : altération des données de panier abandonné
Cart Abandonment Recovery for WooCommerce ne vérifie pas que l’utilisateur possède l’adresse e-mail utilisée pour sélectionner une donnée de panier abandonné avant de la supprimer ou de la modifier. Les versions antérieures à 2.1.4 sont concernées ; mettre à jour vers la version 2.1.4 ou ultérieure.
Action recommandée : Mettre à jour Cart Abandonment Recovery for WooCommerce vers la version 2.1.4 ou ultérieure.
Visma Pay for WooCommerce : validation insuffisante des retours de paiement
Visma Pay for WooCommerce ne vérifie pas correctement l’authenticité des retours de la passerelle de paiement. Les versions antérieures à 1.2.2 sont concernées ; mettez le plugin à jour et renseignez les identifiants marchands requis.
Action recommandée : Mettre à jour vers la version 1.2.2 ou ultérieure et configurer les identifiants marchands.
Avada Builder : exposition de données utilisateur
Le plugin Avada (Fusion) Builder jusqu’à la version 3.16.1 incluse expose des valeurs arbitraires de métadonnées utilisateur, dont des données personnelles WooCommerce, à des visiteurs non authentifiés. La fiche NVD publiée pendant la période décrit la vulnérabilité, mais ne fournit pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du shortcode concerné en attendant.
Robokassa pour WooCommerce : commandes susceptibles d’être forcées en échec
La passerelle Robokassa pour WooCommerce ne vérifie pas l’authenticité d’une notification de paiement avant de traiter la commande qu’elle désigne. Avant la version 1.9.0, un attaquant non authentifié peut faire passer des commandes en échec et les retirer de la file de traitement.
Action recommandée : Mettre à jour le plugin vers la version 1.9.0 ou ultérieure.
YITH WooCommerce Popup : suppression non autorisée de métadonnées d’articles
YITH WooCommerce Popup ne vérifie pas les capacités de l’utilisateur avant de supprimer des métadonnées d’articles. Avant la version 1.60.0, un utilisateur ayant le rôle Contributor ou supérieur peut supprimer des métadonnées arbitraires sur n’importe quel article, y compris ceux d’utilisateurs plus privilégiés.
Action recommandée : Mettre à jour YITH WooCommerce Popup vers la version 1.60.0 ou ultérieure.
Simple:Press
Recherche du sujet effectuée
La recherche web dédiée à Simple:Press a été effectuée. Les résultats consultés ont fait apparaître des avis et correctifs antérieurs à la période demandée, mais aucun événement de sécurité daté du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
Niveau relevé : Critique
Un avis CERT-In daté du 14 octobre 2026 signale CVE-2026-105445 dans Docker Hub, concernant la réattribution de jetons personnels lors de la conversion de comptes. Les autres candidats examinés portent sur des produits ou projets distincts de Docker, ou sont des mises à jour NVD d’éléments antérieurs sans changement substantiel vérifié pour la période. Un avis concernant Dokku, une plateforme s’appuyant sur Docker, décrit une exécution de commandes arbitraires corrigée dans la version 0.38.25. Les deux autres candidats ne concernent pas Docker comme produit ou sujet de vulnérabilité.
CVE-2026-86002 : exécution de commandes arbitraires via Dokku
Dans Dokku avant 0.38.25, un utilisateur disposant d’un accès au niveau d’une application et d’un accès SSH permettant d’exécuter les commandes `docker-options` peut faire exécuter des commandes arbitraires sur l’hôte, avec les privilèges du compte système Dokku. La cause est la concaténation de valeurs contrôlées dans `DOCKER_ARGS`, ensuite évaluées par Bash lors d’opérations de build, déploiement ou exécution; mettez Dokku à jour vers la version 0.38.25 ou ultérieure.
Action recommandée : Mettre à jour Dokku vers la version 0.38.25 ou ultérieure.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Critique
Cinq avis publiés pendant la période concernent des composants utilisés avec Kubernetes : NGINX Kubernetes Ingress Controller, KEDA, Talos Linux, le chart SFTP Helm de SeaweedFS et Radius. Les candidats correspondant à de simples mises à jour NVD de vulnérabilités antérieurement publiées n’ont pas été retenus comme nouveautés de cette période. Parmi les candidats fournis, trois nouvelles fiches publiées le 2026-10-14 concernent KEDA, Talos Linux et F5 NGINX Kubernetes Ingress Controller. Les autres candidats ne fournissent pas de preuve d’une nouvelle vulnérabilité ou d’un changement substantiel survenu dans la période ; leur seule mise à jour NVD ne suffit pas à les retenir. Deux fiches NVD fournies indiquent une publication le 2026-10-14 pour des vulnérabilités liées à des composants utilisés avec Kubernetes : une clé d’hôte SFTP intégrée au chart Helm de SeaweedFS et une suppression non autorisée de ressources par le contrôleur Radius. Les correctifs indiqués sont respectivement SeaweedFS 4.41 et Radius 0.58.0.
KEDA : divulgation possible du jeton de l’opérateur vers un endpoint Vault contrôlé
KEDA jusqu’à la version 2.20.2 peut transmettre le jeton ServiceAccount de l’opérateur à un endpoint Vault contrôlé par un administrateur d’espace de noms. Cela peut exposer les permissions étendues de l’opérateur, notamment l’accès aux secrets du cluster.
Action recommandée : Mettre à niveau vers KEDA 2.21.0.
CVE-2026-94197 — contournement d’authentification externe dans NGINX Ingress Controller
Avec ExternalAuth ou l’authentification externe d’un Ingress, des en-têtes de routage fournis par le client peuvent être relayés sans assainissement à la sous-requête d’authentification. Un attaquant distant non authentifié peut alors fausser les attributs évalués par le fournisseur d’authentification et accéder à des chemins protégés.
Action recommandée : Appliquer le correctif indiqué par le mainteneur et vérifier le filtrage des en-têtes envoyés à external authentication.
Clé privée d’hôte SFTP intégrée au chart Helm SeaweedFS
La clé privée d’hôte Ed25519 intégrée au chart Helm SFTP de SeaweedFS pouvait permettre à un attaquant interceptant ou redirigeant le trafic d’usurper le serveur auprès de clients faisant confiance à cette identité. Le risque concerne les versions de 4.0.388 à celles antérieures à 4.41, dans des conditions de configuration précises ; mettre à niveau vers 4.41 ou une version ultérieure.
Action recommandée : Mettre à niveau SeaweedFS vers la version 4.41 ou ultérieure et vérifier la configuration du chart SFTP ainsi que la confiance accordée aux identités d’hôte.
Suppression non autorisée de ressources Radius via les annotations Kubernetes
Dans Radius, un utilisateur autorisé à modifier les annotations d’un Deployment pouvait falsifier son statut pour déclencher la suppression privilégiée d’une ressource conteneur gérée par Radius appartenant à une autre équipe. Le problème affecte les versions antérieures à 0.58.0 ; mettre à niveau vers 0.58.0 ou une version ultérieure.
Action recommandée : Mettre à niveau Radius vers la version 0.58.0 ou ultérieure.
Talos Linux : données d’authentification exposées dans les bundles de support
Talos Linux antérieur aux versions corrigées peut inclure dans les bundles de support des paramètres d’authentification de registre et d’autres données sensibles sans les masquer. La divulgation survient si le bundle est transmis à une personne non autorisée.
Action recommandée : Mettre à niveau vers Talos 1.12.9 ou 1.13.3, selon la branche utilisée, et éviter de partager des bundles contenant des données sensibles.
Linux (noyau)
Vérification incomplète
Niveau relevé : Gravité à préciser
La recherche dédiée a identifié dix publications NVD Linux datées du 14 octobre 2026, chacune portant sur une correction du noyau. Les éléments consultés ne fournissent pas de versions affectées ou corrigées, de scores CVSS ni de confirmation d’exploitation active; aucune de ces données n’est donc attribuée aux items. Dix fiches NVD publiées le 2026-10-14 portent sur des correctifs de vulnérabilités du noyau Linux : PowerPC, x86, lockdep, s390, réseau, virtio GPU et client SMB. Les versions affectées et les versions corrigées ne sont pas précisées dans les éléments fournis. Les candidats fournis sont des publications NVD du 14 octobre 2026 relatives à des correctifs du noyau Linux. Ils concernent les chemins Wi-Fi mac80211 et RSI, plusieurs pilotes watchdog, le sous-système power sequencing, SELinux, la gestion mémoire cgroup/zswap et le pilote PMU Exynos; les sources fournies ne précisent pas de versions corrigées ni de scores CVSS. Le lot contient onze fiches NVD publiées le 14 octobre 2026 pour des corrections du noyau Linux, portant notamment sur dmaengine, XFRM, l’ordonnanceur, drop_monitor, ksmbd et les sous-systèmes Wi-Fi. Aucune information de version corrigée, de score de sévérité ou d’exploitation active n’est fournie dans les éléments transmis. Six nouvelles fiches CVE Linux ont été publiées par le NVD le 14 octobre 2026 dans le lot fourni : elles concernent mwifiex, CoDel, USB 6fire et RDMA/EFA ou RDMA/uverbs. Les éléments fournis ne précisent pas de score CVSS, de version corrigée ni d’exploitation confirmée. Les candidats fournis sont des modifications de fiches NVD datées du 14 octobre 2026. Les informations disponibles ne décrivent aucun changement substantiel intervenu dans la période ; aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité…
Linux : correction de l’accès mémoire à l’anneau de requêtes QLAFX00
La remise à zéro d’un emplacement de l’anneau de requêtes QLAFX00 utilisait memset() sur une mémoire mappée pour les entrées-sorties du périphérique. Le correctif emploie memset_io(), évitant notamment un arrêt synchrone sur certaines architectures comme ARM64.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux : vérification des erreurs de parcours dans le chiffrement AES s390
Le traitement des retours de skcipher_walk_virt() dans aes_s390 ne vérifiait pas correctement les échecs avant d’entrer dans les boucles de traitement. Le correctif contrôle les retours lors de l’initialisation et de l’avancement de la marche, puis renvoie l’erreur à l’appelant.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux : réduction du risque de blocage lors de exec et de la fermeture des descripteurs
Le traitement de fermeture des descripteurs marqués close-on-exec pouvait attendre une réponse du système de fichiers alors que exec_update_lock était détenu. Le déplacement de cette opération avant la prise du verrou évite qu’un système de fichiers bloqué immobilise des chemins de code associés ou qu’un système FUSE provoque un interblocage.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux : évite un changement prématuré du profil de puissance pendant la reprise du GPU AMD
Lors de la reprise après une réinitialisation du GPU, une tâche différée pouvait changer le profil de puissance graphique avant la fin de la réinitialisation. Le correctif empêche ce changement prématuré, qui pouvait déclencher une assertion liée à l’accès aux registres sans libération préalable du sémaphore de réinitialisation.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux : correction d’une division par zéro dans le calcul de la topologie AMD
Le code du noyau pouvait calculer à zéro le nombre de racines par nœud sur certains systèmes virtualisés, puis provoquer une division par zéro. Le correctif fixe cette valeur à 1 dans ce cas, notamment pour éviter le plantage observé avec Xen PVH dom0.
Action recommandée : Appliquer une version du noyau intégrant le correctif, en particulier sur les systèmes virtualisés concernés.
Linux : maintien d’une référence runtime PM pendant le traitement des défauts de page Xe
Pendant la destruction d’une machine virtuelle Xe, des défauts de page devenus obsolètes pouvaient rester en file après la libération de la référence runtime PM et la suspension du périphérique. Le correctif maintient une référence runtime PM pendant tout le traitement de la file afin de permettre la gestion sûre des acquittements.
Action recommandée : Mettre à jour vers une version du noyau intégrant le correctif.
Linux : correction d’un dépassement de borne dans le pilote Bluetooth Intel PCIe
Une vérification de borne incorrecte dans le pilote Bluetooth Intel PCIe pouvait laisser passer un index égal au nombre d’entrées de la file d’émission, alors que les indices valides s’arrêtent à count−1. Le correctif rejette désormais aussi cette valeur hors limites.
Action recommandée : Appliquer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : dépassement de longueur UDP avec IPv4 et MTU élevée
Un dépassement de la longueur UDP pouvait se produire avec IPv4 lorsque PMTU discovery était réglé sur `IP_PMTUDISC_PROBE` et qu’un paquet était envoyé sur une interface à MTU exceptionnellement élevée. Le correctif borne la taille des fragments à `IP_MAX_MTU` ; aucune version affectée ni version corrigée précise n’est indiquée dans les éléments fournis.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’une version corrigée est disponible.
Linux : busy-wait lors d’une lecture AF_UNIX de longueur nulle
Dans AF_UNIX, une lecture bloquante avec `recv(0, MSG_PEEK)` pouvait tourner en boucle si le dernier skb de la file était un message `MSG_OOB`. Le correctif fait retourner immédiatement la fonction lorsque `manage_oob()` renvoie NULL pour un tampon de longueur nulle ; les versions concernées et corrigées ne sont pas précisées.
Action recommandée : Appliquer un noyau intégrant le correctif dès qu’une version corrigée est disponible.
Linux PowerPC : corruption du masque d’interruptions lors du rejeu
Sur PowerPC, la sortie d’une interruption rejouée pouvait corrompre `irq_soft_mask` en effaçant le bit indiquant que les interruptions PMI sont désactivées. Cela provoquait un avertissement noyau ; le correctif remplace `local_irq_disable()` par `hard_irq_disable()`, sans version corrigée précisée.
Action recommandée : Appliquer un noyau intégrant le correctif sur les systèmes PowerPC concernés.
Linux PowerPC : restauration prématurée de KUAP au retour utilisateur
Sur PowerPC, KUAP était réactivé trop tôt pendant la préparation du retour en espace utilisateur, alors que des routines de sortie spécifiques à la plateforme devaient encore s’exécuter. Le correctif reporte la restauration au bon moment du chemin de retour ; les versions affectées et corrigées ne sont pas précisées.
Action recommandée : Appliquer un noyau intégrant le correctif sur les systèmes PowerPC concernés.
Linux x86 : risque de use-after-free au démontage du pilote de tablettes Android
Le pilote des tablettes Android x86 conservait un pointeur vers un périphérique sans maintenir sa référence, ce qui pouvait entraîner un use-after-free lors du démontage du pilote. Le correctif prend une référence avec `get_device()` lors de l’enregistrement de l’action devres et la libère ensuite avec `put_device()` ; les versions concernées ne sont pas précisées.
Action recommandée : Appliquer un noyau intégrant le correctif sur les systèmes concernés.
Linux lockdep : invalidation des entrées de cache de classes de verrou
Lockdep pouvait réutiliser une entrée `class_cache` devenue obsolète après la suppression d’une classe de verrou, produisant un indice de classe invalide ou une correspondance erronée après réallocation. Le correctif valide les entrées en cache avant leur utilisation et réenregistre ou recherche la classe si nécessaire ; les versions affectées et corrigées ne sont pas précisées.
Action recommandée : Appliquer un noyau intégrant le correctif.
Linux s390 : déréférencement NULL dans le dump autonome sans bloc re-IPL
Sur s390, `dump_reipl_run()` pouvait déréférencer un bloc de paramètres re-IPL NULL pour certains types d’IPL, lors de la préparation des champs lowcore d’un dump autonome. Le correctif renseigne explicitement une adresse et une somme de contrôle nulles lorsqu’aucun bloc n’est disponible ; les versions concernées ne sont pas précisées.
Action recommandée : Appliquer un noyau intégrant le correctif sur les systèmes s390 concernés.
Linux s390 : déréférencement NULL dans kdump sans bloc re-IPL
Sur s390, `set_os_info_reipl_block()` pouvait déréférencer un bloc re-IPL NULL lors d’un kdump pour certains types d’IPL sans bloc de paramètres. Le correctif ignore la mise à jour de l’entrée os_info lorsqu’aucun bloc n’est disponible ; les versions affectées et corrigées ne sont pas indiquées.
Action recommandée : Appliquer un noyau intégrant le correctif sur les systèmes s390 concernés.
Linux : défaut d’en-tête de transport après décapsulation de tunnel
Un défaut du noyau Linux lié à un en-tête de transport obsolète après décapsulation de tunnel peut provoquer un crash lors du traitement de certains paquets GSO relayés au niveau 2. Le tracker Debian indique des versions corrigées pour trixie et sid, mais marque encore bookworm et trixie-security comme vulnérables.
Action recommandée : Mettre à jour le paquet linux vers une version corrigée disponible pour la distribution utilisée ; vérifier le statut de la branche concernée dans le tracker Debian.
Linux réseau : accès invalide à l’en-tête de transport dans le tracepoint ICMP
Le tracepoint `icmp_send` pouvait lire un en-tête UDP sans vérifier que le paquet était UDP ; certains chemins d’appel ne définissaient pas non plus l’en-tête de transport. Le correctif limite l’analyse aux paquets UDP et utilise `skb_header_pointer()` ; les versions affectées et corrigées ne sont pas précisées.
Action recommandée : Appliquer un noyau intégrant le correctif.
Linux s390 : écriture hors limites lors de l’ajout d’un paramètre IPL
Une commande de démarrage s390 presque à la taille maximale pouvait provoquer une écriture hors limites lors de l’ajout d’un paramètre IPL. Le correctif convertit le paramètre dans le tampon d’analyse et n’ajoute les paramètres que si l’espace le permet.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux virtio-gpu : déréférencement NULL lors de la création d’un framebuffer
Le pilote virtio-gpu pouvait renvoyer un pointeur NULL là où le chemin d’appel attendait un pointeur d’erreur, ce qui pouvait entraîner un déréférencement NULL. Le correctif renvoie un pointeur d’erreur dans ce cas.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux SMB : lectures hors limites lors de l’analyse des SID POSIX
Le client SMB du noyau ne vérifiait pas que la longueur annoncée par le serveur pour les SID POSIX restait dans les limites des données reçues, ce qui pouvait autoriser des lectures hors limites en mémoire noyau. Le correctif rejette les réponses dont les bornes calculées dépassent celles du vecteur d’entrée ou provoquent un débordement de pointeur.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux mac80211 : éviter un avertissement lors du réglage du débit Wi-Fi
La configuration du masque de débit Wi-Fi pouvait appeler le pilote alors que l’interface n’était pas encore, ou n’était plus, enregistrée auprès de celui-ci, déclenchant un avertissement du noyau. Le correctif vérifie l’état d’enregistrement et retourne -ENETDOWN si l’interface n’est pas dans le pilote.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux RSI Wi-Fi : écriture hors limites lors du retrait d’une clé
Le pilote Wi-Fi RSI effectuait une écriture hors limites sur le tas lors du retrait d’une clé, notamment lors d’une déconnexion ou d’une fermeture d’interface. Le correctif supprime une remise à zéro redondante qui écrivait au-delà du tampon alloué.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux watchdog RZ/V2H : risque de division par zéro
Le pilote watchdog RZ/V2H pouvait diviser par zéro si clk_get_rate() renvoyait zéro, provoquant une panique du noyau. Le correctif évite cette division invalide.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux watchdog RTD119x : risque de division par zéro
Le pilote watchdog RTD119x pouvait diviser par zéro lorsque clk_get_rate() renvoyait zéro, ce qui pouvait provoquer une panique du noyau. Le correctif empêche cette division invalide.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux watchdog DA9063 : réinitialisation inattendue lors de la suspension
Le pilote watchdog DA9063 ne gérait pas correctement la suspension lorsque le watchdog fonctionnait déjà au niveau matériel mais n’avait pas été ouvert par l’espace utilisateur, ce qui pouvait entraîner une réinitialisation inattendue. Le correctif tient compte de l’état WDOG_HW_RUNNING lors de la suspension et de la reprise.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux pwrseq : déréférencement invalide sur un chemin d’erreur d’enregistrement
Lorsqu’un échec de dev_set_name() survenait pendant l’enregistrement d’un périphérique pwrseq, le chemin de libération pouvait parcourir une liste non initialisée et déréférencer un pointeur invalide. Le correctif initialise la liste avant l’appel susceptible d’échouer.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux pwrseq : déréférencement invalide après un échec d’allocation
En cas d’échec d’allocation pendant la création d’une unité pwrseq, sa libération pouvait appeler list_del() sur une liste qui n’avait pas été initialisée, entraînant un déréférencement invalide. Le correctif initialise la liste immédiatement après l’allocation de la structure.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : décision AVC initialisée pour les permissions vides
Un correctif du noyau Linux règle un chemin de retour anticipé dans `avc_has_perm_noaudit()` qui laissait la décision AVC non initialisée lorsque l’ensemble de permissions demandé était vide. Le correctif fournit une décision explicite de refus et d’audit, évitant que les appelants utilisent une valeur indéfinie.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux : éviter une facturation mémoire erronée au cgroup racine
Un défaut dans la facturation mémoire des objets cgroup pouvait faire facturer au cgroup racine des pages d’objets réaffectés après la suppression d’un cgroup enfant. Le correctif utilise `try_charge()`, qui ignore le cgroup racine, rétablissant la symétrie avec la dé-facturation.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux : corriger un use-after-free dans le pilote PMU Exynos
Dans le pilote PMU Exynos de Samsung, le nœud d’interruption était libéré après la lecture de sa ressource, puis réutilisé lors de l’enregistrement du regmap. Le correctif conserve correctement sa référence jusqu’à la fin de son utilisation.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux : éviter un déréférencement nul dans le pilote TI K3 UDMA
Dans le pilote TI K3 UDMA, un échec d’allocation de la liste des flux RX pouvait conduire le chemin de nettoyage à déréférencer un pointeur nul. Le correctif évite la boucle de libération des flux lorsque cette liste n’a pas été allouée.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux : rejeter les offsets d’en-tête ESP-in-TCP non représentables
Le traitement ESP-in-TCP pouvait transmettre à XFRM un décalage d’en-tête de transport impossible à représenter après la suppression de l’enveloppe TCP. Le correctif vérifie ce décalage et abandonne le paquet via le chemin d’erreur XFRM s’il ne peut être représenté.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux : supprimer un avertissement de migration erroné pour les donneurs proxy
L’exécution proxy peut déplacer le contexte d’ordonnancement d’un donneur bloqué vers le processeur du détenteur du verrou, même lorsque le donneur est désactivé pour migration. Le correctif évite alors un avertissement erroné, puisque le donneur bloqué n’exécute pas sur ce processeur et retrouve un placement exécutable au réveil.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux : corriger une écriture hors limites dans drop_monitor
`reset_per_cpu_data()` calculait une taille incluant l’en-tête d’attribut netlink, puis écrivait cette taille à partir de la zone de données de l’attribut. Cela pouvait provoquer une écriture hors limites de quatre octets; le correctif distingue la longueur de charge utile de la taille totale à réserver.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux ksmbd : respecter l’expiration des sessions SMB
ksmbd pouvait supprimer une session SMB encore valide après une courte période d’inactivité lors d’une nouvelle négociation SessionSetup, confondant inactivité et expiration des identifiants. Le correctif applique les règles d’expiration de session, tout en limitant les échanges d’authentification incomplets afin de prévenir leur accumulation.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux mac80211 : exiger une station homologue pour la confirmation TDLS
mac80211 pouvait accepter une confirmation de configuration TDLS pour une station qui n’existait pas encore comme station TDLS. Le correctif limite ce traitement aux stations déjà présentes comme stations TDLS.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux mac80211 : réinitialiser le compteur AP_VLAN à l’arrêt
Lors de la remise en service répétée d’une interface AP_VLAN, le compteur d’espace de fin nécessaire au chiffrement pouvait être incrémenté sans être décrémenté, jusqu’à déclencher une vérification de cohérence. Le correctif réinitialise ce compteur lorsque l’interface est arrêtée.
Action recommandée : Appliquer le correctif du noyau Linux dès qu’il est disponible pour la distribution concernée.
Linux : synchronisation de l’arrêt de mac80211_hwsim
Une course entre l’arrêt d’une radio hwsim et la remise de trames à mac80211 pouvait déclencher un avertissement du noyau. Le correctif synchronise ces opérations ; aucune version affectée ou version corrigée n’est précisée dans la source.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : retour arrière en cas d’échec du renommage du wiphy
Lors d’un changement d’espace de noms réseau, l’échec du renommage du wiphy pouvait laisser les interfaces et le wiphy dans des espaces de noms différents. Le correctif annule le déplacement si le renommage échoue ; la source ne précise pas de versions affectées ou corrigées.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : suppression d’un avertissement lors du scan IBSS
mac80211 émettait un avertissement si un IBSS n’avait plus de canal autorisé pour lancer un scan, situation possible après un changement de domaine réglementaire. Le correctif supprime cet avertissement ; la source ne précise pas de versions affectées ou corrigées.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : correction d’une fuite d’IRQ MSI-X dans mwifiex
Dans le nettoyage d’une erreur MSI-X du pilote mwifiex, le mauvais identifiant était fourni à free_irq(), ce qui pouvait empêcher la libération d’interruptions déjà enregistrées. Le correctif associe chaque interruption à son identifiant de contexte correspondant ; aucune version affectée ou corrigée n’est indiquée.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : prévention d’un soft lockup dans CoDel
Avec un intervalle CoDel suffisamment petit, l’étape de contrôle pouvait s’arrondir à zéro et faire tourner la boucle de suppression sans progression, permettant à un utilisateur non privilégié de provoquer un soft lockup. Le correctif impose une progression minimale et limite à 256 les suppressions par appel ; aucune version affectée ou corrigée n’est indiquée.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : correction de la gestion des URB du pilote USB 6fire
Le pilote USB 6fire utilisait des URB intégrés à des structures, ce qui pouvait entraîner une utilisation après libération lorsque leur libération asynchrone interagissait avec leur comptage de références. Le correctif remplace ces URB par des allocations via usb_alloc_urb() ; aucune version affectée ou corrigée n’est indiquée.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : protection des ressources EQ du pilote RDMA EFA
Dans le pilote RDMA EFA, le gestionnaire d’interruption de complétion pouvait accéder à l’état EQ et au tampon DMA avant leur initialisation ou après leur libération. Le correctif initialise l’EQ avant d’armer l’interruption et libère l’IRQ avant de détruire l’EQ ; la source ne précise pas de versions.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : protection des files d’administration du pilote RDMA EFA
Dans le pilote RDMA EFA, le gestionnaire d’interruption de gestion pouvait accéder aux files d’administration avant leur construction ou après leur destruction. Le correctif masque les interruptions pendant l’initialisation, libère l’IRQ avant les files au retrait et réinitialise le périphérique si l’enregistrement de l’IRQ échoue ; les versions affectées ou corrigées ne sont pas précisées.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : correction d’un risque d’interblocage dans RDMA uverbs
Dans RDMA uverbs, l’ordre d’acquisition de mmap_lock et disassociation_lock pouvait créer une dépendance circulaire et un interblocage. Le correctif supprime disassociation_lock et s’appuie sur hw_destroy_rwsem pour protéger les enregistrements mmap ; aucune version affectée ou corrigée n’est indiquée.
