Les sujets à surveiller, en un regard.
193 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 15 sujet(s) en rouge, 3 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Shopify et aux sources pertinentes n’a identifié aucun avis, correctif, nouvelle vulnérabilité ou changement substantiel de sécurité dont la date vérifiée tombe dans la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Le changelog Shopify publié le 16 octobre concerne une fonctionnalité de consentement acheteur, pas un événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Les recherches web effectuées sur Wix n’ont fait apparaître aucun avis, correctif, signalement d’exploitation ou changement substantiel vérifiable répondant à la période du 2026-10-16T00:00:00+02:00 inclus au 2026-10-17T00:00:00+02:00 exclu. Les résultats repérés hors de cette fenêtre ou sans lien direct avec Wix ont été écartés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal pour la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00 n’a fait ressortir aucun avis de sécurité, correctif, exploitation ou changement substantiel vérifiable daté de cette fenêtre. Les pages Solocal consultées portent sur des conseils généraux de vigilance et ne documentent pas un événement de sécurité nouveau pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche a relevé des avis et correctifs Craft CMS publiés avant la période, notamment les avis GitHub affichés comme publiés le 5 octobre et les correctifs des versions 4.18.7 et 5.10.14, publiées en août. Pour les trois candidats, la publication indiquée est antérieure au 16 octobre; leur seule modification NVD pendant la période ne suffit pas à établir une nouveauté ou un changement substantiel admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis nouveau pertinent a été identifié pour WP Ghost : le NVD a publié CVE-2026-89051 le 16 octobre 2026. Aucun correctif n’a pu être confirmé dans les sources consultées pour cette période.
WordPress WP Ghost — XSS stockée dans replaceHeadersAndTags
WP Ghost (Hide My WP Ghost) est vulnérable à une XSS stockée jusqu’à la version 7.0.12 incluse. Une entrée malveillante peut être injectée sans authentification et le script s’exécute lorsqu’un utilisateur clique sur le lien injecté.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les contenus ou liens injectés.
Strapi
Recherche du sujet effectuée
La recherche ciblée sur Strapi n’a pas permis de vérifier de vulnérabilité, d’avis de sécurité, d’exploitation ou de changement substantiel daté de la période demandée. Le candidat fourni concerne une fiche publiée le 2026-10-10 ; sa modification NVD du 2026-10-16, à elle seule, ne suffit pas à établir un événement substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
Les sources Directus consultées n’ont montré aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-16 dans la période demandée. Les avis Directus visibles dans les résultats consultés étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée sur OpenCart n’a identifié aucun avis, correctif de sécurité, exploitation confirmée ni changement substantiel de sécurité daté du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. La page des versions consultée mentionne une version publiée le 16 octobre, mais les changements affichés ne sont pas présentés comme des correctifs de sécurité et ne répondent donc pas aux critères de ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée a notamment fait apparaître le candidat CVE-2026-104586, concernant AUTOM8N, un plugin pour WHM/cPanel. Les informations obtenues indiquent une publication le 2026-10-15 et une modification NVD horodatée le 2026-10-16T19:56:15.773Z, mais ne permettent pas d’établir que cette modification était substantielle pendant la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis ou correction de sécurité concernant Ruby n’a été vérifiée dans la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les deux candidats ont une date de publication antérieure à cette période; leur mise à jour NVD du 16 octobre ne suffit pas, sans preuve d’un changement substantiel daté ce jour-là, à constituer un événement à retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis de sécurité, exploitation ou correction de sécurité de Bun datée avec suffisamment de précision pour être retenue dans la période demandée n’a été vérifiée dans les sources consultées. Les résultats consultés comprennent la page des avis de sécurité GitHub de Bun et ses notes de version; ils ne permettent pas d’établir qu’un changement de sécurité pertinent est intervenu entre le 16 octobre 2026 à 00:00 et le 17 octobre 2026 à 00:00 (+02:00).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel concernant Deno daté du 2026-10-16 n’a été vérifié dans les résultats consultés. Les avis Deno visibles dans le dépôt GitHub sont datés du 2026-05-27 ou du 2026-06-17, et l’article Deno récent repéré est daté du 2026-10-09, donc hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a consulté des sources Go officielles et GitHub. Elle a fait apparaître dans les résultats GitHub un avis Go daté du 16 octobre, CVE-2026-62994 concernant CoreDNS, mais les informations accessibles dans les résultats consultés ne suffisent pas à établir les détails requis pour en faire une fiche complète. Pour les candidats Coraza et Privasys, les dates de publication fournies sont antérieures à la période ; la seule modification NVD indiquée le 16 octobre ne permet pas de confirmer un changement substantiel durant la période. Aucun item n’est donc retenu sur les éléments vérifiés. Cinq avis de sécurité publiés le 16 octobre 2026 concernent des projets de l’écosystème Go : gomarkdown/markdown, CoreDNS, kin-openapi et deux vulnérabilités d’Arcane. Les avis décrivent des panics susceptibles de perturber ou d’interrompre le service et des contournements d’autorisation pouvant mener à l’accès à des données de diagnostic ou à la prise de contrôle d’un compte administrateur; les versions correctives sont indiquées dans chaque fiche.
gomarkdown/markdown : panic sur les URL très courtes dans IsSafeURL
La fonction `IsSafeURL` de gomarkdown/markdown peut provoquer un panic lorsqu’elle traite une URL de moins de trois octets; avec `html.Safelink`, une destination vide ou très courte peut ainsi entraîner un déni de service. Les versions antérieures au correctif sont concernées; mettre à jour vers la version indiquée.
Action recommandée : Mettre à jour vers 0.0.0-20260724235538-61af6e1e6971 ou une version ultérieure; à défaut, éviter de traiter des entrées Markdown non fiables avec `html.Safelink`.
kin-openapi : panic de ValidateResponse sur certains en-têtes de réponse
`ValidateResponse` de kin-openapi peut provoquer un panic lorsqu’une spécification déclare un en-tête de réponse avec `content` plutôt qu’un `schema`, alors même que la validation de la spécification l’accepte. Les versions jusqu’à 0.145.0 sont concernées et la correction figure dans la version 0.146.0.
Action recommandée : Mettre à jour vers kin-openapi 0.146.0 ou une version ultérieure; vérifier les spécifications OpenAPI contenant des en-têtes de réponse déclarés avec `content`.
Arcane : prise de contrôle d’un compte administrateur via users:update
Dans Arcane, un utilisateur doté de la permission déléguée `users:update` peut réinitialiser le mot de passe d’un administrateur global et prendre le contrôle de son compte. Les versions antérieures à 2.6.0 sont concernées; la correction est disponible dans Arcane 2.6.0.
Action recommandée : Mettre à jour Arcane vers 2.6.0 ou une version ultérieure; revoir les utilisateurs et rôles auxquels la permission `users:update` a été déléguée.
Arcane : contournement du contrôle administrateur sur les routes pprof
Dans Arcane 2.10.2, un jeton d’accès d’environnement valide peut contourner le contrôle réservé aux administrateurs sur les routes `/api/debug/pprof/*`. Les versions antérieures à 2.11.0 sont concernées; la mise à jour vers 2.11.0 corrige le problème.
Action recommandée : Mettre à jour Arcane vers 2.11.0 ou une version ultérieure; limiter et protéger les jetons d’accès d’environnement jusqu’à la mise à jour.
CoreDNS : panic provoqué par un transfert AXFR k8s_external avec un lot vide
Une requête AXFR visant une zone CoreDNS configurée avec `k8s_external` peut provoquer un panic si un service headless Kubernetes possède un endpoint sans port déclaré. Le défaut peut perturber les requêtes DNS et amplifier les journaux ; avec le plugin `debug`, il peut faire tomber le processus CoreDNS.
Action recommandée : Mettre à niveau CoreDNS vers 1.14.5. Examiner en priorité les déploiements utilisant `k8s_external` et les transferts de zones AXFR/IXFR.
Kotlin
Recherche du sujet effectuée
La recherche dédiée sur Kotlin n’a pas permis de vérifier de vulnérabilité, d’avis ou de changement substantiel daté de la période demandée. Les deux candidats concernent des vulnérabilités publiées avant le 2026-10-16 ; leur seule mise à jour NVD signalée pendant la période ne suffit pas à établir un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant Electron daté du 2026-10-16 dans la période demandée. La CVE-2026-102672 a été mise à jour dans NVD le 2026-10-16, mais les éléments consultés ne montrent pas que cette modification soit un nouvel événement de sécurité substantiel; l’avis GitHub correspondant est antérieur à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou changement de sécurité concernant la bibliothèque jQuery dans la période demandée. Les deux candidats portent sur une vulnérabilité du plugin WordPress Colibri Page Builder ; l’utilisation de jQuery dans le chemin d’exécution décrit ne fait pas de cette vulnérabilité une faille de jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou évolution de sécurité concernant Laravel n’a été vérifiée comme nouvelle ou substantiellement mise à jour pendant la période demandée. Les deux candidats concernent des produits de l’écosystème Laravel, mais les dates de publication vérifiées sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte n’a fait apparaître aucun avis, correctif ou événement de sécurité vérifié comme daté du 2026-10-16. Les avis SvelteKit repérés dans les résultats consultés étaient datés du 2026-10-05, donc hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée a trouvé trois avis Symfony liés aux CVE-2026-108082, CVE-2026-109413 et CVE-2026-109449, mais les sources consultées les datent du 15 octobre 2026, avant la période demandée. Leur mise à jour NVD datée du 16 octobre ne suffit pas, à elle seule, à établir un changement substantiel pendant la période. Aucun item ne répond donc aux critères de date retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis ou de changement substantiel concernant le framework Flask daté de la période demandée. L’avis Flask GHSA-68rp-wp8r-4726 trouvé est daté du 2026-02-19, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ni correctif de sécurité propre au projet Django daté du 2026-10-16. L’avis officiel Django trouvé concerne des correctifs publiés le 2026-10-06, hors de la période demandée. Les CVE candidates concernent des applications tierces utilisant Django ou des modifications de fiches NVD, et non une vulnérabilité ou un avis de sécurité du projet Django.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouveauté, d’avis de sécurité, de correctif, d’exploitation ni de changement substantiel concernant FastAPI dans la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les trois candidats portent sur des produits qui utilisent FastAPI, et leurs fiches CVE étaient publiées avant la période; les éléments consultés ne permettent pas d’établir que leur modification durant la période correspond à un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée sur Express n’a pas identifié d’avis de sécurité, de correctif ou d’autre événement de sécurité Express daté du 2026-10-16 dans les sources consultées. Les candidats fournis concernent d’autres produits ou, pour qs, une vulnérabilité de dépendance plutôt qu’une vulnérabilité d’Express lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
Niveau relevé : Élevée
Un enrichissement de sécurité daté dans la période a été identifié pour CVE-2026-105040, concernant une modification non autorisée d’identifiant de compte dans le service d’authentification EnergizeLab Eilik. Les autres candidats correspondent à des modifications NVD dont les éléments consultés ne permettent pas d’établir un changement substantiel dans la période.
EnergizeLab Eilik : modification non autorisée de l’identifiant d’un compte
Un utilisateur enregistré peut modifier l’identifiant utilisateur fourni dans une requête de mise à jour et prendre le contrôle d’un autre compte. La fiche CVE indique que la version 1.8.2 du service d’authentification Eilik est affectée; aucun correctif n’est précisé dans les sources consultées.
Action recommandée : Vérifier si le service concerné est déployé et appliquer les indications correctives de l’éditeur lorsqu’elles seront disponibles.
MySQL
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a consulté les avis de sécurité communautaires MySQL et les notes de version officielles. Aucun avis de sécurité propre au produit MySQL daté de la période demandée n’a été identifié dans les sources consultées. Les candidats du lot concernent des applications utilisant MySQL ou MariaDB, qui est un produit distinct. Les sources fournies indiquent des vulnérabilités ou mises à jour pertinentes pour des clients, applications et composants utilisant MySQL : injection SQL dans Wheels et PeerBanHelper, exposition conditionnelle d’identifiants MySQL par un plugin WordPress, épuisement mémoire dans le client MySQL de Vert.x, et mise à jour substantielle d’une faille XSS de Vitess. Les éléments MariaDB Server distincts et les autres vulnérabilités non spécifiques à MySQL n’ont pas été retenus comme vulnérabilités de MySQL. Aucun candidat fourni ne documente une vulnérabilité de MySQL : quatre concernent MariaDB et un concerne AllData, dont la vulnérabilité implique une URL JDBC MySQL.
Vitess : XSS dans le point de terminaison de débogage /twopcz
Une vulnérabilité XSS dans l’interface de débogage HTTP de Vitess peut amener un opérateur à exécuter du script dans son navigateur après ouverture d’une requête spécialement conçue. Les versions antérieures à 23.0.5 et 24.0.2 sont concernées ; mettre à niveau vers l’une de ces versions correctives.
Action recommandée : Mettre à niveau Vitess vers 23.0.5 ou 24.0.2, selon la branche utilisée.
Wheels : injection SQL dans des chemins de requête, notamment sous MySQL
Une injection SQL affecte certains chemins de recherche dynamique et de construction de requêtes de Wheels lorsque des valeurs fournies par l’appelant sont réinterprétées comme du SQL. Les versions 1.1.8 à 4.1.1 sont concernées ; la fiche NVD a été mise à jour dans la période pour cette vulnérabilité qui peut toucher des applications utilisant MySQL.
Action recommandée : Mettre à niveau Wheels vers 4.1.2 et éviter de transmettre des données non fiables aux API de requête concernées.
Injection SQL dans certains chemins de requête de Wheels avec MariaDB
CVE-2026-111444 est une injection SQL dans Wheels lorsque des données de requête atteignent certains chemins utilisant des littéraux SQL non paramétrés sur MySQL/MariaDB avec l’échappement par antislash activé. Les chemins liés ne sont pas concernés; mettre à niveau Wheels vers 4.2.0 ou ultérieur.
Action recommandée : Mettre à niveau Wheels vers la version 4.2.0 ou ultérieure; éviter de transmettre des entrées non fiables aux chemins SQL concernés.
Eclipse Vert.x : épuisement mémoire dans le décodeur du client MySQL
Le client MySQL de Vert.x peut allouer sans limite de la mémoire directe lorsqu’un serveur MySQL malveillant ou compromis lui envoie une suite de paquets maximaux sans terminer le message. Cela peut provoquer un épuisement mémoire et arrêter le client avant même la fin de l’authentification ; les versions affectées sont celles indiquées dans la fiche NVD.
Action recommandée : Consulter l’avis du projet pour les versions correctives et mettre à jour le composant io.vertx:vertx-mysql-client dès qu’un correctif est disponible.
Exposition d’identifiants MySQL dans HUSKY Products Filter
HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données MySQL configurés pour son extension Statistics. L’exploitation nécessite que Statistics soit activée, que les identifiants externes soient enregistrés et que Turbo Mode soit activé.
Action recommandée : Mettre à jour dès qu’un correctif est disponible ; désactiver Statistics ou Turbo Mode et remplacer les identifiants exposés si la configuration concernée est utilisée.
CVE-2026-62362 — Injection SQL dans PeerBanHelper, y compris avec le mapper PostgreSQL
Une injection SQL dans l’endpoint `/api/statistic/analysis/field` de PeerBanHelper permet à un utilisateur authentifié d’interroger les données de la base, y compris lorsque PostgreSQL est utilisé. Les versions de 5.0.0 à 9.3.14 sont concernées ; mettre à niveau vers la version 9.3.15 ou ultérieure.
Action recommandée : Mettre à niveau PeerBanHelper vers la version 9.3.15 ou ultérieure.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a relevé un avis publié dans la période concernant une injection SQL dans PeerBanHelper, dont le défaut touche aussi son mapper PostgreSQL. Aucun avis du projet PostgreSQL daté de cette période n’a été établi par les sources consultées.
CVE-2026-62362 — Injection SQL dans PeerBanHelper, y compris avec le mapper PostgreSQL
Une injection SQL dans l’endpoint `/api/statistic/analysis/field` de PeerBanHelper permet à un utilisateur authentifié d’interroger les données de la base, y compris lorsque PostgreSQL est utilisé. Les versions de 5.0.0 à 9.3.14 sont concernées ; mettre à niveau vers la version 9.3.15 ou ultérieure.
Action recommandée : Mettre à niveau PeerBanHelper vers la version 9.3.15 ou ultérieure.
MongoDB
Recherche du sujet effectuée
Les avis MongoDB repérés dans les résultats de recherche ne fournissent pas de vulnérabilité, correctif ou avis de sécurité daté du 2026-10-16. L’alerte MongoDB datée du 2026-10-15 concerne une perte de données lors d’un renommage interrompu, et non un avis de sécurité; les avis de sécurité visibles sont datés du 2026-10-13 ou avant.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
Aucun avis Redis nouveau, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-16 n’a été vérifié dans les sources consultées. Le candidat fourni concerne Risesoft Digital-Infrastructure ; Redis n’y est mentionné que comme service dont des identifiants pourraient être exposés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée n’a fait apparaître aucun avis de sécurité Caddy daté du 16 octobre 2026. L’avis Caddy le plus proche repéré dans les résultats, GHSA-8qx7-j2v2-x6q5, est daté du 13 octobre 2026 et se situe donc hors de la période demandée; les autres avis visibles sont également antérieurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis SvelteKit publié, de correctif de sécurité, d’exploitation signalée ni de changement substantiel daté du 2026-10-16 dans les résultats consultés. Les avis affichés par le dépôt SvelteKit dans les résultats sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis/correctif ou autre changement de sécurité Babel daté dans la période demandée n’a été identifié parmi les sources recherchées. Les avis Babel repérés lors de la recherche sont antérieurs au 16 octobre 2026 et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité ni changement substantiel concernant le produit Elasticsearch n’a été vérifié pour la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Le candidat fourni porte sur Backstage et son module d’intégration Elasticsearch; sa fiche indique une publication le 7 octobre et une mise à jour NVD le 16 octobre, mais les éléments consultés ne permettent pas d’établir qu’un changement substantiel pertinent pour Elasticsearch s’est produit pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Vérification incomplète
La recherche dédiée a consulté la page de sécurité RabbitMQ et les avis de sécurité GitHub du projet. Aucun candidat fourni n’a pu être confirmé comme une vulnérabilité nouvelle, un avis/correctif de sécurité, une exploitation ou un changement substantiel daté de la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00 : les dates de publication indiquées pour les fiches candidates sont antérieures, et leur seule date dans la période est une mise à jour NVD dont la nature substantielle n’est pas établie par les sources consultées. À titre de contrôle, l’avis RabbitMQ relatif à CVE-2026-67419 affiche une publication au 2026-08-18, hors période. Les candidats décrivent CVE-2026-67416 et CVE-2026-67418, publiées le 14 octobre 2026. Le lot indique une mise à jour NVD le 16 octobre, mais ne fournit pas de comparaison permettant d’établir qu’elle correspond à un changement substantiel plutôt qu’à une modification administrative.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Memcached
Recherche du sujet effectuée
La recherche web dédiée à Memcached n’a identifié aucun avis, correctif, événement d’exploitation ni changement substantiel vérifié comme daté de la période demandée (du 2026-10-16T00:00:00+02:00 inclus au 2026-10-17T00:00:00+02:00 exclu). Les avis de sécurité et changements repérés dans les résultats consultés étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Critique
Deux publications NVD concernant des vulnérabilités GraphQL tombent dans la période locale demandée : Craftplan (CVE-2026-111349) et Chaskiq (CVE-2026-111663). Les autres candidats ont une date de publication initiale antérieure à la période; aucune nouveauté ou modification substantielle datée dans la période n’a été retenue pour eux. Une nouvelle vulnérabilité GraphQL concernant Chaskiq a été publiée dans la période : une SSRF non authentifiée via `createUrlUpload`.
Chaskiq : SSRF non authentifiée via une mutation GraphQL
Chaskiq jusqu’à la version 2.0.3 est vulnérable à une SSRF via la mutation GraphQL createUrlUpload. Un attaquant non authentifié peut faire récupérer des URL arbitraires, notamment des ressources internes, puis consulter le contenu récupéré via l’URL de blob renvoyée.
Action recommandée : Mettre à niveau vers une version corrigée dès qu’elle est disponible; limiter l’accès réseau sortant du service et l’accès à l’endpoint GraphQL.
Craftplan : création non autorisée de clients via GraphQL
Craftplan jusqu’à la version 0.7.5 ne vérifie pas correctement l’autorisation de créer des clients dans la ressource CRM Customer. Un attaquant non authentifié peut ajouter des fiches client via JSON:API ou la mutation GraphQL create_customer.
Action recommandée : Mettre à niveau vers une version corrigée dès qu’elle est identifiée; en attendant, restreindre l’accès aux points de terminaison concernés.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Élevée
Neuf candidats liés à WooCommerce indiquent des vulnérabilités publiées le 2026-10-16 : exposition de données de commande ou d’identifiants, défauts d’autorisation, injection SQL, élévation de privilèges et contournement de limitation de tentatives. Les renseignements de version corrective ne sont disponibles que pour OTP Login & Register Woocommerce et Product Delivery Date for WooCommerce dans les candidats fournis; aucune exploitation active n’est confirmée par les éléments consultés. Quatre vulnérabilités nouvellement publiées par le NVD dans la période sont liées à des extensions WooCommerce : XSS stockées dans FiboSearch et Tourfic, injection SQL dans Vitepos et défaut d’autorisation dans YITH PayPal Express Checkout. Les candidats portant sur des fiches modifiées antérieurement publiées n’ont pas été retenus comme nouveautés, faute d’élément établissant un changement substantiel daté dans la période. Les candidats fournis décrivent neuf vulnérabilités publiées dans la période et concernant des extensions WooCommerce ou une extension dont l’exploitation nécessite WooCommerce actif. Les problèmes signalés comprennent des injections SQL, des XSS stockées, des divulgations de données et des défauts d’autorisation ; deux sources indiquent explicitement des versions correctives.
Vitepos : injection SQL dans une route REST
Le plugin Vitepos pour WooCommerce présente une injection SQL via le paramètre src_by. La route REST concernée est accessible sans authentification selon la description, ou par un compte disposant d’un rôle POS, et peut permettre l’extraction de données de la base.
Action recommandée : Mettre à jour Vitepos dès qu’une version corrective est disponible et limiter l’attribution des rôles POS.
Customer Email Verification for WooCommerce : contournement de vérification de compte
Customer Email Verification for WooCommerce présente une faille de contournement de vérification pouvant permettre l’usurpation d’un compte non vérifié dans les versions jusqu’à 3.3.0 incluse. Le scénario décrit exige notamment le réglage non standard « hashids » et d’autres conditions; mettre à jour vers une version corrigée et vérifier la configuration du plugin.
Action recommandée : Mettre à jour le plugin vers une version corrigée; si la mise à jour n’est pas possible, désactiver le réglage « hashids » et examiner les comptes dont la vérification est en attente.
FunnelKit : accès non autorisé aux données de facturation WooCommerce
CVE-2026-107746 affecte FunnelKit jusqu’à la version 3.16.0.6 incluse et peut exposer les données personnelles de facturation de commandes WooCommerce sans autorisation. La fiche NVD a été publiée et mise à jour durant la période ; les données fournies ne précisent pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler l’exposition des pages de confirmation concernées.
