Les sujets à surveiller, en un regard.
165 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 13 sujet(s) en rouge, 2 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif ou changement substantiel de sécurité Shopify daté du 2026-10-20. Les éléments repérés dans les sources consultées étaient soit des changements de produit sans lien de sécurité, soit des avis publiés avant la période demandée; les signalements Reddit trouvés ne suffisent pas à établir un avis ou incident confirmé dans la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun avis ou événement de sécurité Wix publié ou daté dans la période demandée. L’historique de statut Wix indique qu’aucun incident n’a été signalé le 20 octobre 2026 ; cela ne permet pas, à lui seul, de conclure à l’absence de toute nouveauté de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche dédiée à Solocal n’a pas identifié d’avis de sécurité, de vulnérabilité, de correctif ou d’exploitation vérifiable daté de la période demandée (du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu). Les résultats portant sur d’autres dates ou sur des sujets administratifs sans lien avec une nouveauté de sécurité dans cette fenêtre n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche web dédiée à Craft CMS a été effectuée. Les avis Craft CMS retrouvés dans les résultats consultés portent des dates antérieures à la période demandée; aucune information vérifiée répondant aux critères et datée du 2026-10-20 dans la période définie n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant Ghost, daté dans la période du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu. Les avis Ghost trouvés étaient antérieurs à cette fenêtre; aucun élément hors période n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée sur Strapi n’a fait ressortir aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel daté du 2026-10-20 dans la période demandée. Les avis Strapi retrouvés sont datés d’autres périodes et ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée sur Directus n’a identifié aucun avis de sécurité, correctif ou événement d’exploitation publié pendant la période demandée. Les avis Directus trouvés dans les résultats sont antérieurs au 20 octobre 2026; les commits repérés pour le 20 octobre ne sont pas présentés comme des événements de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche web dédiée sur OpenCart n’a identifié aucun avis, correctif ou événement de sécurité OpenCart vérifiable comme publié entre le 2026-10-20T00:00:00+02:00 et le 2026-10-21T00:00:00+02:00. Les résultats pertinents consultés concernaient des vulnérabilités et avis antérieurs à cette période, qui sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ou avis de sécurité cPanel daté dans la période demandée n’a été identifié dans les sources consultées. Les avis cPanel visibles dans la rubrique Sécurité sont antérieurs à cette période; le journal des modifications consulté indique une dernière mise à jour datée du 8 octobre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Élevée
Recherche dédiée effectuée pour Ruby. Un avis publié pendant la période concerne le gem Crass : CVE-2026-61845, corrigée dans la version 1.0.7.
Crass — déni de service par grands exposants numériques (CVE-2026-61845)
Crass peut consommer excessivement CPU et mémoire lors de l’analyse de CSS contenant de très grands exposants numériques, pouvant entraîner un déni de service ou un plantage. Le problème concerne les versions antérieures à 1.0.7 ; mettre à niveau vers Crass 1.0.7 ou une version ultérieure.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure, puis vérifier que les services qui analysent du CSS fourni par des utilisateurs utilisent bien la version corrigée.
Bun
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Bun, au dépôt GitHub et aux publications du projet n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif de sécurité ni d’exploitation Bun daté de la période du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. La page GitHub des avis de sécurité indique qu’aucun avis n’est publié; les résultats consultés sur les publications du projet ne signalent pas d’événement de sécurité Bun dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Aucun avis de sécurité ou changement de sécurité concernant le projet Deno n’a été vérifié pour la période demandée. Le candidat fourni concerne Vite, et non Deno : la mention de Deno dans sa description ne change pas le produit auquel la vulnérabilité est attribuée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis de sécurité Go pour klauspost/compress, GHSA-259r-337f-4rfw / CVE-2026-63209, est retenu sur la base de la date de publication fournie, située dans la période. Le dépôt du projet indique que le correctif v1.18.7 était déjà disponible le 2026-06-30; aucune exploitation active n’est établie par les éléments consultés.
GHSA-259r-337f-4rfw / CVE-2026-63209 — Déni de service possible dans s2.NewDict
L’avis GHSA-259r-337f-4rfw décrit un débordement d’entier dans `s2.NewDict()` qui peut contourner la validation d’une valeur de répétition et provoquer un accès mémoire hors limites, entraînant un plantage du processus lorsque `Dict.Encode()` est appelé. Les applications Go qui acceptent des dictionnaires S2 non fiables sont concernées; mettre à jour `github.com/klauspost/compress` vers la version 1.18.7 ou ultérieure.
Action recommandée : Mettre à jour vers github.com/klauspost/compress v1.18.7 ou une version ultérieure; vérifier les dépendances Go qui intègrent ce module, en particulier celles qui traitent des dictionnaires S2 fournis par des utilisateurs.
Kotlin
Recherche du sujet effectuée
La recherche web dédiée sur Kotlin n’a identifié aucun avis de sécurité, correctif ou événement d’exploitation vérifiable daté du 2026-10-20 dans la période demandée. L’avis de sécurité Kotlin de GitHub consulté n’affiche aucun avis publié; les autres résultats pertinents repérés étaient antérieurs à cette période ou ne documentaient pas un événement Kotlin de cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée sur Electron n’a pas identifié, dans les sources consultées, d’avis, de correctif ou d’autre événement de sécurité daté du 2026-10-20. Les avis GitHub visibles dans les résultats sont datés du 2026-10-15 ou d’une date antérieure; la publication de version repérée sur GitHub est datée du 2026-10-21T03:25:49Z, après la période demandée. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée sur jQuery n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-10-20 dans la période demandée. Les avis jQuery repérés dans les sources consultées sont antérieurs à cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Vérification incomplète
La recherche web a été effectuée, mais l’avis CERT-FR fourni n’a pas pu être consulté et son contenu détaillé n’a pas pu être vérifié. Les deux avis Laravel repérés sur GitHub sont datés du 19 octobre 2026, donc hors de la période demandée; aucun item ne peut être retenu avec les éléments vérifiables obtenus.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte et SvelteKit n’a pas identifié de vulnérabilité, d’avis ou de correctif de sécurité daté de la période du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les avis de sécurité repérés dans les dépôts officiels sont antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis ou correction de sécurité Symfony datée du 2026-10-20 n’a été vérifiée dans les sources consultées. Les correctifs évoqués dans le récapitulatif Symfony du 2026-10-18 et l’avis CVE-2026-108082 repéré dans les résultats de recherche sont antérieurs à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, exploitation ni changement substantiel concernant Flask daté du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les avis Flask repérés dans les résultats consultés sont datés hors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis ou correction de sécurité Django datée du 2026-10-20 dans la période examinée. Les avis Django repérés dans les sources consultées sont datés du 2026-10-06 et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée sur FastAPI n’a pas identifié de nouvelle vulnérabilité, d’avis de sécurité, d’exploitation ni de correctif de sécurité daté de la période demandée (du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu). Les notes de version consultées recensent des changements fonctionnels et correctifs, mais ne les présentent pas comme des correctifs de sécurité; l’avis GitHub trouvé est ancien (2021-06-09).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée a porté sur Express.js et son écosystème de sécurité. Les candidats fournis ne documentent pas une nouveauté de sécurité concernant le projet Express.js pendant la période demandée : plusieurs portent sur d’autres projets ou produits, et les publications Express.js trouvées sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a identifié aucun avis, correctif de sécurité, cas d’exploitation ou changement substantiel dont la date de publication ou d’événement soit vérifiable dans la période du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les avis NestJS repérés dans les résultats datent du 2026-09-15 ou d’avant; ils sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Vérification incomplète
Niveau relevé : Critique
La recherche a relevé un avis de sécurité Oracle du 20 octobre 2026 répertoriant deux CVE pour MySQL Server/MySQL Cluster, ainsi qu’une vulnérabilité de configuration DB-GPT exposant MySQL. Le candidat Coze Studio a été exclu : MySQL n’y apparaît que comme service co-localisé susceptible d’être atteint, et non comme produit vulnérable.
DB-GPT expose une instance MySQL avec des identifiants root statiques
La configuration Docker par défaut de DB-GPT jusqu’à la version 0.8.2 fixe un mot de passe root MySQL et expose le port 3306 sur toutes les interfaces. Un attaquant pouvant joindre ce port ou le réseau dbgptnet peut obtenir un accès privilégié à la base ; la source consultée ne précise pas de version corrigée.
Action recommandée : Ne pas exposer le port 3306 ; remplacer immédiatement le mot de passe root statique et vérifier les réseaux Docker accessibles.
PostgreSQL
Recherche du sujet effectuée
Aucune vulnérabilité, publication de correctif ou autre évolution de sécurité concernant PostgreSQL comme produit n’a été vérifiée pour la période du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les deux candidats ont été examinés mais concernent des produits tiers utilisant PostgreSQL, et non une faille du produit PostgreSQL.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
La recherche dédiée aux avis MongoDB, aux notes de version et aux avis GitHub consultables n’a pas fait apparaître de nouvel avis, correctif de sécurité ou autre changement substantiel daté du 2026-10-20 pour MongoDB. Les avis et correctifs visibles dans les sources consultées sont datés d’avant cette période; les candidats fournis concernent ApostropheCMS, pas une vulnérabilité de MongoDB.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Redis n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel concernant Redis daté du 2026-10-20 dans les sources consultées. Les avis Redis ressortis dans la recherche étaient datés d’autres périodes. Le candidat fourni concerne Coze Studio ; Redis y est cité comme un service auquel l’attaquant pourrait accéder, et non comme le produit vulnérable.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel vérifiable daté du 2026-10-20 dans la période demandée. Les avis Caddy repérés dans les résultats étaient datés d’autres jours et n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
Les avis SvelteKit consultés étaient publiés avant le 20 octobre 2026. Les résultats portant des dates de publication au 21 octobre sont postérieurs à la période demandée et sont exclus ; aucun événement SvelteKit daté du 20 octobre n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel (compilateur JavaScript) a consulté les avis de sécurité du projet et ses publications GitHub. Les avis Babel repérés sont datés d’avant la période demandée; aucun élément trouvé ne répond aux critères d’inclusion pour le 2026-10-20.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis de sécurité, exploitation ni mise à jour substantielle concernant Elasticsearch n’a été trouvée pour la période du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les annonces de sécurité Elastic consultées affichent des avis datés du 6 octobre 2026, hors période; la page des avis de sécurité GitHub consultée n’en affiche aucun.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité RabbitMQ, la page de sécurité du projet et les publications GitHub accessibles. Aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté du 2026-10-20 (dans la période demandée) n’a été vérifié; les avis trouvés étaient publiés antérieurement.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel concernant Memcached daté de la période demandée (du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu). Les résultats consultés comprennent des avis Memcached antérieurs à cette période; ils n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ni avis de sécurité GraphQL daté de la période demandée n’a été vérifié dans les sources consultées. Les avis GraphQL visibles dans la base GitHub Advisory Database et dans la page d’avis Neo4j portent sur d’autres dates; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WooCommerce
Recherche du sujet effectuée
Aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant WooCommerce n’a été vérifié pour la période du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les avis et mises à jour de sécurité trouvés dans les sources consultées sont datés d’autres périodes.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Simple:Press
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif ou d’avis de sécurité, exploitation, ni mise à jour substantielle datée du 2026-10-20 n’a été repérée dans les résultats consultés pour Simple:Press. Les résultats consultés incluent la fiche WordPress.org, WPScan et NVD; les vulnérabilités et correctifs qu’ils mentionnent sont antérieurs à la période demandée. Cette conclusion porte sur les sources consultées, et non sur une absence universelle d’information.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche dédiée aux avis de Docker et aux sources de vulnérabilités n’a fait ressortir aucun avis Docker daté de la période demandée. L’avis Docker Hub trouvé est daté du 2026-10-12, donc antérieur à la période. Les quatre candidats concernent LangAlpha, Langchain-Chatchat, DB-GPT et Pillow : leur utilisation possible de conteneurs Docker ne les rattache pas à une vulnérabilité de Docker.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Vérification incomplète
Trois avis Argo CD correspondant aux candidats ont une publication NVD dans la période et des versions corrigées indiquées dans les notes de version. Les avis GitHub correspondants apparaissent datés du 7 octobre 2026, avant la période; la recherche n’a pas permis de confirmer par une source éditeur accessible le candidat CVE-2026-105311.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Linux (noyau)
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, ni exploitation ou changement substantiel du noyau Linux daté dans la période demandée n’a été vérifié dans les sources consultées. La page kernel.org consultée indique une entrée linux-next datée du 2026-10-20, mais ne la présente pas comme un événement de sécurité; les versions stables affichées sont datées du 2026-10-21, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Les candidats Debian fournis signalent deux avis ca-certificates sans CVE et un avis Debian LTS libssh couvrant plusieurs vulnérabilités. La page Debian Security Information consultée ne listait pas DSA-6572-1 parmi les avis récents affichés; l’annonce DSA fournie a néanmoins été ouverte. Les pages des annonces DLA fournies n’ont pas pu être récupérées par l’outil; les détails des fiches DLA ci-dessus reposent donc sur les informations du candidat fourni, et les versions corrigées ne sont pas établies ici.