Action recommandée : Installer une version du noyau intégrant le correctif dès qu’elle est disponible.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis nouveau pertinent pour Debian a été vérifié dans la période : CVE-2026-98401, concernant le noyau Linux. La page Debian consultée recense aussi les avis du 14 octobre pour sogo, firefox-esr, buildstream et curl ; les résultats consultés ne fournissaient pas assez de détails sur ces avis pour constituer ici des fiches par CVE. Les candidats fournis sont des mises à jour de fiches NVD concernant des vulnérabilités publiées entre 2018 et 2019. Aucune preuve fournie n’indique un correctif ou un changement substantiel daté dans la période demandée et spécifique à Debian. Aucun événement de sécurité Debian daté de la période n’est établi par les candidats fournis. Les éléments présentés sont des mises à jour NVD de fiches concernant des vulnérabilités publiées antérieurement, sans preuve d’un changement substantiel ni d’un avis ou correctif Debian pendant la période. Aucun avis de sécurité Debian ni changement substantiel daté de la période n’est établi par les candidats fournis. Ceux-ci signalent uniquement des mises à jour de fiches NVD pour des vulnérabilités publiées antérieurement. Aucun événement de sécurité Debian daté de la période n’est établi par les candidats fournis. Ils signalent des mises à jour de fiches NVD relatives à des vulnérabilités publiées antérieurement, sans preuve d’un changement substantiel concernant Debian. Aucun candidat ne documente une nouvelle vulnérabilité, un avis de sécurité, une exploitation ou un changement substantiel daté de la période demandée pour Debian. Les candidats indiquent uniquement des mises à jour de fiches NVD, sans preuve d’un changement substantiel dans cette période. Les candidats fournis sont des modifications de fiches NVD pour des vulnérabilités publiées entre 2019 et 2020. Aucune information du lot ne démontr…
Linux : défaut d’en-tête de transport après décapsulation de tunnel
Un défaut du noyau Linux lié à un en-tête de transport obsolète après décapsulation de tunnel peut provoquer un crash lors du traitement de certains paquets GSO relayés au niveau 2. Le tracker Debian indique des versions corrigées pour trixie et sid, mais marque encore bookworm et trixie-security comme vulnérables.
Action recommandée : Mettre à jour le paquet linux vers une version corrigée disponible pour la distribution utilisée ; vérifier le statut de la branche concernée dans le tracker Debian.
DSA-6561-1 : mise à jour de sécurité pour SOGo
Debian a publié une mise à jour de SOGo corrigeant plusieurs vulnérabilités susceptibles de permettre du XSS, une injection de commandes shell, l’empoisonnement de réinitialisation de mot de passe ou une injection SQL. Les CVE, versions Debian concernées et version corrigée ne sont pas précisées dans la source fournie.
Action recommandée : Appliquer la mise à jour Debian de SOGo correspondant à DSA-6561-1.
DSA-6560-1 : mise à jour de sécurité pour Firefox ESR
Debian a publié une mise à jour de Firefox ESR pour corriger plusieurs problèmes pouvant conduire à l’exécution de code arbitraire, à une évasion du bac à sable, à une divulgation d’informations, au contournement de protections ou à une élévation de privilèges. L’avis fourni ne précise ni les CVE, ni les versions affectées, ni les versions corrigées.
Action recommandée : Appliquer la mise à jour Debian de Firefox ESR correspondant à DSA-6560-1.
DSA-6559-1 : mise à jour de sécurité pour Buildstream
Debian a publié une mise à jour de Buildstream pour corriger une validation insuffisante des sources tar, qui pouvait permettre l’écriture de fichiers sur l’hôte de construction. La source fournie ne précise pas les CVE ni les versions concernées ou corrigées.
Action recommandée : Appliquer la mise à jour Debian de Buildstream correspondant à DSA-6559-1.
DSA-6558-1 : mise à jour de sécurité pour curl
Debian a publié une mise à jour de curl corrigeant un use-after-free lors du traitement, par un serveur, d’un HTTP/2 RST_STREAM reçu pendant un téléversement. Selon l’avis fourni, cette faille pourrait permettre une exécution de code à distance ; les CVE et versions affectées ou corrigées ne sont pas indiquées.
Action recommandée : Appliquer la mise à jour Debian de curl correspondant à DSA-6558-1.
Debian publie DLA-4835-1 pour MariaDB
Debian a publié l’avis DLA-4835-1 pour corriger plusieurs vulnérabilités dans MariaDB ; un attaquant authentifié pouvait provoquer un déni de service, obtenir un accès non autorisé en lecture ou potentiellement prendre le contrôle du serveur ou du cluster. L’avis signale aussi une exposition excessive du serveur liée à l’interaction entre les fichiers systemd amont et d’anciens outils de packaging Debian ; il ne précise pas dans les éléments fournis les CVE ni les versions corrigées.
Action recommandée : Appliquer la mise à jour Debian DLA-4835-1 pour MariaDB.
Debian DLA-4834-2 : correction du redémarrage de Keystone après mise à jour
Debian a publié le DLA-4834-2 pour corriger un problème de redémarrage automatique de Keystone après une mise à jour de sécurité. Un processus Keystone vulnérable pouvait ainsi continuer à fonctionner malgré la mise à niveau du paquet ; le correctif redémarre explicitement le service lors de la post-installation.
Action recommandée : Installer la mise à jour Debian publiée dans le DLA-4834-2 afin que le service Keystone soit redémarré après l’installation.
Alpine Linux
Vérification incomplète
Une mise à niveau de sécurité du paquet community/go vers 1.27.2 est signalée par Alpine Linux le 2026-10-14. La source consultée ne permet pas de préciser les CVE ni l’impact; aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Vérification incomplète
L’avis Ubuntu USN-8931-1, daté du 2026-10-14, rapporte trois problèmes de sécurité concernant Apache HTTP Server : exposition d’informations WebDAV (CVE-2026-58415), validation incorrecte de réponses FTP pouvant affecter un proxy (CVE-2026-63045) et traitement incorrect de requêtes HTTP (CVE-2026-63292). Les détails consultés ne donnent pas les versions affectées ou corrigées ni de score de gravité. Les candidats fournis concernent BusyBox httpd et Juniper Junos, et ne portent pas sur Apache HTTP Server.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié des publications NVD datées du 2026-10-14 pour dix CVE relevant de NGINX, de njs, de NGINX Ingress Controller ou de NGINX Gateway Fabric. Le projet NGINX confirme aussi, le 2026-10-14, les versions 1.30.6 et 1.31.7 pour cinq correctifs NGINX Open Source et njs 1.0.2 pour deux correctifs njs; les versions affectées ou corrigées restent inconnues pour certains avis de composants Kubernetes. Cinq nouvelles fiches NVD publiées le 14 octobre 2026 concernent NGINX, njs et NGINX Ingress Controller : deux touchent au traitement XML par njs, deux à l’authentification dans Ingress Controller, et une à la vérification des certificats clients via les sessions SSL. Les autres candidats du lot sont exclus car ils décrivent des produits distincts du sujet ou une simple mise à jour de fiche antérieure sans changement substantiel établi par les éléments fournis. Les sources NVD fournies décrivent trois vulnérabilités publiées le 2026-10-14 : une injection dans des requêtes proxifiées avec HTTP/3, une lecture inter-espaces de noms de clés privées TLS dans NGINX Gateway Fabric et un contournement possible de la vérification des certificats clients.
CVE-2026-15176 — débordement de tampon avec alias et rewrite
Une configuration particulière combinant alias, rewrite et une référence à $request_filename peut provoquer un débordement de tampon mémoire dans un worker. Cela peut entraîner un redémarrage et, dans certaines conditions liées à l’ASLR, une possible exécution de code.
Action recommandée : Mettre à jour vers NGINX 1.30.6 ou 1.31.7, selon la branche, et auditer les configurations correspondantes.
CVE-2026-93479 — débordement de tampon avec map et expressions régulières
Dans certaines configurations de map avec correspondance par expression régulière, l’ordre d’évaluation de variables peut déclencher un débordement de tampon mémoire dans un worker. Le résultat peut être un déni de service et, dans certaines conditions liées à l’ASLR, une possible exécution de code.
Action recommandée : Mettre à jour vers NGINX 1.30.6 ou 1.31.7 et vérifier les configurations map concernées.
CVE-2026-97205 — utilisation après libération avec AIO et SSI
Dans certaines configurations avec E/S asynchrones activées, le traitement d’une page SSI contenant include virtual peut provoquer une utilisation après libération dans un worker. Cela peut entraîner une corruption mémoire ou un plantage, avec possibilité d’exécution de code dans certaines conditions liées à l’ASLR.
Action recommandée : Mettre à jour vers NGINX 1.30.6 ou 1.31.7 et examiner les configurations AIO/SSI.
Contournement possible de la vérification des certificats clients par falsification de sessions SSL
Avec ssl_session_cache shared:name:size configuré sans directive ssl_session_ticket_key file explicite pour la rotation automatique des clés, un attaquant distant non authentifié peut forger de manière non déterministe des sessions SSL client. Cette vulnérabilité peut permettre de contourner la vérification des certificats clients et d’accéder à des ressources ou fonctionnalités non prévues.
Action recommandée : Évaluer la configuration des clés de tickets SSL et appliquer les recommandations du fournisseur lorsqu’elles seront disponibles.
CVE-2026-104939 — accès non authentifié avec externalAuth dans NGINX Ingress Controller
Une mauvaise gestion de la réponse HTTP de l’IdP OAuth avec une politique externalAuth peut permettre à un attaquant distant non authentifié d’accéder à des chemins protégés avant l’authentification externe. Les versions concernées et la version corrective ne sont pas établies par les sources consultées.
Action recommandée : Consulter l’avis de sécurité du mainteneur et appliquer le correctif correspondant; contrôler les chemins protégés par externalAuth.
CVE-2026-96615 — lecture de clés TLS entre espaces de noms dans NGINX Gateway Fabric
Un attaquant authentifié disposant d’un accès à un compte de service peut usurper la connexion gRPC authentifiée de NGINX Agent. Il peut ainsi lire les clés privées TLS de déploiements Gateway situés dans un autre espace de noms.
Action recommandée : Consulter l’avis du mainteneur pour déterminer la version corrigée; restreindre les accès aux comptes de service concernés.
CVE-2026-91184 — injection de directives via NGINX Gateway Fabric
Un attaquant authentifié disposant de droits dans un espace de noms peut fournir une valeur realm spécialement construite dans une AuthenticationFilter. Si elle est incorporée sans échappement à la configuration partagée nginx.conf, elle peut injecter des directives NGINX et compromettre d’autres tenants.
Action recommandée : Consulter l’avis du mainteneur pour la version corrigée; limiter les droits de création ou modification des AuthenticationFilter et examiner les configurations produites.
Incohérence de traitement des entités XML dans njs
Le module XML de NGINX JavaScript (njs) peut exposer de façon incohérente des attributs XML contenant des entités internes pendant la canonicalisation, de sorte que des attributs paraissent absents ou tronqués alors que la vérification de signature réussit. Dans des consommateurs XML signés affectés, cela peut contourner des contrôles de sécurité ; déterminer les versions touchées et les correctifs à partir des informations du fournisseur avant déploiement.
Action recommandée : Évaluer les consommateurs XML signés utilisant njs, vérifier les versions et correctifs auprès du fournisseur et éviter de se fier uniquement à la vérification de signature pour les contrôles concernés.
CVE-2026-94197 — contournement d’authentification externe dans NGINX Ingress Controller
Avec ExternalAuth ou l’authentification externe d’un Ingress, des en-têtes de routage fournis par le client peuvent être relayés sans assainissement à la sous-requête d’authentification. Un attaquant distant non authentifié peut alors fausser les attributs évalués par le fournisseur d’authentification et accéder à des chemins protégés.
Action recommandée : Appliquer le correctif indiqué par le mainteneur et vérifier le filtrage des en-têtes envoyés à external authentication.
Fuite mémoire du parseur XML njs sur erreur
Le moteur njs intégré ne libère pas un contexte du parseur libxml2 lorsque xml.parse() échoue, ce qui permet à un attaquant distant d’accumuler de la mémoire en envoyant des requêtes contenant du XML malformé. Cette croissance peut terminer des workers NGINX ou provoquer un déni de service ; les versions corrigées ne sont pas indiquées dans les données fournies.
Action recommandée : Consulter les avis du fournisseur pour identifier et appliquer les versions corrigées ; surveiller la consommation mémoire des workers NGINX.
CVE-2026-95101 — injection dans une requête proxifiée via HTTP/3
Dans certaines configurations HTTP/3 avec proxy_request_buffering on, un attaquant non authentifié peut injecter des données dans la requête transmise au serveur mandataire. NGINX indique que les versions 1.30.6 et 1.31.7 corrigent le problème.
Action recommandée : Mettre à jour vers NGINX 1.30.6 ou 1.31.7; examiner les configurations HTTP/3 concernées.
PHP
Vérification incomplète
Niveau relevé : Critique
Aucune nouvelle vulnérabilité, publication de correctif ou d’avis, exploitation signalée, ni mise à jour substantielle concernant PHP ou PHP-FPM n’a été vérifiée dans la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les avis PHP consultés étaient antérieurs à cette période; les candidats fournis concernent des extensions WordPress, WooCommerce ou Collabora, et non le projet PHP ni PHP-FPM. Neuf fiches NVD publiées le 2026-10-14 concernent des vulnérabilités dans des logiciels écrits en PHP ou intégrant du PHP : XSS, inclusion de fichiers, injection de commandes ou SQL, contournement de limite de ressources et divulgation d’identifiants. Les versions corrigées sont indiquées uniquement lorsque la source fournie les précise. Aucun candidat de ce lot ne concerne le produit PHP ou PHP-FPM lui-même : les éléments décrivent des vulnérabilités dans e107, ILIAS, LDAP Account Manager, InvoiceShelf et WeGIA, des applications écrites en PHP. Aucun item ne peut donc être retenu pour le sujet demandé. Aucun élément du lot ne documente une vulnérabilité propre à PHP, un correctif PHP ou un changement substantiel touchant PHP pendant la période. Les avis concernent FileRise; les deux autres candidats sont des mises à jour NVD de vulnérabilités libxml2 anciennes, sans preuve d’un changement substantiel daté de la période. Aucun nouvel événement PHP répondant aux critères de la période n’est établi par les candidats fournis. Les entrées sont des modifications de fiches NVD pour des vulnérabilités publiées antérieurement; elles ne documentent pas de changement substantiel daté du 14 octobre 2026 pertinent pour PHP. Aucun candidat ne concerne PHP ou PHP-FPM en tant que langage ou composant : les avis portent sur WeGIA, des extensions WordPress, Shopware, EasyImages,…
Printcart Store : téléversement de fichier arbitraire menant à l’exécution de code
Le plugin WordPress Printcart Store (PCDesigner / NB Designer) permet à un attaquant non authentifié d’envoyer un fichier arbitraire par l’action AJAX `nbdesigner_copy_image_from_url`. Un fichier PHP peut être écrit dans un répertoire accessible depuis le Web, ce qui peut conduire à l’exécution de code à distance.
Action recommandée : Désactiver le plugin ou limiter l’accès à l’action concernée jusqu’à l’installation d’une version corrigée; vérifier le répertoire de téléversement temporaire pour détecter d’éventuels fichiers suspects.
Téléversement arbitraire de fichier dans Snazzy Social Media Feed
Snazzy Social Media Feed permet l’écriture d’un fichier potentiellement exécutable dans son cache à partir du paramètre pluginURL, sans contrôles WordPress suffisants. Un attaquant authentifié disposant au moins du rôle Abonné peut ainsi provoquer une exécution de code à distance.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Injection de commandes Windows dans snappdf
Beganovich snappdf, des versions 1.1.0 à celles antérieures à 6.1.0, présente une injection de commandes système sur Windows. Un utilisateur pouvant influencer l’URL rendue peut faire exécuter des commandes avec les privilèges du processus PHP.
Action recommandée : Mettre à jour snappdf vers la version 6.1.0 ou ultérieure.
Injection SQL dans le plugin alt_auth d’e107
Le CMS e107 est vulnérable à une injection SQL avant la version 2.3.7 lorsque le plugin alt_auth est installé et configuré avec un backend de base de données externe actif. Un utilisateur non authentifié peut injecter des requêtes via le nom d’utilisateur soumis à la connexion.
Action recommandée : Mettre à jour e107 vers la version 2.3.7 et vérifier la configuration et l’usage du plugin alt_auth.
Inclusion de fichier local dans BP Profile Search
BP Profile Search peut inclure un fichier local à partir d’une valeur de modèle contrôlée par le client dans une requête AJAX BuddyPress. Une inclusion de fichier PHP peut entraîner une exécution de code à distance dans certaines conditions.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Inclusion locale de fichier dans LifterLMS via le shortcode checkout
La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans LifterLMS, affectant les versions jusqu’à 10.3.1 incluse. Un utilisateur authentifié disposant au moins du niveau Instructor peut exploiter des attributs du shortcode `[lifterlms_checkout]` pour contrôler un chemin d’inclusion; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour LifterLMS dès qu’un correctif est disponible; limiter les privilèges des comptes Instructor et l’utilisation du shortcode concerné dans l’intervalle.
Divulgation du mot de passe de domaine dans FOG
FOG, avant la version 1.5.10.1870, peut divulguer à distance et sans authentification la valeur du mot de passe par défaut de jonction au domaine via l’endpoint adInfo(). La réponse expose le secret dans le champ JSON domainpass.
Action recommandée : Mettre à jour FOG vers la version 1.5.10.1870.
Contournement de limite de références dans svg-sanitizer
svg-sanitizer présente une faiblesse dans le traitement des références SVG avant la version 1.0.0. Des références imbriquées utilisant une casse mixte dans l’attribut xlink:href peuvent contourner la limite de nesting et exposer l’application qui affiche le SVG nettoyé à un épuisement de ressources.
Action recommandée : Mettre à jour svg-sanitizer vers la version 1.0.0.
XSS stockée dans Gallery Custom Links
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans Gallery Custom Links, affectant toutes les versions jusqu’à 2.3.3 incluse. L’attaque nécessite deux entrées coordonnées d’un même utilisateur authentifié disposant au moins du rôle d’abonné; aucun correctif n’est indiqué dans les éléments reçus.
Action recommandée : Mettre à jour Gallery Custom Links dès qu’un correctif est disponible; surveiller les commentaires et profils utilisateurs soumis par des comptes abonnés.
XSS réfléchie dans la page flagged_item de ClipBucket
ClipBucket v5 jusqu’à 5.5.3-#206 incluse présente une XSS réfléchie dans admin_area/flagged_item.php. Un lien spécialement construit peut déclencher du script dans l’origine du panneau d’administration lorsqu’un administrateur ou modérateur connecté le consulte.
Action recommandée : Mettre à jour ClipBucket dès qu’un correctif est disponible et éviter d’ouvrir des liens non fiables dans une session d’administration.
XSS réfléchie dans les paramètres de langue de ClipBucket
ClipBucket v5 jusqu’à 5.5.3-#206 incluse est affecté par une XSS réfléchie dans admin_area/language_settings.php. Un attaquant peut cibler un administrateur disposant de la permission basic_settings avec un lien dont le paramètre est répercuté dans un champ masqué.
Action recommandée : Mettre à jour ClipBucket dès qu’un correctif est disponible et éviter d’ouvrir des liens non fiables dans une session d’administration.
Inclusion de fichier local dans YOURLS
YOURLS, un raccourcisseur d’URL auto-hébergé écrit en PHP, présente une inclusion de fichier local avant la version 1.10.5. Un attaquant distant non authentifié peut exploiter une traversée de répertoires pour faire inclure un fichier PHP local déjà présent sur le serveur.
Action recommandée : Mettre à jour YOURLS vers la version 1.10.5.
XSS réfléchie dans le mode add_todo de ClipBucket
ClipBucket v5 jusqu’à 5.5.3-#206 incluse présente une XSS réfléchie dans admin_area/index.php, liée au paramètre val en mode add_todo. Une requête intersite POST sans protection CSRF peut amener un administrateur connecté à déclencher du script dans l’origine du panneau d’administration.
Action recommandée : Mettre à jour ClipBucket dès qu’un correctif est disponible.
WordPress
Vérification incomplète
Niveau relevé : Critique
Les éléments candidats datés du 2026-10-14 recensent dix vulnérabilités dans des extensions WordPress. La recherche a corroboré les informations de Booking Package, notamment la divulgation de données personnelles et le correctif signalé en version 1.7.30 ; pour les autres avis, les détails repris proviennent des fiches NVD candidates. Les versions corrigées et l’exploitation active ne sont pas établies ici pour la plupart des entrées. Les candidats fournis correspondent à des publications NVD datées du 14 octobre 2026 concernant dix vulnérabilités de plugins WordPress. Les informations disponibles décrivent notamment des exécutions de code à distance, des prises de contrôle de comptes, des injections SQL et des failles XSS; aucun correctif précis ni exploitation active confirmée n’est indiqué dans les éléments fournis. Les candidats fournis correspondent à onze fiches NVD publiées le 14 octobre 2026 concernant des vulnérabilités de plugins WordPress : XSS stockées, téléversement arbitraire de fichiers et injections SQL. Les données fournies ne précisent pas de versions correctives ni d’exploitation active connue. Dix fiches NVD relatives à des vulnérabilités de plugins WordPress ont été publiées le 14 octobre 2026 dans la période demandée. Les défauts signalés comprennent des expositions de données, des XSS stockées, des injections SQL, des contrôles d’accès insuffisants et des vérifications de paiement déficientes. Les candidats fournis recensent dix vulnérabilités WordPress publiées par le NVD le 14 octobre 2026 : défauts d’autorisation et d’accès aux données, ainsi que vulnérabilités d’injection/XSS touchant des extensions. Les versions correctives indiquées sont celles rapportées dans les descriptions des candidats. Dix fiches NVD relatives à des extensions WordPr…
Contournement d’authentification dans Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce permet le contournement de l’authentification à partir de jetons de récupération de panier forgés, pouvant conduire à la prise de contrôle d’un compte. La description indique que des attaquants non authentifiés ayant accès à un lien de récupération légitime peuvent viser des comptes d’utilisateurs ayant abandonné un panier.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Injection SQL dans le panier persistant de Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce présente une injection SQL dans le traitement du panier persistant invité. La donnée injectée peut affecter la table des métadonnées utilisateur; la description signale qu’elle pourrait notamment permettre de modifier des métadonnées de compte.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Téléversement arbitraire de fichiers dans JTL-Connector for WooCommerce
JTL-Connector for WooCommerce accepte une valeur jtlauth vide comme identifiant valide et valide insuffisamment le type des fichiers envoyés, permettant le téléversement non authentifié de fichiers potentiellement exécutables. Toutes les versions jusqu’à 2.4.3 incluse sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée.
Action recommandée : Désactiver le connecteur jusqu’à disponibilité d’un correctif ; vérifier les fichiers récemment téléversés et l’intégrité du serveur.
Téléversement arbitraire de fichier dans Snazzy Social Media Feed
Snazzy Social Media Feed permet l’écriture d’un fichier potentiellement exécutable dans son cache à partir du paramètre pluginURL, sans contrôles WordPress suffisants. Un attaquant authentifié disposant au moins du rôle Abonné peut ainsi provoquer une exécution de code à distance.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Exécution de code à distance dans le plugin WordPress AGE-GATE
Le plugin AGE-GATE présente une exécution de code à distance non authentifiée via son point d’entrée admin.php et des paramètres POST non assainis. Toutes les versions jusqu’à 1.0 incluse sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Action recommandée : Désactiver et supprimer le plugin jusqu’à disponibilité d’un correctif ; vérifier le serveur pour détecter d’éventuelles modifications non autorisées.
Exécution arbitraire de shortcodes dans Click to Chat for WhatsApp
Click to Chat for WhatsApp peut transmettre à l’interpréteur de shortcodes une valeur issue de l’URL de la requête sur les pages d’archives. Cela permet à un attaquant non authentifié de déclencher des shortcodes disponibles sur le site.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
SimpleForm : création non authentifiée de comptes administrateurs
SimpleForm permet à un attaquant non authentifié de créer un compte WordPress avec des privilèges d’administrateur. Toutes les versions jusqu’à 3.10.0 inclus sont concernées ; les données fournies ne précisent pas de version corrigée.
Action recommandée : Désactiver le plugin ou l’inscription vulnérable jusqu’à disponibilité d’un correctif, puis installer la version corrigée dès sa publication.
Suppression arbitraire de fichiers via File Upload to Order
File Upload to Order ne valide pas et ne confine pas un chemin de fichier issu de données de session contrôlées par un attaquant avant de supprimer le fichier. L’action de suppression est accessible sans authentification et peut permettre la suppression de fichiers arbitraires sur le serveur, avec un risque de compromission complète du site.
Action recommandée : Mettre à jour File Upload to Order vers la version 1.1.4 ou ultérieure.
Injection SQL dans Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce présente une injection SQL via le paramètre validate. La fiche indique qu’un attaquant non authentifié peut exploiter l’insuffisance d’échappement et de préparation de la requête pour extraire des données sensibles.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Injection SQL dans JTL-Connector for WooCommerce
JTL-Connector for WooCommerce présente une injection SQL temporelle non authentifiée sur le point de liaison d’identité product.push. Sont concernées les versions jusqu’à 2.4.3 incluse ; aucune version corrigée ni mesure de contournement n’est précisée dans la source.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; envisager de désactiver temporairement le connecteur si aucune mesure de protection n’est possible.
Escalade de privilèges dans Membership & User Roles for WooCommerce
Le plugin Membership & User Roles for WooCommerce peut réattribuer un rôle auparavant révoqué, y compris le rôle Administrateur, à un utilisateur authentifié. Le scénario décrit exige notamment que le compte ait auparavant reçu ce rôle et que le mode Replace Roles soit activé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, examiner les comptes et rôles affectés et désactiver le mode Replace Roles si cela convient à l’usage.
Inclusion de fichier local dans BP Profile Search
BP Profile Search peut inclure un fichier local à partir d’une valeur de modèle contrôlée par le client dans une requête AJAX BuddyPress. Une inclusion de fichier PHP peut entraîner une exécution de code à distance dans certaines conditions.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Inclusion locale de fichier dans LifterLMS via le shortcode checkout
La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans LifterLMS, affectant les versions jusqu’à 10.3.1 incluse. Un utilisateur authentifié disposant au moins du niveau Instructor peut exploiter des attributs du shortcode `[lifterlms_checkout]` pour contrôler un chemin d’inclusion; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour LifterLMS dès qu’un correctif est disponible; limiter les privilèges des comptes Instructor et l’utilisation du shortcode concerné dans l’intervalle.
XSS stockée dans le plugin WordPress NewStatPress
NewStatPress contient une XSS stockée exploitable sans authentification via QUERY_STRING/REQUEST_URI, dans les pages publiques utilisant le shortcode [NewStatPress type="Top Pages"]. Sont concernés les versions jusqu’à 1.4.5 incluse ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; à défaut, désactiver le plugin ou retirer le shortcode des pages publiques.