Klarna for WooCommerce : accès non autorisé aux données de commandes
CVE-2026-110590 concerne un contournement d’autorisation dans Klarna for WooCommerce jusqu’à la version 4.13.3 incluse. Un attaquant non authentifié peut accéder aux clés de commande et aux données personnelles de facturation et de livraison exposées dans une variable JavaScript de la page de paiement ; appliquez le correctif disponible et évaluez l’exposition des données de commandes.
Action recommandée : Mettre à jour le plug-in dès qu’un correctif est disponible et examiner les journaux d’accès aux pages de paiement.
CVE-2026-109513 : XSS persistante dans NotificationX
CVE-2026-109513 est une XSS persistante dans NotificationX via le paramètre name, affectant les versions jusqu’à 3.3.3 incluse. La fiche indique que l’exploitation suppose une campagne WordPress.org Reviews activée et le bloc dynamique NotificationX placé sur une page publique.
Action recommandée : Mettre à jour NotificationX lorsqu’un correctif est disponible ; vérifier les campagnes Reviews et blocs dynamiques concernés.
OTP Login & Register Woocommerce : contournement de la limite d’essais OTP
OTP Login & Register Woocommerce avant la version 2.7.3 ne limite pas efficacement les tentatives de vérification des mots de passe à usage unique, car le compteur de tentatives dépend d’une valeur contrôlée par le client. Un attaquant non authentifié peut contourner la limite et essayer de deviner le code numérique court afin de prendre le contrôle d’un compte sans son mot de passe; mettre à jour au moins en version 2.7.3.
Action recommandée : Mettre à jour au moins vers la version 2.7.3.
Exposition d’identifiants MySQL dans HUSKY Products Filter
HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données MySQL configurés pour son extension Statistics. L’exploitation nécessite que Statistics soit activée, que les identifiants externes soient enregistrés et que Turbo Mode soit activé.
Action recommandée : Mettre à jour dès qu’un correctif est disponible ; désactiver Statistics ou Turbo Mode et remplacer les identifiants exposés si la configuration concernée est utilisée.
XSS stockée dans FiboSearch
FiboSearch – Ajax Search for WooCommerce jusqu’à la version 1.34.2 incluse présente une XSS stockée via le paramètre `purchased_plan`. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter un script si le site a auparavant effectué le processus standard d’opt-in Freemius.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible et vérifier si le site a effectué l’opt-in Freemius.
CVE-2026-111409 : défaut d’autorisation dans YITH PayPal Express Checkout
YITH PayPal Express Checkout for WooCommerce présente un défaut d’autorisation affectant les versions jusqu’à 1.61.0 incluse. La fiche fournie ne précise ni le scénario détaillé, ni l’impact concret, ni une version corrective.
Action recommandée : Vérifier la disponibilité d’un correctif auprès de l’éditeur et mettre à jour dès sa publication.
XSS stockée dans Tourfic via les commentaires WooCommerce
Tourfic contient une XSS stockée liée au contenu des commentaires et à l’attribution de `unfiltered_html` au rôle Customer, dans les versions jusqu’à 3.0.1 incluse. WooCommerce doit être actif ; un visiteur peut créer un compte client, puis le contenu non assaini peut être renvoyé par l’API REST des commentaires et les flux RSS, sans correctif ni contournement précisé dans la source.
Action recommandée : Vérifier la publication d’un correctif auprès de l’éditeur ; limiter la création de comptes clients si elle n’est pas nécessaire et contrôler le rendu des contenus de commentaires par les consommateurs de l’API et des flux.
Modification non autorisée de mots de passe dans Dokan
Le plugin Dokan présente une référence directe non sécurisée permettant à un vendeur authentifié de modifier le mot de passe de certains clients. Les versions jusqu’à 5.2.1 inclus sont concernées ; l’attaquant peut alors accéder au compte client visé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; contrôler les comptes vendeurs et les options d’inscription publique.
CVE-2026-109414 : injection SQL dans Vitepos
CVE-2026-109414 est une injection SQL aveugle dans Vitepos, affectant les versions jusqu’à 3.6.1 incluse. La branche d’opérateur bt (BETWEEN) n’était pas couverte par le correctif antérieur mentionné dans la fiche ; aucune version corrigée n’est indiquée.
Action recommandée : Mettre à jour Vitepos lorsqu’un correctif couvrant l’opérateur bt est disponible.
Product Delivery Date for WooCommerce : divulgation de détails de commande
Product Delivery Date for WooCommerce avant la version 3.3.2 ne vérifie pas les capacités avant de divulguer des informations de commande via les actions AJAX de la vue calendrier. Des utilisateurs ayant un rôle aussi faible que contributeur peuvent consulter les commandes d’autres clients; mettre à jour au moins en version 3.3.2.
Action recommandée : Mettre à jour au moins vers la version 3.3.2.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif de sécurité ni d’exploitation publiés dans la période demandée. Les informations consultées sur WordPress.org, WPScan, Patchstack et Wordfence concernent des éléments antérieurs à cette période et ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a relevé un avis publié dans la période concernant Dockhand, une application de gestion Docker : CVE-2026-57169, corrigée en version 1.0.34. Les autres candidats ont été examinés et écartés car ils concernent d’autres produits ou ne décrivent pas un événement substantiel daté de la période. Aucun élément du lot ne documente une vulnérabilité ou un avis de sécurité portant sur le produit Docker lui-même pendant la période demandée. Les CVE concernant des applications distinctes qui utilisent Docker ou sont liées à son écosystème ne sont pas retenues comme vulnérabilités de Docker.
Dockhand : exécution de commandes non authentifiée via le terminal WebSocket
Dockhand ne vérifiait pas l’authentification lors de la mise à niveau WebSocket de son terminal de conteneur, permettant à un attaquant ayant accès au service et connaissant l’identifiant d’un conteneur doté d’un shell interactif d’y exécuter des commandes. La faille est corrigée dans Dockhand 1.0.34 ; limiter l’exposition réseau de l’interface et mettre à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour Dockhand vers la version 1.0.34 ou ultérieure et restreindre l’accès réseau au service.
Kubernetes
Vérification incomplète
Niveau relevé : Faible
Un avis publié le 16 octobre 2026 concerne CoreDNS et son plugin k8s_external. Aucun avis de sécurité Kubernetes n’était publié sur la page GitHub de sécurité du projet Kubernetes consultée. Les candidats fournis ne sont pas retenus : leurs dates visibles correspondent à des modifications NVD, sans preuve consultée d’un nouvel avis, correctif, événement d’exploitation ou changement substantiel pendant la période; certains concernent en outre des produits distincts de Kubernetes. Le lot contient un nouvel avis CoreDNS publié dans la période : CVE-2026-62994 concerne les transferts AXFR `k8s_external` et est corrigée dans CoreDNS 1.14.5. Les trois autres fiches NVD examinées ont été publiées avant la période ; leur seule mise à jour NVD datée de la période ne suffit pas à établir un événement substantiel nouveau dans les informations fournies. La fiche Ansible Operator Plugins a également été publiée avant la période.
CoreDNS : panic provoqué par un transfert AXFR k8s_external avec un lot vide
Une requête AXFR visant une zone CoreDNS configurée avec `k8s_external` peut provoquer un panic si un service headless Kubernetes possède un endpoint sans port déclaré. Le défaut peut perturber les requêtes DNS et amplifier les journaux ; avec le plugin `debug`, il peut faire tomber le processus CoreDNS.
Action recommandée : Mettre à niveau CoreDNS vers 1.14.5. Examiner en priorité les déploiements utilisant `k8s_external` et les transferts de zones AXFR/IXFR.
Linux (noyau)
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée n’a pas permis de vérifier de nouvelle vulnérabilité, de nouvel avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant le noyau Linux pendant la période demandée. Les candidats fournis correspondent à des fiches NVD publiées antérieurement dont les dates de mise à jour indiquées sont soit antérieures à la période, soit des modifications NVD sans preuve d’un changement substantiel daté dans celle-ci. Aucun événement substantiel du noyau Linux daté de la période n’est établi par les candidats fournis : ils signalent des mises à jour de fiches NVD, sans preuve d’un changement substantiel intervenu durant la période. Aucun candidat ne documente une vulnérabilité nouvelle, un correctif ou avis de sécurité, une exploitation, ni un changement substantiel survenu pendant la période demandée. Les dates de publication des CVE sont antérieures à la période et les mises à jour NVD indiquées ont eu lieu le 15 octobre 2026, avant son début. Les candidats correspondent à des fiches de vulnérabilités publiées en 2022, 2024 ou 2025. Bien que leurs fiches NVD portent une date de mise à jour située dans la période demandée, le lot ne fournit aucune preuve d’un changement substantiel, d’un nouvel avis ou d’un événement de sécurité daté de cette période. Aucun candidat ne documente une vulnérabilité nouvelle, un correctif/avis de sécurité, une exploitation ou un changement substantiel intervenu pendant la période demandée. Les dates de publication fournies sont antérieures à la période, et les mises à jour NVD indiquées le 15 octobre 2026 à 22:17–22:18 UTC précèdent également son début, fixé à 2026-10-15T22:00:00Z. Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni aucun changement substantiel daté de l…
Linux SMC : use-after-free du socket pendant la terminaison d’un groupe de liens
Pendant la terminaison d’un groupe de liens SMC, le socket pouvait être libéré après le retrait de la connexion de l’arbre mais avant la prise de référence par le worker. Le correctif prend cette référence tant que `conns_lock` protège encore l’entrée ; aucune version corrigée n’est précisée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux igbvf : fuite de mapping DMA lors du nettoyage d’une erreur TX
Le nettoyage d’une erreur DMA dans le pilote `igbvf` laissait fuir un mapping lorsque certaines opérations de mapping de buffers TX échouaient. Le correctif supprime le décrément erroné du compteur avant le nettoyage ; aucune version corrigée n’est indiquée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux mac80211 : use-after-free lors de l’arrêt d’une session BA
Une lecture de `tid_tx->ndp` pouvait survenir après sa libération lors de l’arrêt local d’une session BA mac80211. Le correctif copie la valeur sous verrou avant la libération ; aucune version corrigée n’est précisée dans la source fournie.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux TIPC : use-after-free dans les dumps de files de trace
Le chemin de traçage de `tipc_poll()` pouvait parcourir des entrées de file d’attente sans verrou tandis qu’un autre contexte libérait un skb. Le correctif supprime le vidage des files dans ce chemin de trace ; aucune version corrigée n’est précisée dans la source fournie.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux ipset : risque de use-after-free des commentaires pendant un redimensionnement
Lors d’une redimension de table ipset, un ajout côté noyau pouvait libérer un commentaire encore référencé par la table de remplacement, puis entraîner un déréférencement invalide. Le correctif évite la mise à jour des commentaires pour les ajouts côté paquet ; aucune version corrigée n’est indiquée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux FOU : use-after-free lors de l’échec de création
En cas d’échec d’ajout d’un port FOU, l’objet pouvait rester accessible via `sk_user_data` après sa libération, permettant à une réception concurrente de le déréférencer. Le correctif libère d’abord le socket tunnel et diffère la récupération de l’objet avec `kfree_rcu()` ; aucune version corrigée n’est précisée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux ALSA USB audio : plafonnement des trames en rétroaction implicite
En mode de rétroaction implicite, une taille de paquet de synchronisation USB excessive pouvait produire un nombre de trames supérieur à la limite de l’extrémité de lecture. Le correctif plafonne ce nombre à `ep->maxframesize` ; aucune version corrigée n’est précisée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux ALSA timer : instance libérée alors qu’elle reste référencée
Après certaines séquences de fermeture puis de réouverture d’une instance de minuterie ALSA, le drapeau `DEAD` pouvait empêcher le retrait correct des listes et conduire à la libération d’un objet encore référencé. Le correctif efface le drapeau une fois la fermeture achevée et l’instance retirée des listes ; aucune version corrigée n’est précisée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux AFS : use-after-free pendant l’envoi d’un appel
Dans AFS, un appel asynchrone pouvait être libéré pendant l’envoi, puis encore consulté par `afs_make_call()`, entraînant un use-after-free. Le correctif donne à l’opération sa propre référence sur l’appel ; aucune version corrigée n’est précisée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux Bluetooth HIDP : validation des charges utiles de rapports numérotés
Un pair Bluetooth HIDP pouvait envoyer une réponse numérotée sans octet de charge utile, ou avec un octet hors de la PDU déclarée, que le noyau utilisait pour comparer l’identifiant du rapport. Le correctif exige la présence d’une charge utile avant cette comparaison et rejette les réponses malformées ; aucune version corrigée n’est précisée.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Debian DSA-6568-1 : mise à jour de sécurité du noyau Linux
Debian a publié une mise à jour de sécurité pour le noyau Linux. Les vulnérabilités signalées peuvent entraîner une élévation de privilèges, un déni de service ou des fuites d’informations ; les CVE et versions corrigées ne sont pas précisées dans les informations fournies.
Action recommandée : Consulter l’avis Debian et installer la mise à jour de sécurité du noyau adaptée à la version Debian utilisée.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La page officielle de sécurité Debian recense six avis publiés le 2026-10-16 : DSA-6565-1 (SPIP), DSA-6566-1 (expat), DSA-6567-1 (cifs-utils), DSA-6568-1 (linux) et DSA-6569-1 (apache2), ainsi qu’un autre avis de sécurité. Les informations consultées ne permettent pas d’établir de façon fiable les CVE individuelles, leurs correctifs et les versions concernées pour constituer des fiches conformes à la règle « un item par CVE » ; aucun item n’est donc créé. Aucune vulnérabilité Debian nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni aucun changement substantiel daté dans la période demandée n’est établi par les candidats fournis. Les fiches NVD citées concernent des CVE du noyau Linux publiées en 2025 et leur mise à jour indiquée a eu lieu le 15 octobre 2026, avant le début de la période figée. Les candidats fournis sont des modifications de fiches NVD concernant des vulnérabilités Linux publiées en 2025. Aucun élément fourni ne démontre une nouvelle vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté du 16 octobre 2026. Les 11 candidats sont des fiches NVD pour des vulnérabilités du noyau Linux publiées avant la période. Leurs mises à jour indiquées le 16 octobre 2026 à partir de 00:18 (+02:00) ne sont accompagnées d’aucune preuve d’un changement substantiel ou d’un événement de sécurité daté dans la période ; elles ne sont donc pas retenues. Aucune nouveauté Debian vérifiable dans la période à partir des candidats fournis. Les fiches NVD concernent des vulnérabilités Linux publiées en juillet 2025; leur mise à jour administrative le 2026-10-15 ne constitue pas un événement de sécurité daté du 2026-10-16. Aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant Debia…
Debian DSA-6568-1 : mise à jour de sécurité du noyau Linux
Debian a publié une mise à jour de sécurité pour le noyau Linux. Les vulnérabilités signalées peuvent entraîner une élévation de privilèges, un déni de service ou des fuites d’informations ; les CVE et versions corrigées ne sont pas précisées dans les informations fournies.
Action recommandée : Consulter l’avis Debian et installer la mise à jour de sécurité du noyau adaptée à la version Debian utilisée.
Debian DSA-6569-1 : mise à jour de sécurité pour Apache HTTP Server
Debian a publié une mise à jour de sécurité pour Apache HTTP Server. Les vulnérabilités concernées peuvent entraîner un déni de service, une divulgation d’informations, un contournement d’authentification ou une injection de requêtes HTTP ; les CVE et versions corrigées ne sont pas précisées dans les informations fournies.
Action recommandée : Consulter l’avis Debian et appliquer la mise à jour de sécurité disponible pour apache2.
Debian DSA-6567-1 : mise à jour de sécurité pour cifs-utils
Debian a publié une mise à jour de sécurité pour cifs-utils. Les deux vulnérabilités signalées peuvent permettre une élévation de privilèges ; les CVE et versions corrigées ne sont pas précisées dans les informations fournies.
Action recommandée : Consulter l’avis Debian et appliquer la mise à jour de sécurité de cifs-utils.
Debian corrige plusieurs vulnérabilités dans Expat
Debian a publié DSA-6566-1 pour corriger plusieurs vulnérabilités d’Expat. Le traitement d’un fichier XML malformé pouvait entraîner un déni de service ou potentiellement l’exécution de code, mais les CVE et versions concernées ne sont pas précisées dans les éléments fournis.
Action recommandée : Appliquer la mise à jour de sécurité Debian correspondant à la version installée.
Debian corrige une vulnérabilité dans SPIP
Debian a publié DSA-6565-1 pour corriger une vulnérabilité de SPIP. Selon l’avis fourni, elle pouvait permettre une exécution de code à distance sans authentification; les CVE et versions concernées ne sont pas indiquées.
Action recommandée : Appliquer la mise à jour de sécurité Debian correspondant à la version installée.
CVE-2026-32316 : correctif de dépassement de limite de répétition de chaîne dans jq
DLA-4840-1 corrige CVE-2026-32316 dans jq : la répétition d’une chaîne qui dépassait la limite peut désormais échouer avec une erreur explicite. Le résumé fourni ne précise ni les versions Debian affectées ni la version corrigée.
Action recommandée : Appliquer la mise à jour DLA-4840-1 pour jq.
DLA-4840-1 : correctifs d’erreurs mémoire dans jq sans CVE indiqué
DLA-4840-1 corrige également deux erreurs mémoire dans jq sans identifiant CVE indiqué. L’une concerne une double libération dans args2obj() lors de l’utilisation de jq_compile_args() avec un tableau; l’autre est une utilisation de mémoire libérée lors de répétitions successives de chaînes dans f_multiply().
Action recommandée : Appliquer la mise à jour DLA-4840-1 si libjq est utilisé.
Debian corrige plusieurs vulnérabilités dans gst-plugins-bad1.0
Debian a publié DLA-4839-1 pour corriger plusieurs vulnérabilités dans gst-plugins-bad1.0. Le traitement de fichiers multimédias spécialement conçus ou de données réseau pouvait entraîner un déni de service, une divulgation de mémoire ou potentiellement l’exécution de code; les CVE et versions affectées ne sont pas précisées dans les éléments fournis.
Action recommandée : Appliquer la mise à jour de sécurité DLA-4839-1 correspondant à la version installée.
Debian publie une mise à jour de sécurité pour Chromium
Debian a publié DLA-4838-1 pour corriger des problèmes de sécurité dans Chromium. Les conséquences indiquées comprennent l’exécution de code, le déni de service ou la divulgation d’informations; les CVE et versions affectées ne figurent pas dans les éléments fournis.
Action recommandée : Appliquer la mise à jour de sécurité DLA-4838-1 correspondant à la version installée.
Alpine Linux
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif de sécurité ou événement d’exploitation Alpine Linux vérifiable comme daté de la période demandée. La page officielle du projet répertorie le 16 octobre une mise à niveau de linux-stable vers 7.2.11, sans indication permettant de la qualifier de correctif de sécurité pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche a identifié DSA-6569-1, publié le 16 octobre 2026, comme avis Debian de sécurité pour Apache HTTP Server. Il cite 19 CVE et indique que Debian trixie corrige les problèmes dans apache2 2.4.69-1~deb13u1; l’avis ne permet pas d’attribuer individuellement aux CVE les impacts généraux qu’il énumère.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-42356
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-42528
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-46729
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-47360
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-48005
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56153
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56154
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56449
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-57941
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-58415
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-59797
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63045
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63292
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63686
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63718
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-73636
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-73637
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-79768
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-93546
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Action recommandée : Sur Debian trixie, mettre à niveau apache2 vers 2.4.69-1~deb13u1.
Nginx
Recherche du sujet effectuée
Aucun avis ou correctif de sécurité concernant Nginx lui-même n’a été vérifié comme nouveau ou substantiellement mis à jour pendant la période demandée. Les avis Nginx consultés présentent des vulnérabilités publiées à d’autres dates; la fiche CVE-2026-108981 indique une modification NVD dans la période, mais les éléments consultés ne permettent pas d’établir qu’elle correspond à un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée a porté sur PHP et PHP-FPM, notamment les avis du projet PHP sur GitHub. Les avis PHP visibles dans les résultats consultés étaient datés du 24 septembre 2026 ou d’une date antérieure à la période demandée; aucun élément répondant aux critères de cette période n’a été vérifié. Deux vulnérabilités liées à PHP dans des extensions WordPress ont été publiées dans le lot pendant la période demandée : un téléversement de fichier arbitraire dans DoubleScale et une injection d’objets PHP dans 10up Distributor. Une nouvelle vulnérabilité de ZoneMinder publiée pendant la période concerne l’interpolation non sûre d’un champ dans des commandes PHP et Perl. Les autres candidats examinés ne documentent pas une nouveauté PHP dans la période ou ne présentent qu’une mise à jour administrative NVD. Aucun candidat fourni ne concerne une vulnérabilité, un correctif ou un avis de sécurité du runtime PHP ou de PHP-FPM. Les références à PHP dans les descriptions concernent d’autres produits ou leurs effets. Les candidats fournis indiquent des dates de publication antérieures à la période et des mises à jour NVD le 16 octobre 2026. Le lot ne précise pas quels champs ont changé : il ne permet donc pas de vérifier qu’il s’agit d’une évolution substantielle plutôt que d’une modification administrative. Les candidats fournis sont des fiches NVD dont la date de publication précède la période. Le lot n’établit pas qu’une modification substantielle, un correctif, un avis de sécurité ou un autre événement admissible concernant PHP ait eu lieu pendant la période. Aucun candidat ne concerne le produit PHP lui-même : les entrées portent sur des vulnérabilités d’autres logiciels, même lorsque leur description mentionne du code PHP. Aucun item correspondant au sujet demandé n’est reten…
DoubleScale : téléversement arbitraire de fichiers
Le plugin DoubleScale pour WordPress présente une faille de téléversement arbitraire de fichiers accessible aux utilisateurs authentifiés avec un rôle Subscriber ou supérieur. Le risque d’exécution de code à distance dépend de l’activation du module Helpdesk et du téléversement d’un fichier exécutable.
Action recommandée : Mettre à jour vers une version corrigée si disponible; à défaut, désactiver le module Helpdesk et limiter les comptes disposant d’un accès authentifié.
ZoneMinder : injection de commandes via le champ Device
ZoneMinder permet à un utilisateur authentifié ayant les droits de créer ou modifier un moniteur de faire exécuter des commandes par le serveur en injectant des métacaractères shell dans le chemin du périphérique d’un moniteur local. Mettez à niveau vers 1.39.2, 1.38.2 ou 1.36.40.
Action recommandée : Mettre à niveau ZoneMinder vers une version corrigée.
CVE-2026-111628 — injection d’objets PHP dans 10up Distributor
10up Distributor, avant la version 2.3.2, présente une injection d’objets PHP déclenchable par des utilisateurs ayant le rôle Contributeur. L’impact dépend des classes gadget disponibles dans l’environnement; la fiche NVD attribue à cette vulnérabilité un score faible.
Action recommandée : Mettre à jour 10up Distributor vers la version 2.3.2 ou ultérieure.