DSA-6572-1 : mise à jour de ca-certificates
Debian a publié une mise à jour de ca-certificates après la découverte de compromissions touchant des certificats d’autorité intermédiaires eMudhra. La mise à jour retire les certificats « emSign ECC Root CA – G3 » et « Comodo AAA Services root ».
Action recommandée : Installer la mise à jour ca-certificates applicable à la version Debian utilisée.
DLA-4845-1 : mise à jour de ca-certificates
Debian LTS a publié une mise à jour de ca-certificates après la découverte de compromissions touchant des certificats d’autorité intermédiaires eMudhra. La mise à jour retire les certificats « emSign ECC Root CA – G3 » et « Comodo AAA Services root ».
Action recommandée : Installer la mise à jour ca-certificates applicable à la version Debian LTS utilisée.
CVE-2026-0964 : chemin SCP hors du répertoire de travail
DLA-4844-1 signale une vulnérabilité de traversée de chemin dans le traitement SCP : un serveur SCP malveillant peut fournir un chemin qui sort du répertoire de travail. L’avis la rapproche de CVE-2019-6111, mais cette fiche porte uniquement sur CVE-2026-0964.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-0965 : déni de service lors de l’analyse d’un fichier de configuration
DLA-4844-1 signale qu’analyser un fichier de configuration qui n’est pas un fichier ordinaire, ou qui est trop volumineux, peut provoquer un déni de service. Cette fiche concerne uniquement CVE-2026-0965.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-0966 : sous-dépassement de tampon dans ssh_get_hexa()
DLA-4844-1 indique qu’une entrée invalide transmise à ssh_get_hexa() pouvait provoquer un sous-dépassement de tampon sur le tas. Cette fiche concerne uniquement CVE-2026-0966.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-0967 : traitement excessif de motifs dans match_pattern()
DLA-4844-1 signale qu’un motif spécialement construit dans un fichier de configuration ou known_hosts pouvait entraîner un retour arrière excessif dans match_pattern() jusqu’à expiration du délai. Cette fiche concerne uniquement CVE-2026-0967.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-0968 : lecture hors limites dans sftp_parse_longname()
DLA-4844-1 indique qu’un serveur SFTP malveillant peut transmettre un champ longname que sftp_parse_longname() lit au-delà de ses limites. Cette fiche concerne uniquement CVE-2026-0968.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-3731 : index SFTP hors limites dans les fonctions d’extensions
DLA-4844-1 relève que sftp_extensions_get_name() et sftp_extensions_get_data() ne rejetaient pas un index au-delà de la fin de la liste des extensions. Cette fiche concerne uniquement CVE-2026-3731.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-59843 : déni de service avec une taille de paquet de canal nulle
DLA-4844-1 signale qu’un pair annonçant une taille maximale de paquet de canal égale à zéro peut provoquer un déni de service. Cette fiche concerne uniquement CVE-2026-59843.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-59844 : déni de service via une requête SSH_FXP_READ
DLA-4844-1 indique qu’une longueur excessive dans une requête SSH_FXP_READ peut provoquer un déni de service. Cette fiche concerne uniquement CVE-2026-59844.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-59845 : déni de service lié à la gestion de fork() dans ProxyCommand
DLA-4844-1 relève que ProxyCommand ne vérifiait pas la valeur de retour de fork(), ce qui peut causer un déni de service. Cette fiche concerne uniquement CVE-2026-59845.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-59846 : métacaractères shell dans le nom d’utilisateur transmis à ProxyCommand
DLA-4844-1 signale qu’un nom d’utilisateur contenant des métacaractères shell pouvait être développé dans ProxyCommand via %r. Cette fiche concerne uniquement CVE-2026-59846.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
CVE-2026-59847 : échec de vérification AES-GCM traité comme une réussite
DLA-4844-1 indique qu’avec le backend OpenSSL, l’échec de vérification d’une étiquette AES-GCM pouvait être traité comme une réussite; le backend gcrypt n’était pas affecté selon le résumé fourni. Cette fiche concerne uniquement CVE-2026-59847.
Action recommandée : Appliquer la mise à jour libssh fournie par Debian LTS.
Alpine Linux
Vérification incomplète
Un avis concernant Alpine Linux et cifs-utils a été repéré pour la période : CVE-2026-104715, avec une mise à jour vers 7.3-r1 indiquée comme solution. Aucun candidat n’a été fourni; les autres résultats consultés ne documentaient pas d’événement de sécurité Alpine daté de cette période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée à Apache HTTP Server n’a fait apparaître aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-10-20 dans les sources consultées. Le candidat fourni concerne Pingora, un proxy distinct d’Apache HTTP Server, et ne relève donc pas du sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
Aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel concernant nginx daté de la période demandée n’a été vérifié. Les avis de sécurité nginx consultés signalent des correctifs dans les versions 1.30.6 et 1.31.7, publiés le 14 octobre 2026, donc hors de la période figée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée a identifié l’annonce préalable du projet PHP du 20 octobre 2026 concernant deux vulnérabilités critiques et une mise à jour prévue pour le lendemain. Les détails techniques et correctifs publiés après la borne de fin n’ont pas été retenus. Aucun candidat fourni ne décrit une vulnérabilité du langage ou du projet PHP. Aucun des candidats fournis ne concerne PHP ou PHP-FPM en tant que produit : ils portent sur des extensions ou thèmes WordPress, Moodle/VPL, EspoCRM et DedeCMS. La présence de fichiers ou de chemins en .php ne suffit pas à les rattacher au sujet demandé. Le CERT-EU a publié pendant la période un avis annonçant deux vulnérabilités critiques de PHP et recommandant de préparer l’application des correctifs. Les éléments fournis ne précisent ni les versions touchées ni les détails techniques; aucune publication de correctif dans la période n’est établie.
Le CERT-EU annonce deux vulnérabilités critiques à corriger dans PHP
Le CERT-EU signale deux vulnérabilités critiques de PHP susceptibles de permettre une exécution de code à distance, sans publier de détails techniques ni de versions concernées. Il recommande de se préparer à appliquer le correctif dès sa disponibilité; le communiqué indique une publication PHP prévue le 21 octobre 2026 à 14:00 UTC, hors de la période demandée.
Action recommandée : Préparer le déploiement immédiat du correctif dès sa disponibilité; en attendant, envisager l’isolation des applications exposées à Internet si le correctif ne peut pas être appliqué immédiatement.
WordPress
Recherche du sujet effectuée
Niveau relevé : Critique
Dix avis CVE concernant WordPress ou ses extensions sont datés du 2026-10-20 dans les candidats vérifiés. Ils couvrent des injections SQL, des défauts d’autorisation, des divulgations d’informations, des XSS et une traversée de répertoires ; pour quatre avis historiques, la fiche est publiée dans la période, mais l’exploitation mentionnée remonte à 2023. Huit fiches CVE liées à des thèmes ou plugins WordPress ont été publiées par le NVD le 2026-10-20. Elles décrivent des traversées de répertoires ou une inclusion de fichiers affectant des versions anciennes; les observations d’exploitation rapportées dans les fiches remontent à 2023 et ne démontrent pas une exploitation active pendant la période du bulletin.
TinyMCE Thumbnail Gallery : traversée de répertoires et lecture de fichiers
TinyMCE Thumbnail Gallery contient une traversée de répertoires dans les versions antérieures à 1.1.0, susceptible de permettre la lecture de fichiers arbitraires sans authentification. La fiche CVE a été publiée le 2026-10-20 ; l’exploitation mentionnée dans l’avis remonte à 2023-10-19 et ne constitue pas une observation nouvelle dans la période.
Action recommandée : Mettre à jour vers la version 1.1.0 ou ultérieure ; si aucune mise à jour n’est disponible, désactiver et retirer le plugin.
Inclusion de fichier dans le plugin Issuu Panel pour WordPress
Le plugin Issuu Panel pour WordPress antérieur à la version 1.6.6 présente une inclusion de fichier PHP permettant à un attaquant non authentifié de faire inclure des fichiers locaux ou distants. Mettre à jour le plugin vers la version 1.6.6 ou ultérieure, si disponible, et examiner les systèmes exposés.
Action recommandée : Mettre à jour Issuu Panel vers la version 1.6.6 ou ultérieure.
Custom Tables : XSS réfléchie via le paramètre key
Custom Tables présente une XSS réfléchie dans les versions antérieures à 3.4.6, via le paramètre `key` de `iframe.php`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-20, hors de la période retenue.
Action recommandée : Mettre à jour vers la version 3.4.6 ou ultérieure ; à défaut, désactiver le plugin.
K-news : XSS réfléchie via le paramètre ff
K-news présente une XSS réfléchie dans les versions antérieures à 1.1.1, par le paramètre `ff` de la page `fontpicker`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-19, hors de la période retenue.
Action recommandée : Mettre à jour vers la version 1.1.1 ou ultérieure ; à défaut, désactiver le plugin.
SocialFit : XSS réfléchie via le paramètre msg
SocialFit jusqu’à la version 1.2.2 présente une XSS réfléchie via le paramètre `msg` de `popup.php`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-19, hors de la période retenue.
Action recommandée : Désactiver et retirer le plugin s’il n’existe pas de version corrigée disponible.