XSS stockée dans le plugin WordPress Document Gallery
Document Gallery présente une XSS stockée via le corps d’une requête à l’action dg_thumber_webhook, exploitable sans authentification lorsque la journalisation du plugin est activée. Les versions jusqu’à 5.1.1 incluse sont concernées ; la source ne précise pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible et désactiver la journalisation si elle n’est pas nécessaire.
Booking Package : divulgation non autorisée des données des clients
Le plugin Booking Package pour WordPress jusqu’à la version 1.7.29 permettait à des visiteurs non authentifiés de contourner l’autorisation et d’accéder aux données personnelles des clients ayant réservé, notamment leurs coordonnées et jetons d’annulation. La fiche NVD indique une publication le 2026-10-14 ; aucune version corrigée ni mesure de contournement n’est précisée dans les éléments fournis.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est indiquée dans la source fournie.
Bit Integrations : prise de contrôle de compte administrateur via la réexécution d’un journal
Le plugin Bit Integrations pour WordPress jusqu’à la version 2.10.6 incluse présente une faille de réexécution de journaux pouvant permettre à un attaquant non authentifié de modifier le mot de passe d’un administrateur. L’attaque dépend d’une configuration particulière d’un flux et de la réexécution ultérieure par un administrateur d’une entrée de journal produite par une soumission anonyme ; aucune version corrigée ni mesure de contournement n’est précisée dans les éléments fournis.
Action recommandée : Examiner les flux configurés et éviter la réexécution de journaux issus de soumissions anonymes jusqu’à disponibilité d’un correctif ; aucune version corrigée n’est indiquée dans la source fournie.
Contournement d’autorisation dans Directorist
Directorist ne vérifie pas correctement l’autorisation de l’utilisateur avant la suppression d’annonces du répertoire. Un utilisateur authentifié disposant au moins du rôle Abonné peut supprimer des annonces appartenant à d’autres utilisateurs, y compris publiées, en brouillon ou privées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
XSS stockée dans AnyComment
AnyComment stocke une valeur email non assainie via son endpoint REST public et l’affiche sans échappement dans l’administration. Un attaquant non authentifié peut ainsi injecter du script qui s’exécute lorsqu’un administrateur consulte la page des abonnements.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
XSS stockée dans le plugin WordPress Contact Form DB for Enfold
Contact Form DB for Enfold présente une XSS stockée dans les valeurs de champs de formulaire, exploitable sans authentification. Sont concernées les versions jusqu’à 2.0.2 incluse ; la source ne précise ni version corrigée ni contournement.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; désactiver le plugin si les formulaires concernés sont exposés.
WordPress Cryptocurrency Donation Box : XSS stockée exploitable sans authentification
Le plug-in Cryptocurrency Donation Box – Bitcoin & Crypto Donations pour WordPress présente une XSS stockée via le paramètre data_object, due à une validation des entrées et à un échappement des sorties insuffisants. Le défaut permet à des attaquants non authentifiés d’injecter des scripts qui s’exécutent lorsqu’une page modifiée est consultée ; la fiche indique que les versions jusqu’à 2.2.13 inclus sont touchées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.
XSS stockée et contournement d’authentification dans Verified Reviews
Verified Reviews (Avis Vérifiés) présente une XSS stockée via le paramètre moderation, exploitable sans authentification. Une vérification de signature par comparaisons non strictes permet de contourner l’authentification ; aucune version corrective n’est indiquée dans les données fournies.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, envisager sa désactivation.
Injection SQL aveugle dans Form Maker by 10Web
Form Maker by 10Web est vulnérable à une injection SQL aveugle via le paramètre inputs, exploitable sans authentification. Le nonce nécessaire est publié sur les pages publiques qui affichent un formulaire ; aucune version corrective n’est indiquée dans les données fournies.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, envisager sa désactivation.
XSS stockée dans Smart Forms
Smart Forms est vulnérable à une XSS stockée via le paramètre formString, sans authentification dans la configuration par défaut. Le contrôle par nonce n’est appliqué que lorsque l’option smart_forms_block_anonymous_submissions est activée ; aucune version corrective n’est indiquée dans les données fournies.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, envisager sa désactivation.
Injection SQL dans Gmedia Photo Gallery
Gmedia Photo Gallery présente une injection SQL temporelle via le paramètre gmedia__in, exploitable sans compte ni session. Le point d’entrée de l’application mobile ne vérifie ni l’activation de la fonctionnalité, ni un nonce, ni l’authentification WordPress ; aucune version corrective n’est indiquée.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, envisager sa désactivation.
XSS stockée dans FV Flowplayer Video Player
FV Flowplayer Video Player est affecté par une XSS stockée liée à l’attribut de shortcode synopsis. L’exploitation par un visiteur non authentifié nécessite l’activation de parse_comments et l’utilisation de l’attribut liststyle avec la valeur season ; aucune version corrective n’est indiquée.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, désactiver parse_comments ou envisager la désactivation du plugin.
NewStatPress : XSS stockée via les référents
NewStatPress jusqu’à la version 1.4.5 incluse présente une vulnérabilité XSS stockée dans le bloc « Last referrers » de la page d’administration Overview. Des données de référent contrôlées par un visiteur peuvent entraîner l’exécution de scripts lorsque des utilisateurs privilégiés consultent la page et survolent le lien injecté.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’accès à l’administration aux utilisateurs de confiance.
LatePoint : prise de contrôle possible d’un compte client
LatePoint présente un contournement d’authentification pouvant permettre à un utilisateur authentifié avec un rôle de niveau Subscriber ou supérieur de prendre le contrôle du compte client d’une autre personne dans certaines conditions. Les versions jusqu’à 5.7.2 inclus sont affectées lorsque l’option d’utilisation des comptes WordPress comme clients est activée ; aucune version corrective n’est indiquée dans le candidat fourni.
Action recommandée : Désactiver l’option « Use WordPress users as customers » si elle est activée et appliquer une mise à jour corrective dès sa disponibilité.
LatePoint : accès non autorisé aux réservations et paniers
LatePoint expose des données de réservations et de paniers d’autres clients par des routes publiques qui acceptent des identifiants sans contrôle de propriété adéquat. Les versions jusqu’à 5.7.3 inclus sont affectées ; aucune version corrective n’est précisée dans le candidat fourni.
Action recommandée : Mettre à jour LatePoint dès qu’une version corrective est disponible et limiter l’exposition des routes publiques concernées.
ShopMagic : inclusion de fichier local et exécution de code PHP
ShopMagic présente une inclusion de fichier local pouvant permettre à un attaquant non authentifié d’inclure et d’exécuter des fichiers PHP sur le serveur, sous certaines conditions. Toutes les versions jusqu’à 4.9.0 inclus sont concernées ; le candidat fourni ne précise pas de version corrective.
Action recommandée : Mettre à jour ShopMagic dès qu’une version corrective est disponible ; examiner les recettes publiées qui utilisent le placeholder concerné.
Injection d’objets PHP dans Post Export Import with Media
La fiche NVD publiée le 14 octobre 2026 signale une injection d’objets PHP dans Post Export Import with Media, affectant toutes les versions jusqu’à 1.17.1 incluse. L’exploitation requiert un compte administrateur et son impact dépend de la présence d’une chaîne POP dans un autre composant; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; vérifier les extensions et thèmes installés susceptibles de fournir une chaîne POP.
Inclusion locale de fichier dans Mang Board
La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans Mang Board, affectant toutes les versions jusqu’à 2.4.3 incluse. La description signale qu’un attaquant non authentifié peut provoquer l’inclusion de fichiers PHP via le rendu d’un shortcode public; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour Mang Board dès qu’un correctif est disponible; limiter l’exposition des pages utilisant le shortcode public concerné et surveiller les requêtes suspectes.
XSS stockée non authentifiée dans Record of Consent Extension for Complianz
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans Record of Consent Extension for Complianz, affectant toutes les versions jusqu’à 2.5 incluse. La description indique que l’attaque est possible sans authentification, car le nonce est exposé aux visiteurs et le chemin d’écriture ne vérifie ni capacité ni rôle; aucun correctif n’est fourni dans les éléments reçus.
Action recommandée : Mettre à jour l’extension dès qu’un correctif est disponible; surveiller les contenus enregistrés et limiter l’exposition de l’extension dans l’intervalle.
Mang Board : script intersite stocké via user_name
Mang Board présente une faille de script intersite stocké via le paramètre user_name, exploitable sans authentification. Les versions jusqu’à 2.4.3 inclus sont concernées ; aucune version corrigée n’est indiquée dans les données fournies.
Action recommandée : Désactiver le plugin ou limiter l’exposition des fonctionnalités concernées jusqu’à disponibilité d’un correctif, puis mettre à jour.
FV Flowplayer Video Player : téléversement de fichiers insuffisamment contrôlé
FV Flowplayer Video Player présente une validation insuffisante du type de fichier lors du téléversement. Toutes les versions jusqu’à 7.5.54.7212 inclus sont concernées ; mettez à jour vers une version corrigée dès sa disponibilité et vérifiez le réglage Profile Videos on Bio.
Action recommandée : Désactiver « profile videos on bio » si cette fonction n’est pas nécessaire et installer une version corrigée dès sa disponibilité.
Walletdoc Payment Gateway : injection SQL et validation de paiement insuffisante
Walletdoc Payment Gateway for WooCommerce avant la version 1.8.5 ne protège pas correctement une requête SQL et utilise par défaut un secret de signature de webhook vide. Un attaquant non authentifié peut ainsi provoquer une injection SQL et faire marquer arbitrairement des commandes comme payées.
Action recommandée : Mettre à jour vers la version 1.8.5 ou une version ultérieure.
XSS stockée dans WP Booking System
WP Booking System stocke puis affiche dans une page d’administration une valeur de requête contrôlable par le client sans la nettoyer ni l’échapper correctement. Un attaquant non authentifié peut ainsi provoquer une XSS stockée lorsque l’administrateur consulte les données concernées.
Action recommandée : Mettre à jour WP Booking System vers la version 2.1.0.1 ou ultérieure.
Forms : injection de script dans l’écran d’administration des soumissions
Forms ne nettoie pas les valeurs soumises avant leur stockage et ne les échappe pas sur l’écran d’administration des soumissions. Un attaquant non authentifié peut ainsi injecter un script exécuté dans le navigateur de tout administrateur consultant ces soumissions; mettre à jour vers la version 3.0.2 ou ultérieure.
Action recommandée : Mettre à jour Forms vers la version 3.0.2 ou ultérieure.
Inclusion et lecture de fichiers locaux dans Ultimate Multisite
Ultimate Multisite ne valide pas une valeur fournie par l’utilisateur qui sert à sélectionner un fichier à inclure. Un attaquant non authentifié peut ainsi inclure et lire des fichiers locaux arbitraires, dont le fichier de configuration de WordPress.
Action recommandée : Mettre à jour Ultimate Multisite vers la version 2.17.2 ou ultérieure.
affiliate-toolkit : exécution de code PHP via un modèle fourni par un utilisateur
Dans affiliate-toolkit, un utilisateur ayant au moins le rôle Contributor peut fournir un modèle que le moteur de rendu embarqué compile et exécute comme du PHP. Mettre à jour le plugin vers la version 3.9.1 ou ultérieure.
Action recommandée : Mettre à jour affiliate-toolkit vers la version 3.9.1 ou ultérieure.
Hyyan WooCommerce Polylang Integration : injection SQL
Hyyan WooCommerce Polylang Integration jusqu’à la version 1.5.0 incluse est vulnérable à une injection SQL via l’action AJAX woocommerce_remove_variations. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut potentiellement extraire des informations sensibles de la base de données.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes authentifiés aux rôles et permissions nécessaires.
CodeAtoZ B2B Suite : accès indu aux devis d’invités
CodeAtoZ B2B Suite for WooCommerce avant la version 1.6.1 ne contrôle pas suffisamment l’accès aux devis soumis en tant qu’invité. Un utilisateur non authentifié peut consulter le devis d’un autre invité en fournissant un identifiant énumérable, avec des données telles que son nom, son adresse e-mail et les articles demandés.
Action recommandée : Mettre à jour vers la version 1.6.1 ou une version ultérieure.
Trust Payments Gateway for WooCommerce : commandes validées sans paiement
Trust Payments Gateway for WooCommerce ne vérifie pas l’authenticité de la réponse renvoyée après un paiement hébergé, ne la lie pas à la commande visée et ne contrôle pas le montant. Un attaquant non authentifié peut marquer des commandes comme payées sans paiement et obtenir des détails de commande et de client; mettre à jour vers la version 3.1.0 ou ultérieure.
Action recommandée : Mettre à jour Trust Payments Gateway for WooCommerce vers la version 3.1.0 ou ultérieure.
Product Feed for WooCommerce Merchant : secret de boutique remplaçable sans authentification
Une action AJAX de Product Feed for Google Shopping, Microsoft Advertising and 40+ Channels for WooCommerce Merchant ne comporte ni vérification de nonce ni contrôle de capacité. Tout visiteur peut forcer la réinscription de la boutique et remplacer le secret stocké du service; mettre à jour vers la version 5.3.2 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 5.3.2 ou ultérieure.
Asaas Gateway for WooCommerce : validation insuffisante du webhook de paiement
Le webhook de paiement d’Asaas Gateway for WooCommerce n’authentifie pas correctement les notifications et ne vérifie pas que le paiement confirmé correspond à la commande. Avant la version 2.7.8, un attaquant non authentifié peut ainsi faire marquer arbitrairement des commandes comme payées.
Action recommandée : Mettre à jour le plugin vers la version 2.7.8 ou ultérieure.
Paymentfor Gateway for WooCommerce : fausses notifications de paiement
Paymentfor Gateway for WooCommerce ne vérifie pas l’authenticité des notifications de paiement entrantes avant de marquer une commande comme payée. Les versions antérieures à 1.0.6 sont concernées ; mettre à jour vers la version 1.0.6 ou ultérieure.
Action recommandée : Mettre à jour Paymentfor Gateway for WooCommerce vers la version 1.0.6 ou ultérieure.
Cart Abandonment Recovery : altération des données de panier abandonné
Cart Abandonment Recovery for WooCommerce ne vérifie pas que l’utilisateur possède l’adresse e-mail utilisée pour sélectionner une donnée de panier abandonné avant de la supprimer ou de la modifier. Les versions antérieures à 2.1.4 sont concernées ; mettre à jour vers la version 2.1.4 ou ultérieure.
Action recommandée : Mettre à jour Cart Abandonment Recovery for WooCommerce vers la version 2.1.4 ou ultérieure.
Visma Pay for WooCommerce : validation insuffisante des retours de paiement
Visma Pay for WooCommerce ne vérifie pas correctement l’authenticité des retours de la passerelle de paiement. Les versions antérieures à 1.2.2 sont concernées ; mettez le plugin à jour et renseignez les identifiants marchands requis.
Action recommandée : Mettre à jour vers la version 1.2.2 ou ultérieure et configurer les identifiants marchands.
Avada Builder : exposition de données utilisateur
Le plugin Avada (Fusion) Builder jusqu’à la version 3.16.1 incluse expose des valeurs arbitraires de métadonnées utilisateur, dont des données personnelles WooCommerce, à des visiteurs non authentifiés. La fiche NVD publiée pendant la période décrit la vulnérabilité, mais ne fournit pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du shortcode concerné en attendant.
XSS stockée dans Gallery Custom Links
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans Gallery Custom Links, affectant toutes les versions jusqu’à 2.3.3 incluse. L’attaque nécessite deux entrées coordonnées d’un même utilisateur authentifié disposant au moins du rôle d’abonné; aucun correctif n’est indiqué dans les éléments reçus.
Action recommandée : Mettre à jour Gallery Custom Links dès qu’un correctif est disponible; surveiller les commentaires et profils utilisateurs soumis par des comptes abonnés.
XSS stockée dans le plugin WordPress Directorist
Directorist présente une XSS stockée via le champ de téléphone d’une annonce, exploitable par un utilisateur authentifié disposant au minimum d’un rôle abonné. Les versions jusqu’à 8.10.2.1 incluse sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; limiter les rôles autorisés à publier des annonces et modérer les annonces soumises.
XSS réfléchie dans le plugin WordPress Tutor LMS
Tutor LMS est affecté par une XSS réfléchie via le paramètre tab, exploitable sans authentification si un utilisateur est amené à suivre un lien piégé. Sont concernées les versions jusqu’à 4.1.0 incluse ; la source ne précise pas de version corrigée ni de contournement.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; en attendant, éviter les pages de leçon correspondant aux conditions décrites.
XSS stockée dans le plugin WordPress Countdown Timer – Widget Countdown
Countdown Timer – Widget Countdown est affecté par une XSS stockée dans l’attribut de shortcode redirect_url, exploitable par un utilisateur authentifié ayant au moins le rôle contributeur. Sont concernées les versions jusqu’à 3.0.1 incluse ; la source ne précise pas de correctif ni de contournement.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; limiter les droits de création de contenu et examiner les shortcodes concernés.
Booking Package : XSS stockée via le paramètre « id »
Le plugin Booking Package pour WordPress jusqu’à la version 1.7.29 incluse présente une faille de XSS stockée via le paramètre « id », exploitable par un utilisateur authentifié disposant au moins du rôle Contributor. Le défaut permet l’injection de scripts qui s’exécutent lorsqu’un utilisateur consulte la page affectée ; les éléments fournis ne précisent ni version corrigée ni contournement.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; aucune version corrigée n’est indiquée dans la source fournie.
Suppression arbitraire de fichiers dans CFDB7
CFDB7 peut supprimer un fichier arbitraire à partir de données de soumission stockées, sans vérifier que le fichier appartient à la soumission concernée. La description fournie indique qu’un attaquant non authentifié peut injecter un champ multipartie façonné pour atteindre ce traitement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
XSS stockée dans FV Player 8
FV Player 8 est affecté par une XSS stockée dans l’attribut de shortcode synopsis. L’attaque nécessite généralement un compte de niveau contributeur ou supérieur, mais peut aussi concerner les visiteurs anonymes si le traitement des liens Vimeo et YouTube dans les commentaires est activé ; aucune version corrective n’est précisée.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, désactiver le traitement concerné ou le plugin.
XSS stockée dans PO/MO Editor
PO/MO Editor présente une XSS stockée via le paramètre podata, accessible à des utilisateurs authentifiés disposant au moins du rôle d’abonné. Le contenu injecté est chargé comme fichier de traduction de remplacement ; aucune version corrective n’est indiquée dans les données fournies.
Action recommandée : Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, limiter les comptes à privilèges réduits et envisager la désactivation.
GetSocial.io : XSS stockée dans les réglages
Social Share Buttons & Analytics Plugin – GetSocial.io jusqu’à la version 4.5 incluse présente une XSS stockée déclenchée par le paramètre response. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut injecter un script qui s’exécute lorsqu’un administrateur visite les réglages GetSocial.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; restreindre l’accès aux comptes ayant des privilèges d’écriture.
Final Tiles Grid : XSS stockée dans un script intégré
Le plug-in Image Photo Gallery Final Tiles Grid pour WordPress ne neutralise pas certaines valeurs de configuration de galerie avant de les insérer dans un script intégré à la page. Un utilisateur ayant au moins le rôle de contributeur peut ainsi stocker du JavaScript qui s’exécute dans le navigateur des visiteurs de la galerie, y compris celui des administrateurs ; les versions antérieures à 3.6.15 sont concernées.
Action recommandée : Mettre à jour le plug-in vers la version 3.6.15 ou ultérieure.
Rank Math SEO : suppression non autorisée des données d’analyse
Rank Math SEO avant la version 1.0.280 ne vérifie pas les capacités de l’utilisateur ni un nonce avant d’effacer ses données d’analyse SEO. Un attaquant non authentifié peut donc supprimer ces données stockées.
Action recommandée : Mettre à jour vers la version 1.0.280 ou une version ultérieure.
XSS stockée dans Schedule Post Changes With PublishPress Future
Le plugin WordPress Schedule Post Changes With PublishPress Future ne neutralise pas correctement du contenu contrôlé par l’utilisateur dans un attribut de shortcode, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’enregistrer du JavaScript exécuté lorsqu’un utilisateur privilégié consulte le contenu. Mettre à jour vers la version 4.10.6 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 4.10.6 ou ultérieure.
CamPay Shortcode Payment Gateway : confirmations de paiement non vérifiées
CamPay Shortcode Payment Gateway avant la version 1.7 ne vérifie pas l’authenticité des confirmations de paiement Mobile Money et se fie à des paramètres contrôlés par le client. Un attaquant non authentifié peut falsifier l’état de paiement, détruire des enregistrements de paiement légitimes et ajouter des métadonnées du plugin à des publications arbitraires.
Action recommandée : Mettre à jour vers la version 1.7 ou une version ultérieure.
WP Data Access : contrôle d’autorisation insuffisant sur un point d’accès REST
Une vérification d’autorisation insuffisante sur un point d’accès REST permet à un attaquant non authentifié de modifier des données dans une application accessible en lecture anonyme, même si les mises à jour ont été désactivées par l’administrateur. Mettre à jour WP Data Access vers la version 5.5.77 ou ultérieure.
Action recommandée : Mettre à jour WP Data Access vers la version 5.5.77 ou ultérieure.
WP Data Access : export non autorisé de tables affichées publiquement
L’action d’export de tables de la base de données n’est pas réservée aux utilisateurs autorisés et repose sur un jeton présent dans les pages publiques affichant une table. Un attaquant non authentifié peut ainsi exporter le contenu complet d’une table affichée publiquement, y compris les colonnes et lignes masquées aux visiteurs ; mettre à jour WP Data Access vers la version 5.5.84 ou ultérieure.
Action recommandée : Mettre à jour WP Data Access vers la version 5.5.84 ou ultérieure.
NEX-Forms : modification non autorisée d’entrées de formulaire
NEX-Forms ne vérifie ni les autorisations, ni la propriété de l’entrée, ni la validité de la requête avant de modifier des réponses de formulaire enregistrées. Un attaquant non authentifié peut écraser, effacer, réattribuer ou compléter une entrée en connaissant son identifiant séquentiel ; mettre à jour vers la version 9.3.1 ou ultérieure.
Action recommandée : Mettre à jour NEX-Forms vers la version 9.3.1 ou ultérieure.
Contrôle d’autorisation insuffisant dans Classified Listing
Classified Listing ne vérifie pas que l’utilisateur qui effectue une requête de galerie est propriétaire de l’annonce ciblée ou autorisé à la modifier. Un utilisateur authentifié avec un compte de niveau abonné peut donc modifier, corrompre ou supprimer des pièces jointes de la médiathèque appartenant à d’autres utilisateurs.
Action recommandée : Mettre à jour Classified Listing vers la version 6.1.1 ou ultérieure.
Modification non autorisée des réglages de LTL Freight Quotes
LTL Freight Quotes expose une route REST qui écrit dans la base de données sans contrôle d’autorisation ni validation. Un utilisateur non authentifié peut modifier certains réglages stockés de l’extension.
Action recommandée : Mettre à jour LTL Freight Quotes vers la version 4.2.19 ou ultérieure.
Injection de contenu affiché aux visiteurs dans LTL Freight Quotes
LTL Freight Quotes ne vérifie pas les autorisations et n’assainit pas certaines valeurs de requête avant de les stocker. Un utilisateur non authentifié peut injecter du HTML et des liens qui seront affichés aux visiteurs de la vitrine.
Action recommandée : Mettre à jour LTL Freight Quotes vers la version 4.2.19 ou ultérieure.
XSS stockée dans la configuration de galerie Final Tiles Grid
Image Photo Gallery Final Tiles Grid n’échappe pas les valeurs de configuration de la lightbox avant de les écrire dans un script intégré à la page, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’enregistrer du JavaScript exécuté par les visiteurs de la galerie. Mettre à jour vers la version 3.6.16 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 3.6.16 ou ultérieure.
Lecture non autorisée du journal d’activité de GamiPress
GamiPress ne contrôle pas les capacités ni la propriété des données dans une action AJAX authentifiée. Tout utilisateur authentifié, y compris un abonné, peut lire des entrées arbitraires du journal d’activité, notamment des soldes de points et des réalisations d’autres utilisateurs.
Action recommandée : Mettre à jour GamiPress vers la version 8.0.6 ou ultérieure.
rtMedia : téléversement possible dans l’album privé d’un autre utilisateur
rtMedia ne vérifie pas qu’un utilisateur possède l’album ciblé ou est autorisé à y déposer des fichiers. Avant la version 4.7.14, un utilisateur authentifié avec un rôle Subscriber ou supérieur peut placer un média dans l’album privé d’un autre utilisateur, avec attribution à celui-ci.
Action recommandée : Mettre à jour rtMedia vers la version 4.7.14 ou ultérieure.
Accès non autorisé aux journaux privés de GamiPress
GamiPress autorise incorrectement l’accès aux entrées privées du journal d’activité, qu’un utilisateur non authentifié peut récupérer. La fiche décrit cette faille comme une correction incomplète de CVE-2026-13450.
Action recommandée : Mettre à jour GamiPress vers la version 8.0.6 ou ultérieure.
WP Encryption : absence de contrôle sur la procédure de certificat
Une absence de vérification de capacité ou de nonce permet à un visiteur non authentifié de modifier la clé privée du certificat du site et les éléments d’une commande Let’s Encrypt en attente. Mettre à jour WP Encryption vers la version 7.8.8.2 ou ultérieure.
Action recommandée : Mettre à jour WP Encryption vers la version 7.8.8.2 ou ultérieure.
Sunshine Photo Cart : commentaires injectables dans des galeries restreintes
Sunshine Photo Cart ne vérifie pas qu’un visiteur est autorisé à accéder à une galerie restreinte avant d’accepter des commentaires sur ses images. Un attaquant non authentifié peut ainsi injecter du contenu et choisir un nom et une adresse électronique d’auteur; mettre à jour vers la version 3.7.4 ou ultérieure.
Action recommandée : Mettre à jour Sunshine Photo Cart vers la version 3.7.4 ou ultérieure.
EmbedPress : appels API et entrées de cache contrôlables sans authentification
Une requête non authentifiée vers EmbedPress peut déclencher un appel serveur à une API tierce avec les identifiants du site et enregistrer des entrées de cache contrôlées par l’attaquant. Cela permet notamment de consommer le quota de l’API et d’accumuler des données dans la base; mettre à jour vers la version 4.6.8 ou ultérieure.
Action recommandée : Mettre à jour EmbedPress vers la version 4.6.8 ou ultérieure.
FV Flowplayer Video Player : SSRF via validation insuffisante d’URL
FV Flowplayer Video Player valide insuffisamment une URL fournie par l’utilisateur avant d’effectuer une requête côté serveur, ce qui permet une SSRF aux utilisateurs ayant au moins le rôle Contributor. Le résultat est limité à un oracle semi-aveugle indiquant si une ressource interne répond et son statut HTTP; mettre à jour vers la version 7.5.55.7212 ou ultérieure.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.55.7212 ou ultérieure.