WordPress
Vérification incomplète
Niveau relevé : Critique
La recherche web dédiée a relevé dix fiches NVD concernant des extensions WordPress, publiées le 2026-10-16 et correspondant à la période demandée. Les informations de versions affectées, de conditions d’exploitation et de scores reprises ici proviennent des candidats NVD fournis ; aucune version corrigée n’est établie par les éléments consultés. Les candidats fournis recensent onze vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 16 octobre 2026 : injections SQL, XSS, exécution de shortcodes, exposition de données et contournements d’autorisation ou d’authentification. Les descriptions fournies indiquent des versions affectées, mais ne donnent pas de versions corrigées. Les candidats fournis correspondent à dix vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 2026-10-16. Les sources fournies décrivent des divulgations de données, des contournements d’autorisation, des injections de contenu, des téléversements ou suppressions de fichiers et des risques d’élévation de privilèges ; elles ne précisent pas de versions corrigées. Le lot fourni contient dix fiches NVD publiées le 2026-10-16 pour des vulnérabilités de plugins WordPress. Elles décrivent notamment des injections SQL, des élévations de privilèges, des XSS, un téléversement arbitraire de fichier et une écriture limitée par traversée de chemin ; les informations fournies ne précisent pas de versions corrigées. Le lot fourni contient onze fiches NVD publiées le 2026-10-16 concernant des extensions WordPress : exécution de shortcodes, injection d’objet PHP, XSS persistantes, injection SQL et élévation de privilèges. Les sources ne précisent pas de versions corrigées. Onze fiches NVD concernant des plugins WordPress ont été publiées le 2026-10-16 dans la période i…
My Calendar : exécution de fonctions PHP et élévation de privilèges
CVE-2026-104798 affecte My Calendar jusqu’à la version 3.8.7 incluse et peut permettre à un attaquant non authentifié d’exécuter des fonctions PHP arbitraires, avec possibilité de prise de contrôle du compte administrateur. La fiche NVD a été publiée et mise à jour pendant la période ; aucune version corrigée n’est indiquée dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; envisager de désactiver le plugin jusqu’à l’application d’un correctif.
Mang Board : téléversement arbitraire de fichiers
CVE-2026-109219 concerne Mang Board jusqu’à la version 2.4.4 incluse et permet le téléversement de fichiers potentiellement exécutables sans authentification, sous réserve que les publications invitées soient permises. La fiche NVD a été publiée et mise à jour le 16 octobre 2026 ; aucune version corrigée n’est indiquée dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; désactiver les publications invitées ou le plugin dans l’intervalle.
MailOptin expose les comptes WordPress à une prise de contrôle
MailOptin peut permettre à un attaquant non authentifié de modifier le mot de passe d’un compte WordPress existant, y compris un compte administrateur, via un formulaire d’inscription publié. Les versions jusqu’à 1.2.78.6 inclus sont concernées ; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; retirer temporairement les formulaires d’inscription concernés si aucune mise à jour n’est disponible.
Téléversement de fichiers arbitraires dans ELEX WordPress HelpDesk
Le plugin ELEX WordPress HelpDesk & Customer Ticketing System présente une validation insuffisante du type des pièces jointes IMAP enregistrées. Un attaquant non authentifié pourrait téléverser un fichier exécutable et, selon la configuration, parvenir à une exécution de code à distance.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; en attendant, désactiver la fonctionnalité concernée si possible.
Injection d’objets PHP dans Sunshine Photo Cart
Le plugin Sunshine Photo Cart jusqu’à la version 3.7.4 incluse permet une injection d’objets PHP par désérialisation de données non fiables, sans authentification. L’impact dépend de la présence d’une chaîne POP dans un autre plugin ou thème ; mettez à jour le plugin dès qu’un correctif est disponible.
Action recommandée : Mettre à jour dès la disponibilité d’une version corrigée ; vérifier également les plugins et thèmes installés susceptibles de fournir une chaîne POP.
WordPress Theme My Login — modification non autorisée de mots de passe
Theme My Login est vulnérable à une prise de contrôle de compte jusqu’à la version 7.2.1 incluse. Dans certaines configurations multisites, un attaquant non authentifié peut modifier le mot de passe d’un utilisateur arbitraire en l’absence de vérification correcte de son identité.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les changements de mots de passe et comptes sur les installations multisites.
WordPress WP Ghost — XSS stockée dans replaceHeadersAndTags
WP Ghost (Hide My WP Ghost) est vulnérable à une XSS stockée jusqu’à la version 7.0.12 incluse. Une entrée malveillante peut être injectée sans authentification et le script s’exécute lorsqu’un utilisateur clique sur le lien injecté.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les contenus ou liens injectés.
Vitepos : injection SQL dans une route REST
Le plugin Vitepos pour WooCommerce présente une injection SQL via le paramètre src_by. La route REST concernée est accessible sans authentification selon la description, ou par un compte disposant d’un rôle POS, et peut permettre l’extraction de données de la base.
Action recommandée : Mettre à jour Vitepos dès qu’une version corrective est disponible et limiter l’attribution des rôles POS.
Customer Email Verification for WooCommerce : contournement de vérification de compte
Customer Email Verification for WooCommerce présente une faille de contournement de vérification pouvant permettre l’usurpation d’un compte non vérifié dans les versions jusqu’à 3.3.0 incluse. Le scénario décrit exige notamment le réglage non standard « hashids » et d’autres conditions; mettre à jour vers une version corrigée et vérifier la configuration du plugin.
Action recommandée : Mettre à jour le plugin vers une version corrigée; si la mise à jour n’est pas possible, désactiver le réglage « hashids » et examiner les comptes dont la vérification est en attente.
FunnelKit : accès non autorisé aux données de facturation WooCommerce
CVE-2026-107746 affecte FunnelKit jusqu’à la version 3.16.0.6 incluse et peut exposer les données personnelles de facturation de commandes WooCommerce sans autorisation. La fiche NVD a été publiée et mise à jour durant la période ; les données fournies ne précisent pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler l’exposition des pages de confirmation concernées.
Klarna for WooCommerce : accès non autorisé aux données de commandes
CVE-2026-110590 concerne un contournement d’autorisation dans Klarna for WooCommerce jusqu’à la version 4.13.3 incluse. Un attaquant non authentifié peut accéder aux clés de commande et aux données personnelles de facturation et de livraison exposées dans une variable JavaScript de la page de paiement ; appliquez le correctif disponible et évaluez l’exposition des données de commandes.
Action recommandée : Mettre à jour le plug-in dès qu’un correctif est disponible et examiner les journaux d’accès aux pages de paiement.
CVE-2026-109513 : XSS persistante dans NotificationX
CVE-2026-109513 est une XSS persistante dans NotificationX via le paramètre name, affectant les versions jusqu’à 3.3.3 incluse. La fiche indique que l’exploitation suppose une campagne WordPress.org Reviews activée et le bloc dynamique NotificationX placé sur une page publique.
Action recommandée : Mettre à jour NotificationX lorsqu’un correctif est disponible ; vérifier les campagnes Reviews et blocs dynamiques concernés.
DoubleScale : téléversement arbitraire de fichiers
Le plugin DoubleScale pour WordPress présente une faille de téléversement arbitraire de fichiers accessible aux utilisateurs authentifiés avec un rôle Subscriber ou supérieur. Le risque d’exécution de code à distance dépend de l’activation du module Helpdesk et du téléversement d’un fichier exécutable.
Action recommandée : Mettre à jour vers une version corrigée si disponible; à défaut, désactiver le module Helpdesk et limiter les comptes disposant d’un accès authentifié.
Colibri Page Builder : XSS stockée via le paramètre comment
Colibri Page Builder présente une faille de XSS stockée dans toutes les versions jusqu’à 1.0.390 incluse. Une entrée `comment` insuffisamment filtrée peut conduire à l’injection de scripts qui s’exécutent lorsqu’un utilisateur consulte une page affectée; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour Colibri Page Builder vers une version corrigée; en attendant, limiter la soumission de commentaires et surveiller les pages concernées.
XSS stockée dans RSS Aggregator by Feedzy
Le plugin RSS Aggregator by Feedzy permet une XSS stockée via l’URL de miniature d’un flux RSS, exploitable sans authentification si l’attaquant contrôle un flux déjà importé par le site. Les versions jusqu’à 5.2.11 inclus sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, éviter d’importer des flux RSS non fiables.
Flying Scripts : XSS stockée dans le plug-in WordPress
CVE-2026-109990 affecte le plug-in WordPress Flying Scripts jusqu’à la version 1.2.4 : une entrée « comment » insuffisamment protégée peut conduire à une XSS stockée, déclenchée lorsqu’un visiteur consulte une page modifiée. Mettez à jour le plug-in si un correctif est disponible et vérifiez les pages concernées ainsi que les scripts injectés.
Action recommandée : Mettre à jour le plug-in si une version corrigée est disponible et examiner les pages susceptibles d’avoir reçu du contenu malveillant.
Injection SQL lors d’une restauration Backuply
Le plugin Backuply comporte une injection SQL de second ordre liée au champ « Biographical Info » et au processus de restauration. Les versions jusqu’à 1.5.8 inclus sont concernées ; un utilisateur authentifié disposant au moins du rôle abonné peut préparer des données qui, lors d’une restauration par un administrateur, permettent une élévation de privilèges pouvant mener à la prise de contrôle du site.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; ne restaurer que des sauvegardes fiables et vérifier les droits utilisateurs après restauration.
XSS stockée dans les commentaires avec Complianz
Le plugin Complianz GDPR/CCPA Cookie Consent Banner est vulnérable à une XSS stockée dans le contenu des commentaires, via un filtre Cookie-Blocker. Les versions jusqu’à 7.5.5 inclus sont concernées ; l’exécution requiert que le commentaire malveillant soit approuvé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; modérer les commentaires avant leur approbation.
Divulgation de données clients dans FluentCart
Le plugin FluentCart expose des adresses de facturation et de livraison de clients par un contrôle d’accès insuffisant. Toutes les versions jusqu’à 1.7.0 inclus sont concernées ; l’accès non authentifié permet de récupérer des données personnelles en énumérant des identifiants de commande et d’adresse.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les accès aux données clients et surveiller les requêtes inhabituelles.
miniOrange OTP Login : contournement d’authentification
CVE-2026-103895 affecte le plugin miniOrange OTP Login, Verification and SMS Notifications jusqu’à la version 5.5.8 incluse et peut permettre une authentification sans mot de passe valide, y compris comme administrateur, sous certaines configurations OTP. La fiche NVD a été publiée et mise à jour pendant la période ; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, désactiver les options OTP concernées si cela est possible.
Modula Image Gallery : exposition de mots de passe de galeries
CVE-2026-107659 affecte Modula Image Gallery jusqu’à la version 3.0.11 incluse et expose des identifiants en clair associés aux galeries publiées via l’API REST de WordPress. La fiche NVD a été publiée et mise à jour le 16 octobre 2026 ; aucun correctif n’est indiqué dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et renouveler les mots de passe de galeries potentiellement exposés.
Groundhogg : suppression arbitraire de fichiers
CVE-2026-109221 affecte Groundhogg jusqu’à la version 4.9.3 incluse et permet à des utilisateurs disposant de la capacité d’importation de supprimer des fichiers arbitraires sur le serveur. La fiche NVD a été publiée et mise à jour pendant la période ; aucun correctif n’est mentionné dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et revoir les comptes disposant de la capacité d’importation.
InstaWP Connect : élévation de privilèges via exposition de clé API
CVE-2026-109400 affecte InstaWP Connect jusqu’à la version 0.1.4.1 incluse et peut permettre à certains utilisateurs abonnés d’obtenir une clé API, puis d’élever leurs privilèges jusqu’au compte administrateur. L’exploitation dépend de la connexion active du site à InstaWP et d’une configuration donnant accès à l’onglet de synchronisation ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible, restreindre les rôles autorisés et renouveler la clé API si elle a pu être exposée.
Mang Board permet une injection de scripts sans authentification
Mang Board comporte une seconde faille de script intersites stocké, exploitable sans authentification via le point d’accès public mb_template en mode content_reply. Les versions jusqu’à 2.4.3 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; limiter temporairement l’exposition du point d’accès concerné si possible.
Élévation de privilèges dans Nexter Extension
CVE-2026-111114 est une élévation de privilèges dans Nexter Extension, permettant à certains utilisateurs authentifiés de retrouver le rôle administrateur. La faille concerne les versions jusqu’à 4.7.11 incluses et exige un scénario préalable particulier de rétrogradation du compte.
Action recommandée : Éviter le scénario de rétrogradation décrit et appliquer un correctif éditeur dès qu’il est disponible.
XSS stockée dans Profile Builder
CVE-2026-100186 est une XSS stockée dans le champ Prénom de Profile Builder. Toutes les versions jusqu’à 4.0.3 incluses sont concernées ; la faille n’est exploitable que lorsque la confirmation par e-mail est activée.
Action recommandée : Si la confirmation par e-mail est activée, évaluer la désactivation de cette fonction jusqu’à l’application d’un correctif éditeur.
Écriture de fichier de cache hors répertoire dans 10Web Booster
Le plugin 10Web Booster présente une traversée de chemin permettant l’écriture limitée d’un fichier de cache hors du répertoire prévu. La charge écrite est le contenu rendu d’une page et le nom du fichier est fixé à source.html; la description précise que cette faille ne permet pas l’écriture de fichiers PHP ni l’exécution de code.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; examiner les répertoires accessibles en écriture et les caches générés.
XSS stockée par téléversement dans Ultra Addons for Contact Form 7
Ultra Addons for Contact Form 7 présente une XSS stockée liée au téléversement de fichiers texte dont le contenu HTML n’est pas correctement neutralisé. La description indique qu’un attaquant non authentifié peut provoquer l’injection de script dans des pages consultées par les utilisateurs.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; désactiver les téléversements concernés si aucune mise à jour n’est disponible.
XSS stockée dans Simply Schedule Appointments
Simply Schedule Appointments présente une XSS stockée via le paramètre « status », en raison d’une assainissement et d’un échappement insuffisants. La charge peut être enregistrée dans les journaux de débogage et s’exécuter dans le navigateur d’un administrateur consultant le visualiseur de journaux avec le Support PIN du site.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; désactiver la journalisation de débogage si elle n’est pas nécessaire et protéger l’accès au visualiseur.
Injection d’objet PHP dans Search Regex
Search Regex 3.5 est vulnérable à une injection d’objet PHP par désérialisation de données non fiables dans replace_all. La description indique qu’un utilisateur authentifié ayant au moins le rôle Subscriber peut exploiter une chaîne POP présente pour parvenir à l’exécution de code.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; suspendre l’usage de la version concernée si aucun correctif n’est disponible.
XSS DOM stockée dans SiteOrigin CSS
SiteOrigin CSS présente une XSS stockée de type DOM via le champ « Website » des commentaires, affectant le paramètre url (comment_author_url). La description indique qu’un attaquant non authentifié peut soumettre une valeur encodée qui survit au traitement puis est interprétée comme du contenu exécutable par le navigateur.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; modérer les commentaires contenant une URL suspecte.
XSS stockée dans Salon Booking System
Salon Booking System présente une XSS stockée via le paramètre « sln[] », en raison d’une validation et d’un échappement insuffisants. L’exploitation par un attaquant non authentifié dépend de la configuration du site, qui doit comporter au moins un champ de paiement personnalisé de type Html ou File.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; vérifier la configuration des champs de paiement personnalisés.
CVE-2026-109447 : élévation de privilèges dans User Profile Builder
CVE-2026-109447 est une élévation de privilèges dans User Profile Builder, affectant les versions jusqu’à 4.0.3 incluse. Sous plusieurs conditions de configuration, un attaquant non authentifié peut obtenir un compte administrateur lors de l’activation d’une inscription.
Action recommandée : Mettre à jour User Profile Builder lorsqu’un correctif est disponible ; vérifier les anciens formulaires contenant un champ role et les paramètres d’inscription.
CVE-2026-111122 : XSS DOM persistante dans SiteOrigin CSS
CVE-2026-111122 est une XSS DOM persistante dans SiteOrigin CSS via le paramètre href, dans les versions jusqu’à 1.6.7 incluse. L’exploitation décrite nécessite l’approbation du commentaire malveillant, puis l’ouverture du Visual Inspector par un administrateur et un clic sur le lien concerné.
Action recommandée : Mettre à jour SiteOrigin CSS lorsqu’un correctif est disponible ; contrôler les commentaires approuvés et les interactions Visual Inspector.
XSS persistante dans TranslatePress
TranslatePress jusqu’à la version 3.3.7 incluse permet une injection de script persistante via le paramètre comment, en raison d’une validation et d’un échappement insuffisants. L’exploitation décrite requiert que le site accepte des commentaires non modérés sur au moins un article et qu’une langue secondaire soit configurée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; modérer les commentaires et vérifier la configuration multilingue.
XSS persistante dans les attributs personnalisés HivePress
HivePress jusqu’à la version 1.7.32 incluse permet une XSS persistante via des attributs personnalisés, lorsque le modèle d’affichage configuré place la valeur dans un contexte href, src ou style. Un attaquant non authentifié peut alors injecter du script dans des pages consultées par les utilisateurs.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et éviter les modèles d’attributs qui insèrent des valeurs non fiables dans des contextes d’attribut HTML.
WordPress PilotPress — prise de contrôle d’un compte administrateur
Le plugin PilotPress est vulnérable à une prise de contrôle de compte et à une élévation de privilèges jusqu’à la version 2.0.43 incluse. Un utilisateur authentifié disposant d’un accès de niveau Subscriber ou supérieur, d’un contact ONTRAPORT valide et du nonce Customer Center peut, dans le scénario décrit, prendre le contrôle d’un compte administrateur.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et examiner les comptes PilotPress/ONTRAPORT ainsi que les authentifications suspectes.
WordPress Opti-Behavior — XSS DOM stockée via targetUrl
Opti-Behavior est vulnérable à une XSS DOM stockée via targetUrl jusqu’à la version 1.9.2.1 incluse. Un attaquant non authentifié peut soumettre une charge via un endpoint dont le nonce est rendu public aux visiteurs, puis provoquer l’exécution du script sur les pages concernées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et examiner les pages suivies pour détecter des contenus injectés.
WordPress Opti-Behavior — XSS DOM stockée via country_name
Opti-Behavior est vulnérable à une XSS DOM stockée via le paramètre de localisation country_name jusqu’à la version 1.9.2.1 incluse. L’endpoint de capture accepte des requêtes non authentifiées dont le nonce peut être obtenu par une action AJAX publique, ce qui permet l’injection d’une charge exécutée sur les pages touchées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les pages de heatmap susceptibles d’avoir reçu des données injectées.
WordPress Schema & Structured Data — XSS stockée dans les avis
Schema & Structured Data for WP & AMP est vulnérable à une XSS stockée via saswp_review_text jusqu’à la version 1.67 incluse. Le nonce utilisé comme unique contrôle est présent dans le HTML public du formulaire shortcode, ce qui permet à un attaquant non authentifié de soumettre une charge malveillante.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les avis et contenus soumis par le formulaire concerné.
CP Multi View Events Calendar : XSS stockée exploitable sans authentification sous condition
CP Multi View Events Calendar est vulnérable à une XSS stockée dans toutes les versions jusqu’à 1.4.42 inclus, via le paramètre CalendarTitle. Un attaquant non authentifié peut exploiter cette faille si un administrateur a activé l’édition en frontend sur au moins une vue de calendrier.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; désactiver l’édition en frontend si elle n’est pas nécessaire.
Injection de commandes dans WP Photo Album Plus
WP Photo Album Plus est vulnérable à une injection de commandes via le paramètre `value` de l’action AJAX `update-photo`. Les versions jusqu’à 9.3.02.002 inclus sont concernées; un utilisateur doté de la capacité `wppa_upload` peut obtenir l’exécution de commandes sur le serveur lorsque ImageMagick est activé.
Action recommandée : Désactiver ImageMagick pour le plugin ou retirer la capacité `wppa_upload` aux rôles non nécessaires, puis appliquer un correctif dès qu’il est disponible.
Téléversement de fichiers arbitraires dans YaySMTP
YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports ne valide pas suffisamment les fichiers transmis à sa fonction `putFile`. Les versions jusqu’à 2.7.7 inclus sont concernées; un utilisateur authentifié ayant au moins le rôle d’abonné peut téléverser un fichier potentiellement exécutable, avec risque d’exécution à distance selon la configuration du serveur.
Action recommandée : Désactiver la fonction ou le plugin jusqu’à installation d’un correctif et vérifier la configuration du serveur web.
XSS stocké dans WPConsent
WPConsent est vulnérable à un XSS stocké via le contenu des commentaires lorsque la fonctionnalité Script Blocking est activée. Toutes les versions jusqu’à 1.1.9 inclus sont concernées; la chaîne décrite implique deux commentaires coordonnés et peut exécuter du script dans le navigateur des visiteurs de la page touchée.
Action recommandée : Désactiver Script Blocking et appliquer un correctif éditeur dès qu’il est disponible.
Contournement d’authentification dans Vulnity Security
Vulnity Security jusqu’à la version 1.4.3 incluse présente un contournement d’authentification sur les installations utilisant Nginx, lié à une protection incorrecte du fichier d’identifiants de connexion déléguée. Un attaquant non authentifié peut récupérer ces identifiants, forger des requêtes REST signées et se connecter comme administrateur.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et vérifier la protection du fichier d’identifiants sur les installations Nginx.
XSS stockée dans User Registration PRO
La version premium de User Registration PRO jusqu’à la version 6.2.9 incluse présente une XSS stockée via l’en-tête HTTP Referer; la distribution gratuite WordPress.org n’est pas concernée selon les informations fournies. Une requête non authentifiée peut exploiter le nonce rendu dans les pages publiques et injecter un script stocké.
Action recommandée : Mettre à jour la version premium vers un correctif disponible; vérifier que l’édition utilisée est bien la version premium concernée.
SureCart : XSS persistante via le paramètre comment
Le plugin SureCart pour WordPress est vulnérable à une XSS persistante via le paramètre comment. L’exploitation est non authentifiée, mais dépend de conditions précises sur la page : chargement du runtime surecart-components, par exemple au moyen de [sc_buy_button], et absence d’un élément sc-checkout.
XSS stockée dans les journaux d’e-mails de GoSMTP Pro
GoSMTP Pro présente une XSS stockée liée au contenu des commentaires dans le corps des journaux d’e-mails, exploitable sans authentification. Toutes les versions jusqu’à 1.2.3 incluse sont concernées ; la source ne fournit pas de version corrigée ni de contournement.
Action recommandée : Vérifier auprès de l’éditeur si un correctif est disponible et mettre à jour le plugin sans délai.
XSS stockée dans WP Sessions Time Monitoring Full Automatic
WP Sessions Time Monitoring Full Automatic contient une XSS stockée par plusieurs paramètres de requête, exploitable sans authentification. Toutes les versions jusqu’à 1.1.5 incluse sont concernées ; la source ne précise ni correctif ni contournement.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour le plugin dès qu’elle est disponible.
OTP Login & Register Woocommerce : contournement de la limite d’essais OTP
OTP Login & Register Woocommerce avant la version 2.7.3 ne limite pas efficacement les tentatives de vérification des mots de passe à usage unique, car le compteur de tentatives dépend d’une valeur contrôlée par le client. Un attaquant non authentifié peut contourner la limite et essayer de deviner le code numérique court afin de prendre le contrôle d’un compte sans son mot de passe; mettre à jour au moins en version 2.7.3.