Blogroll Fun : XSS réfléchie via le paramètre k
Blogroll Fun présente une XSS réfléchie dans les versions antérieures à 0.8.5, via le paramètre `k` de `blogroll.php`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-19, hors de la période retenue.
Action recommandée : Mettre à jour vers la version 0.8.5 ou ultérieure ; à défaut, désactiver le plugin.
EventON – Subscriber : injection SQL non authentifiée
Le plugin EventON – Subscriber est vulnérable à une injection SQL non authentifiée via le paramètre `email`, permettant potentiellement d’extraire des informations de la base de données. Les versions jusqu’à 1.4.5 inclus sont concernées ; aucune version corrigée n’est indiquée dans les éléments vérifiés.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible ; à défaut, désactiver le plugin.
Traversée de répertoires dans le thème NativeChurch pour WordPress
Le thème NativeChurch pour WordPress antérieur à la version 1.6.2 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le thème vers la version 1.6.2 ou ultérieure, si disponible, et vérifier l’exposition des fichiers sensibles.
Action recommandée : Mettre à jour NativeChurch vers la version 1.6.2 ou ultérieure.
Traversée de répertoires dans le thème ChurcHope pour WordPress
Le thème ChurcHope pour WordPress antérieur à la version 2.2 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le thème vers la version 2.2 ou ultérieure, si disponible, et vérifier l’exposition des fichiers sensibles.
Action recommandée : Mettre à jour ChurcHope vers la version 2.2 ou ultérieure.
Traversée de répertoires dans Aspose Doc Exporter pour WordPress
Le plugin Aspose Doc Exporter pour WordPress antérieur à la version 2.0 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version 2.0 ou ultérieure, si disponible, et vérifier l’exposition des fichiers sensibles.
Action recommandée : Mettre à jour Aspose Doc Exporter vers la version 2.0 ou ultérieure.
Traversée de répertoires dans Aspose Importer & Exporter pour WordPress
Le plugin Aspose Importer & Exporter pour WordPress antérieur à la version 3.0 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version 3.0 ou ultérieure, si disponible, et vérifier l’exposition des fichiers sensibles.
Action recommandée : Mettre à jour Aspose Importer & Exporter vers la version 3.0 ou ultérieure.
Traversée de répertoires dans Aspose PDF Exporter pour WordPress
Le plugin Aspose PDF Exporter pour WordPress antérieur à la version 2.0 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version 2.0 ou ultérieure, si disponible, et vérifier l’exposition des fichiers sensibles.
Action recommandée : Mettre à jour Aspose PDF Exporter vers la version 2.0 ou ultérieure.
Traversée de répertoires dans Memphis Documents Library pour WordPress
Le plugin Memphis Documents Library pour WordPress antérieur à la version 3.1.6 présente une traversée de répertoires permettant à un attaquant non authentifié de lire des fichiers arbitraires. Mettre à jour le plugin vers la version 3.1.6 ou ultérieure, si disponible, et vérifier l’exposition des fichiers sensibles.
Action recommandée : Mettre à jour Memphis Documents Library vers la version 3.1.6 ou ultérieure.
Traversée de répertoires dans le plugin Cherry pour WordPress
Le plugin Cherry pour WordPress antérieur à la version 1.2.7 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version 1.2.7 ou ultérieure, si disponible, et vérifier l’exposition des fichiers sensibles.
Action recommandée : Mettre à jour Cherry vers la version 1.2.7 ou ultérieure.
Easy Property Listings : divulgation d’informations de fiches via l’API REST
Easy Property Listings ne limite pas les champs de fiches exposés par sa sortie publique de l’API REST, ce qui peut révéler des informations masquées sur des annonces publiées. Les versions antérieures à 3.5.28 sont concernées ; appliquer la version 3.5.28 ou une version ultérieure.
Action recommandée : Mettre à jour vers la version 3.5.28 ou ultérieure.
Easy Property Listings : accès non autorisé aux dossiers de contacts
Easy Property Listings n’effectue pas les contrôles d’autorisation nécessaires sur plusieurs actions AJAX de lecture liées à la gestion des contacts. Les versions antérieures à 3.5.27 sont concernées ; appliquer la version 3.5.27 ou une version ultérieure.
Action recommandée : Mettre à jour vers la version 3.5.27 ou ultérieure.
DiviGear Carousel : XSS persistante via l’action AJAX de licence
DiviGear Carousel est vulnérable à une injection XSS persistante via l’action AJAX `update_license`, en raison d’un assainissement et d’un échappement insuffisants. Les versions jusqu’à 5.2.0 inclus sont concernées ; aucune version corrigée n’est précisée dans les éléments vérifiés.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité ; à défaut, désactiver le plugin.
Meta Box : défaut d’autorisation
Meta Box – WordPress Custom Fields Framework présente un défaut d’autorisation pouvant permettre l’exploitation de niveaux de contrôle d’accès mal configurés. L’avis indique que les versions jusqu’à 5.15.2 sont concernées ; aucune version corrigée n’est précisée dans les éléments vérifiés.
Action recommandée : Vérifier la disponibilité d’une mise à jour et l’appliquer dès publication ; limiter l’accès au plugin selon les besoins.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée n’a pas permis de vérifier de vulnérabilité PrestaShop, d’avis de sécurité, de correctif ou d’incident nouveau daté dans la période du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les avis et incidents apparus antérieurement dans les résultats consultés ne sont pas retenus pour cette période; ce résultat ne constitue pas une preuve d’absence de nouveauté sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Vérification incomplète
Les deux candidats fournis concernent cockpit-machines et indiquent des publications NVD le 20 octobre 2026 dans la période examinée : exposition locale d’un jeton RHSM et d’un mot de passe VNC par des arguments de processus. La recherche dédiée a aussi consulté des résultats du projet Cockpit sur GitHub; ces résultats ne précisent pas de version corrigée pour ces deux CVE. Les informations de publication et les descriptions détaillées des CVE reprises dans les items proviennent des candidats fournis.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée a été effectuée. Les sources consultées n’établissent pas de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel propre à CloudPanel daté dans la période demandée. Les discussions publiées le 21 octobre 2026 sont hors période et n’ont pas été retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche web dédiée à Uptime Kuma n’a pas vérifié de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les résultats consultés incluaient des avis publiés antérieurement et ne sont pas retenus pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée sur MariaDB n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté entre le 2026-10-20T00:00:00+02:00 inclus et le 2026-10-21T00:00:00+02:00 exclu. Les avis MariaDB et CVE apparus dans les résultats consultés concernent des dates antérieures à cette période et n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche web dédiée n’a pas permis de vérifier de nouvel avis, correctif de sécurité ou autre événement de sécurité concernant phpMyAdmin dans la période du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu. La page officielle de sécurité consultée répertorie des avis jusqu’en 2025, sans avis daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée aux sources pgAdmin consultées n’a identifié aucun avis, correctif, exploitation ni changement substantiel daté du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les avis trouvés pour CVE-2026-7813 et CVE-2026-86863 sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin a consulté des résultats provenant du dépôt et des dépôts GitHub du projet ainsi que du site Virtualmin. Aucun avis, correctif de sécurité, signalement d’exploitation ou changement substantiel daté entre le 2026-10-20T00:00:00+02:00 (inclus) et le 2026-10-21T00:00:00+02:00 (exclu) n’a été identifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a trouvé aucun nouvel avis de sécurité, correctif, signalement d’exploitation ni changement substantiel daté du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les avis Webmin repérés dans les sources consultées sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée sur Vue.js n’a pas identifié de nouvel avis, correctif de sécurité, exploitation ni changement substantiel daté du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu. L’avis GHSA-g2v6-rqmx-r4w6 consulté est daté du 2026-08-31, donc antérieur à la période et exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Vérification incomplète
Niveau relevé : Moyenne
La recherche dédiée a relevé quatre fiches NVD publiées le 20 octobre 2026 concernant Vite ou son intégration launch-editor : CVE-2026-112944 à CVE-2026-112947. Les avis GitHub consultés pour corroboration indiquent, pour ces problèmes, des dates de publication antérieures au début de la période ; les publications NVD datées du 20 octobre motivent leur inclusion. Les candidats portant sur Vitest ou sur des avis launch-editor publiés avant la période sans changement substantiel démontré ont été exclus.
launch-editor : nom de fichier relatif interprété comme option d’éditeur
launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs plutôt que comme nom de fichier. Mettre à jour vers 2.14.2; l’impact dépend de l’éditeur choisi et des conditions locales permettant de créer l’entrée de système de fichiers concernée.
Action recommandée : Mettre à niveau launch-editor vers 2.14.2 ou une version ultérieure.
Vite : divulgation possible d’un fichier hôte via safeModulePaths
Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu et nettoyé. Sur un serveur de développement non-Windows accessible par le réseau, cela peut permettre la divulgation d’un fichier hôte correspondant, si server.fs.deny ne le bloque pas ; des correctifs sont publiés dans plusieurs branches.
Action recommandée : Mettre à jour Vite vers la version corrigée correspondant à la branche utilisée et restreindre l’accès réseau au serveur de développement.
Vite : divulgation des premiers octets de fichiers hors des règles server.fs
Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines conditions, l’erreur de parsing WebAssembly révèle les quatre premiers octets du fichier visé.
Action recommandée : Mettre à niveau vers Vite 8.2.4 ou 8.3.3, selon la branche utilisée.
Vite : chargement d’un module contrôlé par l’attaquant via middleware personnalisé
Dans Vite, des applications utilisant un middleware personnalisé peuvent être vulnérables lorsque celui-ci transmet à server.transformIndexHtml une URL de requête navigateur inchangée. Une URL spécialement construite peut provoquer le chargement d’un module contrôlé par l’attaquant dans une page servie par Vite ; les branches concernées sont corrigées en 6.4.4, 7.3.7, 8.1.6, 8.2.4 et 8.3.3.
Action recommandée : Mettre à jour Vite vers la version corrigée correspondant à la branche utilisée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée n’a pas vérifié de nouvel avis, correctif, exploitation ni changement substantiel concernant Nuxt daté du 2026-10-20 dans la période demandée. Les avis Nuxt repérés sur GitHub étaient datés du 2026-10-16 ou de dates antérieures, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Vérification incomplète
La recherche a relevé une alerte CSA publiée le 2026-10-20 couvrant deux vulnérabilités Next.js : GHSA-673q-mjm6-r5xr et CVE-2026-96889. L’alerte reprend des correctifs annoncés le 2026-10-14; aucun candidat n’avait été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
React
Recherche du sujet effectuée
La recherche dédiée sur les avis de sécurité officiels de React n’a pas identifié de nouveauté vérifiable datée de la période demandée. Les deux candidats fournis concernent respectivement DB-GPT et react-admin, et non le projet React lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
Niveau relevé : Élevée
Trois avis Angular fournis signalent des vulnérabilités SSR affectant @angular/platform-server ou @angular/router, ainsi qu’une fuite possible du jeton XSRF dans @angular/common. La date de publication de l’avis GHSA-57xq-rjx2-v5xh a été vérifiée comme étant le 2026-10-01, hors de la période demandée; il n’est donc pas retenu.