Pricing Table : script stocké via un lien de bloc non validé
Pricing Table ne valide pas le schéma d’un lien soumis dans un bloc avant son affichage, ce qui permet à un utilisateur ayant au moins le rôle Contributor d’y stocker un script malveillant. Celui-ci peut s’exécuter lorsqu’un autre utilisateur consulte et manipule le contenu; mettre à jour vers la version 2.1.5 ou ultérieure.
Action recommandée : Mettre à jour Pricing Table vers la version 2.1.5 ou ultérieure.
Sifalo Pay : modification non autorisée de l’état et des métadonnées de commande
Sifalo Pay ne vérifie pas que l’utilisateur est autorisé à modifier la commande lors du traitement d’un retour de paiement. Avant la version 2.5.3, un attaquant non authentifié peut écrire des métadonnées de session de paiement sur n’importe quelle commande et faire passer en échec celles en attente de paiement.
Action recommandée : Mettre à jour Sifalo Pay vers la version 2.5.3 ou ultérieure.
Sifalo Pay : confirmation indue de commandes à partir d’un identifiant de transaction
Sifalo Pay ne vérifie pas que l’identifiant de transaction appartient à la commande confirmée ni que le demandeur en est propriétaire. Avant la version 2.5.3, un attaquant non authentifié disposant d’un identifiant de transaction valide issu de son propre paiement peut faire marquer comme payées des commandes en attente qui ne lui appartiennent pas.
Action recommandée : Mettre à jour Sifalo Pay vers la version 2.5.3 ou ultérieure.
AWP Classifieds : divulgation de l’adresse e-mail privée d’une annonce
AWP Classifieds ne vérifie pas correctement le droit d’accès à une annonce lorsqu’une transaction de paiement est référencée, permettant de contourner le contrôle de propriété et de lire l’adresse e-mail de contact privée associée. Les versions antérieures à 4.4.9 sont concernées ; mettre à jour vers la version 4.4.9 ou ultérieure.
Action recommandée : Mettre à jour AWP Classifieds vers la version 4.4.9 ou ultérieure.
PeproDev Branches Map : injection de scripts persistante
PeproDev Branches Map est vulnérable à une injection de scripts persistante en raison d’une validation des entrées et d’un échappement des sorties insuffisants. Toutes les versions jusqu’à 3.0.1 inclus sont concernées ; le candidat fourni ne précise pas de version corrective.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et mettre à jour dès qu’elle est disponible.
LatePoint : exposition de données sensibles de réservation
Le plugin LatePoint divulgue des données de réservation sensibles, notamment des notes internes et des informations de contact, à des utilisateurs authentifiés disposant au moins du rôle Abonné. La fiche publiée le 14 octobre indique que toutes les versions jusqu’à 5.7.3 inclus sont concernées ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible ; dans l’intervalle, limiter les comptes authentifiés et surveiller l’accès aux données de réservation.
Jeg Elementor Kit : contrôle d’accès insuffisant et exposition de données utilisateurs
Jeg Elementor Kit présente un défaut de contrôle d’accès permettant à des utilisateurs authentifiés disposant au moins du rôle Abonné d’énumérer les comptes du site et de rechercher des adresses électroniques. Les versions jusqu’à 3.2.19 inclus sont concernées ; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible et limiter les comptes authentifiés non indispensables.
XSS stockée dans Mang Board via le paramètre content
La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans Mang Board, via le paramètre `content`, affectant toutes les versions jusqu’à 2.4.3 incluse. Un attaquant authentifié disposant au moins d’un accès de niveau personnalisé peut injecter du script exécuté lorsqu’une page compromise est consultée; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour Mang Board dès qu’un correctif est disponible; dans l’intervalle, limiter les accès authentifiés non indispensables et surveiller les contenus soumis.
XSS stockée dans GeoDirectory via post_title
La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans GeoDirectory – WP Business Directory Plugin and Classified Listings Directory, affectant toutes les versions jusqu’à 2.8.190 incluse. Des utilisateurs authentifiés disposant au moins du rôle d’abonné peuvent injecter du script via `post_title`; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour GeoDirectory dès qu’un correctif est disponible; limiter les droits de publication et surveiller les titres soumis.
XSS stockée dans GeoDirectory via le titre des images
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans GeoDirectory – WP Business Directory Plugin and Classified Listings Directory, affectant toutes les versions jusqu’à 2.8.190 incluse. Des utilisateurs authentifiés disposant au moins du rôle d’abonné peuvent injecter du script via le titre contenu dans `post_images`; aucun correctif n’est indiqué dans les éléments reçus.
Action recommandée : Mettre à jour GeoDirectory dès qu’un correctif est disponible; limiter les droits de publication et surveiller les données de titres d’images soumises.
XSS stockée dans Meow Lightbox sous conditions
La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans Meow Lightbox, affectant toutes les versions jusqu’à 5.6.2 incluse. L’exploitation nécessite l’activation de l’option Output Buffering et un commentaire antérieur déjà approuvé par l’attaquant; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour Meow Lightbox dès qu’un correctif est disponible; dans l’intervalle, laisser Output Buffering désactivé si cette option n’est pas nécessaire.
WPCode : contournement du fonctionnement des snippets
WPCode ne vérifie pas correctement qu’une requête vise réellement l’écran de connexion avant d’activer son mode sécurisé pour les snippets. Les versions antérieures à 2.4.0 sont concernées ; installez la version 2.4.0 ou une version ultérieure.
Action recommandée : Mettre à jour WPCode vers la version 2.4.0 ou ultérieure.
WPForms Lite : soumission de formulaires payants sans paiement
WPForms Lite peut accepter des soumissions de formulaires payants sans vérifier côté serveur que le paiement PayPal Commerce a été effectué. Les versions antérieures à 2.0.2.2 sont concernées ; mettez le plugin à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour vers la version 2.0.2.2 ou ultérieure.
Tickera : validation insuffisante des notifications de paiement
Tickera ne vérifie pas correctement l’intégrité des notifications de paiement entrantes : la signature validée ne couvre ni la commande ni le montant. Les versions antérieures à 3.6.0.4 sont concernées ; installez cette version ou une version ultérieure.
Action recommandée : Mettre à jour vers la version 3.6.0.4 ou ultérieure.
Responsive Blocks : injection HTML dans les courriels de notification
Responsive Blocks n’échappe ni ne nettoie certaines valeurs envoyées par le bloc Form avant de les intégrer dans le courriel HTML de notification. Les versions antérieures à 2.3.0 sont concernées ; mettez le plugin à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour vers la version 2.3.0 ou ultérieure.
Robokassa pour WooCommerce : commandes susceptibles d’être forcées en échec
La passerelle Robokassa pour WooCommerce ne vérifie pas l’authenticité d’une notification de paiement avant de traiter la commande qu’elle désigne. Avant la version 1.9.0, un attaquant non authentifié peut faire passer des commandes en échec et les retirer de la file de traitement.
Action recommandée : Mettre à jour le plugin vers la version 1.9.0 ou ultérieure.
YITH WooCommerce Popup : suppression non autorisée de métadonnées d’articles
YITH WooCommerce Popup ne vérifie pas les capacités de l’utilisateur avant de supprimer des métadonnées d’articles. Avant la version 1.60.0, un utilisateur ayant le rôle Contributor ou supérieur peut supprimer des métadonnées arbitraires sur n’importe quel article, y compris ceux d’utilisateurs plus privilégiés.
Action recommandée : Mettre à jour YITH WooCommerce Popup vers la version 1.60.0 ou ultérieure.
XSS stockée via les icônes SVG de Gutenverse Form
Gutenverse Form ne désinfecte pas le balisage SVG d’icône enregistré dans les blocs de formulaire avant son insertion dans la page, ce qui permet à un utilisateur authentifié ayant le rôle Contributeur ou supérieur d’y stocker du JavaScript malveillant. Mettre à jour vers la version 3.0.11 ou ultérieure.
Action recommandée : Mettre à jour Gutenverse Form vers la version 3.0.11 ou ultérieure.
Fast Courier : injection SQL via une route REST non authentifiée
Fast Courier utilise une valeur non assainie dans une requête SQL sur une route REST accessible sans authentification. Avant la version 5.2.4, un attaquant non authentifié peut exploiter une injection SQL pour lire des données arbitraires de la base de données.
Action recommandée : Mettre à jour Fast Courier vers la version 5.2.4 ou ultérieure.
Tainacan : accès aux adresses du personnel via les routes REST de rapports
Les points de terminaison REST de rapports de Tainacan ne sont pas réservés aux utilisateurs disposant d’une capacité de gestion. Avant la version 1.4.0, tout utilisateur authentifié ayant le rôle Subscriber peut consulter les adresses électroniques du personnel du dépôt.
Action recommandée : Mettre à jour Tainacan vers la version 1.4.0 ou ultérieure.
Donation Thermometer : injection de gestionnaires d’événements via un shortcode
Donation Thermometer n’échappe pas une valeur de couleur fournie dans un attribut de shortcode avant de l’insérer dans le balisage de la légende. Avant la version 2.3.0, un utilisateur ayant le rôle Contributor ou supérieur peut injecter des gestionnaires d’événements exécutés lorsqu’une page est consultée.
Action recommandée : Mettre à jour Donation Thermometer vers la version 2.3.0 ou ultérieure.
WP 2FA : suppression intersite de configurations 2FA dans Multisite
Sur WordPress Multisite, un administrateur de site peut supprimer la configuration d’authentification à deux facteurs d’utilisateurs relevant d’autres sites, faute de contrôle de capacité au niveau de l’objet. Mettre à jour WP 2FA vers la version 4.2.0 ou ultérieure.
Action recommandée : Mettre à jour WP 2FA vers la version 4.2.0 ou ultérieure.
SellKit : manipulation du prix d’un produit lors du paiement
SellKit ne valide pas le prix d’un produit fourni par le client lorsque les totaux sont recalculés pendant le paiement. Avant la version 2.8.0, un attaquant non authentifié peut commander un produit achetable au prix de son choix.
Action recommandée : Mettre à jour SellKit vers la version 2.8.0 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée a été effectuée sur PrestaShop. Les avis du dépôt PrestaShop repérés sont datés du 18 août 2026 ou d’autres dates hors de la période demandée; aucun avis, correctif ou événement de sécurité répondant aux critères de la période figée n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle concernant Cockpit n’a été vérifié comme daté de la période demandée : du 2026-10-14T00:00:00+02:00 inclus au 2026-10-15T00:00:00+02:00 exclu. Les avis Cockpit repérés dans les résultats consultés portent des dates antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée sur CloudPanel n’a identifié aucun avis de sécurité, correctif de sécurité, CVE ni changement substantiel vérifiable daté de la période demandée. Les résultats consultés montrent notamment des tickets GitHub antérieurs à cette période, qui ne répondent donc pas au critère de date.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche web dédiée n’a pas fait ressortir de vulnérabilité, d’avis de sécurité, de correctif ni d’événement d’exploitation Uptime Kuma daté de la période demandée. Les avis repérés dans les résultats sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Aucune nouveauté MariaDB vérifiée comme publiée, corrigée, exploitée ou substantiellement mise à jour pendant la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les avis MariaDB cités parmi les candidats ont été publiés avant cette fenêtre; leur seule date de modification NVD indiquée dans le lot ne suffit pas à établir un changement substantiel daté de la période. Le candidat WeGIA ne concerne pas MariaDB, et les candidats OpenSSL et zlib sont hors sujet. L’avis Debian DLA-4835-1 annonce des correctifs de sécurité pour MariaDB et signale également une exposition excessive liée au packaging Debian. Les détails fournis ne nomment pas les CVE ni les versions corrigées.
Debian publie DLA-4835-1 pour MariaDB
Debian a publié l’avis DLA-4835-1 pour corriger plusieurs vulnérabilités dans MariaDB ; un attaquant authentifié pouvait provoquer un déni de service, obtenir un accès non autorisé en lecture ou potentiellement prendre le contrôle du serveur ou du cluster. L’avis signale aussi une exposition excessive du serveur liée à l’interaction entre les fichiers systemd amont et d’anciens outils de packaging Debian ; il ne précise pas dans les éléments fournis les CVE ni les versions corrigées.
Action recommandée : Appliquer la mise à jour Debian DLA-4835-1 pour MariaDB.
phpMyAdmin
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ni avis de sécurité phpMyAdmin daté de la période examinée n’a été vérifié dans les sources consultées. La recherche dédiée a notamment couvert les avis de sécurité du projet et son dépôt GitHub; cette conclusion est limitée à ces éléments vérifiés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Recherche web dédiée effectuée pour pgAdmin. La page officielle consultée affiche des avis publiés antérieurement, dont un avis daté du 11 mai 2026 ; sa mention « Last updated 14 Oct 2026 » ne suffit pas à établir une nouvelle vulnérabilité ou un changement substantiel pendant la période demandée. Aucun élément répondant aux critères de la période figée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, vulnérabilité nouvelle, exploitation ni correctif Virtualmin daté de la période demandée (du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00). Les résultats consultés renvoient à des éléments hors période ou sans caractère de sécurité établi.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, événement d’exploitation ni changement substantiel Webmin daté de la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Le candidat CVE-2025-67738 signale une mise à jour NVD dans cette période, mais les éléments consultés ne permettent pas d’établir qu’il s’agit d’un changement substantiel de sécurité plutôt que d’une modification administrative; il est donc exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée sur Vue.js a identifié un avis de sécurité GitHub publié le 2026-08-31, hors de la période demandée. Aucun avis, correctif ou événement de sécurité daté du 2026-10-14 n’a été vérifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée a relevé des avis Vite publiés le 6 octobre 2026, donc hors de la période demandée. Le candidat concerne une vulnérabilité publiée en décembre 2025 ; les éléments consultés ne permettent pas d’établir qu’une modification substantielle liée à cette vulnérabilité a eu lieu le 14 octobre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
Aucune nouveauté de sécurité Nuxt datée du 2026-10-14 n’a été vérifiée dans les sources consultées. Les avis Nuxt visibles dans ces sources portent des dates antérieures à la période demandée et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Vérification incomplète
Une source datée du 14 octobre 2026 rapporte une mise à jour de sécurité Next.js couvrant trois avis : deux critiques liés à l’exécution de code à distance et un avis élevé de déni de service. Les éléments consultés ne permettent pas d’établir les CVE ni les plages de versions affectées et corrigées propres à chacun des trois avis. Le candidat NVD fourni concerne une vulnérabilité publiée en 2025; sa seule mise à jour signalée dans la période est une modification administrative de la fiche, sans preuve d’un changement substantiel lié à la sécurité.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
React
Recherche du sujet effectuée
La recherche dédiée sur React n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif ni de changement substantiel concernant le projet React daté de la période demandée. Les candidats examinés concernent d’autres projets, ou des avis publiés hors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a identifié trois CVE Angular dont les fiches NVD indiquent une première publication le 2026-10-14 : deux vulnérabilités de déni de service en SSR et une perturbation d’onglet liée à Angular DevTools. Les avis Angular correspondants repérés sur GitHub portent des dates de publication antérieures à la période; l’inclusion des trois CVE repose donc sur leur date de première publication NVD fournie pour le 14 octobre. La mise à jour NVD de CVE-2025-40900 est exclue : les informations disponibles signalent une modification de fiche, sans changement substantiel démontré dans la période.
Déni de service par boucle infinie dans le rendu serveur Angular
Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone infinie dans le parseur DOM de rendu côté serveur d’Angular. Un attaquant distant non authentifié peut ainsi saturer un worker Node.js et perturber le traitement des requêtes ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour @angular/platform-server vers une version corrigée : 20.3.31, 21.2.23 ou 22.1.6.
Épuisement mémoire du rendu serveur Angular via l’analyse d’URL
Dans Angular, l’analyseur d’URL de @angular/router pouvait consommer une quantité disproportionnée de mémoire avec certains paramètres numériques lorsque le rendu côté serveur (SSR) était activé. Des requêtes répétées pouvaient épuiser le tas old-space et arrêter le worker SSR; les applications exclusivement côté client ne sont pas concernées.
Action recommandée : Mettre à niveau Angular vers la version corrigée correspondant à la branche utilisée; vérifier en particulier les déploiements SSR.
Validation insuffisante des messages dans Angular DevTools
Angular DevTools avant la version 1.21.1 ne vérifie pas suffisamment l’origine des messages runtime reçus par son service worker, ce qui peut permettre à un expéditeur non fiable d’agir sur un onglet ciblé et d’interrompre son exécution JavaScript. Mettre à jour l’extension vers la version 1.21.1 ; la description précise que le défaut ne permet ni exécution de code à distance ni accès aux données inter-origines.
Action recommandée : Mettre à jour Angular DevTools vers la version 1.21.1.
Astro
Recherche du sujet effectuée
La recherche dédiée sur Astro n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté dans la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les avis Astro repérés dans les résultats consultés portent des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Élevée
Trois fiches NVD concernant Angular et Angular DevTools portent une date de publication dans la période demandée. Les avis de sécurité du projet correspondants consultés sont antérieurs à cette période ; ils corroborent les vulnérabilités, mais ne constituent pas de nouveaux avis datés du 14 octobre.
Déni de service par boucle infinie dans le rendu serveur Angular
Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone infinie dans le parseur DOM de rendu côté serveur d’Angular. Un attaquant distant non authentifié peut ainsi saturer un worker Node.js et perturber le traitement des requêtes ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour @angular/platform-server vers une version corrigée : 20.3.31, 21.2.23 ou 22.1.6.
Épuisement mémoire du rendu serveur Angular via l’analyse d’URL
Dans Angular, l’analyseur d’URL de @angular/router pouvait consommer une quantité disproportionnée de mémoire avec certains paramètres numériques lorsque le rendu côté serveur (SSR) était activé. Des requêtes répétées pouvaient épuiser le tas old-space et arrêter le worker SSR; les applications exclusivement côté client ne sont pas concernées.
Action recommandée : Mettre à niveau Angular vers la version corrigée correspondant à la branche utilisée; vérifier en particulier les déploiements SSR.
Validation insuffisante des messages dans Angular DevTools
Angular DevTools avant la version 1.21.1 ne vérifie pas suffisamment l’origine des messages runtime reçus par son service worker, ce qui peut permettre à un expéditeur non fiable d’agir sur un onglet ciblé et d’interrompre son exécution JavaScript. Mettre à jour l’extension vers la version 1.21.1 ; la description précise que le défaut ne permet ni exécution de code à distance ni accès aux données inter-origines.
Action recommandée : Mettre à jour Angular DevTools vers la version 1.21.1.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Critique
Recherche web dédiée effectuée. Huit candidats liés à l’exécution ou au traitement de JavaScript ont été retenus : des XSS dans des extensions WordPress, deux injections de code JavaScript dans TeamPlus Messenger et un correctif du moteur NGINX JavaScript (njs). Les candidats Booking Package et SimpleForm ont été exclus car les descriptions fournies signalent respectivement un contournement d’autorisation exposant des données et une élévation de privilèges, sans vulnérabilité JavaScript comme objet principal. Dix fiches NVD publiées le 14 octobre 2026 portent sur des vulnérabilités de composants JavaScript ou d’applications utilisant JavaScript. Elles concernent notamment le déni de service en rendu Angular SSR et dans njs, l’épuisement mémoire, des injections HTML/JavaScript et des défauts d’interface de webview; les correctifs mentionnés sont indiqués par item lorsque fournis. Une nouvelle fiche NVD publiée pendant la période concerne une XSS stockée dans PAN-OS (CVE-2026-0316). Les autres candidats sont des modifications de fiches publiées antérieurement, sans élément fourni établissant un changement substantiel lié à la sécurité. Aucun événement admissible identifié dans ce lot pour JavaScript pendant la période. Les candidats sont des vulnérabilités publiées en décembre 2025 dont les fiches NVD ont été modifiées le 14 octobre 2026 ; les données fournies ne signalent pas de changement substantiel, de nouvel avis ni d’exploitation datée dans la période. Aucune nouveauté, aucun avis de sécurité ni changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats indiquent des vulnérabilités publiées en décembre 2025 et une mise à jour NVD le 14 octobre 2026, sans préciser de changement de sécurité substantiel ; une modification administra…
CVE-2026-104075 — TVU Networks : contournement d’authentification
Les appareils TVU Networks Receiver/Transceiver exécutant un firmware antérieur à 7.9 présentent un contournement d’authentification sur l’interface web de gestion. L’attaque peut obtenir une session administrative, notamment en contournant la validation JavaScript côté client; la fiche fournie ne documente toutefois qu’une mise à jour NVD le 2026-10-14, sans établir de changement substantiel ce jour-là.
Action recommandée : Mettre à niveau le firmware vers la version 7.9 ou ultérieure.
WordPress Cryptocurrency Donation Box : XSS stockée exploitable sans authentification
Le plug-in Cryptocurrency Donation Box – Bitcoin & Crypto Donations pour WordPress présente une XSS stockée via le paramètre data_object, due à une validation des entrées et à un échappement des sorties insuffisants. Le défaut permet à des attaquants non authentifiés d’injecter des scripts qui s’exécutent lorsqu’une page modifiée est consultée ; la fiche indique que les versions jusqu’à 2.2.13 inclus sont touchées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.
TeamPlus Messenger : injection de code via un lien piégé
TeamPlus Messenger présente une vulnérabilité d’injection de code permettant à un attaquant distant non authentifié de faire exécuter du JavaScript arbitraire après qu’un utilisateur a ouvert un lien spécialement conçu. Si l’utilisateur confirme ensuite un avertissement de sécurité Windows, l’attaquant peut exécuter du code avec les privilèges de cet utilisateur.
Action recommandée : Appliquer la mise à jour du fournisseur dès qu’elle est disponible ; éviter d’ouvrir des liens non fiables dans l’application.
TeamPlus Messenger : injection de code par contenu piégé
TeamPlus Messenger présente une vulnérabilité d’injection de code permettant à un attaquant distant non authentifié de faire exécuter du JavaScript arbitraire en incitant un utilisateur à interagir avec du contenu spécialement conçu. La confirmation d’un avertissement de sécurité Windows peut ensuite permettre l’exécution de code avec les privilèges de l’utilisateur.
Action recommandée : Appliquer la mise à jour du fournisseur dès qu’elle est disponible et éviter les contenus ou liens non fiables.
CVE-2025-71432 — Frappe ERPNext : XSS réfléchie
Frappe ERPNext avant 14.92.1 et dans la branche 15.x avant 15.83.0 présente une XSS réfléchie liée à une validation d’entrée insuffisante. La fiche a été publiée le 2026-10-12 et mise à jour le 2026-10-14, mais les éléments fournis ne précisent pas la nature du changement du 14 octobre; l’item n’est pas retenu comme nouveauté du bulletin.
Action recommandée : Mettre à niveau vers ERPNext 14.92.1 ou 15.83.0 selon la branche utilisée.
Incohérence de traitement des entités XML dans njs
Le module XML de NGINX JavaScript (njs) peut exposer de façon incohérente des attributs XML contenant des entités internes pendant la canonicalisation, de sorte que des attributs paraissent absents ou tronqués alors que la vérification de signature réussit. Dans des consommateurs XML signés affectés, cela peut contourner des contrôles de sécurité ; déterminer les versions touchées et les correctifs à partir des informations du fournisseur avant déploiement.
Action recommandée : Évaluer les consommateurs XML signés utilisant njs, vérifier les versions et correctifs auprès du fournisseur et éviter de se fier uniquement à la vérification de signature pour les contrôles concernés.
Déni de service par boucle infinie dans le rendu serveur Angular
Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone infinie dans le parseur DOM de rendu côté serveur d’Angular. Un attaquant distant non authentifié peut ainsi saturer un worker Node.js et perturber le traitement des requêtes ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour @angular/platform-server vers une version corrigée : 20.3.31, 21.2.23 ou 22.1.6.
Épuisement mémoire du rendu serveur Angular via l’analyse d’URL
Dans Angular, l’analyseur d’URL de @angular/router pouvait consommer une quantité disproportionnée de mémoire avec certains paramètres numériques lorsque le rendu côté serveur (SSR) était activé. Des requêtes répétées pouvaient épuiser le tas old-space et arrêter le worker SSR; les applications exclusivement côté client ne sont pas concernées.
Action recommandée : Mettre à niveau Angular vers la version corrigée correspondant à la branche utilisée; vérifier en particulier les déploiements SSR.
Markdown Preview Enhanced — appels de commandes non restreints depuis la webview
Markdown Preview Enhanced pour Visual Studio Code permet à du JavaScript déjà exécuté dans la webview d’appeler des commandes privilégiées de l’extension avec des arguments contrôlés par l’attaquant. L’exploitation dépend d’une voie distincte d’exécution de JavaScript dans la webview, mais le pont vers l’hôte de l’extension ne vérifie pas de liste d’autorisation ni le type des arguments.
Action recommandée : Mettre à niveau l’extension vers la version 0.8.30 ou ultérieure.
CVE-2026-108259 — Tina : injection de code dans le build d’aperçu
Avant Tina 3.0.0, @tinacms/cli pouvait incorporer une valeur de branche Git non fiable dans des littéraux de chaîne JavaScript générés, permettant l’injection de code lors d’un build d’aperçu. La fiche NVD a été mise à jour le 2026-10-14, mais les informations fournies n’établissent pas de changement substantiel ce jour-là; l’item n’est pas retenu comme nouveauté du bulletin.
Action recommandée : Mettre à niveau Tina vers la version 3.0.0 ou ultérieure.
Fuite mémoire du parseur XML njs sur erreur
Le moteur njs intégré ne libère pas un contexte du parseur libxml2 lorsque xml.parse() échoue, ce qui permet à un attaquant distant d’accumuler de la mémoire en envoyant des requêtes contenant du XML malformé. Cette croissance peut terminer des workers NGINX ou provoquer un déni de service ; les versions corrigées ne sont pas indiquées dans les données fournies.
Action recommandée : Consulter les avis du fournisseur pour identifier et appliquer les versions corrigées ; surveiller la consommation mémoire des workers NGINX.
Final Tiles Grid : XSS stockée dans un script intégré
Le plug-in Image Photo Gallery Final Tiles Grid pour WordPress ne neutralise pas certaines valeurs de configuration de galerie avant de les insérer dans un script intégré à la page. Un utilisateur ayant au moins le rôle de contributeur peut ainsi stocker du JavaScript qui s’exécute dans le navigateur des visiteurs de la galerie, y compris celui des administrateurs ; les versions antérieures à 3.6.15 sont concernées.
Action recommandée : Mettre à jour le plug-in vers la version 3.6.15 ou ultérieure.
XSS stockée dans Schedule Post Changes With PublishPress Future
Le plugin WordPress Schedule Post Changes With PublishPress Future ne neutralise pas correctement du contenu contrôlé par l’utilisateur dans un attribut de shortcode, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’enregistrer du JavaScript exécuté lorsqu’un utilisateur privilégié consulte le contenu. Mettre à jour vers la version 4.10.6 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 4.10.6 ou ultérieure.
XSS stockée dans la configuration de galerie Final Tiles Grid
Image Photo Gallery Final Tiles Grid n’échappe pas les valeurs de configuration de la lightbox avant de les écrire dans un script intégré à la page, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’enregistrer du JavaScript exécuté par les visiteurs de la galerie. Mettre à jour vers la version 3.6.16 ou ultérieure.