Action recommandée : Mettre à jour au moins vers la version 2.7.3.
Salon Booking System : falsification de requêtes REST pouvant créer un administrateur
Salon Booking System avant la version 10.31.9 écarte le contrôle de nonce du cœur WordPress pour les sessions authentifiées par cookie sur l’ensemble de son API REST. Un attaquant peut inciter un administrateur connecté à cliquer sur un lien préparé pour forger des requêtes depuis son navigateur, jusqu’à créer un compte administrateur; mettre à jour au moins en version 10.31.9.
Action recommandée : Mettre à jour au moins vers la version 10.31.9; éviter de suivre des liens non fiables lorsqu’une session administrateur est ouverte.
Exposition d’identifiants MySQL dans HUSKY Products Filter
HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données MySQL configurés pour son extension Statistics. L’exploitation nécessite que Statistics soit activée, que les identifiants externes soient enregistrés et que Turbo Mode soit activé.
Action recommandée : Mettre à jour dès qu’un correctif est disponible ; désactiver Statistics ou Turbo Mode et remplacer les identifiants exposés si la configuration concernée est utilisée.
XSS stockée dans FiboSearch
FiboSearch – Ajax Search for WooCommerce jusqu’à la version 1.34.2 incluse présente une XSS stockée via le paramètre `purchased_plan`. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter un script si le site a auparavant effectué le processus standard d’opt-in Freemius.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible et vérifier si le site a effectué l’opt-in Freemius.
XSS stockée dans Tourfic via les commentaires WooCommerce
Tourfic contient une XSS stockée liée au contenu des commentaires et à l’attribution de `unfiltered_html` au rôle Customer, dans les versions jusqu’à 3.0.1 incluse. WooCommerce doit être actif ; un visiteur peut créer un compte client, puis le contenu non assaini peut être renvoyé par l’API REST des commentaires et les flux RSS, sans correctif ni contournement précisé dans la source.
Action recommandée : Vérifier la publication d’un correctif auprès de l’éditeur ; limiter la création de comptes clients si elle n’est pas nécessaire et contrôler le rendu des contenus de commentaires par les consommateurs de l’API et des flux.
Modification non autorisée de mots de passe dans Dokan
Le plugin Dokan présente une référence directe non sécurisée permettant à un vendeur authentifié de modifier le mot de passe de certains clients. Les versions jusqu’à 5.2.1 inclus sont concernées ; l’attaquant peut alors accéder au compte client visé.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; contrôler les comptes vendeurs et les options d’inscription publique.
CVE-2026-109414 : injection SQL dans Vitepos
CVE-2026-109414 est une injection SQL aveugle dans Vitepos, affectant les versions jusqu’à 3.6.1 incluse. La branche d’opérateur bt (BETWEEN) n’était pas couverte par le correctif antérieur mentionné dans la fiche ; aucune version corrigée n’est indiquée.
Action recommandée : Mettre à jour Vitepos lorsqu’un correctif couvrant l’opérateur bt est disponible.
Popup Box : exécution de shortcodes arbitraires via l’adresse IP injectée
Le plugin Popup Box pour WordPress présente une faille d’exécution de shortcodes arbitraires dans les versions 6.4.1 à 6.4.2. Si le contenu d’une fenêtre contextuelle contient le jeton `%%user_ip_address%%`, des en-têtes HTTP contrôlés par le client peuvent injecter des attributs de shortcode, ensuite exécutés côté serveur; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour Popup Box vers une version corrigée dès qu’elle est disponible; en attendant, retirer le jeton `%%user_ip_address%%` du contenu des popups.
FluentCart : injection SQL via les variantes de produits
FluentCart pour WordPress présente une injection SQL dans toutes les versions jusqu’à 1.7.0 incluse. Un utilisateur authentifié disposant d’un accès personnalisé suffisant peut exploiter le paramètre associé aux variantes de produits pour extraire des informations sensibles de la base de données; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour FluentCart vers une version corrigée; limiter les permissions d’édition des produits aux comptes de confiance.
Debloat : traversée de répertoires via le paramètre de recherche
Debloat – Remove Unused CSS, Optimize JS présente une faille de traversée de répertoires dans les versions jusqu’à 1.3.0 incluse. La fiche indique un accès administrateur pour les attaquants, ainsi que des conditions liées à l’activation de l’optimisation CSS et à l’option Inline Google Fonts; mettre à jour vers une version corrigée et désactiver la fonctionnalité concernée en attendant.
Action recommandée : Mettre à jour Debloat vers une version corrigée; dans l’intervalle, désactiver Optimize CSS et l’option Inline Google Fonts si elles sont actives.
XSS stockée dans Cooked – Recipe Management
Le plugin Cooked – Recipe Management est vulnérable à une XSS stockée dans le contenu du shortcode « [cooked-timer] ». Les versions jusqu’à 1.16.1 inclus sont concernées et l’attaque nécessite un compte disposant au moins du rôle contributeur.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les droits de publication.
XSS stockée dans Dark Mode
Le plugin Dark Mode est vulnérable à une XSS stockée via l’attribut de shortcode « icon_light ». Les versions jusqu’à 5.3.17 inclus sont concernées et l’exploitation requiert un compte disposant au moins du rôle contributeur.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les droits de publication.
Exécution arbitraire de shortcodes dans Forminator Forms
Le plugin Forminator Forms permet l’exécution de shortcodes arbitraires dans certaines notifications de quiz. Les versions jusqu’à 1.58.1 inclus sont concernées et une attaque non authentifiée peut invoquer les shortcodes enregistrés par les extensions ou thèmes présents sur le site.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; examiner les shortcodes exposés et les modèles de notification de quiz.
XSS réfléchie dans Gwolle Guestbook
Le plugin Gwolle Guestbook présente une XSS réfléchie via le paramètre « permalink ». Toutes les versions jusqu’à 5.1.1 inclus sont concernées ; l’exploitation nécessite de convaincre une victime de suivre un lien spécialement conçu.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et sensibiliser les utilisateurs aux liens non fiables.
Forminator Forms : exécution de shortcodes sans authentification
CVE-2026-103911 concerne Forminator Forms jusqu’à la version 1.58.1 incluse et permet l’exécution de shortcodes arbitraires sans authentification dans certaines conditions. La fiche NVD a été publiée et mise à jour le 16 octobre 2026 ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, limiter l’exposition des fonctionnalités concernées.
Image Hub : exposition et modification de clés d’API
CVE-2026-109191 affecte Image Hub jusqu’à la version 1.2.0 incluse : des utilisateurs authentifiés disposant au minimum du rôle abonné peuvent lire des clés d’API tierces et modifier les options correspondantes. La fiche NVD a été publiée et mise à jour le 16 octobre 2026 ; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et renouveler les clés d’API potentiellement exposées.
Mang Board : script intersite (XSS) persistant
CVE-2026-109512 affecte Mang Board jusqu’à la version 2.4.4 incluse et permet à des utilisateurs authentifiés ayant au minimum le rôle abonné d’injecter du script persistant dans des pages. La fiche NVD a été publiée et mise à jour le 16 octobre 2026 ; les données fournies ne mentionnent pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les comptes disposant de droits de contribution.
LPagery permet des actions non autorisées sur les pages générées
LPagery ne vérifie pas correctement les autorisations sur certaines actions, permettant à des utilisateurs authentifiés de niveau Abonné ou supérieur de créer, modifier ou supprimer des pages et des processus de génération. Les versions jusqu’à 3.1.0 inclus sont concernées ; sur les installations par défaut où Freemius n’a pas été activé, le mécanisme de jeton peut en outre reposer sur une clé prévisible, et aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier l’activation de Freemius et limiter les comptes à privilèges faibles.
NotificationX permet l’injection de fausses entrées de preuve sociale
NotificationX autorise les soumissions sur un point d’accès REST sans authentification ni contrôle approprié du type de campagne, ce qui permet d’injecter de fausses entrées de preuve sociale. Les versions jusqu’à 3.3.3 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; surveiller et modérer les entrées NotificationX.
Injection SQL dans Mail Mint
CVE-2026-111106 concerne une injection SQL dans le plugin Mail Mint, via le paramètre `filters` du point de terminaison REST des contacts. Les versions jusqu’à 1.31.4 sont affectées ; la fiche fournie ne précise pas de correctif.
Action recommandée : Vérifier les rôles disposant de la capacité `mint_read_contacts` et appliquer un correctif éditeur dès qu’il est disponible.
Exécution de shortcodes dans Broken Link Checker
CVE-2026-96562 permet l’exécution de shortcodes arbitraires dans le plugin Broken Link Checker. Les versions jusqu’à 2.4.14.1 incluses sont concernées ; l’exploitation dépend de l’approbation préalable d’un commentaire contenant le shortcode.
Action recommandée : Examiner les commentaires en attente d’approbation et appliquer un correctif éditeur dès qu’il est disponible.
XSS stockée dans SQL Chart Builder
CVE-2026-100158 est une faille de XSS stockée dans SQL Chart Builder, via la valeur de la colonne d’axe X renvoyée par la requête SQL du graphique. Les versions jusqu’à 3.0.6 incluses sont affectées et l’exploitation suppose notamment qu’un administrateur ait publié un graphique renvoyant une valeur modifiable par un utilisateur moins privilégié.
Action recommandée : Vérifier les graphiques publiés et les colonnes de données qu’ils exposent, puis appliquer un correctif éditeur dès qu’il est disponible.
XSS stockée dans le plugin WordPress Tourfic
Le plugin Tourfic est vulnérable à une XSS stockée via le paramètre « type », faute de validation et d’échappement suffisants. Un attaquant authentifié ayant au moins le rôle Contributor peut injecter un script exécuté lors de l’affichage d’une page affectée.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter entre-temps les accès aux rôles pouvant modifier les données concernées.
Exécution arbitraire de shortcodes dans Slim SEO
Slim SEO permet l’exécution de shortcodes sans validation adéquate de la valeur transmise à do_shortcode. Un utilisateur authentifié disposant au moins du rôle Subscriber peut enregistrer une valeur dans sa biographie qui sera exécutée lors de certaines requêtes publiques affichant cette description.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter les comptes disposant d’un accès Subscriber ou supérieur jusqu’au correctif.
XSS stockée dans User Profile Builder
User Profile Builder présente une XSS stockée via le paramètre « display_name », exploitable par un utilisateur authentifié ayant au moins le rôle Subscriber. La valeur injectée peut persister dans les commentaires même si le compte de l’attaquant est ensuite modifié ou supprimé.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; examiner les commentaires concernés, car la charge peut survivre aux changements de compte.
CVE-2026-110017 : XSS persistante dans Quick PayPal Payments
CVE-2026-110017 est une XSS persistante dans Quick PayPal Payments via le paramètre form, dans les versions jusqu’à 6.0.4 incluse. Un compte authentifié disposant au minimum du rôle contributeur peut injecter un script dans un contenu consulté par d’autres utilisateurs.
Action recommandée : Mettre à jour Quick PayPal Payments lorsqu’un correctif est disponible ; la source ne précise pas de version corrigée.
Écriture de réglages et escalade de privilèges dans WP Compress
WP Compress jusqu’à la version 7.25.00 incluse permet une escalade de privilèges par écriture non autorisée des réglages du plugin. La chaîne décrite peut être exploitée sans compte WordPress pour conférer à des rôles, y compris Subscriber, des capacités d’administration du plugin.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter l’exposition du plugin jusque-là.
Contrôle d’autorisation insuffisant lors du réordonnancement des formulaires Visual Form Builder
Visual Form Builder jusqu’à la version 3.1 ne vérifie pas les autorisations ni le nonce lors du réordonnancement des champs. Tout utilisateur authentifié, y compris un abonné, peut modifier durablement la structure des champs de n’importe quel formulaire.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; limiter les comptes authentifiés non fiables.
Divulgation de soumissions dans un widget Visual Form Builder
Visual Form Builder jusqu’à la version 3.1 ne contrôle pas les autorisations avant d’afficher, dans un widget du tableau de bord, les soumissions récentes. Tout utilisateur authentifié, y compris un abonné, peut ainsi consulter des informations de contact soumises par d’autres utilisateurs.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et réserver l’accès au tableau de bord aux utilisateurs de confiance.
Contournement d’autorisation et gestion non autorisée de médias dans Photo Engine
Photo Engine (Media Organizer & Lightroom) jusqu’à la version 6.5.6 incluse présente un contournement d’autorisation. Un attaquant non authentifié peut supprimer des pièces jointes média et en téléverser de nouvelles en exploitant un jeton accessible à un utilisateur abonné.
Action recommandée : Mettre à jour dès qu’une version corrigée est disponible ; examiner les médias et journaux d’activité pour repérer d’éventuelles modifications non autorisées.
Divulgation de publications non publiées par WSP MCP AI Agents Connector
WSP MCP AI Agents Connector jusqu’à la version 2.9.5 incluse expose des informations sur les publications non publiées à tout utilisateur authentifié disposant au moins d’un compte abonné. La faille vient d’un outil MCP sans exigence de capacité qui accepte une demande couvrant les brouillons, contenus en attente et publications programmées.
Action recommandée : Mettre à jour dès qu’une version corrigée est disponible et limiter les comptes utilisateurs de faible privilège.
XSS persistante via le paramètre message dans HivePress
HivePress jusqu’à la version 1.7.32 incluse permet une XSS persistante via le paramètre message. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter un script lorsque la soumission d’annonces par les utilisateurs est activée ; le script s’exécute lors de la connexion réussie d’une victime via le formulaire intégré à l’annonce.
Action recommandée : Mettre à jour dès qu’un correctif est disponible ; désactiver la soumission d’annonces par les utilisateurs si elle n’est pas nécessaire.
WordPress Lightweight Cookie Notice — exposition d’une clé W3 Total Cache
Le plugin Lightweight Cookie Notice – Cookie Banner for Cookie Consent est vulnérable à une exposition d’informations sensibles jusqu’à la version 1.19 incluse. Une constante de sécurité W3 Total Cache codée en dur peut révéler une clé connue et, si W3 Total Cache est installé, permettre une injection de code PHP.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; si W3 Total Cache est utilisé, vérifier la configuration et les clés de sécurité concernées.
WordPress Tutor LMS — XSS basée sur le DOM via redirect_url
Tutor LMS est vulnérable à une XSS basée sur le DOM via le paramètre redirect_url jusqu’à la version 4.0.8 incluse. Un attaquant non authentifié peut injecter un script qui s’exécute dans le navigateur d’une victime consultant une page contenant la charge malveillante.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
WordPress Tainacan — traversée de répertoires conditionnelle
Tainacan est vulnérable à une traversée de répertoires jusqu’à la version 1.3.0 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut lire des fichiers arbitraires lorsque le répertoire uploads/tainacan n’existe pas.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier la présence du répertoire uploads/tainacan sans considérer cette mesure comme un correctif.
WordPress Mobile builder — injection SQL avec WCFM Delivery
Le plugin Mobile builder est vulnérable à une injection SQL jusqu’à la version 1.4.2 incluse. Un attaquant non authentifié peut exploiter le problème sur un site exécutant également l’extension WCFM Delivery; aucune version corrigée n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier la présence de WCFM Delivery et limiter l’exposition des installations concernées.
MB Custom Post Types & Custom Taxonomies : migration déclenchable par tout utilisateur connecté
MB Custom Post Types & Custom Taxonomies avant la version 2.12.2 ne vérifie ni les capacités de l’utilisateur ni un nonce sur ses actions de migration. Un utilisateur authentifié, y compris un abonné, peut déclencher une migration irréversible qui crée des contenus publiés et supprime la configuration de types de contenus et taxonomies; mettre à jour au moins en version 2.12.2.
Action recommandée : Mettre à jour au moins vers la version 2.12.2.
Salon Booking System : accès indu aux dossiers de réservation via l’API REST
Salon Booking System avant la version 10.31.3 ne restreint pas plusieurs routes REST API de réservation aux utilisateurs disposant des capacités adéquates. Un utilisateur authentifié de faible privilège peut lire les réservations de tous les clients, y compris leurs données personnelles; mettre à jour au moins en version 10.31.3.
Action recommandée : Mettre à jour au moins vers la version 10.31.3.
Salon Booking System : jetons d’API prédictibles
Salon Booking System avant la version 10.31.9 génère des jetons d’accès à l’API de réservation à partir d’une valeur codée en dur et de l’heure d’émission, au lieu d’une source aléatoire sûre. Un attaquant capable de contraindre le moment d’émission d’un jeton de personnel ou d’administrateur peut le calculer et accéder à l’API sous cette identité; mettre à jour au moins en version 10.31.9.
Action recommandée : Mettre à jour au moins vers la version 10.31.9.
Salon Booking System : création et falsification non autorisées de réservations
Salon Booking System avant la version 10.31.9 ne vérifie pas correctement l’autorisation lors de la création d’une réservation et accepte de l’appelant l’identifiant d’utilisateur ainsi que le statut de réservation. Un attaquant non authentifié peut créer des réservations au nom d’utilisateurs arbitraires, modifier leurs coordonnées enregistrées et marquer une réservation comme payée ou confirmée sans paiement; mettre à jour au moins en version 10.31.9.
Action recommandée : Mettre à jour au moins vers la version 10.31.9.
affiliate-toolkit : injection SQL accessible aux éditeurs
affiliate-toolkit avant la version 3.8.9 ne valide pas une valeur de tri fournie par l’utilisateur avant son utilisation dans une requête SQL. Des utilisateurs disposant du rôle éditeur ou supérieur peuvent exploiter cette injection SQL pour lire des informations arbitraires de la base; sur multisite, un éditeur de sous-site peut notamment accéder à la table globale des utilisateurs et aux hachages de mots de passe des super-administrateurs. Mettre à jour au moins en version 3.8.9.
Action recommandée : Mettre à jour au moins vers la version 3.8.9.
WPeMatico RSS Feed Fetcher : XSS stockée via le contenu des flux importés
WPeMatico RSS Feed Fetcher présente une faille XSS stockée dans toutes les versions jusqu’à 2.9 inclus : du contenu importé depuis un flux peut être enregistré sans filtrage suffisant. Un attaquant capable de publier ou compromettre un flux utilisé par une campagne peut ainsi injecter du script exécuté lors de l’affichage des publications importées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, éviter les flux non fiables et contrôler les contenus importés.
WebberZone Top 10 : XSS stockée via les paramètres du bloc
WebberZone Top 10 — Popular Posts est vulnérable à une XSS stockée dans toutes les versions jusqu’à 4.5.2 inclus, en raison d’un filtrage insuffisant de paramètres utilisés dans un attribut HTML. L’exploitation nécessite un compte contributeur ou supérieur et l’activation du chemin vulnérable via le paramètre is_widget transmis dans le JSON du bloc.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes contributeurs aux personnes de confiance.
Premium Packages : XSS stockée via le champ note
Premium Packages – Sell Digital Products Securely est vulnérable à une XSS stockée dans toutes les versions jusqu’à 7.2.8 inclus, via le paramètre note. Un utilisateur authentifié disposant au moins du rôle abonné peut faire enregistrer une séquence échappée qui est reconvertie en HTML lors de l’affichage dans l’administration.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; surveiller les notes soumises et l’activité des comptes abonnés.
GeoDirectory : XSS stockée via twitterusername
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory est vulnérable à une XSS stockée dans toutes les versions jusqu’à 2.8.192 inclus, via le paramètre twitterusername. Un utilisateur authentifié disposant au moins du rôle abonné peut soumettre une valeur malveillante, car la validation du champ côté navigateur n’est pas appliquée côté serveur.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; examiner les champs de profil ou de listing concernés.
Injection SQL dans WP Booking System – Booking Calendar
Le plugin WP Booking System – Booking Calendar est vulnérable à une injection SQL via le paramètre `data[orderby]`, exploitable par un utilisateur authentifié disposant au moins de droits d’administrateur. Les versions jusqu’à 2.1.0.1 inclus sont concernées; l’exploitation décrite nécessite un calendrier comptant plus de 200 réservations.
Action recommandée : Limiter l’accès aux comptes administrateurs et surveiller les calendriers ayant plus de 200 réservations; appliquer un correctif éditeur dès qu’il est disponible.
Exécution de shortcodes arbitraires dans User Registration & Membership
Le plugin User Registration & Membership permet l’exécution de shortcodes arbitraires par un utilisateur authentifié disposant au moins du rôle abonné. Les versions jusqu’à 5.2.8 inclus sont concernées, car une valeur n’est pas validée avant son passage à `do_shortcode`.
Action recommandée : Restreindre les comptes authentifiés et appliquer un correctif éditeur dès qu’il est disponible.
Contrôle d’accès insuffisant dans Wp Map Block
Le plugin Wp Map Block ne vérifie pas suffisamment les capacités de l’utilisateur ni la propriété des cartes lors de certaines opérations REST. Jusqu’à la version 3.0.0 incluse, un utilisateur authentifié ayant au moins le rôle de contributeur peut publier, dépublier ou supprimer des cartes.
Action recommandée : Limiter les rôles contributeur et appliquer un correctif éditeur dès qu’il est disponible.
Divulgation de médias privés par Document Gallery
Document Gallery ne réalise pas de contrôle de capacité ou de propriété lorsqu’il génère une galerie à la demande. Jusqu’à la version 5.1.1 incluse, un visiteur non authentifié peut énumérer et divulguer des informations sur des médias liés à du contenu non publié, privé ou placé dans la corbeille.
Action recommandée : Désactiver ou mettre à jour le plugin dès qu’un correctif est disponible et vérifier l’exposition des médias privés.
Divulgation de clé d’abonné dans Subscribe to Comments
Subscribe to Comments ne signe ni ne valide un cookie utilisé pour identifier un commentateur. Les versions antérieures à 2.3.3 sont concernées; un attaquant non authentifié peut obtenir la clé de gestion d’un abonné et modifier ses abonnements sans notification apparente.
Action recommandée : Mettre à jour vers la version 2.3.3 ou ultérieure.
Injection SQL dans WX Subscribe
WX Subscribe ne nettoie ni n’échappe un paramètre avant son utilisation dans une requête SQL. Les versions jusqu’à 1.2.1 inclus sont concernées; une injection SQL non authentifiée est possible lorsque la clé de paiement n’a pas été configurée.
Action recommandée : Configurer la clé de paiement ou désactiver le plugin jusqu’à disponibilité d’un correctif.
Secret de webhook exposé dans Coinsnap Bitcoin Crowdfunding
Coinsnap Bitcoin Crowdfunding expose le secret servant à authentifier les webhooks de paiement. Les versions jusqu’à 1.2.0 inclus sont concernées; un attaquant non authentifié peut falsifier des confirmations et enregistrer des dons arbitraires comme terminés.
Action recommandée : Désactiver le plugin ou le webhook concerné et renouveler le secret si possible, en attendant un correctif.
XSS stockée dans Social Share Buttons
Social Share Buttons jusqu’à la version 1.30 incluse présente une XSS stockée via le paramètre `form` contenant `share_url`. L’exploitation requiert un compte authentifié de niveau abonné ou supérieur et que le délai de sept jours du rappel de revue soit écoulé depuis la première visite de l’attaquant à l’administration.
Action recommandée : Mettre à jour vers une version corrigée dès disponibilité et limiter les comptes ayant accès à l’administration.