Angular Router : déni de service par correspondance de routes auxiliaires en SSR
Avec le rendu côté serveur (SSR) sur Node.js, des segments de routes auxiliaires vides non configurés peuvent entraîner une reconnaissance répétée des routes et épuiser le processeur ou le tas mémoire. Mettez à niveau @angular/router vers une version corrigée; les applications Angular purement côté navigateur et le prérendu statique ne sont pas concernés selon l’avis.
Action recommandée : Mettre à niveau @angular/router vers 22.2.1, 21.2.25 ou 20.3.33 selon la branche utilisée; les versions antérieures à 20 sont indiquées sans correctif.
Angular SSR : redirection externe par URL protocol-relative
Une URL SSR spécialement construite peut contourner la vérification initiale des URL protocol-relative et provoquer une redirection HTTP vers un domaine externe. Le problème concerne les applications Angular utilisant SSR, et non les applications exclusivement côté client.
Action recommandée : Mettre à jour @angular/platform-server vers une version corrigée adaptée à la branche utilisée.
Angular HttpClient : fuite possible du jeton XSRF après correction incomplète
Une correction incomplète d’un problème antérieur de protection XSRF permettrait, dans certaines conditions, de transmettre le jeton XSRF à une origine contrôlée par un tiers. Le problème concerne l’analyse d’URL du client HTTP Angular et les divergences entre le contrôle effectué par Angular et la normalisation du navigateur.
Action recommandée : Mettre à jour @angular/common vers une version corrigée adaptée à la branche utilisée.
Astro
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Astro daté de la période demandée (du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu). Les avis Astro repérés dans les résultats disponibles sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a relevé, dans la période du 2026-10-20 au 2026-10-21 à 00:00:00+02:00, huit vulnérabilités nouvellement publiées ou avis de sécurité concernant des logiciels TypeScript : deux avis Vitest, une vulnérabilité Google ADK TypeScript et cinq avis MCP TypeScript SDK. Les correctifs indiqués incluent Vitest 4.1.12/5.0.3, Google ADK 0.6.0 et les versions corrigées des paquets MCP; certains avis MCP exigent aussi une modification de configuration ou de code.
Google ADK TypeScript : traversée de chemin dans FileArtifactService
Dans `FileArtifactService`, des séquences de traversée de chemin fournies dans `userId` ou `sessionId` peuvent permettre à un attaquant distant non authentifié de lire des fichiers ou, lorsque l’outil d’agent appelle `saveArtifact`, d’écrire hors du répertoire prévu. Le problème concerne les versions 0.4.0 à antérieures à 0.6.0 lorsque le service non activé par défaut est utilisé; le service par défaut `InMemoryArtifactService` n’est pas concerné.
Action recommandée : Mettre à niveau `@google/adk` vers 0.6.0 ou ultérieur; vérifier si `FileArtifactService` est activé et exposé.
MCP TypeScript SDK : accès intersession aux tâches expérimentales
La fonctionnalité expérimentale `taskStore` ne vérifie pas quelle session a créé une tâche, permettant à des clients partageant le même `InMemoryTaskStore` de consulter ou d’annuler les tâches d’autres sessions. Le défaut concerne les versions 1.24.0 à antérieures à 1.32.0; l’avis recommande aussi de cesser d’utiliser cette fonctionnalité expérimentale dépréciée.
Action recommandée : Mettre à niveau vers 1.32.0 ou ultérieur; supprimer `taskStore` si la mise à niveau n’est pas possible.
MCP TypeScript SDK — épuisement mémoire pendant la validation des requêtes
La validation d’une requête HTTP n’impose pas de limite au nombre d’éléments de tableaux et de clés d’objets, ce qui peut épuiser la mémoire du serveur. Mettre à niveau le SDK ou le serveur, définir maxToolInputElements et limiter également la taille du corps de requête.
Action recommandée : Mettre à niveau vers les versions indiquées, configurer maxToolInputElements et fixer une limite de taille du corps de requête adaptée aux besoins.
MCP TypeScript server SDK : confusion de messages entre clients HTTP
Dans certaines configurations HTTP où plusieurs clients partagent un transport sans état ou une même instance serveur, les réponses et notifications destinées à un client pouvaient être distribuées à un autre. Le défaut concerne `@modelcontextprotocol/server` de 2.0.0 à 2.2.0; les serveurs stdio et les configurations utilisant un nouveau serveur par requête ou session ne sont pas concernés selon l’avis.
Action recommandée : Mettre à niveau vers 2.3.0 ou ultérieur et modifier le code pour créer des instances séparées par requête ou session.
Vitest : exécution de JavaScript sur l’origine du serveur de développement
Vitest permet, dans certaines configurations de serveur de développement, à un client WebSocket non authentifié de faire enregistrer un mock contenant une URL contrôlée par l’attaquant. Lorsque le navigateur du développeur charge le module généré, du JavaScript contrôlé peut s’exécuter sur l’origine du serveur de développement.
Action recommandée : Mettre à niveau vers Vitest 4.1.12 ou 5.0.3, selon la branche utilisée.
Vitest sous Windows : lecture de fichiers hors des chemins autorisés
Sous Windows, Vitest interprète différemment les antislashs dans le contrôle d’accès aux fichiers et dans leur lecture. Un client pouvant joindre le serveur de développement peut exploiter cette différence avec un mock de redirection pour lire un fichier situé hors de `server.fs.allow`.
Action recommandée : Mettre à niveau vers Vitest 4.1.12 ou 5.0.3, selon la branche utilisée.
MCP TypeScript SDK : transmission de requêtes et d’informations sensibles lors de redirections inter-origines
Les transports HTTP et les requêtes OAuth du SDK suivaient des redirections vers une autre origine, pouvant transmettre des en-têtes personnalisés et l’identifiant de session; avec une redirection 307 ou 308, le corps de la requête pouvait aussi être renvoyé. Les versions affectées sont le SDK jusqu’à 1.31.0 et le paquet client de 2.0.0 à 2.2.0; les clients stdio ne sont pas concernés.
Action recommandée : Mettre à niveau vers les versions corrigées; contrôler la configuration de redirection et renouveler les secrets potentiellement exposés.
MCP TypeScript SDK : acceptation de jetons destinés à un autre service
L’authentification bearer côté serveur ne permettait pas de vérifier que le jeton avait été délivré pour ce serveur; un jeton valide destiné à un autre service pouvait donc être accepté dans certaines configurations. La mise à niveau seule ne suffit pas : l’avis demande également de configurer `expectedResource` et de renvoyer l’audience comme `AuthInfo.resource`, ou de vérifier `aud` dans le vérificateur.
Action recommandée : Mettre à niveau les paquets concernés et activer la vérification d’audience selon les instructions de l’avis.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche web a confirmé des avis de sécurité publiés le 20 octobre 2026 dans le périmètre JavaScript ; les dix candidats fournis sont retenus, un par CVE. Les avis fournis décrivent notamment des XSS, des risques liés au traitement d’URI par fast-uri et des vulnérabilités du serveur de développement Vite ; les versions corrigées ou les limites de correction sont indiquées lorsqu’elles sont précisées. Sept vulnérabilités JavaScript ou impliquant l’exécution de JavaScript ont été retenues : quatre touchent Vite ou Vitest et trois sont des XSS dans VPL pour Moodle, SolarWinds Observability Self-Hosted et Cachet. Les fiches NVD correspondantes ont été publiées pendant la période examinée. Dix avis publiés pendant la période concernent des vulnérabilités dans des paquets JavaScript : dénis de service, contournements de filtres, pollution de prototype, contrôle d’accès insuffisant et traversée de chemin. Les avis indiquent des correctifs pour la plupart des produits ; pour l’avis ApostropheCMS sur parseQuery, son texte indique qu’aucun correctif n’était disponible à la publication, malgré une version corrigée mentionnée dans ses métadonnées. L’avis GHSA-x397-5hrv-j9m9, publié pendant la période, signale une XSS stockée dans la création d’incidents Cachet. Les métadonnées fournies indiquent la plage <= 2.4.1, tandis que le texte mentionne Cachet v3 ; aucun correctif n’est indiqué.
Unblu Spark : XSS dans la co-navigation intégrée
Unblu Spark présente une XSS dans la fonction de co-navigation intégrée : le contenu de la page consultée conjointement peut être interprété comme HTML dans le navigateur de l’agent. L’attaque nécessite qu’un agent rejoigne une session de co-navigation intégrée avec l’attaquant ; les plages affectées indiquées sont Spark 7.0 à 7.57.7 et 8.0 à 8.39.2.
Angular Router : déni de service par correspondance de routes auxiliaires en SSR
Avec le rendu côté serveur (SSR) sur Node.js, des segments de routes auxiliaires vides non configurés peuvent entraîner une reconnaissance répétée des routes et épuiser le processeur ou le tas mémoire. Mettez à niveau @angular/router vers une version corrigée; les applications Angular purement côté navigateur et le prérendu statique ne sont pas concernés selon l’avis.
Action recommandée : Mettre à niveau @angular/router vers 22.2.1, 21.2.25 ou 20.3.33 selon la branche utilisée; les versions antérieures à 20 sont indiquées sans correctif.
MCP TypeScript SDK — épuisement mémoire pendant la validation des requêtes
La validation d’une requête HTTP n’impose pas de limite au nombre d’éléments de tableaux et de clés d’objets, ce qui peut épuiser la mémoire du serveur. Mettre à niveau le SDK ou le serveur, définir maxToolInputElements et limiter également la taille du corps de requête.
Action recommandée : Mettre à niveau vers les versions indiquées, configurer maxToolInputElements et fixer une limite de taille du corps de requête adaptée aux besoins.
Angular Router : épuisement mémoire par rétention des paramètres de requête en SSR
Lorsque le SSR Node.js rend des directives RouterLink utilisant la fusion ou la conservation des paramètres de requête, les URL calculées peuvent retenir en mémoire des copies de ces paramètres pendant la requête. Mettez à niveau @angular/router vers 22.2.1 ou 21.2.25; les applications Angular sans SSR ne sont pas concernées selon l’avis.
Action recommandée : Mettre à niveau @angular/router vers 22.2.1 ou 21.2.25 selon la branche utilisée.
ApostropheCMS : suppression d’un membre partagé via un chemin de projection
Avec un adaptateur SQLite, PostgreSQL ou multipostgres, un compte disposant de l’accès aux brouillons peut fournir un chemin d’exclusion de projection traversant la chaîne de prototypes et conduire à la suppression d’un membre partagé à l’exécution. Cela peut affecter durablement l’intégrité et la disponibilité du processus ; l’adaptateur MongoDB par défaut n’est pas concerné, et la correction est apportée par db-connect 1.1.0 et ApostropheCMS 4.33.0.
Action recommandée : Mettre à niveau db-connect vers 1.1.0 et ApostropheCMS vers 4.33.0 ou ultérieurs.
markdown-it : déni de service algorithmique par définition de référence multilignes
markdown-it peut traiter en temps quadratique une définition de référence Markdown multilignes dont le libellé ou le titre reste ouvert, même avec les options par défaut. Si une application Node.js rend du Markdown contrôlé par un utilisateur, mettez à niveau vers markdown-it 14.3.3 ou 15.0.3 selon la branche utilisée.