Action recommandée : Mettre à jour le plugin vers la version 3.6.16 ou ultérieure.
Validation insuffisante des messages dans Angular DevTools
Angular DevTools avant la version 1.21.1 ne vérifie pas suffisamment l’origine des messages runtime reçus par son service worker, ce qui peut permettre à un expéditeur non fiable d’agir sur un onglet ciblé et d’interrompre son exécution JavaScript. Mettre à jour l’extension vers la version 1.21.1 ; la description précise que le défaut ne permet ni exécution de code à distance ni accès aux données inter-origines.
Action recommandée : Mettre à jour Angular DevTools vers la version 1.21.1.
Accès mémoire hors limites dans Array.prototype.sort de MuJS
MuJS antérieur à 1.3.9 comporte un défaut de lecture et d’écriture hors limites dans Array.prototype.sort, déclenchable par un tableau dont la longueur a été artificiellement augmentée. Mettre à jour MuJS vers la version 1.3.9 ou ultérieure.
Action recommandée : Mettre à jour MuJS vers la version 1.3.9 ou ultérieure.
DataEase — XSS stockée dans les noms de dossier
DataEase présente une XSS stockée : un utilisateur authentifié autorisé à créer des dossiers peut y enregistrer un nom contenant du HTML, ensuite interprété dans les dialogues de déplacement. Un autre utilisateur peut déclencher l’exécution de JavaScript dans sa session en ouvrant le dialogue et en saisissant une recherche.
Action recommandée : Mettre à niveau DataEase vers la version 2.10.26 ou ultérieure.
DataEase — XSS dans les libellés de graphiques
DataEase présente une XSS stockée dans les libellés de dimensions de graphiques à barres horizontales. Un utilisateur authentifié pouvant modifier les champs d’un jeu de données et la configuration d’un graphique peut provoquer l’exécution de JavaScript dans la session d’une victime qui consulte le tableau de bord et survole le libellé tronqué.
Action recommandée : Mettre à niveau DataEase vers la version 2.10.26 ou ultérieure.
Lichess — injection HTML/CSS dans les études
Lichess permet à un utilisateur pouvant ajouter un chapitre à une étude d’injecter du HTML et du CSS via le champ PGN Annotator, rendu sans échappement dans la vue d’analyse. L’ouverture de l’étude peut entraîner une usurpation de contenu, une navigation vers un site contrôlé par l’attaquant ou une exposition de données par CSS; la politique CSP bloque l’exécution de JavaScript injecté.
Action recommandée : Mettre à jour vers une version intégrant le commit correctif indiqué par Lichess.
Markdown Preview Enhanced — écriture de fichiers arbitraires via la webview
Markdown Preview Enhanced permet à la commande _crossnote.updateMarkdown d’écrire un contenu contrôlé vers un URI arbitraire, sans vérifier que la cible est le fichier Markdown de l’aperçu courant. Du JavaScript déjà exécuté dans la webview peut ainsi écrire tout fichier accessible aux privilèges système de l’utilisateur.
Action recommandée : Mettre à niveau l’extension vers la version 0.8.30 ou ultérieure.
CVE-2025-14814 — CSS & JavaScript Toolbox : XSS stockée
La fiche NVD décrit une XSS stockée dans CSS & JavaScript Toolbox pour WordPress, via le shortcode cjtoolbox, dans les versions jusqu’à 12.0.6 inclus. La fiche a été mise à jour pendant la période, mais les éléments fournis ne montrent pas que cette modification soit un changement substantiel lié à JavaScript; l’item n’est donc pas retenu comme nouveauté du bulletin.
CVE-2026-102426 — SP Page Builder Pro : XSS réfléchie
La fiche NVD décrit une XSS réfléchie dans l’extension Dynamic Content Filter de SP Page Builder Pro, versions 3.0.0 à 5.6.1p2. Sa publication date du 2026-10-05; les éléments fournis ne précisent pas si la mise à jour du 2026-10-14 a apporté un changement substantiel lié à JavaScript, aussi cet item n’est pas retenu comme nouveauté.
CVE-2026-76276 — Splunk Enterprise : exposition de code source via des source maps
Splunk Enterprise pouvait exposer le code source original de l’application Discover Splunk Observability Cloud à des utilisateurs de faible privilège, car les bundles JavaScript de production embarquaient des source maps. La fiche NVD indique que les branches 9.4.x ne sont pas concernées et que les correctifs sont disponibles dans les versions 10.4.3, 10.2.7 et 10.0.10.
Action recommandée : Mettre à niveau vers la version corrigée correspondant à la branche utilisée.
CVE-2026-107390 — music-metadata : déni de service lors de l’analyse MP4
music-metadata présentait une vulnérabilité de déni de service dans l’analyse des fichiers MP4, due à la gestion d’une taille d’atome étendue contrôlée par l’attaquant. Le problème est corrigé en version 11.16.0, mais la fiche fournie indique seulement une mise à jour NVD le 2026-10-14 et ne permet pas d’établir un changement substantiel à cette date.
Action recommandée : Mettre à niveau music-metadata vers la version 11.16.0 ou ultérieure.
CVE-2026-107796 — Jivejdon : XSS réfléchie
Jivejdon présente une XSS réfléchie dans taggedThreadList.jsp, via les paramètres tagID et count non encodés. La fiche NVD a été mise à jour le 2026-10-14, mais les éléments fournis ne précisent pas de changement substantiel survenu à cette date; l’item n’est pas retenu comme nouveauté du bulletin.
CVE-2026-107798 — Jivejdon : XSS stockée via le filtre TextStyle
Jivejdon présente une XSS stockée dans le filtre TextStyle activé par défaut, qui peut intégrer des URL non validées dans des attributs href. La fiche a été mise à jour le 2026-10-14, mais les informations fournies ne permettent pas d’établir que cette date correspond à un changement substantiel; l’item n’est pas retenu comme nouveauté du bulletin.
CVE-2026-107801 — Jivejdon : XSS via une pièce jointe HTML
Jivejdon jusqu’à la version 5.0 est décrit comme vulnérable à une XSS stockée liée au type de contenu d’une pièce jointe téléversée. La mise à jour NVD date du 2026-10-14, mais les données ne montrent pas que cette modification soit substantielle; l’item est donc exclu du bulletin comme nouveauté du jour.
Palo Alto Networks PAN-OS — XSS stockée dans l’interface Web
PAN-OS comporte une vulnérabilité XSS stockée permettant à un administrateur authentifié malveillant d’enregistrer ou d’exécuter une charge JavaScript au moyen de l’interface Web. Palo Alto Networks indique que le risque est réduit lorsque l’interface de gestion est limitée aux adresses IP internes de confiance.
Action recommandée : Appliquer les mises à jour de sécurité de l’éditeur dès qu’elles sont disponibles et restreindre l’accès à l’interface de gestion aux réseaux de confiance.
XSS stockée via les icônes SVG de Gutenverse Form
Gutenverse Form ne désinfecte pas le balisage SVG d’icône enregistré dans les blocs de formulaire avant son insertion dans la page, ce qui permet à un utilisateur authentifié ayant le rôle Contributeur ou supérieur d’y stocker du JavaScript malveillant. Mettre à jour vers la version 3.0.11 ou ultérieure.
Action recommandée : Mettre à jour Gutenverse Form vers la version 3.0.11 ou ultérieure.
HTML5
Recherche du sujet effectuée
La recherche web dédiée à HTML5 n’a identifié aucun avis ou événement de sécurité vérifié, daté dans la période demandée (du 2026-10-14T00:00:00+02:00 inclus au 2026-10-15T00:00:00+02:00 exclu). Les résultats pertinents repérés étaient hors période ou concernaient des produits et composants distincts; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée n’a pas permis d’identifier de vulnérabilité, correctif ou avis de sécurité vérifié concernant CSS3 et daté de la période demandée. Aucun candidat n’ayant été fourni, aucune décision individuelle n’est à rendre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Pour la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00, la recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité Tailwind CSS daté dans la fenêtre. Les éléments repérés sur les dépendances et discussions du projet sont antérieurs à cette période ou ne constituent pas un événement de sécurité qualifiant dans la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche ciblée sur Bootstrap, le framework front-end, n’a identifié aucun nouvel avis, correctif ou événement de sécurité pertinent daté du 2026-10-14 dans la période demandée. Les avis publiés du dépôt Bootstrap sur GitHub n’en affichent aucun ; les candidats fournis concernent d’autres produits ou emploient « bootstrap » dans un sens différent. Aucun des candidats fournis ne concerne Bootstrap : ils portent sur curl ou OpenSSL. Aucun élément pertinent pour le sujet demandé n’est donc retenu dans ce lot. Aucune vulnérabilité ou mise à jour de sécurité concernant Bootstrap (le projet) n’a été identifiée parmi les candidats fournis. Les occurrences de « bootstrap » dans les descriptions désignent d’autres composants ou mécanismes.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
Aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel concernant Webpack n’a été vérifié comme daté de la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les avis Webpack consultés indiquaient des publications antérieures à cette période; les résultats concernant webpack-dev-server et ses dépendances n’établissaient pas un nouvel événement de sécurité Webpack dans la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild a consulté les avis de sécurité GitHub du projet et ses publications de versions. Les avis repérés datent du 11 juin 2026 et ne relèvent pas de la période du 14 octobre 2026 ; aucun événement répondant aux critères de la période figée n’a été identifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche web dédiée n’a pas établi de vulnérabilité, d’avis de sécurité, de correctif ni d’exploitation concernant le projet Parcel dans la période demandée. Les avis Parcel retrouvés dans les résultats de recherche étaient antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche ciblée sur Node.js n’a pas établi de nouvel avis ou correctif de sécurité daté du 2026-10-14. Les candidats fournis concernent CAI Content Credentials, et non Node.js ; leurs mises à jour NVD du 14 octobre ne suffisent pas à en faire des nouveautés de sécurité Node.js. Neuf fiches NVD publiées dans la période concernent des vulnérabilités d’injection de commandes ou de déni de service dans des composants de l’écosystème Node.js. Les versions corrigées sont précisées uniquement lorsque les données fournies les indiquent. Cinq vulnérabilités nouvellement publiées par la NVD pendant la période ont été retenues dans des composants de l’écosystème JavaScript/Node.js : trois injections de commandes dans des paquets, une consommation excessive de mémoire dans le SSR Angular et une exécution de commandes via Markdown Preview Enhanced. Les modifications NVD portant sur des CVE publiées antérieurement n’ont pas été retenues comme nouvelles vulnérabilités sur la seule base de leur mise à jour administrative. Aucun événement nouveau, correctif, avis de sécurité, fait d’exploitation ou changement substantiel concernant Node.js n’est établi dans ce lot pour la période demandée. Les candidats sont des mises à jour NVD de fiches publiées antérieurement, sans preuve fournie d’un changement substantiel daté de cette période. Les candidats fournis concernent des fiches NVD publiées avant la période. Leurs seules dates indiquées dans la période sont des mises à jour NVD; aucune preuve fournie ne montre qu’elles correspondent à une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté dans la période. Aucun item ne peut donc être retenu pour Node.js. Les candidats fournis sont des modifications de fiches NVD pour des vuln…
Injection de commandes dans office-converter
La version 1.0.2 et les versions antérieures d’office-converter permettent une injection de commandes système via un nom de fichier fourni à `generatePdf()` ou `generateHtml()`. Une entrée malveillante peut exécuter des commandes avec les privilèges du processus Node.js ; aucune version corrigée ni mesure d’atténuation n’est indiquée dans la source.
Action recommandée : Éviter de transmettre des noms de fichiers contrôlés par un utilisateur à ces fonctions tant qu’une version corrigée n’est pas confirmée.
Injection de commandes dans doc-recog
doc-recog jusqu’à la version 1.1.6 incluse permet une injection de commandes via des chemins de documents transmis à `recog()` ou `tag()`. Un chemin malveillant peut entraîner l’exécution de commandes avec les privilèges du processus Node.js ; la source ne précise pas de version corrigée.
Action recommandée : Ne pas utiliser les versions concernées avec des chemins contrôlés par un utilisateur ; rechercher une version corrigée avant déploiement.
Injection de commandes dans Whisper-node
Whisper-node jusqu’à la version 1.1.1 incluse permet une injection de commandes via des valeurs contrôlées de `filePath` ou `whisperOptions.language` transmises à `whisper()`. Une entrée malveillante peut exécuter des commandes avec les privilèges du processus Node.js ; la source ne précise pas de version corrigée.
Action recommandée : Éviter de transmettre des chemins ou options contrôlés par un utilisateur aux versions concernées ; rechercher une version corrigée avant déploiement.
Injection de commandes dans transcribe2texts
transcribe2texts jusqu’à la version 1.0.6 incluse permet une injection de commandes via la valeur `audioPath` fournie à `transcribeAudio()`. Un chemin conçu à cet effet peut exécuter des commandes avec les privilèges du processus Node.js ; la source ne précise pas de version corrigée.
Action recommandée : Ne pas transmettre de chemins audio contrôlés par un utilisateur aux versions concernées ; rechercher une version corrigée avant déploiement.
Injection de commandes dans nodejs-whisper
nodejs-whisper jusqu’à la version 0.3.1 incluse est vulnérable à une injection de commandes lors de la conversion audio si un chemin de fichier malveillant est fourni. Cela peut permettre l’exécution de commandes avec les privilèges du processus Node.js ; la source ne précise pas de version corrigée.
Action recommandée : Éviter les chemins audio contrôlés par un utilisateur sur les versions concernées et rechercher une version corrigée avant déploiement.
Paquet npm malveillant @newspage/lib-ng-async-routes-ui
Les versions 99.99.4 et versions antérieures de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou `import`. L’avis décrit une campagne de confusion de dépendances visant des paquets internes ; évitez ces versions et vérifiez les dépendances installées.
Action recommandée : Éviter les versions affectées ; rechercher ce paquet dans les dépendances et examiner les systèmes où il a été chargé.
Paquet npm malveillant @newspage/libx-amount
Les versions 99.99.4 et 99.99.41 de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou `import`. L’avis rattache le paquet à une campagne de confusion de dépendances visant des paquets internes ; évitez les versions concernées et vérifiez les dépendances installées.
Action recommandée : Éviter les versions affectées ; rechercher ce paquet dans les dépendances et examiner les systèmes où il a été chargé.
Injection de commandes dans git-diff
Les versions de git-diff antérieures à 2.0.7 sont vulnérables à une injection de commandes lorsque des chaînes contrôlées par un attaquant sont transmises à l’API `gitDiff`. L’exploitation peut exécuter des commandes avec les privilèges du processus Node.js ; mettre à jour vers la version 2.0.7 ou ultérieure.
Action recommandée : Mettre à jour git-diff vers la version 2.0.7 ou ultérieure.
Injection de commandes dans webp-converter
Avant la version 3.0.0, webp-converter permet une injection de commandes via des noms de fichiers ou des options contrôlés transmis à ses fonctions de conversion. L’exécution de commandes système peut se faire avec les privilèges du processus Node.js ; mettre à jour vers la version 3.0.0 ou ultérieure.
Action recommandée : Mettre à jour webp-converter vers la version 3.0.0 ou ultérieure.
Injection de commandes dans @mborne/extract
Les versions de @mborne/extract antérieures à 0.2.1 sont vulnérables à une injection de commandes via `archivePath` ou `targetDir` transmis à `extract()`. L’attaque peut exécuter des commandes avec les privilèges du processus Node.js ; mettre à jour vers la version 0.2.1 ou ultérieure.
Action recommandée : Mettre à jour @mborne/extract vers la version 0.2.1 ou ultérieure.
Injection de commandes dans Video-stitch
Video-stitch présentait une injection de commandes système lorsque des noms de fichiers contrôlés étaient interpolés sans échappement dans des commandes ffmpeg. Un attaquant pouvant fournir des noms transmis à concat(), cut() ou merge() pouvait exécuter des commandes avec les privilèges du processus Node.js.
Action recommandée : Mettre à niveau Video-stitch vers 2.0.0-beta.1 ou une version ultérieure.
Injection de commandes dans Stills
Stills présentait une injection de commandes système lors du traitement de chemins de fichiers multimédias forgés. Un attaquant pouvant fournir ces chemins pouvait faire exécuter des commandes avec les privilèges du processus Node.js lorsque des outils tels que ffmpeg, ffprobe, gifsicle ou convert étaient invoqués.
Action recommandée : Mettre à niveau Stills vers 25.24.2 ou une version ultérieure.
Déni de service par boucle infinie dans le rendu serveur Angular
Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone infinie dans le parseur DOM de rendu côté serveur d’Angular. Un attaquant distant non authentifié peut ainsi saturer un worker Node.js et perturber le traitement des requêtes ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour @angular/platform-server vers une version corrigée : 20.3.31, 21.2.23 ou 22.1.6.
Épuisement mémoire du rendu serveur Angular via l’analyse d’URL
Dans Angular, l’analyseur d’URL de @angular/router pouvait consommer une quantité disproportionnée de mémoire avec certains paramètres numériques lorsque le rendu côté serveur (SSR) était activé. Des requêtes répétées pouvaient épuiser le tas old-space et arrêter le worker SSR; les applications exclusivement côté client ne sont pas concernées.
Action recommandée : Mettre à niveau Angular vers la version corrigée correspondant à la branche utilisée; vérifier en particulier les déploiements SSR.
Injection de commandes dans @offactory/compress-fonts
@offactory/compress-fonts présentait une injection de commandes système lorsque des chemins de polices contrôlés étaient intégrés sans échappement à une commande FontForge. Un attaquant capable de fournir un nom de fichier forgé pouvait exécuter des commandes avec les privilèges du processus Node.js.
Action recommandée : Mettre à niveau @offactory/compress-fonts vers 1.1.1 ou une version ultérieure.
Exécution de commandes via les fichiers d’un dépôt dans Markdown Preview Enhanced
Markdown Preview Enhanced exécutait des fichiers de configuration et de parser contrôlés par le dépôt dans un contexte vm.runInNewContext qui ne constitue pas une frontière de sécurité avec l’hôte Node.js. L’ouverture d’un fichier Markdown dans un dépôt malveillant pouvait ainsi permettre l’exécution de commandes système sous le compte de la victime, sans interaction supplémentaire.
Action recommandée : Mettre à niveau Markdown Preview Enhanced vers la version 0.8.29 ou une version ultérieure; éviter d’ouvrir des dépôts non fiables avec une version vulnérable.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
Huit publications NVD datées du 14 octobre 2026 dans la période demandée concernent des applications ou bibliothèques de l’écosystème Python. Elles portent notamment sur l’injection de commandes, l’injection de templates, l’épuisement mémoire, l’extraction d’archives, des routes de développement exposées et la divulgation d’identifiants dans des journaux. Aucun candidat ne documente une vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel concernant Python dans la période demandée. Les fiches Python signalées ont seulement une date de mise à jour NVD dans cette période, sans preuve d’un changement substantiel; le candidat Stirling-PDF ne concerne pas Python comme produit. Aucun événement Python admissible n’est établi pour la période à partir de ce lot. Les candidats sont d’anciennes vulnérabilités dont les seules dates fournies pour la période sont des mises à jour de fiches NVD; aucun changement substantiel daté n’est documenté dans les éléments reçus. Aucun événement répondant aux critères de la période n’est établi par les candidats fournis : ils indiquent des mises à jour NVD de fiches publiées antérieurement, sans preuve d’un changement substantiel daté du 2026-10-14. Aucune nouveauté Python vérifiée dans les candidats pour la période demandée : les entrées fournies sont des modifications de fiches NVD concernant des vulnérabilités publiées antérieurement, sans indication d’un changement substantiel daté de cette période. Les descriptions et dates fournies ne permettent pas de qualifier ces mises à jour administratives comme de nouveaux avis, correctifs ou événements d’exploitation. Aucun événement de sécurité nouveau ou changement substantiel daté du 14 octobre 2026 n’est établi par les éléments fournis. Les candidats s…
pypdftk : injection de commandes via les chemins de fichiers
pypdftk permet une injection de commandes système lorsque les chemins fournis à certaines fonctions sont incorporés dans des commandes shell. Un attaquant capable de contrôler `pdf_path` ou `out_file` peut faire exécuter des commandes avec les privilèges du processus Python; la vulnérabilité est signalée pour les versions jusqu’à 0.5 incluse.
Action recommandée : Éviter de transmettre des chemins non fiables aux fonctions concernées et appliquer un correctif dès qu’il sera disponible.
thumbnail : injection de commandes lors de la génération de vignettes
Le paquet Python `thumbnail` présente une injection de commandes dans `generate_thumbnail()` lorsque le chemin d’un fichier contrôlé par un attaquant est utilisé dans des commandes shell. Un nom de fichier spécialement construit, par exemple celui d’un fichier téléversé, peut entraîner l’exécution de commandes avec les privilèges du processus Python; les versions jusqu’à 1.5 sont concernées.
Action recommandée : Ne pas traiter de chemins contrôlés par des utilisateurs non fiables avec les versions concernées; appliquer un correctif lorsqu’il sera disponible.
Ludwig : extraction d’archives tar hors du répertoire prévu
Avant la version 0.17.8, Ludwig pouvait extraire une archive tar contenant des liens symboliques ou physiques qui échappaient au répertoire de destination, puis écrire des fichiers à des emplacements arbitraires avec les privilèges du processus. Le défaut concerne les environnements Python 3.12 et 3.13 selon les informations fournies; Python 3.14 n’est pas affecté, et la version 0.17.8 corrige le problème.
Action recommandée : Mettre à niveau Ludwig vers 0.17.8 ou ultérieur et éviter de traiter des archives provenant de sources non fiables avec les versions concernées.
SDK Python MCP : épuisement mémoire par corps de requête HTTP sans limite
Le SDK Python MCP tamponne intégralement les corps de requête HTTP sans imposer de taille maximale dans plusieurs composants serveur, ce qui permet à un client distant non authentifié d’épuiser la mémoire du processus. Les serveurs utilisant uniquement stdio et les déploiements protégés par une limite efficace de taille de requête en amont ne sont pas concernés; les applications serveur SDK standard sont corrigées en 1.29.1 et 2.1.0.
Action recommandée : Mettre à niveau vers les versions corrigées et, si la mise à niveau n’est pas possible immédiatement, appliquer une limite de taille de requête en amont.
BottleCRM : injection de template dans la tâche d’envoi de courriels
BottleCRM contient une injection de template côté serveur dans la tâche Celery `send_email` : un membre authentifié d’une organisation peut soumettre un contenu de courriel qui divulgue le contexte de rendu et les modules Python chargés, ou bloque le worker Celery partagé. La vulnérabilité est signalée jusqu’à la version 1.14.5 incluse; aucun correctif n’est indiqué dans les informations fournies.
Action recommandée : Limiter l’accès à l’API aux utilisateurs autorisés et éviter de traiter du contenu de template fourni par l’utilisateur; appliquer un correctif éditeur lorsqu’il sera disponible.
SDK Python MCP : épuisement mémoire par accumulation de sessions HTTP
Le SDK Python MCP conserve sans expiration ni limite globale certaines entrées de session HTTP avec état, ce qui permet à un client pouvant joindre le serveur d’accroître sa consommation mémoire jusqu’à épuisement. Les transports HTTP sans état, stdio et SSE ne sont pas concernés; le problème est corrigé dans les versions 1.30.0 et 2.2.0.
Action recommandée : Mettre à niveau vers une version corrigée; en attendant, limiter l’accès réseau aux serveurs HTTP avec état concernés.
Points de terminaison non authentifiés dans le lanceur de développement Pipecat
Le lanceur de développement intégré à Pipecat exposait, lorsqu’il était rendu accessible à du trafic non fiable, des points de terminaison sans authentification capables de créer des sessions de bots et des salons Daily. La version 1.6.0 clarifie cette frontière de sécurité et oriente les déploiements de production vers des mécanismes authentifiés; selon les informations fournies, le comportement des points de terminaison demeure intentionnel.
Action recommandée : Maintenir le lanceur lié à localhost et ne pas l’exposer sans contrôle d’accès; pour la production, suivre les recommandations vers un dispatcher authentifié ou un runtime géré.
Identifiants de dépôt exposés dans les journaux du SDK SageMaker Python
Dans le SDK Python Amazon SageMaker, les erreurs de sous-processus lors d’un git clone pouvaient être journalisées sans masquer les identifiants du dépôt. Un utilisateur distant authentifié pouvait ainsi retrouver des identifiants en clair dans les journaux CloudWatch; les versions correctives indiquées sont V3 3.10.0 et V2 2.257.3.
Action recommandée : Mettre à niveau vers les versions correctives et examiner les journaux CloudWatch susceptibles de contenir des identifiants.
Code malveillant dans le paquet PyPI pyyi 2.4.1
Le paquet PyPI `pyyi` version 2.4.1 contient un code malveillant qui se fait passer pour un interpréteur Python et transmet certaines saisies à un serveur distant. Il peut ensuite récupérer et exécuter en mémoire du code fourni par ce serveur; le contenu de la charge utile distante et ses effets ultérieurs ne sont pas connus.
Action recommandée : Éviter d’installer `pyyi` 2.4.1; si le paquet est présent, le retirer et examiner les systèmes et identifiants potentiellement exposés.
Java
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche web dédiée a fait ressortir deux candidats publiés pendant la période et correspondant au sujet Java : HPE NonStop Java JToolkit et le Model Context Protocol Java SDK. Les autres candidats fournis ont été écartés selon leur lien au sujet ou parce que leur date de publication est antérieure à la période et que les éléments fournis ne démontrent pas un changement substantiel survenu pendant celle-ci. Les candidats fournis sont des fiches NVD publiées avant la période, dont les dates de mise à jour tombent dans celle-ci. Les données fournies ne documentent pas de changement substantiel pendant la période; aucune vulnérabilité nouvelle, aucun correctif ni avis de sécurité daté de cette période n’est établi par ce lot. Deux vulnérabilités Java dont la publication est datée du 14 octobre 2026 ont été retenues : une affectant HPE NonStop Java JToolkit et une affectant les transports serveur du Model Context Protocol Java SDK.
MCP Java SDK : épuisement mémoire via des corps HTTP sans limite
Une vulnérabilité affecte le Model Context Protocol Java SDK : certains transports serveur Servlet acceptent des corps HTTP sans limite de taille, ce qui peut épuiser la mémoire du processus. Les versions corrigées indiquées dans la fiche candidate sont 0.18.4, 1.1.4 et 2.0.1 pour les branches maintenues.
Action recommandée : Mettre à niveau vers une version corrigée de la branche utilisée et, jusque-là, appliquer une limite de taille des requêtes ou une protection équivalente en amont.
HPE NonStop Java JToolkit : injection de commandes et dépassement de tampon
Une vulnérabilité du HPE NonStop Java JToolkit est signalée comme pouvant permettre une injection de commandes et un dépassement de tampon. Les informations disponibles dans la fiche candidate ne précisent ni les versions touchées ni la version corrective.