XSS stockée dans SureDash
SureDash jusqu’à la version 1.12.0 incluse présente une XSS stockée via le paramètre `display_name`. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter du contenu qui est interprété comme HTML lorsque le gestionnaire d’infobulle l’insère dans `innerHTML`.
Action recommandée : Mettre à jour vers une version corrigée dès disponibilité et limiter les comptes pouvant modifier leur profil ou publier des commentaires communautaires.
Exposition de données analytiques dans MAIO
Le plugin MAIO n’isole pas correctement l’accès à ses données analytiques et accepte comme clé API une valeur d’identification présente en clair dans son propre code public. Les versions antérieures à 7.3.22 permettent à un attaquant non authentifié de consulter les journaux d’analyses de crawl ; la source ne mentionne pas de contournement.
Action recommandée : Mettre MAIO à jour en version 7.3.22 ou ultérieure.
Contrôle d’accès manquant dans une action AJAX de Squeeze
Le plugin Squeeze ne vérifie pas les capacités de l’utilisateur sur une action AJAX, permettant à un utilisateur authentifié ayant un rôle aussi faible que Subscriber de modifier des pièces jointes sans en être propriétaire. Les versions antérieures à 1.8.1 sont concernées ; la source ne décrit pas de contournement.
Action recommandée : Mettre Squeeze à jour en version 1.8.1 ou ultérieure.
ProfilePress : exécution arbitraire de shortcodes via les commentaires
Le plugin WP User Avatar / ProfilePress pour WordPress permet l’exécution de shortcodes arbitraires dans l’onglet Commentaires du profil public. Un attaquant authentifié avec un rôle Subscriber ou supérieur peut déclencher l’exécution côté serveur en publiant un commentaire contenant un shortcode.
Name Directory : XSS persistante via l’attribut dir d’un shortcode
Le plugin Name Directory pour WordPress présente une faille XSS persistante via l’attribut dir d’un shortcode. Un attaquant authentifié avec le rôle Contributor ou supérieur peut injecter des scripts qui s’exécutent lorsqu’une page affectée est consultée.
XSS stockée dans Tutor LMS via display_name
Tutor LMS contient une XSS stockée via le paramètre `display_name`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber lorsque son compte possède un enregistrement de consentement légal. La faille concerne les versions jusqu’à 4.1.0 incluse ; aucun correctif ni contournement n’est indiqué dans la source.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et appliquer le correctif dès qu’il est disponible.
XSS stockée dans Events Made Easy
Events Made Easy présente une XSS stockée via `event[location_name]`, réalisable sans authentification lorsque la soumission d’événements par les invités et la création forcée de lieux sont toutes deux activées. Les versions jusqu’à 3.2.22 incluse sont concernées ; la source ne précise ni version corrigée ni contournement.
Action recommandée : Désactiver la soumission d’événements par les invités et la création forcée de lieux si ces fonctions ne sont pas nécessaires ; appliquer un correctif dès qu’il est disponible.
XSS stockée dans GeoDirectory via le contenu d’une annonce
GeoDirectory contient une XSS stockée via le paramètre `post_content`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber et propriétaire d’une annonce publiée. Les versions jusqu’à 2.8.191 incluse sont concernées ; la source ne donne ni version corrigée ni contournement.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et l’appliquer dès que possible.
Product Delivery Date for WooCommerce : divulgation de détails de commande
Product Delivery Date for WooCommerce avant la version 3.3.2 ne vérifie pas les capacités avant de divulguer des informations de commande via les actions AJAX de la vue calendrier. Des utilisateurs ayant un rôle aussi faible que contributeur peuvent consulter les commandes d’autres clients; mettre à jour au moins en version 3.3.2.
Action recommandée : Mettre à jour au moins vers la version 3.3.2.
WP Mail Logging : exposition de courriels journalisés via l’export de données personnelles
Le plugin WP Mail Logging pour WordPress jusqu’à la version 1.17.0 expose des lignes de courriels journalisés lorsque le flux d’export des données personnelles est déclenché avec une adresse contenant un caractère générique correspondant à celle d’autres utilisateurs. Un administrateur peut ainsi révéler des adresses de destinataires, sujets, corps de message et URL; mettre à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est publiée; limiter l’accès administrateur et surveiller les demandes d’export de données personnelles.
Smush : un administrateur de site peut modifier un paramètre réseau global
Smush avant la version 4.3.4 ne réserve pas aux administrateurs réseau la modification d’un paramètre d’accès à l’échelle du réseau. Dans une installation multisite, un administrateur d’un seul site peut ainsi changer ce paramètre pour tout le réseau; mettre à jour au moins en version 4.3.4.
Action recommandée : Mettre à jour au moins vers la version 4.3.4.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée n’a pas fait ressortir d’avis PrestaShop, de correctif de sécurité, d’exploitation ou de changement substantiel vérifié comme daté dans la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les résultats consultés concernant des avis du core, des alertes de modules ou un skimmer renvoient à des événements antérieurs à cette période; ils ne sont donc pas retenus comme nouveautés du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a pas établi de vulnérabilité nouvelle, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la fenêtre du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les deux candidats correspondent à des fiches CVE déjà publiées; leur mise à jour NVD signalée le 16 octobre ne constitue pas, d’après les éléments consultés, un événement de sécurité substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée sur CloudPanel n’a pas mis en évidence de vulnérabilité, d’avis ou de correctif de sécurité publiés dans la période demandée. Les résultats consultés concernaient des éléments hors période ou sans lien établi avec un événement de sécurité dans cette fenêtre; cela ne permet pas d’affirmer qu’il n’y en a eu aucun.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel attribuable à Uptime Kuma et daté de la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les éléments de sécurité visibles dans le dépôt consulté sont antérieurs à cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche web a relevé une nouvelle publication datée du 16 octobre concernant une injection SQL dans Wheels, susceptible d’affecter les applications utilisant MariaDB. Les autres candidats transmis concernent Wheels, mais leur publication initiale ou leur nature ne permet pas de les retenir comme nouvel événement MariaDB dans la période. Les candidats fournis décrivent sept vulnérabilités MariaDB publiées le 16 octobre 2026, dans la période demandée, avec des correctifs indiqués pour les branches concernées. L’évaluation repose sur les informations des fiches NVD fournies ; aucune recherche web n’a été effectuée.
Injection SQL dans certains chemins de requête de Wheels avec MariaDB
CVE-2026-111444 est une injection SQL dans Wheels lorsque des données de requête atteignent certains chemins utilisant des littéraux SQL non paramétrés sur MySQL/MariaDB avec l’échappement par antislash activé. Les chemins liés ne sont pas concernés; mettre à niveau Wheels vers 4.2.0 ou ultérieur.
Action recommandée : Mettre à niveau Wheels vers la version 4.2.0 ou ultérieure; éviter de transmettre des entrées non fiables aux chemins SQL concernés.
CVE-2026-85746 : écriture hors limites dans ST_AsText
ST_AsText peut écrire au-delà du tampon de sortie lors de la conversion de GeometryCollection profondément imbriquées. La faille est corrigée dans les versions 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 et 13.0.2 ; mettre à niveau vers la version corrigée de la branche utilisée.
Action recommandée : Mettre à niveau MariaDB vers le correctif correspondant à la branche déployée.
CVE-2026-85748 : utilisation après libération dans SYS_REFCURSOR
La réallocation du tableau de curseurs SYS_REFCURSOR peut laisser des références périmées dans les contextes de routines et provoquer une utilisation après libération. Les versions corrigées indiquées sont 12.3.3 et 13.0.2 ; mettre à niveau les installations concernées.
Action recommandée : Mettre à niveau vers MariaDB 12.3.3 ou 13.0.2 selon la branche utilisée.
CVE-2026-92262 : contournement de l’encodage des noms de tables avec #mysql50#
Le préfixe #mysql50# permet de contourner l’encodage normal des noms de tables utilisé pour les chemins du système de fichiers. La faille peut conduire à des plantages, à la corruption ou à l’exfiltration de données, voire à l’exécution de code ; mettre à niveau vers le correctif de la branche utilisée.
Action recommandée : Mettre à niveau MariaDB vers le correctif correspondant à la branche utilisée.
CVE-2026-86047 : injection SQL dans la sérialisation de sorties MariaDB
La sérialisation SQL par SHOW CREATE SERVER, SHOW CREATE USER et mariadb-dump ne protège pas systématiquement les identifiants et valeurs. Des sorties contenant des objets conçus à cet effet peuvent injecter des instructions SQL lorsqu’elles sont réappliquées ; installer la version corrigée de la branche utilisée.
Action recommandée : Mettre à niveau MariaDB vers le correctif correspondant à la branche utilisée et traiter avec prudence les sorties SQL générées avant leur réapplication.
CVE-2026-97380 : contrôle d’autorisation incorrect dans GRANT PROXY
Avec un mot de passe vide dans une clause IDENTIFIED, GRANT PROXY traite la clause comme si l’authentification n’était pas spécifiée et vérifie les mauvais privilèges du délégant. Un attaquant disposant de faibles privilèges et pouvant nommer un autre compte peut ainsi définir son mot de passe ; installer la version corrigée de la branche utilisée.
Action recommandée : Mettre à niveau MariaDB vers le correctif correspondant à la branche utilisée.
CVE-2026-85745 : lecture hors limites dans ST_Area
Le traitement d’un WKB MultiPolygon invalide par ST_Area peut lire au-delà du tampon alloué et divulguer de la mémoire. Les versions corrigées indiquées sont 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 et 13.0.2 ; mettre à niveau vers la version corrigée de la branche utilisée.
Action recommandée : Mettre à niveau MariaDB vers le correctif correspondant à la branche déployée.
CVE-2026-85985 : contrôles d’accès insuffisants dans les UDF de fichiers CONNECT
Les UDF d’accès aux fichiers du moteur CONNECT ne vérifient pas correctement le privilège FILE ni le paramètre secure_file_priv. Un attaquant disposant de faibles privilèges peut lire ou écrire des fichiers accessibles au compte du système d’exploitation ; appliquer la version corrigée de la branche utilisée.
Action recommandée : Mettre à niveau vers le correctif correspondant à la branche déployée et limiter les privilèges et accès fichiers du compte MariaDB.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée sur phpMyAdmin n’a fait ressortir aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel daté dans la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. La page officielle consultée répertorie les annonces de sécurité, mais aucun élément correspondant à cette période n’a été trouvé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou évolution de sécurité pgAdmin datée du 2026-10-16 n’a été identifiée dans les sources consultées. Les éléments de sécurité repérés concernent des dates antérieures à la période demandée; la page GitHub des avis du projet indique qu’aucun avis de sécurité n’y est publié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Les sources consultées ne montrent aucun avis ou événement de sécurité Virtualmin daté de la période demandée, du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les résultats pertinents visibles concernaient des éléments hors période; cela ne permet pas d’établir une absence générale de nouveautés sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté du 2026-10-16 dans les sources consultées. Les avis Webmin remontés par les résultats consultés sont antérieurs à la période demandée ; ils ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée sur Vue.js et l’avis Quasar lié à l’écosystème Vue.js n’a identifié aucun événement de sécurité admissible dans la période demandée. Le candidat CVE-2026-106108 concerne une mise à jour NVD du 16 octobre, mais l’avis GitHub correspondant est daté du 29 juillet 2026 : la mise à jour NVD seule ne constitue pas une nouveauté de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée a relevé des avis de sécurité Vite publiés le 2026-10-06, hors de la période demandée. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Vite n’a été vérifié pour la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Vérification incomplète
Les avis GitHub du projet Nuxt consultés font état de cinq avis publiés le 16 octobre 2026, concernant les server islands, les paramètres et règles de routage ainsi qu’un correctif antérieur sur les liens. Le candidat CVE-2026-102527 n’est pas retenu : sa publication indiquée est antérieure à la période, et les éléments consultés n’établissent pas que sa mise à jour NVD du 16 octobre corresponde à un changement substantiel.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Next.js
Recherche du sujet effectuée
La recherche a retrouvé un avis OpenNext Cloudflare sur un contournement du middleware via des chemins encodés, mais l’avis GitHub est daté du 2026-07-21. Pour le candidat fourni, la mise à jour NVD est datée du 2026-10-16, mais les éléments consultés ne montrent pas qu’elle corresponde à un nouvel événement de sécurité ou à un changement substantiel durant la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, ni changement substantiel concernant React n’a été identifié dans les sources consultées pour la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les avis React repérés dans le dépôt GitHub et les publications du projet sont antérieurs à cette période. Aucun candidat fourni ne concerne le projet React demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée a trouvé les avis Angular correspondant aux trois vulnérabilités, mais les avis GitHub consultés les situent en septembre 2026, avant la période demandée. Les candidats signalent une mise à jour NVD le 2026-10-16, mais les éléments consultés ne permettent pas d’établir qu’il s’agissait d’un changement substantiel plutôt que d’une modification administrative; aucun item n’est donc retenu pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée sur Astro n’a pas permis d’identifier, dans les sources consultées, de vulnérabilité, d’avis ou de correctif Astro daté de la période demandée. Les avis Astro repérés dans les résultats étaient datés hors période et ont donc été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche a repéré des avis Angular associés à trois candidats, mais les avis consultés étaient publiés en septembre 2026, hors de la période demandée. Pour les deux autres candidats, les éléments fournis signalent une mise à jour NVD le 16 octobre, sans établir qu’un changement substantiel de sécurité a eu lieu ce jour-là; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Élevée
Quatre nouvelles fiches de vulnérabilité liées à JavaScript ont été retenues pour la période : trois XSS et un défaut d’autorisation exposant des données depuis une variable JavaScript. Les autres candidats correspondent à des fiches publiées avant la période ; leur seule date de mise à jour NVD ne suffit pas à établir un changement substantiel pendant celle-ci. Les candidats sont des mises à jour de fiches NVD datées de la période, mais les éléments fournis ne montrent ni changement substantiel de leur contenu ni nouvel avis, correctif ou événement de sécurité pendant cette période. Ils ne sont donc pas retenus comme nouveautés du bulletin. Aucun événement de sécurité admissible n’est établi pour JavaScript dans ce lot : les candidats sont des fiches NVD publiées avant la période, et les éléments fournis ne démontrent pas que leurs modifications du 16 octobre constituent un changement de sécurité substantiel plutôt qu’une mise à jour administrative. Deux vulnérabilités publiées dans la période concernent des extensions WordPress : une XSS stockée dans Flying Scripts et un contournement d’autorisation dans Klarna for WooCommerce. Les autres candidats ont une date de publication antérieure à la période ; les éléments fournis ne permettent pas d’établir qu’une modification NVD durant la période constitue un changement substantiel. Une vulnérabilité XSS de tarteaucitron.js, corrigée en version 1.37.0, a été publiée et substantiellement documentée par la NVD dans la période examinée. L’avis GitHub concernant gomarkdown/markdown porte sur un composant Go et ne relève pas du sujet JavaScript.
Klarna for WooCommerce : accès non autorisé aux données de commandes
CVE-2026-110590 concerne un contournement d’autorisation dans Klarna for WooCommerce jusqu’à la version 4.13.3 incluse. Un attaquant non authentifié peut accéder aux clés de commande et aux données personnelles de facturation et de livraison exposées dans une variable JavaScript de la page de paiement ; appliquez le correctif disponible et évaluez l’exposition des données de commandes.
Action recommandée : Mettre à jour le plug-in dès qu’un correctif est disponible et examiner les journaux d’accès aux pages de paiement.
Flying Scripts : XSS stockée dans le plug-in WordPress
CVE-2026-109990 affecte le plug-in WordPress Flying Scripts jusqu’à la version 1.2.4 : une entrée « comment » insuffisamment protégée peut conduire à une XSS stockée, déclenchée lorsqu’un visiteur consulte une page modifiée. Mettez à jour le plug-in si un correctif est disponible et vérifiez les pages concernées ainsi que les scripts injectés.
Action recommandée : Mettre à jour le plug-in si une version corrigée est disponible et examiner les pages susceptibles d’avoir reçu du contenu malveillant.
tarteaucitron.js : XSS par URL JavaScript dans un attribut data-
CVE-2026-111713 est une XSS dans tarteaucitron.js avant la version 1.37.0 : la résolution d’attributs préfixés par « data- » n’est pas cohérente avec la vérification qui limite les URL à HTTPS. Un auteur capable d’ajouter du balisage peut ainsi provoquer l’exécution d’une URL JavaScript dans l’origine du site ; mettez à jour vers la version corrigée.
Action recommandée : Mettre à jour tarteaucitron.js vers la version 1.37.0 ou ultérieure.
Aureus ERP : XSS stockée dans les noms de jours fériés
CVE-2026-111284 concerne une XSS stockée dans Aureus ERP jusqu’à la version 1.6.0 : un utilisateur autorisé à créer des jours fériés peut injecter du JavaScript dans leur nom, exécuté à l’ouverture de la fenêtre correspondante par un gestionnaire ou administrateur RH. Vérifiez les noms enregistrés et mettez à jour le produit dès qu’un correctif est disponible.
Action recommandée : Contrôler les noms de jours fériés enregistrés et appliquer un correctif éditeur dès sa disponibilité.
HTML5
Recherche du sujet effectuée
La recherche web a été réalisée pour HTML5 sur la période demandée. Aucun avis ou correctif de sécurité lié à HTML5 et daté de cette période n’a pu être vérifié dans les résultats consultés; un avis Mozilla daté du 16 octobre concernait des vulnérabilités de produits Mozilla, sans preuve suffisante d’un lien avec le sujet HTML5.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée au sujet CSS3 n’a pas fait apparaître, dans les résultats consultés, de nouvel avis, correctif ou événement de sécurité attribuable à CSS3 et daté de la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les résultats trouvés renvoient à des avis hors période ou à des homonymes sans lien établi avec le sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée n’a relevé, dans les résultats consultés, aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Tailwind CSS daté du 2026-10-16 dans la période demandée. Les résultats pertinents repérés décrivent des sujets antérieurs à cette période ou des homonymes/paquets distincts; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée à Bootstrap (le framework front-end twbs/bootstrap) n’a trouvé aucun avis de sécurité ni changement de sécurité daté de la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00 dans les sources consultées. Les candidats fournis concernent d’autres produits ou emploient « bootstrap » dans un sens différent.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a identifié aucun avis, correctif de sécurité, cas d’exploitation ni changement substantiel vérifié comme étant daté dans la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les avis webpack visibles dans les résultats consultés portent des dates antérieures à cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Aucun avis, correctif ou événement de sécurité concernant esbuild n’a été vérifié comme nouveau et daté de la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. Les avis esbuild repérés datent du 2026-06-11 ou du 2025-02-08. Le candidat fourni concerne Hugo et sa date de publication indiquée est antérieure à la période; la mise à jour NVD du 16 octobre ne suffit pas à établir un événement substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée sur Parcel n’a fait apparaître, dans les résultats consultés, aucun avis, correctif ou événement de sécurité répondant aux critères de la période du 2026-10-16T00:00:00+02:00 au 2026-10-17T00:00:00+02:00. L’avis GitHub retrouvé pour Parcel concerne CVE-2025-56648 et est antérieur à cette période; il n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux publications de vulnérabilités concernant des composants de l’écosystème Node.js ont été retenues pour la période : une vulnérabilité de déni de service dans Countly Server et une vulnérabilité de divulgation d’informations dans MSAL pour Node.js. Aucune exploitation active n’est confirmée par les éléments vérifiés. Aucun candidat ne concerne une vulnérabilité, un correctif ou un avis de sécurité du produit Node.js lui-même. Les candidats portent sur des projets et paquets tiers ; la mention d’une exécution dans un processus Node.js ne suffit pas à les rattacher au sujet demandé. Aucun événement admissible daté de la période n’est établi par les éléments fournis : les candidats indiquent des mises à jour de fiches NVD, mais ne documentent pas de changement substantiel survenu pendant cette période. Aucune recherche web n’a été effectuée, conformément à la consigne. Aucune nouveauté de sécurité Node.js datée de la période n’est vérifiable à partir de ce lot. Les candidats sont des fiches NVD publiées avant la période, avec une date de mise à jour dans la période, mais les éléments fournis ne démontrent pas qu’un changement substantiel — plutôt qu’une modification administrative — y a été apporté. Deux informations pertinentes pour Node.js ont été vérifiées dans la période : une mise à jour substantielle concernant CVE-2026-87029 dans undici et un avis publié concernant CVE-2026-42270 dans countly-server. Les deux autres candidats sont des avis de paquets npm publiés le 14 octobre; leur mise à jour du 16 octobre est administrative et ne constitue pas un événement nouveau ou substantiel daté de la période.
Countly Server — arrêt du service par requête non authentifiée
Countly Server présente une vulnérabilité de déni de service : une requête non authentifiée visant certaines routes d’images ou de captures peut provoquer une erreur de lecture de fichier non interceptée et arrêter le processus Node.js. Les versions corrigées indiquées sont 24.05.50 et 25.03.44 ; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau Countly Server vers 24.05.50 ou 25.03.44, selon la branche utilisée.
undici : plantage du processus Node.js lors du traitement de réponses décompressées
Une erreur levée par un gestionnaire de réponse depuis un rappel asynchrone du flux zlib peut échapper au traitement d’erreurs d’undici et faire terminer le processus Node.js. Un serveur HTTP malveillant peut déclencher le plantage avec une réponse compressée dont le contenu décompressé dépasse la limite configurée.
Action recommandée : Mettre à niveau undici vers la version 7.30.1 ou 8.12.2, ou une version ultérieure.
MSAL pour Node.js — divulgation d’informations liée à la validation d’origine
Une erreur de validation de l’origine dans Microsoft Authentication Library (MSAL) pour Node.js peut permettre à un attaquant non autorisé de divulguer des informations via le réseau. Les informations disponibles dans la fiche fournie ne précisent ni les versions touchées ni la version corrigée ; consulter l’avis éditeur avant de déterminer la mise à niveau à appliquer.
Action recommandée : Vérifier l’avis de sécurité de Microsoft et appliquer la version corrigée dès qu’elle est identifiée.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
Trois nouvelles fiches NVD pertinentes pour l’écosystème Python ont été repérées dans la période : SGLang (injection de code), Tandoor Recipes (déni de service par expression régulière) et Claude Agent SDK (injection d’option du CLI). Les modifications NVD de fiches publiées antérieurement figurant parmi les candidats n’ont pas été retenues : les éléments disponibles établissent une mise à jour de fiche, mais pas un changement substantiel daté de la période. Aucun événement Python répondant aux critères de la période n’est établi par les éléments fournis : les candidats sont des fiches NVD publiées avant la période, et leur seule date dans la période est une date de mise à jour sans preuve d’un changement substantiel à cette date. Les candidats fournis signalent des modifications de fiches NVD pendant la période, mais ne documentent pas la nature des changements. En l’absence de preuve qu’il s’agissait d’une évolution substantielle plutôt que d’une modification administrative, aucun événement n’est retenu. Trois avis ou mises à jour substantiels concernant l’écosystème Python sont datés du 2026-10-16 : une injection d’arguments dans Claude Agent SDK, une désérialisation non sûre dans LMCache et une mise à jour d’un avis sur le paquet PyPI malveillant pyyi.