Action recommandée : Mettre à niveau markdown-it vers 14.3.3 ou 15.0.3 selon la branche utilisée; limiter également la taille des entrées Markdown non fiables si une mise à niveau immédiate est impossible.
Vite : divulgation possible d’un fichier hôte via safeModulePaths
Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu et nettoyé. Sur un serveur de développement non-Windows accessible par le réseau, cela peut permettre la divulgation d’un fichier hôte correspondant, si server.fs.deny ne le bloque pas ; des correctifs sont publiés dans plusieurs branches.
Action recommandée : Mettre à jour Vite vers la version corrigée correspondant à la branche utilisée et restreindre l’accès réseau au serveur de développement.
Vite : divulgation des premiers octets de fichiers hors des règles server.fs
Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines conditions, l’erreur de parsing WebAssembly révèle les quatre premiers octets du fichier visé.
Action recommandée : Mettre à niveau vers Vite 8.2.4 ou 8.3.3, selon la branche utilisée.
Vitest : exécution de JavaScript sur l’origine du serveur de développement
Vitest permet, dans certaines configurations de serveur de développement, à un client WebSocket non authentifié de faire enregistrer un mock contenant une URL contrôlée par l’attaquant. Lorsque le navigateur du développeur charge le module généré, du JavaScript contrôlé peut s’exécuter sur l’origine du serveur de développement.
Action recommandée : Mettre à niveau vers Vitest 4.1.12 ou 5.0.3, selon la branche utilisée.
Vitest sous Windows : lecture de fichiers hors des chemins autorisés
Sous Windows, Vitest interprète différemment les antislashs dans le contrôle d’accès aux fichiers et dans leur lecture. Un client pouvant joindre le serveur de développement peut exploiter cette différence avec un mock de redirection pour lire un fichier situé hors de `server.fs.allow`.
Action recommandée : Mettre à niveau vers Vitest 4.1.12 ou 5.0.3, selon la branche utilisée.
fast-uri : validation contournable d’un schéma encodé
fast-uri décode le composant schéma avec unescape() avant validation et peut ainsi produire un schéma actif à partir d’une entrée encodée. Mettre à jour vers une version corrigée; à défaut, refuser les signes « % » dans le schéma et appliquer une liste autorisée au schéma après normalisation.
Action recommandée : Mettre à jour fast-uri et valider les schémas après normalisation.
LIFF SDK : XSS basée sur le DOM via une URL spécialement construite
Le LIFF SDK présente une vulnérabilité XSS basée sur le DOM : l’ouverture d’une URL spécialement construite dans un navigateur externe peut exécuter du JavaScript dans l’origine du point de terminaison de l’application LIFF. Les versions affectées indiquées sont 2.20.0 à 2.31.0 ; la fiche fournie ne précise pas de version corrigée.
FacturaScripts : XSS persistante dans ListAlmacen
FacturaScripts 2025.61 comporte une XSS persistante due à une validation ou assainissement insuffisant des champs « city » et « province » dans l’endpoint ListAlmacen. L’exécution de JavaScript dans le navigateur d’un utilisateur peut notamment compromettre sa session ou permettre une élévation de privilèges ; la fiche fournie ne précise pas de version corrigée.
react-admin : XSS via des URI javascript: dans UrlField et FileField
Dans react-admin, des URI javascript: stockées dans des champs d’enregistrement peuvent déclencher une XSS lorsque UrlField ou FileField les affiche. Le défaut affecte les versions antérieures à 5.15.5 et peut viser une session administrateur si un attaquant peut influencer les champs URL du backend.
Action recommandée : Mettre à jour react-admin vers la version 5.15.5 ou ultérieure.
Chatwoot : XSS dans l’intégration vidéo du Help Center
Chatwoot comporte une XSS persistante dans les liens d’intégration vidéo des articles du Help Center : une destination de lien spécialement formée peut sortir de l’attribut iframe src non échappé. Les versions antérieures à 4.14.0 sont affectées ; l’exploitation par un administrateur de compte peut viser les visiteurs publics et exposer des jetons du widget de conversation.
Action recommandée : Mettre à jour Chatwoot vers la version 4.14.0 ou ultérieure.
Cypht : XSS via les valeurs d’images externes dans un courriel HTML
Cypht webmail présente une XSS basée sur le DOM lorsqu’un message HTML contient des valeurs alt ou URL malveillantes dans une image externe et que ALLOW_EXTERNAL_IMAGE_SOURCES est activé. Les versions 2.0.0 à 2.12.2 sont concernées ; l’ouverture du message peut exécuter du JavaScript dans la session de l’utilisateur.
Vitest : contournement de restrictions de fichiers et exposition de secrets
Vitest peut mal appliquer `server.fs.deny` sur ses serveurs de développement, exposant des fichiers de projet ou le jeton API de secours. Le mode Browser avec `test.projects` peut également divulguer des valeurs `.env` compatibles JavaScript à un site malveillant.
Action recommandée : Mettre à niveau Vitest vers la version 5.0.5.
VPL pour Moodle : XSS réfléchie dans la comparaison de fichiers
Virtual Programming Lab pour Moodle présente une XSS réfléchie dans `similarity/diff.php`, liée aux paramètres `filename1` et `filename2` qui ne sont pas encodés. Un lien spécialement construit peut exécuter un script dans le navigateur d’un utilisateur autorisé à consulter la comparaison.
Action recommandée : Mettre à niveau VPL pour Moodle vers la version 5.0.0 ou une version ultérieure.
SolarWinds Observability Self-Hosted : XSS stockée
SolarWinds Observability Self-Hosted présente une XSS stockée permettant à un attaquant authentifié d’injecter du contenu malveillant ou du JavaScript. Celui-ci peut s’exécuter dans le navigateur d’autres utilisateurs authentifiés qui consultent les pages affectées.
Cachet : XSS stockée dans la création d’incidents
Une faille XSS stockée dans les champs Nom et Message du formulaire de création d’incident peut exécuter du JavaScript dans le navigateur des personnes consultant la page d’état publique. L’avis indique que cela peut compromettre les comptes des utilisateurs concernés ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Consulter l’avis de sécurité pour les informations de correction et appliquer une version corrigée dès qu’elle est indiquée par l’éditeur ; aucune version corrigée n’est précisée dans les données fournies.
sanitize-html : valeurs meta refresh dangereuses conservées
Avant sanitize-html 2.18.0, une configuration non standard autorisant les éléments `meta refresh` et leurs attributs `http-equiv` et `content` pouvait conserver dans la valeur de rafraîchissement des destinations de script ou de redirection dangereuses. Mettre à niveau sanitize-html vers 2.18.0 et contrôler les configurations qui autorisent ces éléments et attributs.
Action recommandée : Mettre à niveau sanitize-html vers 2.18.0 et vérifier les configurations personnalisées autorisant `meta refresh`.
ApostropheCMS : pollution de prototype dans le contexte d’administration
Avant ApostropheCMS 4.33.0, un attaquant sans authentification pouvait construire une URL dont la chaîne de requête était interprétée par `apos.http.parseQuery` lorsqu’une victime authentifiée chargeait une page avec le bundle d’administration. Des clés spéciales pouvaient modifier les prototypes dans le navigateur et atteindre un point d’injection DOM dangereux ; mettre à niveau vers 4.33.0.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0.
Vite : chargement d’un module contrôlé par l’attaquant via middleware personnalisé
Dans Vite, des applications utilisant un middleware personnalisé peuvent être vulnérables lorsque celui-ci transmet à server.transformIndexHtml une URL de requête navigateur inchangée. Une URL spécialement construite peut provoquer le chargement d’un module contrôlé par l’attaquant dans une page servie par Vite ; les branches concernées sont corrigées en 6.4.4, 7.3.7, 8.1.6, 8.2.4 et 8.3.3.
Action recommandée : Mettre à jour Vite vers la version corrigée correspondant à la branche utilisée.
fast-uri : un chemin relatif peut être réinterprété comme URI absolue
Avec l’option non par défaut reference=suffix, fast-uri peut sérialiser un chemin relatif dont le premier segment contient un deux-points nu, le faisant réinterpréter comme URI absolue. Mettre à jour fast-uri ou éviter cette option sur des entrées non fiables et encoder le deux-points du premier segment.
Action recommandée : Mettre à jour fast-uri; éviter reference=suffix sur des entrées non fiables.
sanitize-html : contournement de la protection des URL dans certains SVG
Dans sanitize-html 2.17.7 à 2.17.x, une configuration autorisant certains éléments SVG d’animation préfixés par un espace de noms et des attributs ciblant des URL pouvait contourner la protection SMIL. Après rendu du SVG, un lien pouvait être réécrit vers une URI dangereuse et exécuter un script lorsque l’utilisateur l’activait ; le défaut n’affecte pas sans condition la configuration par défaut, et la correction est disponible dans la version 2.18.0.
Action recommandée : Mettre à niveau sanitize-html vers 2.18.0 et vérifier les configurations SVG personnalisées autorisant les éléments d’animation préfixés.
uploadfs : traversée de chemin dans le backend de stockage local
Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire de téléversement, ce qui permet une traversée de répertoires. Mettez à niveau uploadfs vers 1.28.0; la source décrit un risque de lecture, écriture ou suppression de fichiers hors du répertoire prévu.
Action recommandée : Mettre à niveau uploadfs vers 1.28.0.
ApostropheCMS : modification ou suppression non autorisée de notifications
Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB sans vérifier l’authentification ni la propriété de la notification. Un attaquant non authentifié connaissant un identifiant valide peut modifier ou supprimer définitivement la notification d’un autre utilisateur ; la correction est incluse dans la version 4.33.0.
Action recommandée : Mettre à niveau ApostropheCMS vers la version 4.33.0 ou ultérieure.
HTML5
Recherche du sujet effectuée
La recherche web dédiée sur HTML5 n’a fait apparaître aucun avis de sécurité vérifiable relevant du sujet et publié durant la période figée du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Les résultats concernant les avis Mozilla, Chromium et les vulnérabilités de logiciels publiés à ces dates ne suffisent pas à établir un lien avec HTML5 comme sujet; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée à CSS3 pour la période du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu n’a fait ressortir aucun avis ou événement de sécurité vérifié portant spécifiquement sur CSS3. Les résultats concernant d’autres produits ou technologies n’ont pas été retenus comme CSS3.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Niveau relevé : Critique
Dix avis GitHub datés du 2026-10-20 concernent des paquets npm présentés comme plugins Tailwind CSS malveillants. Les avis décrivent des dépendances privées dont la charge utile n’a pas été récupérée; aucune version corrigée n’est indiquée dans les informations disponibles. Dix avis GitHub publiés pendant la période signalent des paquets npm malveillants se présentant comme des plugins Tailwind CSS. Les avis décrivent une dépendance privée appelée au chargement du plugin, mais indiquent que sa charge utile n’a pas été récupérée ; ils ne donnent pas de versions corrigées. Six avis GitHub publiés le 2026-10-20 signalent des paquets npm malveillants présentés comme des plugins Tailwind CSS. Les avis décrivent des dépendances privées susceptibles d’exécuter du code au chargement de la configuration ; leur charge utile n’a pas été récupérée.