Action recommandée : Consulter l’avis HPE et appliquer les mesures correctives indiquées par l’éditeur; la source fournie ne permet pas de préciser une version corrigée.
TYPO3
Recherche du sujet effectuée
La recherche a identifié CVE-2026-109162, annoncée dans TYPO3 14.3.9 et publiée le 13 octobre 2026. Les éléments consultés ne confirment pas de nouvel avis, correctif ou changement substantiel daté du 14 octobre; la seule date dans la période pour ce candidat est une mise à jour de la fiche NVD, qui ne suffit pas à établir un nouvel événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Vérification incomplète
La recherche dédiée a trouvé trois avis Drupal core détaillés datés du 2026-10-14 : une vulnérabilité critique d’exécution de code à distance et deux XSS. La page officielle répertorie également SA-CORE-2026-013, concernant des bibliothèques tierces, mais ses détails techniques n’ont pas pu être vérifiés dans les résultats consultés.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Recherche du sujet effectuée
La recherche n’a vérifié aucun avis, correctif de sécurité, signalement d’exploitation ni changement substantiel Joomla daté de la période du 2026-10-14T00:00:00+02:00 au 2026-10-15T00:00:00+02:00. Les annonces Joomla et J2Store repérées concernent des événements antérieurs à cette période; les dates de mise à jour NVD des candidats, à elles seules, ne démontrent pas un événement de sécurité nouveau ou substantiel. Les trois candidats concernent des vulnérabilités publiées le 5 octobre 2026. Le lot indique une mise à jour de leurs fiches NVD le 14 octobre, mais ne fournit pas d’élément établissant un changement substantiel intervenu pendant la période ; aucune nouveauté admissible n’est donc retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
La recherche dédiée sur Magento a relevé l’avis Adobe APSB26-153 et des notes de correctifs Cloud associées. Les sources consultées datent l’avis du 13 octobre 2026 et la version 1.1.22 des correctifs Cloud du 13 octobre 2026 ; ces événements précèdent la période demandée, qui commence le 14 octobre à 00:00 +02:00. Aucun élément consulté ne permet de retenir un événement Magento admissible daté dans la période figée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
L’avis Adobe APSB26-153 concernant Adobe Commerce a été publié le 2026-10-13, avant la période demandée. Les quatre candidats indiquent une modification NVD le 2026-10-14, mais les éléments consultés ne permettent pas d’établir qu’il s’agissait d’un changement substantiel survenu pendant la période, plutôt que d’une mise à jour administrative; ils ne sont donc pas retenus comme nouveautés de ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
Aucune vulnérabilité, aucun avis de sécurité, correctif ou événement d’exploitation Fooocus daté du 2026-10-14 n’a été identifié dans les résultats consultés. Les vulnérabilités affichées dans les résultats CVE consultés sont antérieures à la période demandée et ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
20 alerte(s)CVE-2026-104075 — TVU Networks : contournement d’authentification
Les appareils TVU Networks Receiver/Transceiver exécutant un firmware antérieur à 7.9 présentent un contournement d’authentification sur l’interface web de gestion. L’attaque peut obtenir une session administrative, notamment en contournan…
Source : NVD — CVE-2026-104075
TeamPlus Messenger : injection de code via un lien piégé
TeamPlus Messenger présente une vulnérabilité d’injection de code permettant à un attaquant distant non authentifié de faire exécuter du JavaScript arbitraire après qu’un utilisateur a ouvert un lien spécialement conçu. Si l’utilisateur co…
Source : CVE-2026-110444 — NVD
TeamPlus Messenger : injection de code par contenu piégé
TeamPlus Messenger présente une vulnérabilité d’injection de code permettant à un attaquant distant non authentifié de faire exécuter du JavaScript arbitraire en incitant un utilisateur à interagir avec du contenu spécialement conçu. La co…
Source : CVE-2026-110445 — NVD
CVE-2025-71432 — Frappe ERPNext : XSS réfléchie
Frappe ERPNext avant 14.92.1 et dans la branche 15.x avant 15.83.0 présente une XSS réfléchie liée à une validation d’entrée insuffisante. La fiche a été publiée le 2026-10-12 et mise à jour le 2026-10-14, mais les éléments fournis ne préc…
Source : NVD — CVE-2025-71432
Markdown Preview Enhanced — appels de commandes non restreints depuis la webview
Markdown Preview Enhanced pour Visual Studio Code permet à du JavaScript déjà exécuté dans la webview d’appeler des commandes privilégiées de l’extension avec des arguments contrôlés par l’attaquant. L’exploitation dépend d’une voie distin…
Source : NVD — CVE-2026-54702
CVE-2026-108259 — Tina : injection de code dans le build d’aperçu
Avant Tina 3.0.0, @tinacms/cli pouvait incorporer une valeur de branche Git non fiable dans des littéraux de chaîne JavaScript générés, permettant l’injection de code lors d’un build d’aperçu. La fiche NVD a été mise à jour le 2026-10-14,…
Source : NVD — CVE-2026-108259
Validation insuffisante des messages dans Angular DevTools
Angular DevTools avant la version 1.21.1 ne vérifie pas suffisamment l’origine des messages runtime reçus par son service worker, ce qui peut permettre à un expéditeur non fiable d’agir sur un onglet ciblé et d’interrompre son exécution Ja…
Source : NVD — CVE-2026-101897
Accès mémoire hors limites dans Array.prototype.sort de MuJS
MuJS antérieur à 1.3.9 comporte un défaut de lecture et d’écriture hors limites dans Array.prototype.sort, déclenchable par un tableau dont la longueur a été artificiellement augmentée. Mettre à jour MuJS vers la version 1.3.9 ou ultérieur…
Source : NVD — CVE-2026-110715
DataEase — XSS stockée dans les noms de dossier
DataEase présente une XSS stockée : un utilisateur authentifié autorisé à créer des dossiers peut y enregistrer un nom contenant du HTML, ensuite interprété dans les dialogues de déplacement. Un autre utilisateur peut déclencher l’exécutio…
Source : NVD — CVE-2026-102755
DataEase — XSS dans les libellés de graphiques
DataEase présente une XSS stockée dans les libellés de dimensions de graphiques à barres horizontales. Un utilisateur authentifié pouvant modifier les champs d’un jeu de données et la configuration d’un graphique peut provoquer l’exécution…
Source : NVD — CVE-2026-102756
Lichess — injection HTML/CSS dans les études
Lichess permet à un utilisateur pouvant ajouter un chapitre à une étude d’injecter du HTML et du CSS via le champ PGN Annotator, rendu sans échappement dans la vue d’analyse. L’ouverture de l’étude peut entraîner une usurpation de contenu,…
Source : NVD — CVE-2026-103974
Markdown Preview Enhanced — écriture de fichiers arbitraires via la webview
Markdown Preview Enhanced permet à la commande _crossnote.updateMarkdown d’écrire un contenu contrôlé vers un URI arbitraire, sans vérifier que la cible est le fichier Markdown de l’aperçu courant. Du JavaScript déjà exécuté dans la webvie…
Source : NVD — CVE-2026-54703
CVE-2025-14814 — CSS & JavaScript Toolbox : XSS stockée
La fiche NVD décrit une XSS stockée dans CSS & JavaScript Toolbox pour WordPress, via le shortcode cjtoolbox, dans les versions jusqu’à 12.0.6 inclus. La fiche a été mise à jour pendant la période, mais les éléments fournis ne montrent pas…
Source : NVD — CVE-2025-14814
CVE-2026-102426 — SP Page Builder Pro : XSS réfléchie
La fiche NVD décrit une XSS réfléchie dans l’extension Dynamic Content Filter de SP Page Builder Pro, versions 3.0.0 à 5.6.1p2. Sa publication date du 2026-10-05; les éléments fournis ne précisent pas si la mise à jour du 2026-10-14 a appo…
Source : NVD — CVE-2026-102426
CVE-2026-76276 — Splunk Enterprise : exposition de code source via des source maps
Splunk Enterprise pouvait exposer le code source original de l’application Discover Splunk Observability Cloud à des utilisateurs de faible privilège, car les bundles JavaScript de production embarquaient des source maps. La fiche NVD indi…
Source : NVD — CVE-2026-76276
CVE-2026-107390 — music-metadata : déni de service lors de l’analyse MP4
music-metadata présentait une vulnérabilité de déni de service dans l’analyse des fichiers MP4, due à la gestion d’une taille d’atome étendue contrôlée par l’attaquant. Le problème est corrigé en version 11.16.0, mais la fiche fournie indi…
Source : NVD — CVE-2026-107390
CVE-2026-107796 — Jivejdon : XSS réfléchie
Jivejdon présente une XSS réfléchie dans taggedThreadList.jsp, via les paramètres tagID et count non encodés. La fiche NVD a été mise à jour le 2026-10-14, mais les éléments fournis ne précisent pas de changement substantiel survenu à cett…
Source : NVD — CVE-2026-107796
CVE-2026-107798 — Jivejdon : XSS stockée via le filtre TextStyle
Jivejdon présente une XSS stockée dans le filtre TextStyle activé par défaut, qui peut intégrer des URL non validées dans des attributs href. La fiche a été mise à jour le 2026-10-14, mais les informations fournies ne permettent pas d’étab…
Source : NVD — CVE-2026-107798
CVE-2026-107801 — Jivejdon : XSS via une pièce jointe HTML
Jivejdon jusqu’à la version 5.0 est décrit comme vulnérable à une XSS stockée liée au type de contenu d’une pièce jointe téléversée. La mise à jour NVD date du 2026-10-14, mais les données ne montrent pas que cette modification soit substa…
Source : NVD — CVE-2026-107801
Palo Alto Networks PAN-OS — XSS stockée dans l’interface Web
PAN-OS comporte une vulnérabilité XSS stockée permettant à un administrateur authentifié malveillant d’enregistrer ou d’exécuter une charge JavaScript au moyen de l’interface Web. Palo Alto Networks indique que le risque est réduit lorsque…
Source : NVD — CVE-2026-0316
Backend & données
60 alerte(s)Printcart Store : téléversement de fichier arbitraire menant à l’exécution de code
Le plugin WordPress Printcart Store (PCDesigner / NB Designer) permet à un attaquant non authentifié d’envoyer un fichier arbitraire par l’action AJAX `nbdesigner_copy_image_from_url`. Un fichier PHP peut être écrit dans un répertoire acce…
Source : NVD — CVE-2026-93388
Téléversement arbitraire de fichier dans Snazzy Social Media Feed
Snazzy Social Media Feed permet l’écriture d’un fichier potentiellement exécutable dans son cache à partir du paramètre pluginURL, sans contrôles WordPress suffisants. Un attaquant authentifié disposant au moins du rôle Abonné peut ainsi p…
Source : NVD — CVE-2026-110002
Injection de commandes dans office-converter
La version 1.0.2 et les versions antérieures d’office-converter permettent une injection de commandes système via un nom de fichier fourni à `generatePdf()` ou `generateHtml()`. Une entrée malveillante peut exécuter des commandes avec les…
Source : NVD — CVE-2020-37282
Injection de commandes dans doc-recog
doc-recog jusqu’à la version 1.1.6 incluse permet une injection de commandes via des chemins de documents transmis à `recog()` ou `tag()`. Un chemin malveillant peut entraîner l’exécution de commandes avec les privilèges du processus Node.…
Source : NVD — CVE-2026-110638
Injection de commandes dans Whisper-node
Whisper-node jusqu’à la version 1.1.1 incluse permet une injection de commandes via des valeurs contrôlées de `filePath` ou `whisperOptions.language` transmises à `whisper()`. Une entrée malveillante peut exécuter des commandes avec les pr…
Source : NVD — CVE-2026-110640
Injection de commandes dans transcribe2texts
transcribe2texts jusqu’à la version 1.0.6 incluse permet une injection de commandes via la valeur `audioPath` fournie à `transcribeAudio()`. Un chemin conçu à cet effet peut exécuter des commandes avec les privilèges du processus Node.js ;…
Source : NVD — CVE-2026-110643
Injection de commandes dans nodejs-whisper
nodejs-whisper jusqu’à la version 0.3.1 incluse est vulnérable à une injection de commandes lors de la conversion audio si un chemin de fichier malveillant est fourni. Cela peut permettre l’exécution de commandes avec les privilèges du pro…
Source : NVD — CVE-2026-110644
Paquet npm malveillant @newspage/lib-ng-async-routes-ui
Les versions 99.99.4 et versions antérieures de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou `import`. L’avis décrit une campagne de confusion de dépendances visant de…
Source : GHSA-5m6v-q7rf-gh3x — Malicious code in @newspage/lib-ng-async-routes-ui (npm)
Paquet npm malveillant @newspage/libx-amount
Les versions 99.99.4 et 99.99.41 de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou `import`. L’avis rattache le paquet à une campagne de confusion de dépendances visant…
Source : GHSA-49j3-qrv4-xgwv — Malicious code in @newspage/libx-amount (npm)
pypdftk : injection de commandes via les chemins de fichiers
pypdftk permet une injection de commandes système lorsque les chemins fournis à certaines fonctions sont incorporés dans des commandes shell. Un attaquant capable de contrôler `pdf_path` ou `out_file` peut faire exécuter des commandes avec…
Source : NVD — CVE-2026-110636
thumbnail : injection de commandes lors de la génération de vignettes
Le paquet Python `thumbnail` présente une injection de commandes dans `generate_thumbnail()` lorsque le chemin d’un fichier contrôlé par un attaquant est utilisé dans des commandes shell. Un nom de fichier spécialement construit, par exemp…
Source : NVD — CVE-2026-110650
Dgraph Zero : routes administratives accessibles sans authentification
Dgraph Zero expose des routes HTTP administratives sans authentification lorsque son interface d’administration est activée. Un attaquant distant pouvant joindre le port HTTP 6080 peut accéder à certaines opérations administratives et, via…
Source : NVD — CVE-2026-102748
CVE-2026-15176 — débordement de tampon avec alias et rewrite
Une configuration particulière combinant alias, rewrite et une référence à $request_filename peut provoquer un débordement de tampon mémoire dans un worker. Cela peut entraîner un redémarrage et, dans certaines conditions liées à l’ASLR, u…
Source : NVD — CVE-2026-15176
CVE-2026-93479 — débordement de tampon avec map et expressions régulières
Dans certaines configurations de map avec correspondance par expression régulière, l’ordre d’évaluation de variables peut déclencher un débordement de tampon mémoire dans un worker. Le résultat peut être un déni de service et, dans certain…
Source : NVD — CVE-2026-93479
CVE-2026-97205 — utilisation après libération avec AIO et SSI
Dans certaines configurations avec E/S asynchrones activées, le traitement d’une page SSI contenant include virtual peut provoquer une utilisation après libération dans un worker. Cela peut entraîner une corruption mémoire ou un plantage,…
Source : NVD — CVE-2026-97205
Injection de commandes Windows dans snappdf
Beganovich snappdf, des versions 1.1.0 à celles antérieures à 6.1.0, présente une injection de commandes système sur Windows. Un utilisateur pouvant influencer l’URL rendue peut faire exécuter des commandes avec les privilèges du processus…
Source : NVD — CVE-2026-110646
Injection SQL dans le plugin alt_auth d’e107
Le CMS e107 est vulnérable à une injection SQL avant la version 2.3.7 lorsque le plugin alt_auth est installé et configuré avec un backend de base de données externe actif. Un utilisateur non authentifié peut injecter des requêtes via le n…
Source : NVD — CVE-2026-55572
Injection de commandes dans git-diff
Les versions de git-diff antérieures à 2.0.7 sont vulnérables à une injection de commandes lorsque des chaînes contrôlées par un attaquant sont transmises à l’API `gitDiff`. L’exploitation peut exécuter des commandes avec les privilèges du…
Source : NVD — CVE-2026-110634
Injection de commandes dans webp-converter
Avant la version 3.0.0, webp-converter permet une injection de commandes via des noms de fichiers ou des options contrôlés transmis à ses fonctions de conversion. L’exécution de commandes système peut se faire avec les privilèges du proces…
Source : NVD — CVE-2026-110635
Injection de commandes dans @mborne/extract
Les versions de @mborne/extract antérieures à 0.2.1 sont vulnérables à une injection de commandes via `archivePath` ou `targetDir` transmis à `extract()`. L’attaque peut exécuter des commandes avec les privilèges du processus Node.js ; met…
Source : NVD — CVE-2026-110639
Injection de commandes dans Video-stitch
Video-stitch présentait une injection de commandes système lorsque des noms de fichiers contrôlés étaient interpolés sans échappement dans des commandes ffmpeg. Un attaquant pouvant fournir des noms transmis à concat(), cut() ou merge() po…
Source : NVD — CVE-2026-110645
Injection de commandes dans Stills
Stills présentait une injection de commandes système lors du traitement de chemins de fichiers multimédias forgés. Un attaquant pouvant fournir ces chemins pouvait faire exécuter des commandes avec les privilèges du processus Node.js lorsq…
Source : NVD — CVE-2026-110649
Contournement possible de la vérification des certificats clients par falsification de sessions SSL
Avec ssl_session_cache shared:name:size configuré sans directive ssl_session_ticket_key file explicite pour la rotation automatique des clés, un attaquant distant non authentifié peut forger de manière non déterministe des sessions SSL cli…
Source : NVD — CVE-2026-97629
CVE-2026-104939 — accès non authentifié avec externalAuth dans NGINX Ingress Controller
Une mauvaise gestion de la réponse HTTP de l’IdP OAuth avec une politique externalAuth peut permettre à un attaquant distant non authentifié d’accéder à des chemins protégés avant l’authentification externe. Les versions concernées et la v…
Source : NVD — CVE-2026-104939
CVE-2026-96615 — lecture de clés TLS entre espaces de noms dans NGINX Gateway Fabric
Un attaquant authentifié disposant d’un accès à un compte de service peut usurper la connexion gRPC authentifiée de NGINX Agent. Il peut ainsi lire les clés privées TLS de déploiements Gateway situés dans un autre espace de noms.
Source : NVD — CVE-2026-96615
CVE-2026-91184 — injection de directives via NGINX Gateway Fabric
Un attaquant authentifié disposant de droits dans un espace de noms peut fournir une valeur realm spécialement construite dans une AuthenticationFilter. Si elle est incorporée sans échappement à la configuration partagée nginx.conf, elle p…
Source : NVD — CVE-2026-91184
Inclusion de fichier local dans BP Profile Search
BP Profile Search peut inclure un fichier local à partir d’une valeur de modèle contrôlée par le client dans une requête AJAX BuddyPress. Une inclusion de fichier PHP peut entraîner une exécution de code à distance dans certaines condition…
Source : NVD — CVE-2026-104995
Inclusion locale de fichier dans LifterLMS via le shortcode checkout
La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans LifterLMS, affectant les versions jusqu’à 10.3.1 incluse. Un utilisateur authentifié disposant au moins du niveau Instructor peut exploiter des attributs d…
Source : NVD — CVE-2026-110284
Incohérence de traitement des entités XML dans njs
Le module XML de NGINX JavaScript (njs) peut exposer de façon incohérente des attributs XML contenant des entités internes pendant la canonicalisation, de sorte que des attributs paraissent absents ou tronqués alors que la vérification de…
Source : NVD — CVE-2026-101019
VentureDrake Laravel CRM : contournement d’autorisations via Livewire
Dans VentureDrake Laravel CRM avant 2.4.0, des utilisateurs authentifiés disposant de droits limités peuvent contourner les autorisations par rôles via des actions Livewire ou certaines routes insuffisamment protégées. Cela peut leur perme…
Source : NVD — CVE-2026-110629
VentureDrake Laravel CRM : attribution de rôles et suppressions hors périmètre
Dans VentureDrake Laravel CRM avant 2.4.0, un utilisateur ayant accès à la gestion des utilisateurs peut attribuer des rôles non autorisés, notamment le rôle Owner ou des rôles d’autres équipes. Une suppression d’utilisateur sans restricti…
Source : NVD — CVE-2026-110630
InvoiceShelf : injection SQL via orderByField
InvoiceShelf avant 2.4.0 transmet une valeur contrôlée par l’utilisateur, orderByField, à des appels Laravel orderBy sans la restreindre aux identifiants de colonnes. Un utilisateur authentifié peut ainsi provoquer une injection SQL dans u…
Source : NVD — CVE-2026-55386
CVE-2026-94197 — contournement d’authentification externe dans NGINX Ingress Controller
Avec ExternalAuth ou l’authentification externe d’un Ingress, des en-têtes de routage fournis par le client peuvent être relayés sans assainissement à la sous-requête d’authentification. Un attaquant distant non authentifié peut alors faus…
Source : NVD — CVE-2026-94197
Divulgation du mot de passe de domaine dans FOG
FOG, avant la version 1.5.10.1870, peut divulguer à distance et sans authentification la valeur du mot de passe par défaut de jonction au domaine via l’endpoint adInfo(). La réponse expose le secret dans le champ JSON domainpass.
Source : NVD — CVE-2026-54554
Déni de service par boucle infinie dans le rendu serveur Angular
Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone infinie dans le parseur DOM de rendu côté serveur d’Angular. Un attaquant distant non authentifié peut…
Source : NVD — CVE-2026-101895
Épuisement mémoire du rendu serveur Angular via l’analyse d’URL
Dans Angular, l’analyseur d’URL de @angular/router pouvait consommer une quantité disproportionnée de mémoire avec certains paramètres numériques lorsque le rendu côté serveur (SSR) était activé. Des requêtes répétées pouvaient épuiser le…
Source : NVD — CVE-2026-101896
Injection de commandes dans @offactory/compress-fonts
@offactory/compress-fonts présentait une injection de commandes système lorsque des chemins de polices contrôlés étaient intégrés sans échappement à une commande FontForge. Un attaquant capable de fournir un nom de fichier forgé pouvait ex…
Source : NVD — CVE-2026-110648
Exécution de commandes via les fichiers d’un dépôt dans Markdown Preview Enhanced
Markdown Preview Enhanced exécutait des fichiers de configuration et de parser contrôlés par le dépôt dans un contexte vm.runInNewContext qui ne constitue pas une frontière de sécurité avec l’hôte Node.js. L’ouverture d’un fichier Markdown…
Source : NVD — CVE-2026-54566
Ludwig : extraction d’archives tar hors du répertoire prévu
Avant la version 0.17.8, Ludwig pouvait extraire une archive tar contenant des liens symboliques ou physiques qui échappaient au répertoire de destination, puis écrire des fichiers à des emplacements arbitraires avec les privilèges du proc…
Source : NVD — CVE-2026-104103
SDK Python MCP : épuisement mémoire par corps de requête HTTP sans limite
Le SDK Python MCP tamponne intégralement les corps de requête HTTP sans imposer de taille maximale dans plusieurs composants serveur, ce qui permet à un client distant non authentifié d’épuiser la mémoire du processus. Les serveurs utilisa…
Source : NVD — CVE-2026-109527
MCP Java SDK : épuisement mémoire via des corps HTTP sans limite
Une vulnérabilité affecte le Model Context Protocol Java SDK : certains transports serveur Servlet acceptent des corps HTTP sans limite de taille, ce qui peut épuiser la mémoire du processus. Les versions corrigées indiquées dans la fiche…
Source : NVD — CVE-2026-108395
CVE-2026-67414 — consommation mémoire via arrays AMQP 1.0
Un client AMQP 1.0 authentifié peut provoquer une forte consommation mémoire en envoyant une trame contenant de nombreuses arrays dont les éléments s’expansent en mémoire. Mettez à jour vers une version corrigée; la fiche consultée décrit…
Source : NVD — CVE-2026-67414
CVE-2026-67416 — mauvaise classification de corps AMQP 1.0
Un éditeur AMQP 1.0 authentifié disposant du droit d’écriture peut envoyer un descripteur inconnu dont le préfixe est interprété à tort comme un type de corps enregistré. Des consommateurs peuvent alors échouer au décodage du message; la m…
Source : NVD — CVE-2026-67416
Fuite mémoire du parseur XML njs sur erreur
Le moteur njs intégré ne libère pas un contexte du parseur libxml2 lorsque xml.parse() échoue, ce qui permet à un attaquant distant d’accumuler de la mémoire en envoyant des requêtes contenant du XML malformé. Cette croissance peut termine…
Source : NVD — CVE-2026-101025
CVE-2026-95101 — injection dans une requête proxifiée via HTTP/3
Dans certaines configurations HTTP/3 avec proxy_request_buffering on, un attaquant non authentifié peut injecter des données dans la requête transmise au serveur mandataire. NGINX indique que les versions 1.30.6 et 1.31.7 corrigent le prob…
Source : NVD — CVE-2026-95101
Contournement de limite de références dans svg-sanitizer
svg-sanitizer présente une faiblesse dans le traitement des références SVG avant la version 1.0.0. Des références imbriquées utilisant une casse mixte dans l’attribut xlink:href peuvent contourner la limite de nesting et exposer l’applicat…
Source : NVD — CVE-2026-107381
XSS stockée dans Gallery Custom Links
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans Gallery Custom Links, affectant toutes les versions jusqu’à 2.3.3 incluse. L’attaque nécessite deux entrées coordonnées d’un même utilisateur authentifié disposant au moi…
Source : NVD — CVE-2026-107757
XSS réfléchie dans la page flagged_item de ClipBucket
ClipBucket v5 jusqu’à 5.5.3-#206 incluse présente une XSS réfléchie dans admin_area/flagged_item.php. Un lien spécialement construit peut déclencher du script dans l’origine du panneau d’administration lorsqu’un administrateur ou modérateu…
Source : NVD — CVE-2026-110625
XSS réfléchie dans les paramètres de langue de ClipBucket
ClipBucket v5 jusqu’à 5.5.3-#206 incluse est affecté par une XSS réfléchie dans admin_area/language_settings.php. Un attaquant peut cibler un administrateur disposant de la permission basic_settings avec un lien dont le paramètre est réper…
Source : NVD — CVE-2026-110626
Inclusion de fichier local dans YOURLS
YOURLS, un raccourcisseur d’URL auto-hébergé écrit en PHP, présente une inclusion de fichier local avant la version 1.10.5. Un attaquant distant non authentifié peut exploiter une traversée de répertoires pour faire inclure un fichier PHP…
Source : NVD — CVE-2026-62858
BottleCRM : injection de template dans la tâche d’envoi de courriels
BottleCRM contient une injection de template côté serveur dans la tâche Celery `send_email` : un membre authentifié d’une organisation peut soumettre un contenu de courriel qui divulgue le contexte de rendu et les modules Python chargés, o…
Source : NVD — CVE-2026-110593
SDK Python MCP : épuisement mémoire par accumulation de sessions HTTP
Le SDK Python MCP conserve sans expiration ni limite globale certaines entrées de session HTTP avec état, ce qui permet à un client pouvant joindre le serveur d’accroître sa consommation mémoire jusqu’à épuisement. Les transports HTTP sans…
Source : NVD — CVE-2026-59951
Points de terminaison non authentifiés dans le lanceur de développement Pipecat
Le lanceur de développement intégré à Pipecat exposait, lorsqu’il était rendu accessible à du trafic non fiable, des points de terminaison sans authentification capables de créer des sessions de bots et des salons Daily. La version 1.6.0 c…
Source : NVD — CVE-2026-102682
Identifiants de dépôt exposés dans les journaux du SDK SageMaker Python
Dans le SDK Python Amazon SageMaker, les erreurs de sous-processus lors d’un git clone pouvaient être journalisées sans masquer les identifiants du dépôt. Un utilisateur distant authentifié pouvait ainsi retrouver des identifiants en clair…
Source : NVD — CVE-2026-110248
Zimbra : contournement de la limitation des tentatives de connexion via GraphQL
Zimbra Collaboration Suite présente un contournement de la limitation des tentatives d’authentification via GraphQL : un attaquant non authentifié peut effectuer des essais de mots de passe sans incrémenter le compteur d’échecs associé à l…
Source : NVD — CVE-2026-93637
XSS réfléchie dans le mode add_todo de ClipBucket
ClipBucket v5 jusqu’à 5.5.3-#206 incluse présente une XSS réfléchie dans admin_area/index.php, liée au paramètre val en mode add_todo. Une requête intersite POST sans protection CSRF peut amener un administrateur connecté à déclencher du s…
Source : NVD — CVE-2026-110627
HPE NonStop Java JToolkit : injection de commandes et dépassement de tampon
Une vulnérabilité du HPE NonStop Java JToolkit est signalée comme pouvant permettre une injection de commandes et un dépassement de tampon. Les informations disponibles dans la fiche candidate ne précisent ni les versions touchées ni la ve…
Source : NVD — CVE-2026-73792
Multiples vulnérabilités dans MongoDB Server
Le CERT-FR signale plusieurs vulnérabilités dans MongoDB Server, susceptibles de permettre une exécution de code arbitraire ou un déni de service à distance. Les CVE, versions concernées et correctifs ne sont pas précisés dans les éléments…
Source : CERT-FR — Multiples vulnérabilités dans MongoDB Server
Debian publie DLA-4835-1 pour MariaDB
Debian a publié l’avis DLA-4835-1 pour corriger plusieurs vulnérabilités dans MariaDB ; un attaquant authentifié pouvait provoquer un déni de service, obtenir un accès non autorisé en lecture ou potentiellement prendre le contrôle du serve…
Source : DLA-4835-1 mariadb – security update
Code malveillant dans le paquet PyPI pyyi 2.4.1
Le paquet PyPI `pyyi` version 2.4.1 contient un code malveillant qui se fait passer pour un interpréteur Python et transmet certaines saisies à un serveur distant. Il peut ensuite récupérer et exécuter en mémoire du code fourni par ce serv…
Source : GHSA-4vr9-vg98-9xpf — Malicious code in pyyi (PyPI)
CMS & e-commerce
97 alerte(s)Contournement d’authentification dans Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce permet le contournement de l’authentification à partir de jetons de récupération de panier forgés, pouvant conduire à la prise de contrôle d’un compte. La description indique que des attaquants non authen…
Source : NVD — CVE-2026-97657
Injection SQL dans le panier persistant de Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce présente une injection SQL dans le traitement du panier persistant invité. La donnée injectée peut affecter la table des métadonnées utilisateur; la description signale qu’elle pourrait notamment permettr…
Source : NVD — CVE-2026-97668
Téléversement arbitraire de fichiers dans JTL-Connector for WooCommerce
JTL-Connector for WooCommerce accepte une valeur jtlauth vide comme identifiant valide et valide insuffisamment le type des fichiers envoyés, permettant le téléversement non authentifié de fichiers potentiellement exécutables. Toutes les v…
Source : NVD — CVE-2026-87855
Exécution de code à distance dans le plugin WordPress AGE-GATE
Le plugin AGE-GATE présente une exécution de code à distance non authentifiée via son point d’entrée admin.php et des paramètres POST non assainis. Toutes les versions jusqu’à 1.0 incluse sont concernées ; aucune version corrigée ni mesure…
Source : NVD — CVE-2026-104800
Exécution arbitraire de shortcodes dans Click to Chat for WhatsApp
Click to Chat for WhatsApp peut transmettre à l’interpréteur de shortcodes une valeur issue de l’URL de la requête sur les pages d’archives. Cela permet à un attaquant non authentifié de déclencher des shortcodes disponibles sur le site.