Paquet PyPI pyyi : mise à jour d’un avis de paquet malveillant
Une mise à jour de l’avis GitHub signale le paquet PyPI malveillant `pyyi`, qui imite un interpréteur Python et peut récupérer puis exécuter du code distant. Les versions 2.4, 2.4.1 et 2.4.2 sont indiquées comme concernées ; l’avis ne fournit pas de version corrigée.
Action recommandée : Éviter d’installer les versions 2.4, 2.4.1 et 2.4.2 ; si elles sont présentes, les supprimer et examiner les systèmes concernés pour détecter une exécution de code ou une communication réseau non autorisée.
SGLang : injection de code via une expression de filtre
Dans SGLang 0.5.10 à 0.5.22, une expression de filtre spécialement construite peut échapper à l’évaluation prévue et exécuter du code Python dans le processus scheduler. Le problème concerne l’endpoint `/dumper/configure` lorsque `DUMPER_SERVER_PORT` est activé; la version corrigée n’a pas été établie dans les éléments consultés.
Action recommandée : Vérifier l’exposition de `/dumper/configure` et appliquer le correctif éditeur lorsqu’il est disponible; la version corrigée n’est pas confirmée ici.
Claude Agent SDK : injection d’option du CLI et exécution de commandes
Dans Claude Agent SDK avant 0.2.121, une valeur non fiable fournie comme identifiant de session à reprendre peut être transmise au CLI comme argument distinct et interprétée comme une option. La fiche candidate décrit une injection de configuration MCP pouvant provoquer l’exécution de commandes au démarrage du CLI, hors des contrôles de permissions du SDK.
Action recommandée : Mettre à niveau vers la version 0.2.121 ou ultérieure et ne pas transmettre d’identifiants de session non fiables sans validation.
LMCache : exécution de code à distance par désérialisation non sûre en mode multiprocessus
LMCache est vulnérable à une exécution de code à distance non authentifiée lorsque son transport ZeroMQ multiprocessus est accessible à l’attaquant. L’avis indique que les versions de 0.3.9 à 0.5.5 sont concernées et que la correction est disponible en 0.5.6.
Action recommandée : Mettre à jour vers LMCache 0.5.6 ou ultérieur et restreindre l’accès réseau au transport ZeroMQ, notamment en évitant une écoute sur une adresse routable sans protection.
Tandoor Recipes : déni de service par expression régulière coûteuse
Dans Tandoor Recipes avant 2.6.10, un utilisateur authentifié peut enregistrer dans une automatisation une expression régulière provoquant un retour arrière catastrophique. Lorsqu’un utilisateur du même espace importe une recette correspondante, le traitement peut monopoliser un worker Gunicorn et rendre le service indisponible.
Action recommandée : Mettre à niveau vers Tandoor Recipes 2.6.10 ou ultérieur.
Java
Vérification incomplète
Niveau relevé : Élevée
Cinq nouvelles fiches NVD relatives à des logiciels Java ont une date de publication qui tombe dans la période définie, après conversion des horodatages UTC en heure +02:00. Les mises à jour NVD de fiches publiées avant la période ne sont pas retenues, faute d’élément établissant un changement substantiel daté dans la fenêtre; l’avis Oracle d’octobre 2026 est daté après la borne de fin. Les candidats examinés comprennent des mises à jour substantielles de fiches NVD, de nouvelles vulnérabilités publiées dans la période et un avis GitHub. Les deux notices JavaCV concernent la même CVE et sont regroupées en un item; les autres éléments retenus sont individualisés par CVE.
bitcoinj : SSRF par manipulation du type PKI d’une demande de paiement
bitcoinj présente une vulnérabilité SSRF dans le gestionnaire de demandes de paiement : une valeur manipulée de pki_type peut conduire l’application à ouvrir une connexion vers une URL contrôlée. La fiche indique que l’exploitation est publiquement divulguée; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : En attendant une version corrigée, limiter l’utilisation de bitcoinj avec des demandes de paiement non fiables et contrôler les destinations réseau accessibles par l’application.
JavaCV : boucle infinie et déni de service dans IPCameraFrameGrabber
JavaCV peut entrer dans une boucle infinie consommant le processeur lorsqu’il traite un flux MJPEG dont l’en-tête Content-Length est excessif, bloquant le thread de capture d’images. La correction est disponible dans JavaCV 1.5.14; mettez à niveau et sécurisez les flux caméra, en particulier ceux transportés en HTTP non chiffré.
Action recommandée : Mettre à niveau vers JavaCV 1.5.14 ou une version ultérieure et, lorsque possible, utiliser des flux caméra chiffrés et de confiance.
Junrar : déni de service par boucle infinie lors du traitement d’une archive RAR4
Junrar peut rester bloqué dans une boucle consommant du processeur lors du traitement d’une archive RAR4 spécialement conçue, ce qui peut épuiser les ressources des processus d’extraction. La correction est disponible dans Junrar 7.6.1; mettez à niveau et évitez de traiter des archives non fiables avec des versions vulnérables.
Action recommandée : Mettre à niveau Junrar vers la version 7.6.1 ou ultérieure et limiter le traitement d’archives RAR non fiables aux versions corrigées.
Xiaozhi-esp32-server-java : contournement d’authentification pour les jetons d’appareil
Une requête OTA peut permettre à un attaquant non authentifié d’obtenir un jeton WebSocket valide en fournissant une adresse MAC arbitraire. L’accès au canal d’un appareil peut exposer ou permettre de modifier des données de conversation et des métadonnées, ainsi que consommer des identifiants de services LLM/STT/TTS.
Action recommandée : Mettre à niveau vers une version corrigée dès qu’elle est disponible; restreindre l’accès à l’interface OTA et surveiller les demandes de jetons inhabituelles.
AsyncHttpClient : exposition d’informations et écrasement de fichier via l’état des téléchargements reprenables
La bibliothèque AsyncHttpClient peut exposer des URL de téléchargement et permettre à un utilisateur local d’écraser un fichier accessible au processus client lorsque le processeur de reprise utilise son stockage partagé prévisible. Le problème concerne les versions 2.0.0 à 2.16.0 et les versions antérieures à 3.0.12 dans la branche 3.x; mettez à niveau vers 2.16.1 ou 3.0.12.
Action recommandée : Mettre à niveau vers AsyncHttpClient 2.16.1 ou 3.0.12. Vérifier l’usage de ResumableAsyncHandler et protéger le répertoire temporaire partagé contre l’accès ou la création de liens par des utilisateurs locaux.
Scoold : partage de données et actions authentifiées possibles via une configuration CORS permissive
Scoold autorise une origine web arbitraire à effectuer des requêtes API avec les identifiants de session d’un utilisateur connecté, en raison de la combinaison d’origines autorisées génériques et des cookies d’identification. Le défaut, corrigé dans la version 1.69.1, peut exposer des données et permettre des opérations au nom de l’utilisateur; mettez à niveau sans délai.
Action recommandée : Mettre à niveau vers Scoold 1.69.1 ou une version ultérieure.
crmeb_java : accès non autorisé aux commandes d’autres membres
Une faille de contrôle d’accès permet à un membre authentifié de consulter des commandes appartenant à d’autres utilisateurs en fournissant leur numéro. Les données exposées peuvent inclure le suivi, les traces logistiques, les montants payés et les articles commandés.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, vérifier côté serveur que chaque commande consultée appartient à l’utilisateur authentifié.
Apache Kylin : désérialisation Java non sûre via un service de cache externe
Apache Kylin est affecté par une désérialisation Java non sûre pouvant survenir à partir d’un service de cache externe défaillant. Les versions de 4 jusqu’à 5.0.4 sont concernées; passez à la version 5.0.5, indiquée comme correctif.
Action recommandée : Mettre à niveau Apache Kylin vers la version 5.0.5.
TYPO3
Recherche du sujet effectuée
La recherche a identifié l’avis TYPO3-CORE-SA-2026-024 / CVE-2026-109162, associé à TYPO3 14.3.9, mais l’annonce officielle de la version date du 2026-10-13, hors de la période demandée. Les éléments consultés ne démontrent pas qu’une modification substantielle de cette vulnérabilité ait eu lieu le 2026-10-16.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée a consulté l’index des avis de sécurité Drupal. L’avis Drupal core SA-CORE-2026-014 qui y apparaît est daté du 2026-10-14, avant la période demandée; aucun élément consulté ne permet d’établir une nouveauté Drupal datée entre le 2026-10-16T00:00:00+02:00 et le 2026-10-17T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Vérification incomplète
La recherche a repéré CVE-2026-102779, concernant l’extension TF Content pour Joomla, mais sa publication indiquée est antérieure à la période demandée. Le candidat signale une mise à jour NVD le 2026-10-16, mais les éléments consultés ne permettent pas d’en vérifier la nature ni d’établir qu’il s’agit d’un changement substantiel durant la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Vérification incomplète
Une révision du correctif isolé Adobe d’octobre pour Magento Open Source et Adobe Commerce 2.4.8-p5 est documentée au 16 octobre 2026. Le bulletin APSB26-153 qui a introduit les correctifs de sécurité a été publié le 13 octobre; aucune nouvelle CVE datée de la période n’a été retenue.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Adobe Commerce
Vérification incomplète
La recherche a relevé une mise à jour Adobe datée du 16 octobre 2026 concernant la révision du correctif isolé d’octobre pour Adobe Commerce et Magento Open Source 2.4.8-p5. Aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
fooocus
Recherche du sujet effectuée
La recherche web dédiée à Fooocus n’a pas permis de vérifier de vulnérabilité, d’avis de sécurité, de correctif ou d’événement d’exploitation daté de la période demandée (2026-10-16T00:00:00+02:00 inclus au 2026-10-17T00:00:00+02:00 exclu). Les résultats consultés concernant CVE-2025-31114 sont datés d’autres périodes et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
2 alerte(s)tarteaucitron.js : XSS par URL JavaScript dans un attribut data-
CVE-2026-111713 est une XSS dans tarteaucitron.js avant la version 1.37.0 : la résolution d’attributs préfixés par « data- » n’est pas cohérente avec la vérification qui limite les URL à HTTPS. Un auteur capable d’ajouter du balisage peut…
Source : NVD — CVE-2026-111713
Aureus ERP : XSS stockée dans les noms de jours fériés
CVE-2026-111284 concerne une XSS stockée dans Aureus ERP jusqu’à la version 1.6.0 : un utilisateur autorisé à créer des jours fériés peut injecter du JavaScript dans leur nom, exécuté à l’ouverture de la fenêtre correspondante par un gesti…
Source : NVD — CVE-2026-111284
Backend & données
59 alerte(s)Vitess : XSS dans le point de terminaison de débogage /twopcz
Une vulnérabilité XSS dans l’interface de débogage HTTP de Vitess peut amener un opérateur à exécuter du script dans son navigateur après ouverture d’une requête spécialement conçue. Les versions antérieures à 23.0.5 et 24.0.2 sont concern…
Source : CVE-2026-104252 — NVD
Chaskiq : SSRF non authentifiée via une mutation GraphQL
Chaskiq jusqu’à la version 2.0.3 est vulnérable à une SSRF via la mutation GraphQL createUrlUpload. Un attaquant non authentifié peut faire récupérer des URL arbitraires, notamment des ressources internes, puis consulter le contenu récupér…
Source : NVD — CVE-2026-111663
Paquet PyPI pyyi : mise à jour d’un avis de paquet malveillant
Une mise à jour de l’avis GitHub signale le paquet PyPI malveillant `pyyi`, qui imite un interpréteur Python et peut récupérer puis exécuter du code distant. Les versions 2.4, 2.4.1 et 2.4.2 sont indiquées comme concernées ; l’avis ne four…
Source : GitHub Advisory GHSA-4vr9-vg98-9xpf
SGLang : injection de code via une expression de filtre
Dans SGLang 0.5.10 à 0.5.22, une expression de filtre spécialement construite peut échapper à l’évaluation prévue et exécuter du code Python dans le processus scheduler. Le problème concerne l’endpoint `/dumper/configure` lorsque `DUMPER_S…
Source : NVD — CVE-2026-111391
Wheels : injection SQL dans des chemins de requête, notamment sous MySQL
Une injection SQL affecte certains chemins de recherche dynamique et de construction de requêtes de Wheels lorsque des valeurs fournies par l’appelant sont réinterprétées comme du SQL. Les versions 1.1.8 à 4.1.1 sont concernées ; la fiche…
Source : CVE-2026-110911 — NVD
Injection SQL dans certains chemins de requête de Wheels avec MariaDB
CVE-2026-111444 est une injection SQL dans Wheels lorsque des données de requête atteignent certains chemins utilisant des littéraux SQL non paramétrés sur MySQL/MariaDB avec l’échappement par antislash activé. Les chemins liés ne sont pas…
Source : NVD — CVE-2026-111444
CVE-2026-85746 : écriture hors limites dans ST_AsText
ST_AsText peut écrire au-delà du tampon de sortie lors de la conversion de GeometryCollection profondément imbriquées. La faille est corrigée dans les versions 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 et 13.0.2 ; mettre à niveau vers la…
Source : NVD — CVE-2026-85746
CVE-2026-85748 : utilisation après libération dans SYS_REFCURSOR
La réallocation du tableau de curseurs SYS_REFCURSOR peut laisser des références périmées dans les contextes de routines et provoquer une utilisation après libération. Les versions corrigées indiquées sont 12.3.3 et 13.0.2 ; mettre à nivea…
Source : NVD — CVE-2026-85748
CVE-2026-92262 : contournement de l’encodage des noms de tables avec #mysql50#
Le préfixe #mysql50# permet de contourner l’encodage normal des noms de tables utilisé pour les chemins du système de fichiers. La faille peut conduire à des plantages, à la corruption ou à l’exfiltration de données, voire à l’exécution de…
Source : NVD — CVE-2026-92262
Claude Agent SDK : injection d’option du CLI et exécution de commandes
Dans Claude Agent SDK avant 0.2.121, une valeur non fiable fournie comme identifiant de session à reprendre peut être transmise au CLI comme argument distinct et interprétée comme une option. La fiche candidate décrit une injection de conf…
Source : GitHub Advisory GHSA-h4mw-j7qp-8mwm
LMCache : exécution de code à distance par désérialisation non sûre en mode multiprocessus
LMCache est vulnérable à une exécution de code à distance non authentifiée lorsque son transport ZeroMQ multiprocessus est accessible à l’attaquant. L’avis indique que les versions de 0.3.9 à 0.5.5 sont concernées et que la correction est…
Source : GitHub Advisory GHSA-w5f2-9q9c-ff4h
bitcoinj : SSRF par manipulation du type PKI d’une demande de paiement
bitcoinj présente une vulnérabilité SSRF dans le gestionnaire de demandes de paiement : une valeur manipulée de pki_type peut conduire l’application à ouvrir une connexion vers une URL contrôlée. La fiche indique que l’exploitation est pub…
Source : NVD — CVE-2026-111210
EnergizeLab Eilik : modification non autorisée de l’identifiant d’un compte
Un utilisateur enregistré peut modifier l’identifiant utilisateur fourni dans une requête de mise à jour et prendre le contrôle d’un autre compte. La fiche CVE indique que la version 1.8.2 du service d’authentification Eilik est affectée;…
Source : CVE-2026-105040 — NVD
Eclipse Vert.x : épuisement mémoire dans le décodeur du client MySQL
Le client MySQL de Vert.x peut allouer sans limite de la mémoire directe lorsqu’un serveur MySQL malveillant ou compromis lui envoie une suite de paquets maximaux sans terminer le message. Cela peut provoquer un épuisement mémoire et arrêt…
Source : CVE-2026-103224 — NVD
DoubleScale : téléversement arbitraire de fichiers
Le plugin DoubleScale pour WordPress présente une faille de téléversement arbitraire de fichiers accessible aux utilisateurs authentifiés avec un rôle Subscriber ou supérieur. Le risque d’exécution de code à distance dépend de l’activation…
Source : NVD — CVE-2026-111311
gomarkdown/markdown : panic sur les URL très courtes dans IsSafeURL
La fonction `IsSafeURL` de gomarkdown/markdown peut provoquer un panic lorsqu’elle traite une URL de moins de trois octets; avec `html.Safelink`, une destination vide ou très courte peut ainsi entraîner un déni de service. Les versions ant…
Source : GHSA-cv23-7vc5-jfh7 — gomarkdown/markdown IsSafeURL panics on short URLs
kin-openapi : panic de ValidateResponse sur certains en-têtes de réponse
`ValidateResponse` de kin-openapi peut provoquer un panic lorsqu’une spécification déclare un en-tête de réponse avec `content` plutôt qu’un `schema`, alors même que la validation de la spécification l’accepte. Les versions jusqu’à 0.145.0…
Source : GHSA-74vm-87hj-r66f — kin-openapi openapi3filter nil-pointer panic in ValidateResponse
Arcane : prise de contrôle d’un compte administrateur via users:update
Dans Arcane, un utilisateur doté de la permission déléguée `users:update` peut réinitialiser le mot de passe d’un administrateur global et prendre le contrôle de son compte. Les versions antérieures à 2.6.0 sont concernées; la correction e…
Source : GHSA-pw5q-rjx4-7f7p — Arcane: Delegated users:update permission allows admin account takeover
ZoneMinder : injection de commandes via le champ Device
ZoneMinder permet à un utilisateur authentifié ayant les droits de créer ou modifier un moniteur de faire exécuter des commandes par le serveur en injectant des métacaractères shell dans le chemin du périphérique d’un moniteur local. Mette…
Source : NVD — CVE-2026-30971
CVE-2026-86047 : injection SQL dans la sérialisation de sorties MariaDB
La sérialisation SQL par SHOW CREATE SERVER, SHOW CREATE USER et mariadb-dump ne protège pas systématiquement les identifiants et valeurs. Des sorties contenant des objets conçus à cet effet peuvent injecter des instructions SQL lorsqu’ell…
Source : NVD — CVE-2026-86047
CVE-2026-97380 : contrôle d’autorisation incorrect dans GRANT PROXY
Avec un mot de passe vide dans une clause IDENTIFIED, GRANT PROXY traite la clause comme si l’authentification n’était pas spécifiée et vérifie les mauvais privilèges du délégant. Un attaquant disposant de faibles privilèges et pouvant nom…
Source : NVD — CVE-2026-97380
Countly Server — arrêt du service par requête non authentifiée
Countly Server présente une vulnérabilité de déni de service : une requête non authentifiée visant certaines routes d’images ou de captures peut provoquer une erreur de lecture de fichier non interceptée et arrêter le processus Node.js. Le…
Source : NVD — CVE-2026-42270
JavaCV : boucle infinie et déni de service dans IPCameraFrameGrabber
JavaCV peut entrer dans une boucle infinie consommant le processeur lorsqu’il traite un flux MJPEG dont l’en-tête Content-Length est excessif, bloquant le thread de capture d’images. La correction est disponible dans JavaCV 1.5.14; mettez…
Junrar : déni de service par boucle infinie lors du traitement d’une archive RAR4
Junrar peut rester bloqué dans une boucle consommant du processeur lors du traitement d’une archive RAR4 spécialement conçue, ce qui peut épuiser les ressources des processus d’extraction. La correction est disponible dans Junrar 7.6.1; me…
Source : NVD — CVE-2026-97370
Arcane : contournement du contrôle administrateur sur les routes pprof
Dans Arcane 2.10.2, un jeton d’accès d’environnement valide peut contourner le contrôle réservé aux administrateurs sur les routes `/api/debug/pprof/*`. Les versions antérieures à 2.11.0 sont concernées; la mise à jour vers 2.11.0 corrige…
Exposition d’identifiants MySQL dans HUSKY Products Filter
HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données MySQL configurés pour son extension Statistics. L’exploitation nécessite que Statistics soit activée, qu…
Source : NVD — CVE-2026-107646
CVE-2026-62362 — Injection SQL dans PeerBanHelper, y compris avec le mapper PostgreSQL
Une injection SQL dans l’endpoint `/api/statistic/analysis/field` de PeerBanHelper permet à un utilisateur authentifié d’interroger les données de la base, y compris lorsque PostgreSQL est utilisé. Les versions de 5.0.0 à 9.3.14 sont conce…
Source : NVD — CVE-2026-62362
Craftplan : création non autorisée de clients via GraphQL
Craftplan jusqu’à la version 0.7.5 ne vérifie pas correctement l’autorisation de créer des clients dans la ressource CRM Customer. Un attaquant non authentifié peut ajouter des fiches client via JSON:API ou la mutation GraphQL create_custo…
Source : NVD — CVE-2026-111349
CVE-2026-85745 : lecture hors limites dans ST_Area
Le traitement d’un WKB MultiPolygon invalide par ST_Area peut lire au-delà du tampon alloué et divulguer de la mémoire. Les versions corrigées indiquées sont 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 et 13.0.2 ; mettre à niveau vers la ve…
Source : NVD — CVE-2026-85745
CVE-2026-85985 : contrôles d’accès insuffisants dans les UDF de fichiers CONNECT
Les UDF d’accès aux fichiers du moteur CONNECT ne vérifient pas correctement le privilège FILE ni le paramètre secure_file_priv. Un attaquant disposant de faibles privilèges peut lire ou écrire des fichiers accessibles au compte du système…
Source : NVD — CVE-2026-85985
undici : plantage du processus Node.js lors du traitement de réponses décompressées
Une erreur levée par un gestionnaire de réponse depuis un rappel asynchrone du flux zlib peut échapper au traitement d’erreurs d’undici et faire terminer le processus Node.js. Un serveur HTTP malveillant peut déclencher le plantage avec un…
Source : NVD — CVE-2026-87029
MSAL pour Node.js — divulgation d’informations liée à la validation d’origine
Une erreur de validation de l’origine dans Microsoft Authentication Library (MSAL) pour Node.js peut permettre à un attaquant non autorisé de divulguer des informations via le réseau. Les informations disponibles dans la fiche fournie ne p…
Source : NVD — CVE-2026-109461
Tandoor Recipes : déni de service par expression régulière coûteuse
Dans Tandoor Recipes avant 2.6.10, un utilisateur authentifié peut enregistrer dans une automatisation une expression régulière provoquant un retour arrière catastrophique. Lorsqu’un utilisateur du même espace importe une recette correspon…
Source : NVD — CVE-2026-59966
Xiaozhi-esp32-server-java : contournement d’authentification pour les jetons d’appareil
Une requête OTA peut permettre à un attaquant non authentifié d’obtenir un jeton WebSocket valide en fournissant une adresse MAC arbitraire. L’accès au canal d’un appareil peut exposer ou permettre de modifier des données de conversation e…
Source : NVD — CVE-2026-111623
AsyncHttpClient : exposition d’informations et écrasement de fichier via l’état des téléchargements reprenables
La bibliothèque AsyncHttpClient peut exposer des URL de téléchargement et permettre à un utilisateur local d’écraser un fichier accessible au processus client lorsque le processeur de reprise utilise son stockage partagé prévisible. Le pro…
Source : NVD — CVE-2026-102740
Scoold : partage de données et actions authentifiées possibles via une configuration CORS permissive
Scoold autorise une origine web arbitraire à effectuer des requêtes API avec les identifiants de session d’un utilisateur connecté, en raison de la combinaison d’origines autorisées génériques et des cookies d’identification. Le défaut, co…
Source : NVD — CVE-2026-55842
CoreDNS : panic provoqué par un transfert AXFR k8s_external avec un lot vide
Une requête AXFR visant une zone CoreDNS configurée avec `k8s_external` peut provoquer un panic si un service headless Kubernetes possède un endpoint sans port déclaré. Le défaut peut perturber les requêtes DNS et amplifier les journaux ;…
CVE-2026-111628 — injection d’objets PHP dans 10up Distributor
10up Distributor, avant la version 2.3.2, présente une injection d’objets PHP déclenchable par des utilisateurs ayant le rôle Contributeur. L’impact dépend des classes gadget disponibles dans l’environnement; la fiche NVD attribue à cette…
Source : NVD — CVE-2026-111628
crmeb_java : accès non autorisé aux commandes d’autres membres
Une faille de contrôle d’accès permet à un membre authentifié de consulter des commandes appartenant à d’autres utilisateurs en fournissant leur numéro. Les données exposées peuvent inclure le suivi, les traces logistiques, les montants pa…
Source : NVD — CVE-2026-111354
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-42356
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-42528
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-46729
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-47360
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-48005
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56153
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56154
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56449
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-57941
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-58415
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-59797
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63045
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63292
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63686
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-63718
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-73636
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-73637
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-79768
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-93546
Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre à niveau le paquet apache2 vers la version corrigée indiquée.