GHSA-6hg9-v89p-9w82 : paquet npm malveillant tailwindcss-animate-catalog
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : ses versions 2.0.6 et 2.0.7 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Action recommandée : Éviter ces versions et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
GHSA-259h-r4vh-ph5j : paquet npm malveillant tailwindcss-effect-lab
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 0.0.0-stage et 1.6.7 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Action recommandée : Éviter ces versions et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
GHSA-jfww-6c2q-w9rr : paquet npm malveillant tailwindcss-animatemotion
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : la version 1.0.7 requiert une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Action recommandée : Éviter la version concernée et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
GHSA-m8c8-f5hx-664g : paquet npm malveillant tailwindcss-visual-kit
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 0.0.0-stage et 1.3.6 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Action recommandée : Éviter ces versions et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
GHSA-8vv2-m423-rcx4 : paquet npm malveillant tailwindcss-keyframe-kit
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 3.0.0, 3.0.1 et 3.0.2 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Action recommandée : Éviter ces versions et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
GHSA-jqm8-4v5f-g79x : paquet npm malveillant tailwindcss-motionanimate
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : la version 1.0.1 requiert une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Action recommandée : Éviter la version concernée et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
Code malveillant dans tailwind-animatecss-kit
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animatecss-kit` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser la version 2.0.6 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.
Code malveillant dans tailwind-animaflow-kit
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animaflow-kit` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser la version 2.0.6 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.
Code malveillant dans tailwind-animate-kit
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animate-kit` dans les versions 2.0.6, 2.0.7 et 2.0.8. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser les versions 2.0.6, 2.0.7 ou 2.0.8 ; retirer ces versions et examiner les dépôts et environnements où elles ont été chargées.
Code malveillant dans tailwind-animationlab
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animationlab` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser la version 2.0.6 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.
Code malveillant dans animatecss-tailwind-plugin
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `animatecss-tailwind-plugin` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser la version 2.0.6 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.
Code malveillant dans tailwind-kinetic
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-kinetic` dans les versions 2.0.6 et 2.0.8. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser les versions 2.0.6 ou 2.0.8 ; retirer ces versions et examiner les dépôts et environnements où elles ont été chargées.
Code malveillant dans tailwind-keyframes
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-keyframes` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser la version 2.0.6 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.
Code malveillant dans animatecss-tailwind-binary
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `animatecss-tailwind-binary` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser la version 2.0.6 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.
Code malveillant dans tailwind-fabric
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-fabric` dans les versions 3.0.1 et 3.0.4. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser les versions 3.0.1 ou 3.0.4 ; retirer ces versions et examiner les dépôts et environnements où elles ont été chargées.
Code malveillant dans tailwind-css-keyframes
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-css-keyframes` en version 1.0.7. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.
Action recommandée : Ne pas utiliser la version 1.0.7 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.
Code malveillant dans animate-twcss-bridge
Un avis publié le 2026-10-20 signale du code malveillant dans animate-twcss-bridge 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animate-twcss-bridge 2.0.6 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans animate-twcss-pack
Un avis publié le 2026-10-20 signale du code malveillant dans animate-twcss-pack 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animate-twcss-pack 2.0.6 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans animate-tailwind-kit
Un avis publié le 2026-10-20 signale du code malveillant dans animate-tailwind-kit, versions 3.0.1 et 3.0.4, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animate-tailwind-kit 3.0.1 et 3.0.4 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans animatecss-tailwind-graphic
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-graphic 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animatecss-tailwind-graphic 2.0.6 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans signalledger-bridge
Un avis publié le 2026-10-20 signale du code malveillant dans signalledger-bridge 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer signalledger-bridge 2.0.6 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans animatecss-tailwind-presets
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-presets, versions 1.0.0 et 2.0.3, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animatecss-tailwind-presets 1.0.0 et 2.0.3 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans animatecss-tailwind-helper
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-helper 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animatecss-tailwind-helper 2.0.6 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans animatecss-tailwind-vectrix
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-vectrix, versions 2.0.6 et 2.0.7, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animatecss-tailwind-vectrix 2.0.6 et 2.0.7 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans animatecss-tailwind-luminary
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-luminary, versions 2.0.6 et 2.0.7, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer animatecss-tailwind-luminary 2.0.6 et 2.0.7 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Code malveillant dans signalledger-diagnostics
Un avis publié le 2026-10-20 signale du code malveillant dans signalledger-diagnostics 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.
Action recommandée : Retirer signalledger-diagnostics 2.0.6 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.
Bootstrap
Recherche du sujet effectuée
Aucun avis de sécurité Bootstrap daté de la période demandée n’a été vérifié dans les résultats consultés. La page des avis GitHub consultée indique qu’aucun avis n’y est publié; l’activité de dépôt relevée concernait notamment un correctif de dépendances du 2026-10-10, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a fait ressortir aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel daté du 2026-10-20 dans la période demandée. Les avis Webpack apparus dans les résultats consultés étaient datés d’autres périodes et ont donc été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Aucun avis, correctif de sécurité, signalement d’exploitation ou changement substantiel concernant esbuild daté de la période figée n’a été vérifié dans les sources consultées. Les avis GitHub consultés sur esbuild sont datés de juin 2026 ou de février 2025, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche web dédiée à Parcel n’a pas fait apparaître de vulnérabilité, correctif ou avis de sécurité vérifiable daté de la période demandée (du 2026-10-20T00:00:00+02:00 inclus au 2026-10-21T00:00:00+02:00 exclu). Les résultats Parcel repérés concernaient des avis antérieurs à cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a relevé neuf fiches NVD publiées le 20 octobre 2026 concernant des composants de l’écosystème Node.js : fast-uri (quatre CVE), launch-editor (trois CVE) et ApostropheCMS/module import-export (trois CVE). Les correctifs indiqués sont fast-uri 2.4.8/3.1.9/4.2.3, launch-editor 2.14.2, ApostropheCMS 4.34.0 et import-export 3.7.1; l’exploitation active n’est pas connue d’après les éléments examinés. Les candidats fournis concernent ApostropheCMS et des composants de son écosystème (dont sanitize-html et uploadfs), et non le produit Node.js lui-même. Aucun item ne relève donc du sujet demandé. Les fiches NVD fournies signalent, pour le 20 octobre 2026, dix vulnérabilités touchant ApostropheCMS, son extension Form et sanitize-html, ainsi qu’une vulnérabilité touchant follow-redirects. Les versions correctives indiquées dans ces fiches sont ApostropheCMS 4.33.0, ApostropheCMS Form 1.5.5, sanitize-html 2.18.0 et follow-redirects 1.16.1. Dix fiches NVD publiées le 20 octobre 2026 concernent ApostropheCMS et ses extensions : défauts d’autorisation, divulgation de données, problèmes d’import, perturbation de CAPTCHA, requêtes serveur et absence de limitation de tentatives. Les correctifs indiqués dans les fiches comprennent notamment ApostropheCMS 4.33.0, import-export 3.7.0, db-connect 1.1.0 et les versions corrigées des extensions concernées. Sept avis de sécurité publiés le 2026-10-20 dans le lot concernent des composants exécutés sur Node.js ou de son écosystème, notamment ApostropheCMS, Angular Router en SSR, uploadfs, launch-editor et markdown-it. Les correctifs et conditions d’impact sont repris dans les items; aucune exploitation active n’est établie par les éléments fournis.
Angular Router : déni de service par correspondance de routes auxiliaires en SSR
Avec le rendu côté serveur (SSR) sur Node.js, des segments de routes auxiliaires vides non configurés peuvent entraîner une reconnaissance répétée des routes et épuiser le processeur ou le tas mémoire. Mettez à niveau @angular/router vers une version corrigée; les applications Angular purement côté navigateur et le prérendu statique ne sont pas concernés selon l’avis.
Action recommandée : Mettre à niveau @angular/router vers 22.2.1, 21.2.25 ou 20.3.33 selon la branche utilisée; les versions antérieures à 20 sont indiquées sans correctif.
Angular Router : épuisement mémoire par rétention des paramètres de requête en SSR
Lorsque le SSR Node.js rend des directives RouterLink utilisant la fusion ou la conservation des paramètres de requête, les URL calculées peuvent retenir en mémoire des copies de ces paramètres pendant la requête. Mettez à niveau @angular/router vers 22.2.1 ou 21.2.25; les applications Angular sans SSR ne sont pas concernées selon l’avis.
Action recommandée : Mettre à niveau @angular/router vers 22.2.1 ou 21.2.25 selon la branche utilisée.
ApostropheCMS : suppression d’un membre partagé via un chemin de projection
Avec un adaptateur SQLite, PostgreSQL ou multipostgres, un compte disposant de l’accès aux brouillons peut fournir un chemin d’exclusion de projection traversant la chaîne de prototypes et conduire à la suppression d’un membre partagé à l’exécution. Cela peut affecter durablement l’intégrité et la disponibilité du processus ; l’adaptateur MongoDB par défaut n’est pas concerné, et la correction est apportée par db-connect 1.1.0 et ApostropheCMS 4.33.0.
Action recommandée : Mettre à niveau db-connect vers 1.1.0 et ApostropheCMS vers 4.33.0 ou ultérieurs.
markdown-it : déni de service algorithmique par définition de référence multilignes
markdown-it peut traiter en temps quadratique une définition de référence Markdown multilignes dont le libellé ou le titre reste ouvert, même avec les options par défaut. Si une application Node.js rend du Markdown contrôlé par un utilisateur, mettez à niveau vers markdown-it 14.3.3 ou 15.0.3 selon la branche utilisée.
Action recommandée : Mettre à niveau markdown-it vers 14.3.3 ou 15.0.3 selon la branche utilisée; limiter également la taille des entrées Markdown non fiables si une mise à niveau immédiate est impossible.
launch-editor : contournement de validation de fichier sous Windows
Sur Windows, la validation du nom de fichier dans launch-editor-middleware peut être contournée lorsqu’un argument contrôlé se termine par un composant parent suivi d’un suffixe de ligne et de colonne. La correction est disponible dans launch-editor 2.14.2; mettre à niveau, en particulier si le middleware est exposé à des entrées contrôlables.
Action recommandée : Mettre à niveau launch-editor vers 2.14.2 ou une version ultérieure.
ApostropheCMS : fichiers temporaires conservés après des uploads rejetés
Avant ApostropheCMS 4.33.0, la route publique de conversion CSV du texte riche stockait un téléversement multipart dans le répertoire temporaire avant de vérifier son extension, sans supprimer le fichier si la validation échouait. Des téléversements rejetés répétés et volumineux pouvaient durablement remplir le disque temporaire et perturber les services qui le partagent ; mettre à niveau vers 4.33.0.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0.
follow-redirects : fuite d’en-têtes d’authentification avec des en-têtes en tableau
Dans follow-redirects 1.16.0, les en-têtes sensibles n’étaient pas supprimés lors de redirections inter-hôtes ou vers un protocole moins sûr si les en-têtes étaient fournis sous forme de tableau de paires nom-valeur. Une application utilisant ce format et suivant une redirection contrôlée par un tiers pouvait transmettre des identifiants à la destination ; mettre à niveau vers 1.16.1.
Action recommandée : Mettre à niveau follow-redirects vers 1.16.1 ; examiner les appels qui fournissent les en-têtes sous forme de tableau et suivent des redirections externes.