Source : NVD — CVE-2026-92097
SimpleForm : création non authentifiée de comptes administrateurs
SimpleForm permet à un attaquant non authentifié de créer un compte WordPress avec des privilèges d’administrateur. Toutes les versions jusqu’à 3.10.0 inclus sont concernées ; les données fournies ne précisent pas de version corrigée.
Source : NVD — CVE-2026-104748
Suppression arbitraire de fichiers via File Upload to Order
File Upload to Order ne valide pas et ne confine pas un chemin de fichier issu de données de session contrôlées par un attaquant avant de supprimer le fichier. L’action de suppression est accessible sans authentification et peut permettre…
Source : NVD — CVE-2026-107594
Injection SQL dans Abandoned Cart Pro for WooCommerce
Abandoned Cart Pro for WooCommerce présente une injection SQL via le paramètre validate. La fiche indique qu’un attaquant non authentifié peut exploiter l’insuffisance d’échappement et de préparation de la requête pour extraire des données…
Source : NVD — CVE-2026-102251
Injection SQL dans JTL-Connector for WooCommerce
JTL-Connector for WooCommerce présente une injection SQL temporelle non authentifiée sur le point de liaison d’identité product.push. Sont concernées les versions jusqu’à 2.4.3 incluse ; aucune version corrigée ni mesure de contournement n…
Source : NVD — CVE-2026-78193
Escalade de privilèges dans Membership & User Roles for WooCommerce
Le plugin Membership & User Roles for WooCommerce peut réattribuer un rôle auparavant révoqué, y compris le rôle Administrateur, à un utilisateur authentifié. Le scénario décrit exige notamment que le compte ait auparavant reçu ce rôle et…
Source : NVD — CVE-2026-104767
CVE-2026-103358 : injection de code dans Email Template Customizer for WooCommerce
Une vulnérabilité de type injection de code a été signalée dans Email Template Customizer for WooCommerce de VillaTheme, pour les versions jusqu’à 1.3.4 incluses. Les informations fournies ne précisent ni le mécanisme exploitable ni la ver…
Source : NVD — CVE-2026-103358
XSS réfléchie dans Hippoo Mobile App for WooCommerce
La fiche NVD décrit une XSS réfléchie dans Hippoo Mobile App for WooCommerce, affectant les versions jusqu’à 1.12.0. La source fournie ne précise ni correctif ni mesure d’atténuation.
Source : NVD — CVE-2026-108483
XSS stockée dans le plugin WordPress NewStatPress
NewStatPress contient une XSS stockée exploitable sans authentification via QUERY_STRING/REQUEST_URI, dans les pages publiques utilisant le shortcode [NewStatPress type="Top Pages"]. Sont concernés les versions jusqu’à 1.4.5 incluse ; aucu…
Source : NVD — CVE-2026-100153
XSS stockée dans le plugin WordPress Document Gallery
Document Gallery présente une XSS stockée via le corps d’une requête à l’action dg_thumber_webhook, exploitable sans authentification lorsque la journalisation du plugin est activée. Les versions jusqu’à 5.1.1 incluse sont concernées ; la…
Source : NVD — CVE-2026-77114
Booking Package : divulgation non autorisée des données des clients
Le plugin Booking Package pour WordPress jusqu’à la version 1.7.29 permettait à des visiteurs non authentifiés de contourner l’autorisation et d’accéder aux données personnelles des clients ayant réservé, notamment leurs coordonnées et jet…
Source : NVD — CVE-2026-103423
Bit Integrations : prise de contrôle de compte administrateur via la réexécution d’un journal
Le plugin Bit Integrations pour WordPress jusqu’à la version 2.10.6 incluse présente une faille de réexécution de journaux pouvant permettre à un attaquant non authentifié de modifier le mot de passe d’un administrateur. L’attaque dépend d…
Source : NVD — CVE-2026-104749
Contournement d’autorisation dans Directorist
Directorist ne vérifie pas correctement l’autorisation de l’utilisateur avant la suppression d’annonces du répertoire. Un utilisateur authentifié disposant au moins du rôle Abonné peut supprimer des annonces appartenant à d’autres utilisat…
Source : NVD — CVE-2026-17092
XSS stockée dans AnyComment
AnyComment stocke une valeur email non assainie via son endpoint REST public et l’affiche sans échappement dans l’administration. Un attaquant non authentifié peut ainsi injecter du script qui s’exécute lorsqu’un administrateur consulte la…
Source : NVD — CVE-2026-103422
XSS stockée dans le plugin WordPress Contact Form DB for Enfold
Contact Form DB for Enfold présente une XSS stockée dans les valeurs de champs de formulaire, exploitable sans authentification. Sont concernées les versions jusqu’à 2.0.2 incluse ; la source ne précise ni version corrigée ni contournement.
Source : NVD — CVE-2026-83592
WordPress Cryptocurrency Donation Box : XSS stockée exploitable sans authentification
Le plug-in Cryptocurrency Donation Box – Bitcoin & Crypto Donations pour WordPress présente une XSS stockée via le paramètre data_object, due à une validation des entrées et à un échappement des sorties insuffisants. Le défaut permet à des…
Source : CVE-2026-93885 — NVD
XSS stockée et contournement d’authentification dans Verified Reviews
Verified Reviews (Avis Vérifiés) présente une XSS stockée via le paramètre moderation, exploitable sans authentification. Une vérification de signature par comparaisons non strictes permet de contourner l’authentification ; aucune version…
Source : NVD — CVE-2026-94377
Injection SQL aveugle dans Form Maker by 10Web
Form Maker by 10Web est vulnérable à une injection SQL aveugle via le paramètre inputs, exploitable sans authentification. Le nonce nécessaire est publié sur les pages publiques qui affichent un formulaire ; aucune version corrective n’est…
Source : NVD — CVE-2026-95808
XSS stockée dans Smart Forms
Smart Forms est vulnérable à une XSS stockée via le paramètre formString, sans authentification dans la configuration par défaut. Le contrôle par nonce n’est appliqué que lorsque l’option smart_forms_block_anonymous_submissions est activée…
Source : NVD — CVE-2026-95816
Injection SQL dans Gmedia Photo Gallery
Gmedia Photo Gallery présente une injection SQL temporelle via le paramètre gmedia__in, exploitable sans compte ni session. Le point d’entrée de l’application mobile ne vérifie ni l’activation de la fonctionnalité, ni un nonce, ni l’authen…
Source : NVD — CVE-2026-96661
XSS stockée dans FV Flowplayer Video Player
FV Flowplayer Video Player est affecté par une XSS stockée liée à l’attribut de shortcode synopsis. L’exploitation par un visiteur non authentifié nécessite l’activation de parse_comments et l’utilisation de l’attribut liststyle avec la va…
Source : NVD — CVE-2026-97398
NewStatPress : XSS stockée via les référents
NewStatPress jusqu’à la version 1.4.5 incluse présente une vulnérabilité XSS stockée dans le bloc « Last referrers » de la page d’administration Overview. Des données de référent contrôlées par un visiteur peuvent entraîner l’exécution de…
Source : NVD — CVE-2026-101924
LatePoint : prise de contrôle possible d’un compte client
LatePoint présente un contournement d’authentification pouvant permettre à un utilisateur authentifié avec un rôle de niveau Subscriber ou supérieur de prendre le contrôle du compte client d’une autre personne dans certaines conditions. Le…
Source : NVD — CVE-2026-100163
LatePoint : accès non autorisé aux réservations et paniers
LatePoint expose des données de réservations et de paniers d’autres clients par des routes publiques qui acceptent des identifiants sans contrôle de propriété adéquat. Les versions jusqu’à 5.7.3 inclus sont affectées ; aucune version corre…
Source : NVD — CVE-2026-103366
ShopMagic : inclusion de fichier local et exécution de code PHP
ShopMagic présente une inclusion de fichier local pouvant permettre à un attaquant non authentifié d’inclure et d’exécuter des fichiers PHP sur le serveur, sous certaines conditions. Toutes les versions jusqu’à 4.9.0 inclus sont concernées…
Source : NVD — CVE-2026-103367
Injection d’objets PHP dans Post Export Import with Media
La fiche NVD publiée le 14 octobre 2026 signale une injection d’objets PHP dans Post Export Import with Media, affectant toutes les versions jusqu’à 1.17.1 incluse. L’exploitation requiert un compte administrateur et son impact dépend de l…
Source : NVD — CVE-2026-104764
Inclusion locale de fichier dans Mang Board
La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans Mang Board, affectant toutes les versions jusqu’à 2.4.3 incluse. La description signale qu’un attaquant non authentifié peut provoquer l’inclusion de fichi…
Source : NVD — CVE-2026-104909
XSS stockée non authentifiée dans Record of Consent Extension for Complianz
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans Record of Consent Extension for Complianz, affectant toutes les versions jusqu’à 2.5 incluse. La description indique que l’attaque est possible sans authentification, car…
Source : NVD — CVE-2026-107631
Mang Board : script intersite stocké via user_name
Mang Board présente une faille de script intersite stocké via le paramètre user_name, exploitable sans authentification. Les versions jusqu’à 2.4.3 inclus sont concernées ; aucune version corrigée n’est indiquée dans les données fournies.
Source : NVD — CVE-2026-107751
FV Flowplayer Video Player : téléversement de fichiers insuffisamment contrôlé
FV Flowplayer Video Player présente une validation insuffisante du type de fichier lors du téléversement. Toutes les versions jusqu’à 7.5.54.7212 inclus sont concernées ; mettez à jour vers une version corrigée dès sa disponibilité et véri…
Source : NVD — CVE-2026-86461
Walletdoc Payment Gateway : injection SQL et validation de paiement insuffisante
Walletdoc Payment Gateway for WooCommerce avant la version 1.8.5 ne protège pas correctement une requête SQL et utilise par défaut un secret de signature de webhook vide. Un attaquant non authentifié peut ainsi provoquer une injection SQL…
Source : NVD — CVE-2026-103307
XSS stockée dans WP Booking System
WP Booking System stocke puis affiche dans une page d’administration une valeur de requête contrôlable par le client sans la nettoyer ni l’échapper correctement. Un attaquant non authentifié peut ainsi provoquer une XSS stockée lorsque l’a…
Source : NVD — CVE-2026-107126
Forms : injection de script dans l’écran d’administration des soumissions
Forms ne nettoie pas les valeurs soumises avant leur stockage et ne les échappe pas sur l’écran d’administration des soumissions. Un attaquant non authentifié peut ainsi injecter un script exécuté dans le navigateur de tout administrateur…
Source : NVD — CVE-2026-86799
Inclusion et lecture de fichiers locaux dans Ultimate Multisite
Ultimate Multisite ne valide pas une valeur fournie par l’utilisateur qui sert à sélectionner un fichier à inclure. Un attaquant non authentifié peut ainsi inclure et lire des fichiers locaux arbitraires, dont le fichier de configuration d…
Source : NVD — CVE-2026-107508
affiliate-toolkit : exécution de code PHP via un modèle fourni par un utilisateur
Dans affiliate-toolkit, un utilisateur ayant au moins le rôle Contributor peut fournir un modèle que le moteur de rendu embarqué compile et exécute comme du PHP. Mettre à jour le plugin vers la version 3.9.1 ou ultérieure.
Source : NVD — CVE-2026-86787
Hyyan WooCommerce Polylang Integration : injection SQL
Hyyan WooCommerce Polylang Integration jusqu’à la version 1.5.0 incluse est vulnérable à une injection SQL via l’action AJAX woocommerce_remove_variations. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut potentielle…
Source : NVD — CVE-2026-101926
CodeAtoZ B2B Suite : accès indu aux devis d’invités
CodeAtoZ B2B Suite for WooCommerce avant la version 1.6.1 ne contrôle pas suffisamment l’accès aux devis soumis en tant qu’invité. Un utilisateur non authentifié peut consulter le devis d’un autre invité en fournissant un identifiant énumé…
Source : NVD — CVE-2026-105969
Trust Payments Gateway for WooCommerce : commandes validées sans paiement
Trust Payments Gateway for WooCommerce ne vérifie pas l’authenticité de la réponse renvoyée après un paiement hébergé, ne la lie pas à la commande visée et ne contrôle pas le montant. Un attaquant non authentifié peut marquer des commandes…
Source : NVD — CVE-2026-87843
Product Feed for WooCommerce Merchant : secret de boutique remplaçable sans authentification
Une action AJAX de Product Feed for Google Shopping, Microsoft Advertising and 40+ Channels for WooCommerce Merchant ne comporte ni vérification de nonce ni contrôle de capacité. Tout visiteur peut forcer la réinscription de la boutique et…
Source : NVD — CVE-2026-87968
Asaas Gateway for WooCommerce : validation insuffisante du webhook de paiement
Le webhook de paiement d’Asaas Gateway for WooCommerce n’authentifie pas correctement les notifications et ne vérifie pas que le paiement confirmé correspond à la commande. Avant la version 2.7.8, un attaquant non authentifié peut ainsi fa…
Source : NVD — CVE-2026-87974
Paymentfor Gateway for WooCommerce : fausses notifications de paiement
Paymentfor Gateway for WooCommerce ne vérifie pas l’authenticité des notifications de paiement entrantes avant de marquer une commande comme payée. Les versions antérieures à 1.0.6 sont concernées ; mettre à jour vers la version 1.0.6 ou u…
Source : NVD — CVE-2026-94360
Cart Abandonment Recovery : altération des données de panier abandonné
Cart Abandonment Recovery for WooCommerce ne vérifie pas que l’utilisateur possède l’adresse e-mail utilisée pour sélectionner une donnée de panier abandonné avant de la supprimer ou de la modifier. Les versions antérieures à 2.1.4 sont co…
Source : NVD — CVE-2026-96900
Visma Pay for WooCommerce : validation insuffisante des retours de paiement
Visma Pay for WooCommerce ne vérifie pas correctement l’authenticité des retours de la passerelle de paiement. Les versions antérieures à 1.2.2 sont concernées ; mettez le plugin à jour et renseignez les identifiants marchands requis.
Source : NVD — CVE-2026-103308
Avada Builder : exposition de données utilisateur
Le plugin Avada (Fusion) Builder jusqu’à la version 3.16.1 incluse expose des valeurs arbitraires de métadonnées utilisateur, dont des données personnelles WooCommerce, à des visiteurs non authentifiés. La fiche NVD publiée pendant la péri…
Source : NVD — CVE-2026-97471
XSS stockée dans le plugin WordPress Directorist
Directorist présente une XSS stockée via le champ de téléphone d’une annonce, exploitable par un utilisateur authentifié disposant au minimum d’un rôle abonné. Les versions jusqu’à 8.10.2.1 incluse sont concernées ; aucune version corrigée…
Source : NVD — CVE-2026-100185
XSS réfléchie dans le plugin WordPress Tutor LMS
Tutor LMS est affecté par une XSS réfléchie via le paramètre tab, exploitable sans authentification si un utilisateur est amené à suivre un lien piégé. Sont concernées les versions jusqu’à 4.1.0 incluse ; la source ne précise pas de versio…
Source : NVD — CVE-2026-100193
XSS stockée dans le plugin WordPress Countdown Timer – Widget Countdown
Countdown Timer – Widget Countdown est affecté par une XSS stockée dans l’attribut de shortcode redirect_url, exploitable par un utilisateur authentifié ayant au moins le rôle contributeur. Sont concernées les versions jusqu’à 3.0.1 inclus…
Source : NVD — CVE-2026-16495
Booking Package : XSS stockée via le paramètre « id »
Le plugin Booking Package pour WordPress jusqu’à la version 1.7.29 incluse présente une faille de XSS stockée via le paramètre « id », exploitable par un utilisateur authentifié disposant au moins du rôle Contributor. Le défaut permet l’in…
Source : NVD — CVE-2026-103425
Suppression arbitraire de fichiers dans CFDB7
CFDB7 peut supprimer un fichier arbitraire à partir de données de soumission stockées, sans vérifier que le fichier appartient à la soumission concernée. La description fournie indique qu’un attaquant non authentifié peut injecter un champ…
Source : NVD — CVE-2026-107652
XSS stockée dans FV Player 8
FV Player 8 est affecté par une XSS stockée dans l’attribut de shortcode synopsis. L’attaque nécessite généralement un compte de niveau contributeur ou supérieur, mais peut aussi concerner les visiteurs anonymes si le traitement des liens…
Source : NVD — CVE-2026-95807
XSS stockée dans PO/MO Editor
PO/MO Editor présente une XSS stockée via le paramètre podata, accessible à des utilisateurs authentifiés disposant au moins du rôle d’abonné. Le contenu injecté est chargé comme fichier de traduction de remplacement ; aucune version corre…
Source : NVD — CVE-2026-97020
GetSocial.io : XSS stockée dans les réglages
Social Share Buttons & Analytics Plugin – GetSocial.io jusqu’à la version 4.5 incluse présente une XSS stockée déclenchée par le paramètre response. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut injecter un script…
Source : NVD — CVE-2026-103369
Final Tiles Grid : XSS stockée dans un script intégré
Le plug-in Image Photo Gallery Final Tiles Grid pour WordPress ne neutralise pas certaines valeurs de configuration de galerie avant de les insérer dans un script intégré à la page. Un utilisateur ayant au moins le rôle de contributeur peu…
Source : CVE-2026-104644 — NVD
Rank Math SEO : suppression non autorisée des données d’analyse
Rank Math SEO avant la version 1.0.280 ne vérifie pas les capacités de l’utilisateur ni un nonce avant d’effacer ses données d’analyse SEO. Un attaquant non authentifié peut donc supprimer ces données stockées.
Source : NVD — CVE-2026-104751
XSS stockée dans Schedule Post Changes With PublishPress Future
Le plugin WordPress Schedule Post Changes With PublishPress Future ne neutralise pas correctement du contenu contrôlé par l’utilisateur dans un attribut de shortcode, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’…
Source : NVD — CVE-2026-105261
CamPay Shortcode Payment Gateway : confirmations de paiement non vérifiées
CamPay Shortcode Payment Gateway avant la version 1.7 ne vérifie pas l’authenticité des confirmations de paiement Mobile Money et se fie à des paramètres contrôlés par le client. Un attaquant non authentifié peut falsifier l’état de paieme…
Source : NVD — CVE-2026-105975
WP Data Access : contrôle d’autorisation insuffisant sur un point d’accès REST
Une vérification d’autorisation insuffisante sur un point d’accès REST permet à un attaquant non authentifié de modifier des données dans une application accessible en lecture anonyme, même si les mises à jour ont été désactivées par l’adm…
Source : NVD — CVE-2026-106098
WP Data Access : export non autorisé de tables affichées publiquement
L’action d’export de tables de la base de données n’est pas réservée aux utilisateurs autorisés et repose sur un jeton présent dans les pages publiques affichant une table. Un attaquant non authentifié peut ainsi exporter le contenu comple…
Source : NVD — CVE-2026-106099
NEX-Forms : modification non autorisée d’entrées de formulaire
NEX-Forms ne vérifie ni les autorisations, ni la propriété de l’entrée, ni la validité de la requête avant de modifier des réponses de formulaire enregistrées. Un attaquant non authentifié peut écraser, effacer, réattribuer ou compléter un…
Source : NVD — CVE-2026-106166
Contrôle d’autorisation insuffisant dans Classified Listing
Classified Listing ne vérifie pas que l’utilisateur qui effectue une requête de galerie est propriétaire de l’annonce ciblée ou autorisé à la modifier. Un utilisateur authentifié avec un compte de niveau abonné peut donc modifier, corrompr…
Source : NVD — CVE-2026-106646
Modification non autorisée des réglages de LTL Freight Quotes
LTL Freight Quotes expose une route REST qui écrit dans la base de données sans contrôle d’autorisation ni validation. Un utilisateur non authentifié peut modifier certains réglages stockés de l’extension.
Source : NVD — CVE-2026-107158
Injection de contenu affiché aux visiteurs dans LTL Freight Quotes
LTL Freight Quotes ne vérifie pas les autorisations et n’assainit pas certaines valeurs de requête avant de les stocker. Un utilisateur non authentifié peut injecter du HTML et des liens qui seront affichés aux visiteurs de la vitrine.
Source : NVD — CVE-2026-107160
XSS stockée dans la configuration de galerie Final Tiles Grid
Image Photo Gallery Final Tiles Grid n’échappe pas les valeurs de configuration de la lightbox avant de les écrire dans un script intégré à la page, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’enregistrer du Jav…
Source : NVD — CVE-2026-107178
Lecture non autorisée du journal d’activité de GamiPress
GamiPress ne contrôle pas les capacités ni la propriété des données dans une action AJAX authentifiée. Tout utilisateur authentifié, y compris un abonné, peut lire des entrées arbitraires du journal d’activité, notamment des soldes de poin…
Source : NVD — CVE-2026-107319
rtMedia : téléversement possible dans l’album privé d’un autre utilisateur
rtMedia ne vérifie pas qu’un utilisateur possède l’album ciblé ou est autorisé à y déposer des fichiers. Avant la version 4.7.14, un utilisateur authentifié avec un rôle Subscriber ou supérieur peut placer un média dans l’album privé d’un…
Source : NVD — CVE-2026-88927
Accès non autorisé aux journaux privés de GamiPress
GamiPress autorise incorrectement l’accès aux entrées privées du journal d’activité, qu’un utilisateur non authentifié peut récupérer. La fiche décrit cette faille comme une correction incomplète de CVE-2026-13450.