Source : Debian Security Advisory DSA-6569-1
Apache Kylin : désérialisation Java non sûre via un service de cache externe
Apache Kylin est affecté par une désérialisation Java non sûre pouvant survenir à partir d’un service de cache externe défaillant. Les versions de 4 jusqu’à 5.0.4 sont concernées; passez à la version 5.0.5, indiquée comme correctif.
Source : NVD — CVE-2026-64610
CMS & e-commerce
112 alerte(s)My Calendar : exécution de fonctions PHP et élévation de privilèges
CVE-2026-104798 affecte My Calendar jusqu’à la version 3.8.7 incluse et peut permettre à un attaquant non authentifié d’exécuter des fonctions PHP arbitraires, avec possibilité de prise de contrôle du compte administrateur. La fiche NVD a…
Source : NVD — CVE-2026-104798
Mang Board : téléversement arbitraire de fichiers
CVE-2026-109219 concerne Mang Board jusqu’à la version 2.4.4 incluse et permet le téléversement de fichiers potentiellement exécutables sans authentification, sous réserve que les publications invitées soient permises. La fiche NVD a été p…
Source : NVD — CVE-2026-109219
MailOptin expose les comptes WordPress à une prise de contrôle
MailOptin peut permettre à un attaquant non authentifié de modifier le mot de passe d’un compte WordPress existant, y compris un compte administrateur, via un formulaire d’inscription publié. Les versions jusqu’à 1.2.78.6 inclus sont conce…
Source : NVD — CVE-2026-109515
Téléversement de fichiers arbitraires dans ELEX WordPress HelpDesk
Le plugin ELEX WordPress HelpDesk & Customer Ticketing System présente une validation insuffisante du type des pièces jointes IMAP enregistrées. Un attaquant non authentifié pourrait téléverser un fichier exécutable et, selon la configurat…
Source : NVD — CVE-2026-103768
Injection d’objets PHP dans Sunshine Photo Cart
Le plugin Sunshine Photo Cart jusqu’à la version 3.7.4 incluse permet une injection d’objets PHP par désérialisation de données non fiables, sans authentification. L’impact dépend de la présence d’une chaîne POP dans un autre plugin ou thè…
Source : NVD — CVE-2026-104730
WordPress Theme My Login — modification non autorisée de mots de passe
Theme My Login est vulnérable à une prise de contrôle de compte jusqu’à la version 7.2.1 incluse. Dans certaines configurations multisites, un attaquant non authentifié peut modifier le mot de passe d’un utilisateur arbitraire en l’absence…
Source : NVD — CVE-2026-89079
WordPress WP Ghost — XSS stockée dans replaceHeadersAndTags
WP Ghost (Hide My WP Ghost) est vulnérable à une XSS stockée jusqu’à la version 7.0.12 incluse. Une entrée malveillante peut être injectée sans authentification et le script s’exécute lorsqu’un utilisateur clique sur le lien injecté.
Source : NVD — CVE-2026-89051
Vitepos : injection SQL dans une route REST
Le plugin Vitepos pour WooCommerce présente une injection SQL via le paramètre src_by. La route REST concernée est accessible sans authentification selon la description, ou par un compte disposant d’un rôle POS, et peut permettre l’extract…
Source : NVD — CVE-2026-92766
Customer Email Verification for WooCommerce : contournement de vérification de compte
Customer Email Verification for WooCommerce présente une faille de contournement de vérification pouvant permettre l’usurpation d’un compte non vérifié dans les versions jusqu’à 3.3.0 incluse. Le scénario décrit exige notamment le réglage…
Source : NVD — CVE-2026-104745
FunnelKit : accès non autorisé aux données de facturation WooCommerce
CVE-2026-107746 affecte FunnelKit jusqu’à la version 3.16.0.6 incluse et peut exposer les données personnelles de facturation de commandes WooCommerce sans autorisation. La fiche NVD a été publiée et mise à jour durant la période ; les don…
Source : NVD — CVE-2026-107746
Klarna for WooCommerce : accès non autorisé aux données de commandes
CVE-2026-110590 concerne un contournement d’autorisation dans Klarna for WooCommerce jusqu’à la version 4.13.3 incluse. Un attaquant non authentifié peut accéder aux clés de commande et aux données personnelles de facturation et de livrais…
Source : NVD — CVE-2026-110590
CVE-2026-109513 : XSS persistante dans NotificationX
CVE-2026-109513 est une XSS persistante dans NotificationX via le paramètre name, affectant les versions jusqu’à 3.3.3 incluse. La fiche indique que l’exploitation suppose une campagne WordPress.org Reviews activée et le bloc dynamique Not…
Source : NVD — CVE-2026-109513
Colibri Page Builder : XSS stockée via le paramètre comment
Colibri Page Builder présente une faille de XSS stockée dans toutes les versions jusqu’à 1.0.390 incluse. Une entrée `comment` insuffisamment filtrée peut conduire à l’injection de scripts qui s’exécutent lorsqu’un utilisateur consulte une…
Source : NVD — CVE-2026-107758
XSS stockée dans RSS Aggregator by Feedzy
Le plugin RSS Aggregator by Feedzy permet une XSS stockée via l’URL de miniature d’un flux RSS, exploitable sans authentification si l’attaquant contrôle un flux déjà importé par le site. Les versions jusqu’à 5.2.11 inclus sont concernées…
Source : NVD — CVE-2026-109207
Flying Scripts : XSS stockée dans le plug-in WordPress
CVE-2026-109990 affecte le plug-in WordPress Flying Scripts jusqu’à la version 1.2.4 : une entrée « comment » insuffisamment protégée peut conduire à une XSS stockée, déclenchée lorsqu’un visiteur consulte une page modifiée. Mettez à jour…
Source : NVD — CVE-2026-109990
Injection SQL lors d’une restauration Backuply
Le plugin Backuply comporte une injection SQL de second ordre liée au champ « Biographical Info » et au processus de restauration. Les versions jusqu’à 1.5.8 inclus sont concernées ; un utilisateur authentifié disposant au moins du rôle ab…
Source : NVD — CVE-2026-93953
XSS stockée dans les commentaires avec Complianz
Le plugin Complianz GDPR/CCPA Cookie Consent Banner est vulnérable à une XSS stockée dans le contenu des commentaires, via un filtre Cookie-Blocker. Les versions jusqu’à 7.5.5 inclus sont concernées ; l’exécution requiert que le commentair…
Source : NVD — CVE-2026-97339
Divulgation de données clients dans FluentCart
Le plugin FluentCart expose des adresses de facturation et de livraison de clients par un contrôle d’accès insuffisant. Toutes les versions jusqu’à 1.7.0 inclus sont concernées ; l’accès non authentifié permet de récupérer des données pers…
Source : NVD — CVE-2026-103525
miniOrange OTP Login : contournement d’authentification
CVE-2026-103895 affecte le plugin miniOrange OTP Login, Verification and SMS Notifications jusqu’à la version 5.5.8 incluse et peut permettre une authentification sans mot de passe valide, y compris comme administrateur, sous certaines con…
Source : NVD — CVE-2026-103895
Modula Image Gallery : exposition de mots de passe de galeries
CVE-2026-107659 affecte Modula Image Gallery jusqu’à la version 3.0.11 incluse et expose des identifiants en clair associés aux galeries publiées via l’API REST de WordPress. La fiche NVD a été publiée et mise à jour le 16 octobre 2026 ; a…
Source : NVD — CVE-2026-107659
Groundhogg : suppression arbitraire de fichiers
CVE-2026-109221 affecte Groundhogg jusqu’à la version 4.9.3 incluse et permet à des utilisateurs disposant de la capacité d’importation de supprimer des fichiers arbitraires sur le serveur. La fiche NVD a été publiée et mise à jour pendant…
Source : NVD — CVE-2026-109221
InstaWP Connect : élévation de privilèges via exposition de clé API
CVE-2026-109400 affecte InstaWP Connect jusqu’à la version 0.1.4.1 incluse et peut permettre à certains utilisateurs abonnés d’obtenir une clé API, puis d’élever leurs privilèges jusqu’au compte administrateur. L’exploitation dépend de la…
Source : NVD — CVE-2026-109400
Mang Board permet une injection de scripts sans authentification
Mang Board comporte une seconde faille de script intersites stocké, exploitable sans authentification via le point d’accès public mb_template en mode content_reply. Les versions jusqu’à 2.4.3 inclus sont concernées ; aucun correctif ni con…
Source : NVD — CVE-2026-109998
Élévation de privilèges dans Nexter Extension
CVE-2026-111114 est une élévation de privilèges dans Nexter Extension, permettant à certains utilisateurs authentifiés de retrouver le rôle administrateur. La faille concerne les versions jusqu’à 4.7.11 incluses et exige un scénario préala…
Source : NVD — CVE-2026-111114
XSS stockée dans Profile Builder
CVE-2026-100186 est une XSS stockée dans le champ Prénom de Profile Builder. Toutes les versions jusqu’à 4.0.3 incluses sont concernées ; la faille n’est exploitable que lorsque la confirmation par e-mail est activée.
Source : NVD — CVE-2026-100186
Écriture de fichier de cache hors répertoire dans 10Web Booster
Le plugin 10Web Booster présente une traversée de chemin permettant l’écriture limitée d’un fichier de cache hors du répertoire prévu. La charge écrite est le contenu rendu d’une page et le nom du fichier est fixé à source.html; la descrip…
Source : NVD — CVE-2026-103896
XSS stockée par téléversement dans Ultra Addons for Contact Form 7
Ultra Addons for Contact Form 7 présente une XSS stockée liée au téléversement de fichiers texte dont le contenu HTML n’est pas correctement neutralisé. La description indique qu’un attaquant non authentifié peut provoquer l’injection de s…
Source : NVD — CVE-2026-103999
XSS stockée dans Simply Schedule Appointments
Simply Schedule Appointments présente une XSS stockée via le paramètre « status », en raison d’une assainissement et d’un échappement insuffisants. La charge peut être enregistrée dans les journaux de débogage et s’exécuter dans le navigat…
Source : NVD — CVE-2026-104000
Injection d’objet PHP dans Search Regex
Search Regex 3.5 est vulnérable à une injection d’objet PHP par désérialisation de données non fiables dans replace_all. La description indique qu’un utilisateur authentifié ayant au moins le rôle Subscriber peut exploiter une chaîne POP p…
Source : NVD — CVE-2026-104932
XSS DOM stockée dans SiteOrigin CSS
SiteOrigin CSS présente une XSS stockée de type DOM via le champ « Website » des commentaires, affectant le paramètre url (comment_author_url). La description indique qu’un attaquant non authentifié peut soumettre une valeur encodée qui su…
Source : NVD — CVE-2026-107764
XSS stockée dans Salon Booking System
Salon Booking System présente une XSS stockée via le paramètre « sln[] », en raison d’une validation et d’un échappement insuffisants. L’exploitation par un attaquant non authentifié dépend de la configuration du site, qui doit comporter a…
Source : NVD — CVE-2026-109232
CVE-2026-109447 : élévation de privilèges dans User Profile Builder
CVE-2026-109447 est une élévation de privilèges dans User Profile Builder, affectant les versions jusqu’à 4.0.3 incluse. Sous plusieurs conditions de configuration, un attaquant non authentifié peut obtenir un compte administrateur lors de…
Source : NVD — CVE-2026-109447
CVE-2026-111122 : XSS DOM persistante dans SiteOrigin CSS
CVE-2026-111122 est une XSS DOM persistante dans SiteOrigin CSS via le paramètre href, dans les versions jusqu’à 1.6.7 incluse. L’exploitation décrite nécessite l’approbation du commentaire malveillant, puis l’ouverture du Visual Inspector…
Source : NVD — CVE-2026-111122
XSS persistante dans TranslatePress
TranslatePress jusqu’à la version 3.3.7 incluse permet une injection de script persistante via le paramètre comment, en raison d’une validation et d’un échappement insuffisants. L’exploitation décrite requiert que le site accepte des comme…
Source : NVD — CVE-2026-107768
XSS persistante dans les attributs personnalisés HivePress
HivePress jusqu’à la version 1.7.32 incluse permet une XSS persistante via des attributs personnalisés, lorsque le modèle d’affichage configuré place la valeur dans un contexte href, src ou style. Un attaquant non authentifié peut alors in…
Source : NVD — CVE-2026-109193
WordPress PilotPress — prise de contrôle d’un compte administrateur
Le plugin PilotPress est vulnérable à une prise de contrôle de compte et à une élévation de privilèges jusqu’à la version 2.0.43 incluse. Un utilisateur authentifié disposant d’un accès de niveau Subscriber ou supérieur, d’un contact ONTRA…
Source : NVD — CVE-2026-85659
WordPress Opti-Behavior — XSS DOM stockée via targetUrl
Opti-Behavior est vulnérable à une XSS DOM stockée via targetUrl jusqu’à la version 1.9.2.1 incluse. Un attaquant non authentifié peut soumettre une charge via un endpoint dont le nonce est rendu public aux visiteurs, puis provoquer l’exéc…
Source : NVD — CVE-2026-95686
WordPress Opti-Behavior — XSS DOM stockée via country_name
Opti-Behavior est vulnérable à une XSS DOM stockée via le paramètre de localisation country_name jusqu’à la version 1.9.2.1 incluse. L’endpoint de capture accepte des requêtes non authentifiées dont le nonce peut être obtenu par une action…
Source : NVD — CVE-2026-95809
WordPress Schema & Structured Data — XSS stockée dans les avis
Schema & Structured Data for WP & AMP est vulnérable à une XSS stockée via saswp_review_text jusqu’à la version 1.67 incluse. Le nonce utilisé comme unique contrôle est présent dans le HTML public du formulaire shortcode, ce qui permet à u…
Source : NVD — CVE-2026-96570
CP Multi View Events Calendar : XSS stockée exploitable sans authentification sous condition
CP Multi View Events Calendar est vulnérable à une XSS stockée dans toutes les versions jusqu’à 1.4.42 inclus, via le paramètre CalendarTitle. Un attaquant non authentifié peut exploiter cette faille si un administrateur a activé l’édition…
Source : NVD — CVE-2026-110701
Injection de commandes dans WP Photo Album Plus
WP Photo Album Plus est vulnérable à une injection de commandes via le paramètre `value` de l’action AJAX `update-photo`. Les versions jusqu’à 9.3.02.002 inclus sont concernées; un utilisateur doté de la capacité `wppa_upload` peut obtenir…
Source : NVD — CVE-2026-92115
Téléversement de fichiers arbitraires dans YaySMTP
YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports ne valide pas suffisamment les fichiers transmis à sa fonction `putFile`. Les versions jusqu’à 2.7.7 inclus sont concernées; un utilisateur authentifié ayant au moins le rôle d’abo…
Source : NVD — CVE-2026-92553
XSS stocké dans WPConsent
WPConsent est vulnérable à un XSS stocké via le contenu des commentaires lorsque la fonctionnalité Script Blocking est activée. Toutes les versions jusqu’à 1.1.9 inclus sont concernées; la chaîne décrite implique deux commentaires coordonn…
Source : NVD — CVE-2026-97640
Contournement d’authentification dans Vulnity Security
Vulnity Security jusqu’à la version 1.4.3 incluse présente un contournement d’authentification sur les installations utilisant Nginx, lié à une protection incorrecte du fichier d’identifiants de connexion déléguée. Un attaquant non authent…
Source : NVD — CVE-2026-75903
XSS stockée dans User Registration PRO
La version premium de User Registration PRO jusqu’à la version 6.2.9 incluse présente une XSS stockée via l’en-tête HTTP Referer; la distribution gratuite WordPress.org n’est pas concernée selon les informations fournies. Une requête non a…
Source : NVD — CVE-2026-87111
SureCart : XSS persistante via le paramètre comment
Le plugin SureCart pour WordPress est vulnérable à une XSS persistante via le paramètre comment. L’exploitation est non authentifiée, mais dépend de conditions précises sur la page : chargement du runtime surecart-components, par exemple a…
Source : NVD — CVE-2026-109224
XSS stockée dans les journaux d’e-mails de GoSMTP Pro
GoSMTP Pro présente une XSS stockée liée au contenu des commentaires dans le corps des journaux d’e-mails, exploitable sans authentification. Toutes les versions jusqu’à 1.2.3 incluse sont concernées ; la source ne fournit pas de version c…
Source : NVD — CVE-2026-96768
XSS stockée dans WP Sessions Time Monitoring Full Automatic
WP Sessions Time Monitoring Full Automatic contient une XSS stockée par plusieurs paramètres de requête, exploitable sans authentification. Toutes les versions jusqu’à 1.1.5 incluse sont concernées ; la source ne précise ni correctif ni co…
Source : NVD — CVE-2026-107648
OTP Login & Register Woocommerce : contournement de la limite d’essais OTP
OTP Login & Register Woocommerce avant la version 2.7.3 ne limite pas efficacement les tentatives de vérification des mots de passe à usage unique, car le compteur de tentatives dépend d’une valeur contrôlée par le client. Un attaquant non…
Source : CVE-2026-110135 — NVD
Salon Booking System : falsification de requêtes REST pouvant créer un administrateur
Salon Booking System avant la version 10.31.9 écarte le contrôle de nonce du cœur WordPress pour les sessions authentifiées par cookie sur l’ensemble de son API REST. Un attaquant peut inciter un administrateur connecté à cliquer sur un li…
Source : CVE-2026-110015 — NVD
XSS stockée dans FiboSearch
FiboSearch – Ajax Search for WooCommerce jusqu’à la version 1.34.2 incluse présente une XSS stockée via le paramètre `purchased_plan`. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter un script si le site a auparavant…
Source : NVD — CVE-2026-100106
CVE-2026-111409 : défaut d’autorisation dans YITH PayPal Express Checkout
YITH PayPal Express Checkout for WooCommerce présente un défaut d’autorisation affectant les versions jusqu’à 1.61.0 incluse. La fiche fournie ne précise ni le scénario détaillé, ni l’impact concret, ni une version corrective.
Source : NVD — CVE-2026-111409
XSS stockée dans Tourfic via les commentaires WooCommerce
Tourfic contient une XSS stockée liée au contenu des commentaires et à l’attribution de `unfiltered_html` au rôle Customer, dans les versions jusqu’à 3.0.1 incluse. WooCommerce doit être actif ; un visiteur peut créer un compte client, pui…
Source : NVD — CVE-2026-97470
Modification non autorisée de mots de passe dans Dokan
Le plugin Dokan présente une référence directe non sécurisée permettant à un vendeur authentifié de modifier le mot de passe de certains clients. Les versions jusqu’à 5.2.1 inclus sont concernées ; l’attaquant peut alors accéder au compte…
Source : NVD — CVE-2026-89280
CVE-2026-109414 : injection SQL dans Vitepos
CVE-2026-109414 est une injection SQL aveugle dans Vitepos, affectant les versions jusqu’à 3.6.1 incluse. La branche d’opérateur bt (BETWEEN) n’était pas couverte par le correctif antérieur mentionné dans la fiche ; aucune version corrigée…
Source : NVD — CVE-2026-109414
Popup Box : exécution de shortcodes arbitraires via l’adresse IP injectée
Le plugin Popup Box pour WordPress présente une faille d’exécution de shortcodes arbitraires dans les versions 6.4.1 à 6.4.2. Si le contenu d’une fenêtre contextuelle contient le jeton `%%user_ip_address%%`, des en-têtes HTTP contrôlés par…
Source : NVD — CVE-2026-100159
FluentCart : injection SQL via les variantes de produits
FluentCart pour WordPress présente une injection SQL dans toutes les versions jusqu’à 1.7.0 incluse. Un utilisateur authentifié disposant d’un accès personnalisé suffisant peut exploiter le paramètre associé aux variantes de produits pour…
Source : NVD — CVE-2026-103518
Debloat : traversée de répertoires via le paramètre de recherche
Debloat – Remove Unused CSS, Optimize JS présente une faille de traversée de répertoires dans les versions jusqu’à 1.3.0 incluse. La fiche indique un accès administrateur pour les attaquants, ainsi que des conditions liées à l’activation d…
Source : NVD — CVE-2026-104769
XSS stockée dans Cooked – Recipe Management
Le plugin Cooked – Recipe Management est vulnérable à une XSS stockée dans le contenu du shortcode « [cooked-timer] ». Les versions jusqu’à 1.16.1 inclus sont concernées et l’attaque nécessite un compte disposant au moins du rôle contribut…
Source : NVD — CVE-2026-77829
XSS stockée dans Dark Mode
Le plugin Dark Mode est vulnérable à une XSS stockée via l’attribut de shortcode « icon_light ». Les versions jusqu’à 5.3.17 inclus sont concernées et l’exploitation requiert un compte disposant au moins du rôle contributeur.
Source : NVD — CVE-2026-93535
Exécution arbitraire de shortcodes dans Forminator Forms
Le plugin Forminator Forms permet l’exécution de shortcodes arbitraires dans certaines notifications de quiz. Les versions jusqu’à 1.58.1 inclus sont concernées et une attaque non authentifiée peut invoquer les shortcodes enregistrés par l…
Source : NVD — CVE-2026-101335
XSS réfléchie dans Gwolle Guestbook
Le plugin Gwolle Guestbook présente une XSS réfléchie via le paramètre « permalink ». Toutes les versions jusqu’à 5.1.1 inclus sont concernées ; l’exploitation nécessite de convaincre une victime de suivre un lien spécialement conçu.