ApostropheCMS : opérations de téléversement non autorisées avant le contrôle d’accès
Les routes d’import d’ApostropheCMS effectuent des opérations de téléversement et de traitement temporaire avant de vérifier les droits de l’utilisateur, permettant à des requêtes non authentifiées de déclencher ces opérations. Mettez à niveau ApostropheCMS vers 4.33.0 et le module import-export vers 3.7.0.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0 et import-export vers 3.7.0.
launch-editor : nom de fichier relatif interprété comme option d’éditeur
launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs plutôt que comme nom de fichier. Mettre à jour vers 2.14.2; l’impact dépend de l’éditeur choisi et des conditions locales permettant de créer l’entrée de système de fichiers concernée.
Action recommandée : Mettre à niveau launch-editor vers 2.14.2 ou une version ultérieure.
fast-uri : validation contournable d’un schéma encodé
fast-uri décode le composant schéma avec unescape() avant validation et peut ainsi produire un schéma actif à partir d’une entrée encodée. Mettre à jour vers une version corrigée; à défaut, refuser les signes « % » dans le schéma et appliquer une liste autorisée au schéma après normalisation.
Action recommandée : Mettre à jour fast-uri et valider les schémas après normalisation.
sanitize-html : valeurs meta refresh dangereuses conservées
Avant sanitize-html 2.18.0, une configuration non standard autorisant les éléments `meta refresh` et leurs attributs `http-equiv` et `content` pouvait conserver dans la valeur de rafraîchissement des destinations de script ou de redirection dangereuses. Mettre à niveau sanitize-html vers 2.18.0 et contrôler les configurations qui autorisent ces éléments et attributs.
Action recommandée : Mettre à niveau sanitize-html vers 2.18.0 et vérifier les configurations personnalisées autorisant `meta refresh`.
ApostropheCMS : pollution de prototype dans le contexte d’administration
Avant ApostropheCMS 4.33.0, un attaquant sans authentification pouvait construire une URL dont la chaîne de requête était interprétée par `apos.http.parseQuery` lorsqu’une victime authentifiée chargeait une page avec le bundle d’administration. Des clés spéciales pouvaient modifier les prototypes dans le navigateur et atteindre un point d’injection DOM dangereux ; mettre à niveau vers 4.33.0.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0.
fast-uri : divergence possible entre l’hôte vérifié et l’hôte canonisé
Pour les schémas HTTP, canonicalizeHost() peut accepter un hôte réécrit par le parseur WHATWG sans vérifier que toute l’entrée a été interprétée comme hôte. Mettre à jour fast-uri vers la version corrigée, ou rejeter les autorités comportant plusieurs « @ », tabulations ou retours à la ligne avant traitement.
Action recommandée : Mettre à jour fast-uri vers une version corrigée de la branche utilisée.
launch-editor : échappement incomplet des arguments de commande sous Windows
Sous Windows, launch-editor n’échappait pas le caractère % lors du passage d’arguments à cmd, ce qui pouvait permettre l’exécution de contenu malveillant dans des conditions nécessitant notamment qu’un attaquant puisse placer un fichier piégé. Mettez à niveau launch-editor et, le cas échéant, Vite ou vite-plus vers les versions corrigées indiquées dans l’avis.
Action recommandée : Mettre à niveau launch-editor vers 2.14.2 et les dépendances Vite ou vite-plus vers leurs versions corrigées respectives.
ApostropheCMS : XSS persistante via le champ couleur
Le champ couleur acceptait du contenu HTML ajouté après un préfixe rgb() ou hsl() valide, permettant à un utilisateur authentifié disposant de droits d’édition d’enregistrer une charge XSS persistante. Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
Action recommandée : Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
ApostropheCMS : énumération de slugs de documents non publics
Un utilisateur connecté pouvait interroger l’API slugTaken et déterminer si un slug existait parmi des documents privés, brouillons ou archivés, sans filtrage de permissions ou de type. Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
Action recommandée : Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
ApostropheCMS import-export : téléchargement possible d’archives d’export
Des noms prévisibles d’archives d’export pouvaient permettre à une personne non authentifiée de télécharger un export d’un autre utilisateur lorsque le stockage était publiquement lisible et que l’archive existait encore. Mettre à jour le module import-export vers 3.7.1 ou une version ultérieure et vérifier que le stockage des exports n’est pas public.
Action recommandée : Mettre à jour le module import-export et protéger le stockage des archives par authentification.
ApostropheCMS : contrôle d’accès insuffisant sur des objets utilisateur exposés
Avant ApostropheCMS 4.33.0, des visiteurs anonymes pouvaient obtenir certains champs d’objets utilisateur exposés dans des relations ou une API publique lorsque les templates n’appliquaient pas correctement les contrôles `viewRole`. Mettre à niveau vers 4.33.0 ; l’avis précise que les relations ne publient pas automatiquement les objets complets et que les hachages de mots de passe ne sont pas concernés.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0 et vérifier les templates et API publiques qui exposent des objets utilisateur.
sanitize-html : contenu noscript pouvant échapper à la suppression
Avant sanitize-html 2.18.0, une configuration non standard de `nonTextTags` incluant `noscript` pouvait laisser sortir trop tôt la région à supprimer lorsque htmlparser2 traitait une fermeture implicite d’ancêtre. Du contenu destiné à rester inerte pouvait alors être rendu par un navigateur avec les scripts activés ; mettre à niveau sanitize-html vers 2.18.0.
Action recommandée : Mettre à niveau sanitize-html vers 2.18.0 ; examiner les configurations personnalisées de `nonTextTags`, notamment celles incluant `noscript`.
ApostropheCMS : contournement d’autorisation lors du classement de pages
Avant ApostropheCMS 4.33.0, un éditeur authentifié disposant de droits de modification sur une page existante pouvait modifier l’ordre de pages sœurs sous un parent restreint sans autorisation de création sur ce parent. Le défaut exige une imbrication non standard déjà existante et ne permet pas, selon la fiche, de créer cette imbrication ni de modifier arbitrairement le contenu ; mettre à niveau vers 4.33.0.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0.
ApostropheCMS Form : téléversements sans limites pouvant épuiser le disque temporaire
Avant la version 1.5.5 de l’extension ApostropheCMS Form, la route de soumission acceptait des téléversements multipart sans limites de taille, de nombre ou de débit et les stockait avant validation ou authentification. Des soumissions répétées sans authentification pouvaient épuiser l’espace disque temporaire et perturber le traitement des formulaires ou d’autres services ; mettre à niveau l’extension vers 1.5.5.
Action recommandée : Mettre à niveau ApostropheCMS Form vers 1.5.5.
ApostropheCMS : divulgation de l’existence de documents restreints
Avant ApostropheCMS 4.33.0, l’API `exist-in-locale` permettait à un utilisateur authentifié de faible privilège de découvrir l’existence de documents restreints dans une locale et un mode donnés, y compris en brouillon. La route renvoyait des identifiants de documents localisés sans appliquer les contrôles d’autorisation de consultation ou de modification ; mettre à niveau vers 4.33.0.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0.
ApostropheCMS : mise à jour d’import pouvant viser un document inattendu
Un utilisateur authentifié disposant d’un droit d’import peut fournir un objet ou un opérateur comme valeur de clé de mise à jour, ce qui peut faire correspondre un document existant qu’il est autorisé à modifier. Le filtre normal de permission d’édition reste appliqué ; la faille est corrigée dans le module import-export 3.7.0.
Action recommandée : Mettre à niveau le module import-export vers la version 3.7.0 ou ultérieure.
ApostropheCMS : arrêt possible du processus lors d’un import tar
Un importeur authentifié peut soumettre une entrée tar dont la destination normalisée vise un répertoire et déclenche une erreur de système de fichiers non gérée lors de l’ouverture en écriture. Cette erreur peut arrêter le processus Node.js ; la fiche ne démontre ni exploit complet ni lecture ou écriture arbitraire de fichiers, et le problème est corrigé dans import-export 3.7.0.
Action recommandée : Mettre à niveau le module import-export vers la version 3.7.0 ou ultérieure.
ApostropheCMS : manipulation des requêtes de vérification CAPTCHA
Les intégrations CAPTCHA concernées insèrent dans la requête de vérification un jeton de réponse fourni par l’utilisateur sans l’encoder. Des jetons construits peuvent perturber la vérification et les parcours de formulaire ou de connexion protégés, mais la source n’établit ni contournement réussi du CAPTCHA ni divulgation de secrets ; des versions corrigées sont disponibles pour les trois extensions.
Action recommandée : Mettre à niveau Form vers 1.5.5, login-recaptcha vers 1.2.1 et login-hcaptcha vers 1.3.0 ou ultérieurs, selon les extensions utilisées.
ApostropheCMS : divulgation de l’existence et des locales de documents sans contrôle d’accès
Une route REST ApostropheCMS permettant de consulter les locales d’un document n’applique pas le contrôle d’accès utilisé par les routes de lecture voisines. Une requête non authentifiée peut ainsi révéler l’existence d’un document et ses métadonnées de publication; mettez ApostropheCMS à niveau vers 4.33.0.
Action recommandée : Mettre à niveau apostrophe vers 4.33.0.
ApostropheCMS : risque d’adoption de session lors d’une migration
Avant ApostropheCMS 4.33.0 et passport-bridge 1.6.1, la migration de session entre hôtes ou locales place dans l’URL de redirection un jeton porteur à usage unique. Un tiers qui obtient ce jeton valide et le consomme avant son usage initial peut adopter la session associée ; les versions indiquées corrigent le problème.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.33.0 et passport-bridge vers 1.6.1 ou ultérieurs.
ApostropheCMS : accès non autorisé au contenu de pages
Avant ApostropheCMS 4.33.0, l’API REST des pages lit certains documents avec les contrôles de permission désactivés, y compris dans la réponse d’arborescence complète. Des visiteurs non authentifiés ou des contributeurs peu privilégiés peuvent ainsi accéder à du contenu réservé ou non public ; la version 4.33.0 corrige la faille.
Action recommandée : Mettre à niveau ApostropheCMS vers la version 4.33.0 ou ultérieure.
ApostropheCMS AI helper : requêtes serveur vers une origine contrôlée
Dans les versions bêta concernées de l’AI helper, un éditeur autorisé à générer des images peut déclencher une requête côté serveur vers un hôte, port et origine HTTP choisis par un attaquant lorsque le stockage relatif local est configuré sans URL de base globale de confiance. La portée reste limitée au chemin fixe des téléversements et ne concerne pas les configurations à stockage absolu ou avec URL fournisseur enregistrée ; la version 1.0.0-beta.13 corrige le problème.
Action recommandée : Mettre à niveau AI helper vers 1.0.0-beta.13 ou ultérieure et vérifier la configuration du stockage et de l’URL de base.
ApostropheCMS : absence de limitation des essais du mot de passe actuel
Avant ApostropheCMS 4.33.0, le point d’accès de changement de mot de passe vérifie le mot de passe actuel mais ne tient pas compte du compteur d’échecs, du délai, de la limitation de débit ni du verrouillage du module de connexion. Un attaquant disposant d’une session authentifiée valide peut donc multiplier les essais sur le mot de passe actuel sans ces protections ; la version 4.33.0 corrige le problème.