Source : NVD — CVE-2026-107320
WP Encryption : absence de contrôle sur la procédure de certificat
Une absence de vérification de capacité ou de nonce permet à un visiteur non authentifié de modifier la clé privée du certificat du site et les éléments d’une commande Let’s Encrypt en attente. Mettre à jour WP Encryption vers la version 7…
Source : NVD — CVE-2026-108064
Sunshine Photo Cart : commentaires injectables dans des galeries restreintes
Sunshine Photo Cart ne vérifie pas qu’un visiteur est autorisé à accéder à une galerie restreinte avant d’accepter des commentaires sur ses images. Un attaquant non authentifié peut ainsi injecter du contenu et choisir un nom et une adress…
Source : NVD — CVE-2026-108069
EmbedPress : appels API et entrées de cache contrôlables sans authentification
Une requête non authentifiée vers EmbedPress peut déclencher un appel serveur à une API tierce avec les identifiants du site et enregistrer des entrées de cache contrôlées par l’attaquant. Cela permet notamment de consommer le quota de l’A…
Source : NVD — CVE-2026-85000
FV Flowplayer Video Player : SSRF via validation insuffisante d’URL
FV Flowplayer Video Player valide insuffisamment une URL fournie par l’utilisateur avant d’effectuer une requête côté serveur, ce qui permet une SSRF aux utilisateurs ayant au moins le rôle Contributor. Le résultat est limité à un oracle s…
Source : NVD — CVE-2026-85345
Pricing Table : script stocké via un lien de bloc non validé
Pricing Table ne valide pas le schéma d’un lien soumis dans un bloc avant son affichage, ce qui permet à un utilisateur ayant au moins le rôle Contributor d’y stocker un script malveillant. Celui-ci peut s’exécuter lorsqu’un autre utilisat…
Source : NVD — CVE-2026-86797
Sifalo Pay : modification non autorisée de l’état et des métadonnées de commande
Sifalo Pay ne vérifie pas que l’utilisateur est autorisé à modifier la commande lors du traitement d’un retour de paiement. Avant la version 2.5.3, un attaquant non authentifié peut écrire des métadonnées de session de paiement sur n’impor…
Source : NVD — CVE-2026-94260
Sifalo Pay : confirmation indue de commandes à partir d’un identifiant de transaction
Sifalo Pay ne vérifie pas que l’identifiant de transaction appartient à la commande confirmée ni que le demandeur en est propriétaire. Avant la version 2.5.3, un attaquant non authentifié disposant d’un identifiant de transaction valide is…
Source : NVD — CVE-2026-94261
AWP Classifieds : divulgation de l’adresse e-mail privée d’une annonce
AWP Classifieds ne vérifie pas correctement le droit d’accès à une annonce lorsqu’une transaction de paiement est référencée, permettant de contourner le contrôle de propriété et de lire l’adresse e-mail de contact privée associée. Les ver…
Source : NVD — CVE-2026-96904
PeproDev Branches Map : injection de scripts persistante
PeproDev Branches Map est vulnérable à une injection de scripts persistante en raison d’une validation des entrées et d’un échappement des sorties insuffisants. Toutes les versions jusqu’à 3.0.1 inclus sont concernées ; le candidat fourni…
Source : NVD — CVE-2025-9373
LatePoint : exposition de données sensibles de réservation
Le plugin LatePoint divulgue des données de réservation sensibles, notamment des notes internes et des informations de contact, à des utilisateurs authentifiés disposant au moins du rôle Abonné. La fiche publiée le 14 octobre indique que t…
Source : NVD — CVE-2026-103380
Jeg Elementor Kit : contrôle d’accès insuffisant et exposition de données utilisateurs
Jeg Elementor Kit présente un défaut de contrôle d’accès permettant à des utilisateurs authentifiés disposant au moins du rôle Abonné d’énumérer les comptes du site et de rechercher des adresses électroniques. Les versions jusqu’à 3.2.19 i…
Source : NVD — CVE-2026-103907
XSS stockée dans Mang Board via le paramètre content
La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans Mang Board, via le paramètre `content`, affectant toutes les versions jusqu’à 2.4.3 incluse. Un attaquant authentifié disposant au moins d’un accès de niveau personnalisé…
Source : NVD — CVE-2026-104761
XSS stockée dans GeoDirectory via post_title
La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans GeoDirectory – WP Business Directory Plugin and Classified Listings Directory, affectant toutes les versions jusqu’à 2.8.190 incluse. Des utilisateurs authentifiés disposa…
Source : NVD — CVE-2026-107650
XSS stockée dans GeoDirectory via le titre des images
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans GeoDirectory – WP Business Directory Plugin and Classified Listings Directory, affectant toutes les versions jusqu’à 2.8.190 incluse. Des utilisateurs authentifiés dispos…
Source : NVD — CVE-2026-107754
XSS stockée dans Meow Lightbox sous conditions
La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans Meow Lightbox, affectant toutes les versions jusqu’à 5.6.2 incluse. L’exploitation nécessite l’activation de l’option Output Buffering et un commentaire antérieur déjà app…
Source : NVD — CVE-2026-107756
WPCode : contournement du fonctionnement des snippets
WPCode ne vérifie pas correctement qu’une requête vise réellement l’écran de connexion avant d’activer son mode sécurisé pour les snippets. Les versions antérieures à 2.4.0 sont concernées ; installez la version 2.4.0 ou une version ultéri…
Source : NVD — CVE-2026-101301
WPForms Lite : soumission de formulaires payants sans paiement
WPForms Lite peut accepter des soumissions de formulaires payants sans vérifier côté serveur que le paiement PayPal Commerce a été effectué. Les versions antérieures à 2.0.2.2 sont concernées ; mettez le plugin à jour vers cette version ou…
Source : NVD — CVE-2026-82844
Tickera : validation insuffisante des notifications de paiement
Tickera ne vérifie pas correctement l’intégrité des notifications de paiement entrantes : la signature validée ne couvre ni la commande ni le montant. Les versions antérieures à 3.6.0.4 sont concernées ; installez cette version ou une vers…
Source : NVD — CVE-2026-88998
Responsive Blocks : injection HTML dans les courriels de notification
Responsive Blocks n’échappe ni ne nettoie certaines valeurs envoyées par le bloc Form avant de les intégrer dans le courriel HTML de notification. Les versions antérieures à 2.3.0 sont concernées ; mettez le plugin à jour vers cette versio…
Source : NVD — CVE-2026-97315
Robokassa pour WooCommerce : commandes susceptibles d’être forcées en échec
La passerelle Robokassa pour WooCommerce ne vérifie pas l’authenticité d’une notification de paiement avant de traiter la commande qu’elle désigne. Avant la version 1.9.0, un attaquant non authentifié peut faire passer des commandes en éch…
Source : NVD — CVE-2026-91076
YITH WooCommerce Popup : suppression non autorisée de métadonnées d’articles
YITH WooCommerce Popup ne vérifie pas les capacités de l’utilisateur avant de supprimer des métadonnées d’articles. Avant la version 1.60.0, un utilisateur ayant le rôle Contributor ou supérieur peut supprimer des métadonnées arbitraires s…
Source : NVD — CVE-2026-92426
XSS stockée via les icônes SVG de Gutenverse Form
Gutenverse Form ne désinfecte pas le balisage SVG d’icône enregistré dans les blocs de formulaire avant son insertion dans la page, ce qui permet à un utilisateur authentifié ayant le rôle Contributeur ou supérieur d’y stocker du JavaScrip…
Source : NVD — CVE-2026-106469
Fast Courier : injection SQL via une route REST non authentifiée
Fast Courier utilise une valeur non assainie dans une requête SQL sur une route REST accessible sans authentification. Avant la version 5.2.4, un attaquant non authentifié peut exploiter une injection SQL pour lire des données arbitraires…
Source : NVD — CVE-2026-89288
Tainacan : accès aux adresses du personnel via les routes REST de rapports
Les points de terminaison REST de rapports de Tainacan ne sont pas réservés aux utilisateurs disposant d’une capacité de gestion. Avant la version 1.4.0, tout utilisateur authentifié ayant le rôle Subscriber peut consulter les adresses éle…
Source : NVD — CVE-2026-90989
Donation Thermometer : injection de gestionnaires d’événements via un shortcode
Donation Thermometer n’échappe pas une valeur de couleur fournie dans un attribut de shortcode avant de l’insérer dans le balisage de la légende. Avant la version 2.3.0, un utilisateur ayant le rôle Contributor ou supérieur peut injecter d…
Source : NVD — CVE-2026-92409
WP 2FA : suppression intersite de configurations 2FA dans Multisite
Sur WordPress Multisite, un administrateur de site peut supprimer la configuration d’authentification à deux facteurs d’utilisateurs relevant d’autres sites, faute de contrôle de capacité au niveau de l’objet. Mettre à jour WP 2FA vers la…
Source : NVD — CVE-2026-108066
SellKit : manipulation du prix d’un produit lors du paiement
SellKit ne valide pas le prix d’un produit fourni par le client lorsque les totaux sont recalculés pendant le paiement. Avant la version 2.8.0, un attaquant non authentifié peut commander un produit achetable au prix de son choix.
Source : NVD — CVE-2026-94254
Systèmes & serveurs
51 alerte(s)Linux : correction de l’accès mémoire à l’anneau de requêtes QLAFX00
La remise à zéro d’un emplacement de l’anneau de requêtes QLAFX00 utilisait memset() sur une mémoire mappée pour les entrées-sorties du périphérique. Le correctif emploie memset_io(), évitant notamment un arrêt synchrone sur certaines arch…
Source : NVD — CVE-2026-98386
Linux : vérification des erreurs de parcours dans le chiffrement AES s390
Le traitement des retours de skcipher_walk_virt() dans aes_s390 ne vérifiait pas correctement les échecs avant d’entrer dans les boucles de traitement. Le correctif contrôle les retours lors de l’initialisation et de l’avancement de la mar…
Source : NVD — CVE-2026-98387
Linux : réduction du risque de blocage lors de exec et de la fermeture des descripteurs
Le traitement de fermeture des descripteurs marqués close-on-exec pouvait attendre une réponse du système de fichiers alors que exec_update_lock était détenu. Le déplacement de cette opération avant la prise du verrou évite qu’un système d…
Source : NVD — CVE-2026-98388
Linux : évite un changement prématuré du profil de puissance pendant la reprise du GPU AMD
Lors de la reprise après une réinitialisation du GPU, une tâche différée pouvait changer le profil de puissance graphique avant la fin de la réinitialisation. Le correctif empêche ce changement prématuré, qui pouvait déclencher une asserti…
Source : NVD — CVE-2026-98389
Linux : correction d’une division par zéro dans le calcul de la topologie AMD
Le code du noyau pouvait calculer à zéro le nombre de racines par nœud sur certains systèmes virtualisés, puis provoquer une division par zéro. Le correctif fixe cette valeur à 1 dans ce cas, notamment pour éviter le plantage observé avec…
Source : NVD — CVE-2026-98390
Linux : maintien d’une référence runtime PM pendant le traitement des défauts de page Xe
Pendant la destruction d’une machine virtuelle Xe, des défauts de page devenus obsolètes pouvaient rester en file après la libération de la référence runtime PM et la suspension du périphérique. Le correctif maintient une référence runtime…
Source : NVD — CVE-2026-98391
Linux : correction d’un dépassement de borne dans le pilote Bluetooth Intel PCIe
Une vérification de borne incorrecte dans le pilote Bluetooth Intel PCIe pouvait laisser passer un index égal au nombre d’entrées de la file d’émission, alors que les indices valides s’arrêtent à count−1. Le correctif rejette désormais aus…
Source : NVD — CVE-2026-98392
Linux : dépassement de longueur UDP avec IPv4 et MTU élevée
Un dépassement de la longueur UDP pouvait se produire avec IPv4 lorsque PMTU discovery était réglé sur `IP_PMTUDISC_PROBE` et qu’un paquet était envoyé sur une interface à MTU exceptionnellement élevée. Le correctif borne la taille des fra…
Source : NVD — CVE-2026-98393
Linux : busy-wait lors d’une lecture AF_UNIX de longueur nulle
Dans AF_UNIX, une lecture bloquante avec `recv(0, MSG_PEEK)` pouvait tourner en boucle si le dernier skb de la file était un message `MSG_OOB`. Le correctif fait retourner immédiatement la fonction lorsque `manage_oob()` renvoie NULL pour…
Source : NVD — CVE-2026-98394
Linux PowerPC : corruption du masque d’interruptions lors du rejeu
Sur PowerPC, la sortie d’une interruption rejouée pouvait corrompre `irq_soft_mask` en effaçant le bit indiquant que les interruptions PMI sont désactivées. Cela provoquait un avertissement noyau ; le correctif remplace `local_irq_disable(…
Source : NVD — CVE-2026-98395
Linux PowerPC : restauration prématurée de KUAP au retour utilisateur
Sur PowerPC, KUAP était réactivé trop tôt pendant la préparation du retour en espace utilisateur, alors que des routines de sortie spécifiques à la plateforme devaient encore s’exécuter. Le correctif reporte la restauration au bon moment d…
Source : NVD — CVE-2026-98396
Linux x86 : risque de use-after-free au démontage du pilote de tablettes Android
Le pilote des tablettes Android x86 conservait un pointeur vers un périphérique sans maintenir sa référence, ce qui pouvait entraîner un use-after-free lors du démontage du pilote. Le correctif prend une référence avec `get_device()` lors…
Source : NVD — CVE-2026-98397
Linux lockdep : invalidation des entrées de cache de classes de verrou
Lockdep pouvait réutiliser une entrée `class_cache` devenue obsolète après la suppression d’une classe de verrou, produisant un indice de classe invalide ou une correspondance erronée après réallocation. Le correctif valide les entrées en…
Source : NVD — CVE-2026-98398
Linux s390 : déréférencement NULL dans le dump autonome sans bloc re-IPL
Sur s390, `dump_reipl_run()` pouvait déréférencer un bloc de paramètres re-IPL NULL pour certains types d’IPL, lors de la préparation des champs lowcore d’un dump autonome. Le correctif renseigne explicitement une adresse et une somme de c…
Source : NVD — CVE-2026-98399
Linux s390 : déréférencement NULL dans kdump sans bloc re-IPL
Sur s390, `set_os_info_reipl_block()` pouvait déréférencer un bloc re-IPL NULL lors d’un kdump pour certains types d’IPL sans bloc de paramètres. Le correctif ignore la mise à jour de l’entrée os_info lorsqu’aucun bloc n’est disponible ; l…
Source : NVD — CVE-2026-98400
Linux : défaut d’en-tête de transport après décapsulation de tunnel
Un défaut du noyau Linux lié à un en-tête de transport obsolète après décapsulation de tunnel peut provoquer un crash lors du traitement de certains paquets GSO relayés au niveau 2. Le tracker Debian indique des versions corrigées pour tri…
Source : NVD — CVE-2026-98401
Linux réseau : accès invalide à l’en-tête de transport dans le tracepoint ICMP
Le tracepoint `icmp_send` pouvait lire un en-tête UDP sans vérifier que le paquet était UDP ; certains chemins d’appel ne définissaient pas non plus l’en-tête de transport. Le correctif limite l’analyse aux paquets UDP et utilise `skb_head…
Source : NVD — CVE-2026-98402
Linux s390 : écriture hors limites lors de l’ajout d’un paramètre IPL
Une commande de démarrage s390 presque à la taille maximale pouvait provoquer une écriture hors limites lors de l’ajout d’un paramètre IPL. Le correctif convertit le paramètre dans le tampon d’analyse et n’ajoute les paramètres que si l’es…
Source : NVD — CVE-2026-98403
Linux virtio-gpu : déréférencement NULL lors de la création d’un framebuffer
Le pilote virtio-gpu pouvait renvoyer un pointeur NULL là où le chemin d’appel attendait un pointeur d’erreur, ce qui pouvait entraîner un déréférencement NULL. Le correctif renvoie un pointeur d’erreur dans ce cas.
Source : NVD — CVE-2026-98404
Linux SMB : lectures hors limites lors de l’analyse des SID POSIX
Le client SMB du noyau ne vérifiait pas que la longueur annoncée par le serveur pour les SID POSIX restait dans les limites des données reçues, ce qui pouvait autoriser des lectures hors limites en mémoire noyau. Le correctif rejette les r…
Source : NVD — CVE-2026-98405
Linux mac80211 : éviter un avertissement lors du réglage du débit Wi-Fi
La configuration du masque de débit Wi-Fi pouvait appeler le pilote alors que l’interface n’était pas encore, ou n’était plus, enregistrée auprès de celui-ci, déclenchant un avertissement du noyau. Le correctif vérifie l’état d’enregistrem…
Source : NVD — CVE-2026-98406
Linux RSI Wi-Fi : écriture hors limites lors du retrait d’une clé
Le pilote Wi-Fi RSI effectuait une écriture hors limites sur le tas lors du retrait d’une clé, notamment lors d’une déconnexion ou d’une fermeture d’interface. Le correctif supprime une remise à zéro redondante qui écrivait au-delà du tamp…
Source : NVD — CVE-2026-98407
Linux watchdog RZ/V2H : risque de division par zéro
Le pilote watchdog RZ/V2H pouvait diviser par zéro si clk_get_rate() renvoyait zéro, provoquant une panique du noyau. Le correctif évite cette division invalide.
Source : NVD — CVE-2026-98408
Linux watchdog RTD119x : risque de division par zéro
Le pilote watchdog RTD119x pouvait diviser par zéro lorsque clk_get_rate() renvoyait zéro, ce qui pouvait provoquer une panique du noyau. Le correctif empêche cette division invalide.
Source : NVD — CVE-2026-98409
Linux watchdog DA9063 : réinitialisation inattendue lors de la suspension
Le pilote watchdog DA9063 ne gérait pas correctement la suspension lorsque le watchdog fonctionnait déjà au niveau matériel mais n’avait pas été ouvert par l’espace utilisateur, ce qui pouvait entraîner une réinitialisation inattendue. Le…
Source : NVD — CVE-2026-98410
Linux pwrseq : déréférencement invalide sur un chemin d’erreur d’enregistrement
Lorsqu’un échec de dev_set_name() survenait pendant l’enregistrement d’un périphérique pwrseq, le chemin de libération pouvait parcourir une liste non initialisée et déréférencer un pointeur invalide. Le correctif initialise la liste avant…
Source : NVD — CVE-2026-98411
Linux pwrseq : déréférencement invalide après un échec d’allocation
En cas d’échec d’allocation pendant la création d’une unité pwrseq, sa libération pouvait appeler list_del() sur une liste qui n’avait pas été initialisée, entraînant un déréférencement invalide. Le correctif initialise la liste immédiatem…
Source : NVD — CVE-2026-98412
Linux : décision AVC initialisée pour les permissions vides
Un correctif du noyau Linux règle un chemin de retour anticipé dans `avc_has_perm_noaudit()` qui laissait la décision AVC non initialisée lorsque l’ensemble de permissions demandé était vide. Le correctif fournit une décision explicite de…
Source : NVD — CVE-2026-98413
Linux : éviter une facturation mémoire erronée au cgroup racine
Un défaut dans la facturation mémoire des objets cgroup pouvait faire facturer au cgroup racine des pages d’objets réaffectés après la suppression d’un cgroup enfant. Le correctif utilise `try_charge()`, qui ignore le cgroup racine, rétabl…
Source : NVD — CVE-2026-98414
Linux : corriger un use-after-free dans le pilote PMU Exynos
Dans le pilote PMU Exynos de Samsung, le nœud d’interruption était libéré après la lecture de sa ressource, puis réutilisé lors de l’enregistrement du regmap. Le correctif conserve correctement sa référence jusqu’à la fin de son utilisatio…
Source : NVD — CVE-2026-98415
Linux : éviter un déréférencement nul dans le pilote TI K3 UDMA
Dans le pilote TI K3 UDMA, un échec d’allocation de la liste des flux RX pouvait conduire le chemin de nettoyage à déréférencer un pointeur nul. Le correctif évite la boucle de libération des flux lorsque cette liste n’a pas été allouée.
Source : NVD — CVE-2026-98416
Linux : rejeter les offsets d’en-tête ESP-in-TCP non représentables
Le traitement ESP-in-TCP pouvait transmettre à XFRM un décalage d’en-tête de transport impossible à représenter après la suppression de l’enveloppe TCP. Le correctif vérifie ce décalage et abandonne le paquet via le chemin d’erreur XFRM s’…
Source : NVD — CVE-2026-98417
Linux : supprimer un avertissement de migration erroné pour les donneurs proxy
L’exécution proxy peut déplacer le contexte d’ordonnancement d’un donneur bloqué vers le processeur du détenteur du verrou, même lorsque le donneur est désactivé pour migration. Le correctif évite alors un avertissement erroné, puisque le…
Source : NVD — CVE-2026-98418
Linux : corriger une écriture hors limites dans drop_monitor
`reset_per_cpu_data()` calculait une taille incluant l’en-tête d’attribut netlink, puis écrivait cette taille à partir de la zone de données de l’attribut. Cela pouvait provoquer une écriture hors limites de quatre octets; le correctif dis…
Source : NVD — CVE-2026-98419
Linux ksmbd : respecter l’expiration des sessions SMB
ksmbd pouvait supprimer une session SMB encore valide après une courte période d’inactivité lors d’une nouvelle négociation SessionSetup, confondant inactivité et expiration des identifiants. Le correctif applique les règles d’expiration d…
Source : NVD — CVE-2026-98420
Linux mac80211 : exiger une station homologue pour la confirmation TDLS
mac80211 pouvait accepter une confirmation de configuration TDLS pour une station qui n’existait pas encore comme station TDLS. Le correctif limite ce traitement aux stations déjà présentes comme stations TDLS.
Source : NVD — CVE-2026-98421
Linux mac80211 : réinitialiser le compteur AP_VLAN à l’arrêt
Lors de la remise en service répétée d’une interface AP_VLAN, le compteur d’espace de fin nécessaire au chiffrement pouvait être incrémenté sans être décrémenté, jusqu’à déclencher une vérification de cohérence. Le correctif réinitialise c…
Source : NVD — CVE-2026-98422
Linux : synchronisation de l’arrêt de mac80211_hwsim
Une course entre l’arrêt d’une radio hwsim et la remise de trames à mac80211 pouvait déclencher un avertissement du noyau. Le correctif synchronise ces opérations ; aucune version affectée ou version corrigée n’est précisée dans la source.
Source : NVD — CVE-2026-98423
Linux : retour arrière en cas d’échec du renommage du wiphy
Lors d’un changement d’espace de noms réseau, l’échec du renommage du wiphy pouvait laisser les interfaces et le wiphy dans des espaces de noms différents. Le correctif annule le déplacement si le renommage échoue ; la source ne précise pa…
Source : NVD — CVE-2026-98424
Linux : suppression d’un avertissement lors du scan IBSS
mac80211 émettait un avertissement si un IBSS n’avait plus de canal autorisé pour lancer un scan, situation possible après un changement de domaine réglementaire. Le correctif supprime cet avertissement ; la source ne précise pas de versio…
Source : NVD — CVE-2026-98425
Linux : correction d’une fuite d’IRQ MSI-X dans mwifiex
Dans le nettoyage d’une erreur MSI-X du pilote mwifiex, le mauvais identifiant était fourni à free_irq(), ce qui pouvait empêcher la libération d’interruptions déjà enregistrées. Le correctif associe chaque interruption à son identifiant d…
Source : NVD — CVE-2026-98426
Linux : prévention d’un soft lockup dans CoDel
Avec un intervalle CoDel suffisamment petit, l’étape de contrôle pouvait s’arrondir à zéro et faire tourner la boucle de suppression sans progression, permettant à un utilisateur non privilégié de provoquer un soft lockup. Le correctif imp…
Source : NVD — CVE-2026-98427
Linux : correction de la gestion des URB du pilote USB 6fire
Le pilote USB 6fire utilisait des URB intégrés à des structures, ce qui pouvait entraîner une utilisation après libération lorsque leur libération asynchrone interagissait avec leur comptage de références. Le correctif remplace ces URB par…
Source : NVD — CVE-2026-98428
Linux : protection des ressources EQ du pilote RDMA EFA
Dans le pilote RDMA EFA, le gestionnaire d’interruption de complétion pouvait accéder à l’état EQ et au tampon DMA avant leur initialisation ou après leur libération. Le correctif initialise l’EQ avant d’armer l’interruption et libère l’IR…
Source : NVD — CVE-2026-98429
Linux : protection des files d’administration du pilote RDMA EFA
Dans le pilote RDMA EFA, le gestionnaire d’interruption de gestion pouvait accéder aux files d’administration avant leur construction ou après leur destruction. Le correctif masque les interruptions pendant l’initialisation, libère l’IRQ a…
Source : NVD — CVE-2026-98430
Linux : correction d’un risque d’interblocage dans RDMA uverbs
Dans RDMA uverbs, l’ordre d’acquisition de mmap_lock et disassociation_lock pouvait créer une dépendance circulaire et un interblocage. Le correctif supprime disassociation_lock et s’appuie sur hw_destroy_rwsem pour protéger les enregistre…
Source : NVD — CVE-2026-98431
DSA-6561-1 : mise à jour de sécurité pour SOGo
Debian a publié une mise à jour de SOGo corrigeant plusieurs vulnérabilités susceptibles de permettre du XSS, une injection de commandes shell, l’empoisonnement de réinitialisation de mot de passe ou une injection SQL. Les CVE, versions De…
Source : DSA-6561-1 sogo – security update
DSA-6560-1 : mise à jour de sécurité pour Firefox ESR
Debian a publié une mise à jour de Firefox ESR pour corriger plusieurs problèmes pouvant conduire à l’exécution de code arbitraire, à une évasion du bac à sable, à une divulgation d’informations, au contournement de protections ou à une él…
DSA-6559-1 : mise à jour de sécurité pour Buildstream
Debian a publié une mise à jour de Buildstream pour corriger une validation insuffisante des sources tar, qui pouvait permettre l’écriture de fichiers sur l’hôte de construction. La source fournie ne précise pas les CVE ni les versions con…
DSA-6558-1 : mise à jour de sécurité pour curl
Debian a publié une mise à jour de curl corrigeant un use-after-free lors du traitement, par un serveur, d’un HTTP/2 RST_STREAM reçu pendant un téléversement. Selon l’avis fourni, cette faille pourrait permettre une exécution de code à dis…
Source : DSA-6558-1 curl – security update
Debian DLA-4834-2 : correction du redémarrage de Keystone après mise à jour
Debian a publié le DLA-4834-2 pour corriger un problème de redémarrage automatique de Keystone après une mise à jour de sécurité. Un processus Keystone vulnérable pouvait ainsi continuer à fonctionner malgré la mise à niveau du paquet ; le…
Cloud & DevOps
5 alerte(s)CVE-2026-86002 : exécution de commandes arbitraires via Dokku
Dans Dokku avant 0.38.25, un utilisateur disposant d’un accès au niveau d’une application et d’un accès SSH permettant d’exécuter les commandes `docker-options` peut faire exécuter des commandes arbitraires sur l’hôte, avec les privilèges…
Source : NVD — CVE-2026-86002
KEDA : divulgation possible du jeton de l’opérateur vers un endpoint Vault contrôlé
KEDA jusqu’à la version 2.20.2 peut transmettre le jeton ServiceAccount de l’opérateur à un endpoint Vault contrôlé par un administrateur d’espace de noms. Cela peut exposer les permissions étendues de l’opérateur, notamment l’accès aux se…
Source : NVD — CVE-2026-77524
Clé privée d’hôte SFTP intégrée au chart Helm SeaweedFS
La clé privée d’hôte Ed25519 intégrée au chart Helm SFTP de SeaweedFS pouvait permettre à un attaquant interceptant ou redirigeant le trafic d’usurper le serveur auprès de clients faisant confiance à cette identité. Le risque concerne les…
Source : NVD — CVE-2026-100413
Suppression non autorisée de ressources Radius via les annotations Kubernetes
Dans Radius, un utilisateur autorisé à modifier les annotations d’un Deployment pouvait falsifier son statut pour déclencher la suppression privilégiée d’une ressource conteneur gérée par Radius appartenant à une autre équipe. Le problème…
Source : NVD — CVE-2026-53999
Talos Linux : données d’authentification exposées dans les bundles de support
Talos Linux antérieur aux versions corrigées peut inclure dans les bundles de support des paramètres d’authentification de registre et d’autres données sensibles sans les masquer. La divulgation survient si le bundle est transmis à une per…
Source : NVD — CVE-2026-77564