Source : NVD — CVE-2026-103481
Forminator Forms : exécution de shortcodes sans authentification
CVE-2026-103911 concerne Forminator Forms jusqu’à la version 1.58.1 incluse et permet l’exécution de shortcodes arbitraires sans authentification dans certaines conditions. La fiche NVD a été publiée et mise à jour le 16 octobre 2026 ; auc…
Source : NVD — CVE-2026-103911
Image Hub : exposition et modification de clés d’API
CVE-2026-109191 affecte Image Hub jusqu’à la version 1.2.0 incluse : des utilisateurs authentifiés disposant au minimum du rôle abonné peuvent lire des clés d’API tierces et modifier les options correspondantes. La fiche NVD a été publiée…
Source : NVD — CVE-2026-109191
Mang Board : script intersite (XSS) persistant
CVE-2026-109512 affecte Mang Board jusqu’à la version 2.4.4 incluse et permet à des utilisateurs authentifiés ayant au minimum le rôle abonné d’injecter du script persistant dans des pages. La fiche NVD a été publiée et mise à jour le 16 o…
Source : NVD — CVE-2026-109512
LPagery permet des actions non autorisées sur les pages générées
LPagery ne vérifie pas correctement les autorisations sur certaines actions, permettant à des utilisateurs authentifiés de niveau Abonné ou supérieur de créer, modifier ou supprimer des pages et des processus de génération. Les versions ju…
Source : NVD — CVE-2026-110019
NotificationX permet l’injection de fausses entrées de preuve sociale
NotificationX autorise les soumissions sur un point d’accès REST sans authentification ni contrôle approprié du type de campagne, ce qui permet d’injecter de fausses entrées de preuve sociale. Les versions jusqu’à 3.3.3 inclus sont concern…
Source : NVD — CVE-2026-110721
Injection SQL dans Mail Mint
CVE-2026-111106 concerne une injection SQL dans le plugin Mail Mint, via le paramètre `filters` du point de terminaison REST des contacts. Les versions jusqu’à 1.31.4 sont affectées ; la fiche fournie ne précise pas de correctif.
Source : NVD — CVE-2026-111106
Exécution de shortcodes dans Broken Link Checker
CVE-2026-96562 permet l’exécution de shortcodes arbitraires dans le plugin Broken Link Checker. Les versions jusqu’à 2.4.14.1 incluses sont concernées ; l’exploitation dépend de l’approbation préalable d’un commentaire contenant le shortco…
Source : NVD — CVE-2026-96562
XSS stockée dans SQL Chart Builder
CVE-2026-100158 est une faille de XSS stockée dans SQL Chart Builder, via la valeur de la colonne d’axe X renvoyée par la requête SQL du graphique. Les versions jusqu’à 3.0.6 incluses sont affectées et l’exploitation suppose notamment qu’u…
Source : NVD — CVE-2026-100158
XSS stockée dans le plugin WordPress Tourfic
Le plugin Tourfic est vulnérable à une XSS stockée via le paramètre « type », faute de validation et d’échappement suffisants. Un attaquant authentifié ayant au moins le rôle Contributor peut injecter un script exécuté lors de l’affichage…
Source : NVD — CVE-2026-103480
Exécution arbitraire de shortcodes dans Slim SEO
Slim SEO permet l’exécution de shortcodes sans validation adéquate de la valeur transmise à do_shortcode. Un utilisateur authentifié disposant au moins du rôle Subscriber peut enregistrer une valeur dans sa biographie qui sera exécutée lor…
Source : NVD — CVE-2026-104001
XSS stockée dans User Profile Builder
User Profile Builder présente une XSS stockée via le paramètre « display_name », exploitable par un utilisateur authentifié ayant au moins le rôle Subscriber. La valeur injectée peut persister dans les commentaires même si le compte de l’a…
Source : NVD — CVE-2026-107748
CVE-2026-110017 : XSS persistante dans Quick PayPal Payments
CVE-2026-110017 est une XSS persistante dans Quick PayPal Payments via le paramètre form, dans les versions jusqu’à 6.0.4 incluse. Un compte authentifié disposant au minimum du rôle contributeur peut injecter un script dans un contenu cons…
Source : NVD — CVE-2026-110017
Écriture de réglages et escalade de privilèges dans WP Compress
WP Compress jusqu’à la version 7.25.00 incluse permet une escalade de privilèges par écriture non autorisée des réglages du plugin. La chaîne décrite peut être exploitée sans compte WordPress pour conférer à des rôles, y compris Subscriber…
Source : NVD — CVE-2026-104755
Contrôle d’autorisation insuffisant lors du réordonnancement des formulaires Visual Form Builder
Visual Form Builder jusqu’à la version 3.1 ne vérifie pas les autorisations ni le nonce lors du réordonnancement des champs. Tout utilisateur authentifié, y compris un abonné, peut modifier durablement la structure des champs de n’importe…
Source : NVD — CVE-2026-105973
Divulgation de soumissions dans un widget Visual Form Builder
Visual Form Builder jusqu’à la version 3.1 ne contrôle pas les autorisations avant d’afficher, dans un widget du tableau de bord, les soumissions récentes. Tout utilisateur authentifié, y compris un abonné, peut ainsi consulter des informa…
Source : NVD — CVE-2026-105974
Contournement d’autorisation et gestion non autorisée de médias dans Photo Engine
Photo Engine (Media Organizer & Lightroom) jusqu’à la version 6.5.6 incluse présente un contournement d’autorisation. Un attaquant non authentifié peut supprimer des pièces jointes média et en téléverser de nouvelles en exploitant un jeton…
Source : NVD — CVE-2026-107770
Divulgation de publications non publiées par WSP MCP AI Agents Connector
WSP MCP AI Agents Connector jusqu’à la version 2.9.5 incluse expose des informations sur les publications non publiées à tout utilisateur authentifié disposant au moins d’un compte abonné. La faille vient d’un outil MCP sans exigence de ca…
Source : NVD — CVE-2026-109382
XSS persistante via le paramètre message dans HivePress
HivePress jusqu’à la version 1.7.32 incluse permet une XSS persistante via le paramètre message. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter un script lorsque la soumission d’annonces par les utilisateurs est act…
Source : NVD — CVE-2026-109388
WordPress Lightweight Cookie Notice — exposition d’une clé W3 Total Cache
Le plugin Lightweight Cookie Notice – Cookie Banner for Cookie Consent est vulnérable à une exposition d’informations sensibles jusqu’à la version 1.19 incluse. Une constante de sécurité W3 Total Cache codée en dur peut révéler une clé con…
Source : NVD — CVE-2026-12272
WordPress Tutor LMS — XSS basée sur le DOM via redirect_url
Tutor LMS est vulnérable à une XSS basée sur le DOM via le paramètre redirect_url jusqu’à la version 4.0.8 incluse. Un attaquant non authentifié peut injecter un script qui s’exécute dans le navigateur d’une victime consultant une page con…
Source : NVD — CVE-2026-88963
WordPress Tainacan — traversée de répertoires conditionnelle
Tainacan est vulnérable à une traversée de répertoires jusqu’à la version 1.3.0 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut lire des fichiers arbitraires lorsque le répertoire uploads/tainacan n’existe…
Source : NVD — CVE-2026-93767
WordPress Mobile builder — injection SQL avec WCFM Delivery
Le plugin Mobile builder est vulnérable à une injection SQL jusqu’à la version 1.4.2 incluse. Un attaquant non authentifié peut exploiter le problème sur un site exécutant également l’extension WCFM Delivery; aucune version corrigée n’est…
Source : NVD — CVE-2026-103696
MB Custom Post Types & Custom Taxonomies : migration déclenchable par tout utilisateur connecté
MB Custom Post Types & Custom Taxonomies avant la version 2.12.2 ne vérifie ni les capacités de l’utilisateur ni un nonce sur ses actions de migration. Un utilisateur authentifié, y compris un abonné, peut déclencher une migration irrévers…
Source : CVE-2026-109982 — NVD
Salon Booking System : accès indu aux dossiers de réservation via l’API REST
Salon Booking System avant la version 10.31.3 ne restreint pas plusieurs routes REST API de réservation aux utilisateurs disposant des capacités adéquates. Un utilisateur authentifié de faible privilège peut lire les réservations de tous l…
Source : CVE-2026-110012 — NVD
Salon Booking System : jetons d’API prédictibles
Salon Booking System avant la version 10.31.9 génère des jetons d’accès à l’API de réservation à partir d’une valeur codée en dur et de l’heure d’émission, au lieu d’une source aléatoire sûre. Un attaquant capable de contraindre le moment…
Source : CVE-2026-110013 — NVD
Salon Booking System : création et falsification non autorisées de réservations
Salon Booking System avant la version 10.31.9 ne vérifie pas correctement l’autorisation lors de la création d’une réservation et accepte de l’appelant l’identifiant d’utilisateur ainsi que le statut de réservation. Un attaquant non authen…
Source : CVE-2026-110014 — NVD
affiliate-toolkit : injection SQL accessible aux éditeurs
affiliate-toolkit avant la version 3.8.9 ne valide pas une valeur de tri fournie par l’utilisateur avant son utilisation dans une requête SQL. Des utilisateurs disposant du rôle éditeur ou supérieur peuvent exploiter cette injection SQL po…
Source : CVE-2026-110179 — NVD
WPeMatico RSS Feed Fetcher : XSS stockée via le contenu des flux importés
WPeMatico RSS Feed Fetcher présente une faille XSS stockée dans toutes les versions jusqu’à 2.9 inclus : du contenu importé depuis un flux peut être enregistré sans filtrage suffisant. Un attaquant capable de publier ou compromettre un flu…
Source : NVD — CVE-2026-110252
WebberZone Top 10 : XSS stockée via les paramètres du bloc
WebberZone Top 10 — Popular Posts est vulnérable à une XSS stockée dans toutes les versions jusqu’à 4.5.2 inclus, en raison d’un filtrage insuffisant de paramètres utilisés dans un attribut HTML. L’exploitation nécessite un compte contribu…
Source : NVD — CVE-2026-110290
Premium Packages : XSS stockée via le champ note
Premium Packages – Sell Digital Products Securely est vulnérable à une XSS stockée dans toutes les versions jusqu’à 7.2.8 inclus, via le paramètre note. Un utilisateur authentifié disposant au moins du rôle abonné peut faire enregistrer un…
Source : NVD — CVE-2026-110664
GeoDirectory : XSS stockée via twitterusername
GeoDirectory – WP Business Directory Plugin and Classified Listings Directory est vulnérable à une XSS stockée dans toutes les versions jusqu’à 2.8.192 inclus, via le paramètre twitterusername. Un utilisateur authentifié disposant au moins…
Source : NVD — CVE-2026-111069
Injection SQL dans WP Booking System – Booking Calendar
Le plugin WP Booking System – Booking Calendar est vulnérable à une injection SQL via le paramètre `data[orderby]`, exploitable par un utilisateur authentifié disposant au moins de droits d’administrateur. Les versions jusqu’à 2.1.0.1 incl…
Source : NVD — CVE-2026-111178
Exécution de shortcodes arbitraires dans User Registration & Membership
Le plugin User Registration & Membership permet l’exécution de shortcodes arbitraires par un utilisateur authentifié disposant au moins du rôle abonné. Les versions jusqu’à 5.2.8 inclus sont concernées, car une valeur n’est pas validée ava…
Source : NVD — CVE-2026-15222
Contrôle d’accès insuffisant dans Wp Map Block
Le plugin Wp Map Block ne vérifie pas suffisamment les capacités de l’utilisateur ni la propriété des cartes lors de certaines opérations REST. Jusqu’à la version 3.0.0 incluse, un utilisateur authentifié ayant au moins le rôle de contribu…
Source : NVD — CVE-2026-19798
Divulgation de médias privés par Document Gallery
Document Gallery ne réalise pas de contrôle de capacité ou de propriété lorsqu’il génère une galerie à la demande. Jusqu’à la version 5.1.1 incluse, un visiteur non authentifié peut énumérer et divulguer des informations sur des médias lié…
Source : NVD — CVE-2026-74923
Divulgation de clé d’abonné dans Subscribe to Comments
Subscribe to Comments ne signe ni ne valide un cookie utilisé pour identifier un commentateur. Les versions antérieures à 2.3.3 sont concernées; un attaquant non authentifié peut obtenir la clé de gestion d’un abonné et modifier ses abonne…
Source : NVD — CVE-2026-91830
Injection SQL dans WX Subscribe
WX Subscribe ne nettoie ni n’échappe un paramètre avant son utilisation dans une requête SQL. Les versions jusqu’à 1.2.1 inclus sont concernées; une injection SQL non authentifiée est possible lorsque la clé de paiement n’a pas été configu…
Source : NVD — CVE-2026-91833
Secret de webhook exposé dans Coinsnap Bitcoin Crowdfunding
Coinsnap Bitcoin Crowdfunding expose le secret servant à authentifier les webhooks de paiement. Les versions jusqu’à 1.2.0 inclus sont concernées; un attaquant non authentifié peut falsifier des confirmations et enregistrer des dons arbitr…
Source : NVD — CVE-2026-92427
XSS stockée dans Social Share Buttons
Social Share Buttons jusqu’à la version 1.30 incluse présente une XSS stockée via le paramètre `form` contenant `share_url`. L’exploitation requiert un compte authentifié de niveau abonné ou supérieur et que le délai de sept jours du rappe…
Source : NVD — CVE-2026-100108
XSS stockée dans SureDash
SureDash jusqu’à la version 1.12.0 incluse présente une XSS stockée via le paramètre `display_name`. Un utilisateur authentifié de niveau abonné ou supérieur peut injecter du contenu qui est interprété comme HTML lorsque le gestionnaire d’…
Source : NVD — CVE-2026-96870
Exposition de données analytiques dans MAIO
Le plugin MAIO n’isole pas correctement l’accès à ses données analytiques et accepte comme clé API une valeur d’identification présente en clair dans son propre code public. Les versions antérieures à 7.3.22 permettent à un attaquant non a…
Source : NVD — CVE-2026-109930
Contrôle d’accès manquant dans une action AJAX de Squeeze
Le plugin Squeeze ne vérifie pas les capacités de l’utilisateur sur une action AJAX, permettant à un utilisateur authentifié ayant un rôle aussi faible que Subscriber de modifier des pièces jointes sans en être propriétaire. Les versions a…
Source : NVD — CVE-2026-110029
ProfilePress : exécution arbitraire de shortcodes via les commentaires
Le plugin WP User Avatar / ProfilePress pour WordPress permet l’exécution de shortcodes arbitraires dans l’onglet Commentaires du profil public. Un attaquant authentifié avec un rôle Subscriber ou supérieur peut déclencher l’exécution côté…
Source : NVD — CVE-2026-104003
Name Directory : XSS persistante via l’attribut dir d’un shortcode
Le plugin Name Directory pour WordPress présente une faille XSS persistante via l’attribut dir d’un shortcode. Un attaquant authentifié avec le rôle Contributor ou supérieur peut injecter des scripts qui s’exécutent lorsqu’une page affecté…
Source : NVD — CVE-2026-104726
XSS stockée dans Tutor LMS via display_name
Tutor LMS contient une XSS stockée via le paramètre `display_name`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber lorsque son compte possède un enregistrement de consentement légal. La faille concerne l…
Source : NVD — CVE-2026-93681
XSS stockée dans Events Made Easy
Events Made Easy présente une XSS stockée via `event[location_name]`, réalisable sans authentification lorsque la soumission d’événements par les invités et la création forcée de lieux sont toutes deux activées. Les versions jusqu’à 3.2.22…
Source : NVD — CVE-2026-107649
XSS stockée dans GeoDirectory via le contenu d’une annonce
GeoDirectory contient une XSS stockée via le paramètre `post_content`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber et propriétaire d’une annonce publiée. Les versions jusqu’à 2.8.191 incluse sont conc…
Source : NVD — CVE-2026-110703
Product Delivery Date for WooCommerce : divulgation de détails de commande
Product Delivery Date for WooCommerce avant la version 3.3.2 ne vérifie pas les capacités avant de divulguer des informations de commande via les actions AJAX de la vue calendrier. Des utilisateurs ayant un rôle aussi faible que contribute…
Source : CVE-2026-110191 — NVD
WP Mail Logging : exposition de courriels journalisés via l’export de données personnelles
Le plugin WP Mail Logging pour WordPress jusqu’à la version 1.17.0 expose des lignes de courriels journalisés lorsque le flux d’export des données personnelles est déclenché avec une adresse contenant un caractère générique correspondant à…
Source : CVE-2026-109401 — NVD
Smush : un administrateur de site peut modifier un paramètre réseau global
Smush avant la version 4.3.4 ne réserve pas aux administrateurs réseau la modification d’un paramètre d’accès à l’échelle du réseau. Dans une installation multisite, un administrateur d’un seul site peut ainsi changer ce paramètre pour tou…
Source : CVE-2026-110039 — NVD
Systèmes & serveurs
19 alerte(s)Linux SMC : use-after-free du socket pendant la terminaison d’un groupe de liens
Pendant la terminaison d’un groupe de liens SMC, le socket pouvait être libéré après le retrait de la connexion de l’arbre mais avant la prise de référence par le worker. Le correctif prend cette référence tant que `conns_lock` protège enc…
Source : NVD — CVE-2026-74493
Linux igbvf : fuite de mapping DMA lors du nettoyage d’une erreur TX
Le nettoyage d’une erreur DMA dans le pilote `igbvf` laissait fuir un mapping lorsque certaines opérations de mapping de buffers TX échouaient. Le correctif supprime le décrément erroné du compteur avant le nettoyage ; aucune version corri…
Source : NVD — CVE-2026-74495
Linux mac80211 : use-after-free lors de l’arrêt d’une session BA
Une lecture de `tid_tx->ndp` pouvait survenir après sa libération lors de l’arrêt local d’une session BA mac80211. Le correctif copie la valeur sous verrou avant la libération ; aucune version corrigée n’est précisée dans la source fournie.
Source : NVD — CVE-2026-74489
Linux TIPC : use-after-free dans les dumps de files de trace
Le chemin de traçage de `tipc_poll()` pouvait parcourir des entrées de file d’attente sans verrou tandis qu’un autre contexte libérait un skb. Le correctif supprime le vidage des files dans ce chemin de trace ; aucune version corrigée n’es…
Source : NVD — CVE-2026-74490
Linux ipset : risque de use-after-free des commentaires pendant un redimensionnement
Lors d’une redimension de table ipset, un ajout côté noyau pouvait libérer un commentaire encore référencé par la table de remplacement, puis entraîner un déréférencement invalide. Le correctif évite la mise à jour des commentaires pour le…
Source : NVD — CVE-2026-74492
Linux FOU : use-after-free lors de l’échec de création
En cas d’échec d’ajout d’un port FOU, l’objet pouvait rester accessible via `sk_user_data` après sa libération, permettant à une réception concurrente de le déréférencer. Le correctif libère d’abord le socket tunnel et diffère la récupérat…
Source : NVD — CVE-2026-74496
Linux ALSA USB audio : plafonnement des trames en rétroaction implicite
En mode de rétroaction implicite, une taille de paquet de synchronisation USB excessive pouvait produire un nombre de trames supérieur à la limite de l’extrémité de lecture. Le correctif plafonne ce nombre à `ep->maxframesize` ; aucune ver…
Source : NVD — CVE-2026-74497
Linux ALSA timer : instance libérée alors qu’elle reste référencée
Après certaines séquences de fermeture puis de réouverture d’une instance de minuterie ALSA, le drapeau `DEAD` pouvait empêcher le retrait correct des listes et conduire à la libération d’un objet encore référencé. Le correctif efface le d…
Source : NVD — CVE-2026-74503
Linux AFS : use-after-free pendant l’envoi d’un appel
Dans AFS, un appel asynchrone pouvait être libéré pendant l’envoi, puis encore consulté par `afs_make_call()`, entraînant un use-after-free. Le correctif donne à l’opération sa propre référence sur l’appel ; aucune version corrigée n’est p…
Source : NVD — CVE-2026-74506
Linux Bluetooth HIDP : validation des charges utiles de rapports numérotés
Un pair Bluetooth HIDP pouvait envoyer une réponse numérotée sans octet de charge utile, ou avec un octet hors de la PDU déclarée, que le noyau utilisait pour comparer l’identifiant du rapport. Le correctif exige la présence d’une charge u…
Source : NVD — CVE-2026-74507
Debian DSA-6568-1 : mise à jour de sécurité du noyau Linux
Debian a publié une mise à jour de sécurité pour le noyau Linux. Les vulnérabilités signalées peuvent entraîner une élévation de privilèges, un déni de service ou des fuites d’informations ; les CVE et versions corrigées ne sont pas précis…
Source : DSA-6568-1 linux – security update
Debian DSA-6569-1 : mise à jour de sécurité pour Apache HTTP Server
Debian a publié une mise à jour de sécurité pour Apache HTTP Server. Les vulnérabilités concernées peuvent entraîner un déni de service, une divulgation d’informations, un contournement d’authentification ou une injection de requêtes HTTP…
Source : DSA-6569-1 apache2 – security update
Debian DSA-6567-1 : mise à jour de sécurité pour cifs-utils
Debian a publié une mise à jour de sécurité pour cifs-utils. Les deux vulnérabilités signalées peuvent permettre une élévation de privilèges ; les CVE et versions corrigées ne sont pas précisées dans les informations fournies.
Debian corrige plusieurs vulnérabilités dans Expat
Debian a publié DSA-6566-1 pour corriger plusieurs vulnérabilités d’Expat. Le traitement d’un fichier XML malformé pouvait entraîner un déni de service ou potentiellement l’exécution de code, mais les CVE et versions concernées ne sont pas…
Source : DSA-6566-1 expat – security update
Debian corrige une vulnérabilité dans SPIP
Debian a publié DSA-6565-1 pour corriger une vulnérabilité de SPIP. Selon l’avis fourni, elle pouvait permettre une exécution de code à distance sans authentification; les CVE et versions concernées ne sont pas indiquées.
Source : DSA-6565-1 spip – security update
CVE-2026-32316 : correctif de dépassement de limite de répétition de chaîne dans jq
DLA-4840-1 corrige CVE-2026-32316 dans jq : la répétition d’une chaîne qui dépassait la limite peut désormais échouer avec une erreur explicite. Le résumé fourni ne précise ni les versions Debian affectées ni la version corrigée.
Source : DLA-4840-1 jq – security update
DLA-4840-1 : correctifs d’erreurs mémoire dans jq sans CVE indiqué
DLA-4840-1 corrige également deux erreurs mémoire dans jq sans identifiant CVE indiqué. L’une concerne une double libération dans args2obj() lors de l’utilisation de jq_compile_args() avec un tableau; l’autre est une utilisation de mémoire…
Source : DLA-4840-1 jq – security update
Debian corrige plusieurs vulnérabilités dans gst-plugins-bad1.0
Debian a publié DLA-4839-1 pour corriger plusieurs vulnérabilités dans gst-plugins-bad1.0. Le traitement de fichiers multimédias spécialement conçus ou de données réseau pouvait entraîner un déni de service, une divulgation de mémoire ou p…
Debian publie une mise à jour de sécurité pour Chromium
Debian a publié DLA-4838-1 pour corriger des problèmes de sécurité dans Chromium. Les conséquences indiquées comprennent l’exécution de code, le déni de service ou la divulgation d’informations; les CVE et versions affectées ne figurent pa…
Cloud & DevOps
1 alerte(s)Dockhand : exécution de commandes non authentifiée via le terminal WebSocket
Dockhand ne vérifiait pas l’authentification lors de la mise à niveau WebSocket de son terminal de conteneur, permettant à un attaquant ayant accès au service et connaissant l’identifiant d’un conteneur doté d’un shell interactif d’y exécu…
Source : NVD — CVE-2026-57169