Action recommandée : Mettre à niveau ApostropheCMS vers la version 4.33.0 ou ultérieure.
fast-uri : un chemin relatif peut être réinterprété comme URI absolue
Avec l’option non par défaut reference=suffix, fast-uri peut sérialiser un chemin relatif dont le premier segment contient un deux-points nu, le faisant réinterpréter comme URI absolue. Mettre à jour fast-uri ou éviter cette option sur des entrées non fiables et encoder le deux-points du premier segment.
Action recommandée : Mettre à jour fast-uri; éviter reference=suffix sur des entrées non fiables.
sanitize-html : contournement de la protection des URL dans certains SVG
Dans sanitize-html 2.17.7 à 2.17.x, une configuration autorisant certains éléments SVG d’animation préfixés par un espace de noms et des attributs ciblant des URL pouvait contourner la protection SMIL. Après rendu du SVG, un lien pouvait être réécrit vers une URI dangereuse et exécuter un script lorsque l’utilisateur l’activait ; le défaut n’affecte pas sans condition la configuration par défaut, et la correction est disponible dans la version 2.18.0.
Action recommandée : Mettre à niveau sanitize-html vers 2.18.0 et vérifier les configurations SVG personnalisées autorisant les éléments d’animation préfixés.
uploadfs : traversée de chemin dans le backend de stockage local
Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire de téléversement, ce qui permet une traversée de répertoires. Mettez à niveau uploadfs vers 1.28.0; la source décrit un risque de lecture, écriture ou suppression de fichiers hors du répertoire prévu.
Action recommandée : Mettre à niveau uploadfs vers 1.28.0.
ApostropheCMS : modification ou suppression non autorisée de notifications
Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB sans vérifier l’authentification ni la propriété de la notification. Un attaquant non authentifié connaissant un identifiant valide peut modifier ou supprimer définitivement la notification d’un autre utilisateur ; la correction est incluse dans la version 4.33.0.
Action recommandée : Mettre à niveau ApostropheCMS vers la version 4.33.0 ou ultérieure.
fast-uri : une référence relative peut sortir de son répertoire attendu
La normalisation d’une référence relative peut supprimer un segment « .. » et la faire pointer hors du répertoire attendu. Mettre à jour fast-uri vers la version corrigée correspondant à sa branche, ou résoudre d’abord la référence contre sa base absolue avant de la normaliser.
Action recommandée : Mettre à jour fast-uri vers une version corrigée de la branche utilisée.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée sur Python a identifié dix avis Pillow (CVE-2026-112392 et CVE-2026-112396 à CVE-2026-112404) dont les publications NVD, converties en heure +02:00, tombent dans la période demandée. Tous indiquent Pillow 13.0.0 comme version corrective; aucun élément vérifié ne confirme une exploitation active. Aucune vulnérabilité retenue dans la période demandée : les fiches NVD fournies indiquent une publication le 19 octobre 2026, avant le début de la période. Leur mise à jour le 20 octobre ne suffit pas, à elle seule, à établir un changement substantiel daté dans la période. Les fiches NVD fournies signalent deux vulnérabilités de Pillow et cinq de filelock, publiées pendant la période retenue au fuseau +02:00. Les correctifs indiqués sont Pillow 13.0.0 et filelock 4.2.1 ; les autres candidats concernent des applications distinctes et ne sont pas des vulnérabilités du sujet Python retenu. Les candidats fournis décrivent neuf vulnérabilités de filelock, une de FlexGet et une de virtualenv, toutes publiées par la NVD le 2026-10-20 dans la période demandée. Les versions correctives indiquées dans les fiches sont filelock 4.0.9 ou 4.2.1 selon la vulnérabilité, FlexGet 3.20.7 et virtualenv 21.14.10 ; aucune information sur une exploitation active n’est établie par ces éléments. Les candidats fournis décrivent dix vulnérabilités de virtualenv publiées par NVD le 20 octobre 2026, toutes corrigées dans la version 21.14.9. Les impacts signalés comprennent des contournements de vérification, des écritures ou suppressions hors destination et des exécutions de commandes dans des conditions spécifiques. Les sources fournies décrivent, pendant la période demandée, deux avis de sécurité concernant virtualenv, un avis sur certifi, un sur aiohttp et six avis distincts concerna…
Paquet PyPI malveillant déclenché au chargement de Python
Un paquet PyPI malveillant, `security-research-startup-snapshot-810764b303` version 0.1.0, a été signalé le 2026-10-20. Son fichier `.pth` s’exécute au chargement de Python et collecte notamment des données système et des informations provenant de points d’accès cloud.
Action recommandée : Éviter d’installer ce paquet. Si la version 0.1.0 a été installée, la supprimer et examiner l’environnement ainsi que les données locales et informations d’accès potentiellement exposées.
Pillow : débordement de tampon lors du décodage JPEG FlashPix
Pillow avant 13.0.0 peut écrire au-delà du tampon alloué pour une tuile JPEG FlashPix dans certaines conditions de décodage. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; le scénario décrit implique notamment la dépendance optionnelle olefile.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; évaluer l’exposition des applications qui ouvrent des fichiers non fiables avec olefile installé.
Pillow : dépassement de tampon lors du décodage de JPEG sans perte redimensionnés
Pillow jusqu’à la version 12.3.0 présente un dépassement de tampon sur le tas lors du décodage de certains JPEG sans perte dont l’image est redimensionnée par `draft()`. Les dimensions de sortie utilisées par libjpeg-turbo peuvent dépasser celles du tampon alloué, entraînant une écriture hors limites avant que le décodage ne signale une erreur.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
FlexGet : traversée de chemin dans le plugin decompress
Le plugin decompress de FlexGet présente une traversée de chemin lors du traitement d’archives, permettant à un attaquant distant de faire écrire des fichiers arbitraires. Des fichiers Python déposés dans le répertoire des plugins peuvent entraîner une exécution de code ; la version 3.20.7 corrige le problème.
Action recommandée : Mettre à niveau FlexGet vers la version 3.20.7 ou ultérieure et éviter de traiter des archives non fiables avec les versions vulnérables.
certifi : risque d’interception TLS lié à des clés intermédiaires emSign compromises
Les versions de `certifi` antérieures à 2026.10.19 incluaient une racine emSign associée à huit certificats intermédiaires dont les clés privées étaient compromises et révoquées. Un attaquant disposant d’une clé compromise et placé sur le chemin réseau pouvait présenter des certificats valides en apparence et intercepter ou modifier le trafic TLS des clients concernés.
Action recommandée : Mettre à niveau certifi vers 2026.10.19 ou une version ultérieure et reconstruire les images de conteneur qui embarquent certifi.
Pillow : crash lors du filtrage d’une image de taille nulle
Pillow avant 13.0.0 peut planter lorsqu’un filtre de rang est appliqué à une image de taille nulle. Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Pillow : accès hors limites en morphologie sur une image de largeur nulle
Pillow accepte une image PPM ou PGM de largeur nulle; l’application de certaines opérations de morphologie peut alors indexer une position hors limites dans le code natif. Le résultat documenté est un plantage du processus et un risque de corruption mémoire.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; éviter d’appliquer des opérations de morphologie à des images de largeur nulle.
Pillow : épuisement mémoire lors de l’ouverture d’un APNG
Pillow de 8.1.0 à une version antérieure à 13.0.0 peut allouer le canevas complet d’un APNG avant le contrôle anti-bombe de décompression. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; limiter le traitement d’images non fiables si la mise à niveau est différée.
Pillow : dimensions GIF rejetées conservées après une erreur de décompression
Dans Pillow, le rejet d’une frame GIF trop grande peut laisser ses dimensions sur l’objet image après une exception `DecompressionBombError`. Si une application intercepte l’erreur puis réutilise l’objet, des opérations ultérieures peuvent allouer une quantité excessive de mémoire et provoquer un déni de service.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; éviter de réutiliser un objet image après une `DecompressionBombError`.
Pillow : double libération mémoire lors d’une transformation
Pillow avant 13.0.0 peut libérer deux fois la mémoire d’une image si une allocation sélective échoue pendant certaines transformations. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; examiner les transformations d’images de grande taille avec des entrées non fiables.
Pillow : lecture hors limites dans des chemins de décodage TIFF
Pillow de 8.1.0 à une version antérieure à 13.0.0 peut lire au-delà des données de ligne produites par libtiff dans certains chemins de décodage TIFF. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; limiter le traitement de TIFF non fiables avant mise à niveau.
filelock : opérations SQLite sur des fichiers auxiliaires manipulables
Dans filelock sur POSIX, ReadWriteLock laisse SQLite rouvrir la base et ses fichiers auxiliaires par nom, ce qui peut exposer des opérations de remplacement ou de suppression. La faille concerne les versions 3.20.4 à 4.2.0 et est corrigée en 4.2.1.
Action recommandée : Mettre à niveau filelock vers la version 4.2.1.
virtualenv : exécution de code via un script d’activation xonsh
Avant virtualenv 21.14.9, le script d’activation POSIX pour xonsh pouvait encoder des données non ASCII en UTF-8 alors que xonsh le lisait avec un encodage multioctet ancien. Dans certaines configurations, un utilisateur influençant le prompt ou la destination pouvait provoquer l’exécution d’instructions lorsqu’un autre utilisateur source le script généré.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : exécution de commandes via les lanceurs POSIX générés
Avant virtualenv 21.14.9, des chemins d’interpréteur contenant des espaces ou produisant un shebang de plus de 127 octets pouvaient générer un lanceur POSIX dont le chemin entre guillemets laissait interpréter des substitutions de commande. Un attaquant influençant la destination peut ainsi faire exécuter des commandes avec les privilèges de l’utilisateur lorsque celui-ci lance le script; la création ou l’activation seule ne déclenche pas l’exécution.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou ultérieure et régénérer les lanceurs existants affectés.
virtualenv : injection de syntaxe dans le prompt d’activation bash
Avant virtualenv 21.14.9, le texte de prompt fourni par l’appelant pouvait être interprété comme une syntaxe exécutable dans le prompt du script d’activation bash. L’exploitation exige qu’un attaquant influence ce texte puis qu’un utilisateur active l’environnement et affiche le prompt.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : exécution de commandes dans Bash via un nom d’environnement mal échappé
Avant la version 21.14.7, le script d’activation Bash de `virtualenv` n’échappe pas correctement le nom de l’environnement lors des deux traitements de `PS1`. Un nom contenant une barre oblique inverse et une substitution de commande peut alors provoquer l’exécution de commandes dans le shell de l’utilisateur à chaque affichage de l’invite.
Action recommandée : Mettre à niveau vers virtualenv 21.14.7 ou une version ultérieure.
Pillow : récursion non bornée lors de l’analyse de certains PDF
Pillow peut subir une récursion non bornée lors de l’analyse d’un PDF existant auquel une application veut ajouter du contenu. Un arbre de pages cyclique ou dupliqué, ou une longue chaîne de trailers à offsets uniques, peut provoquer une consommation importante de ressources ou faire échouer le traitement.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Pillow : use-after-free lors de l’encodage TIFF en mémoire
Pillow de 11.3.0 à une version antérieure à 13.0.0 peut subir un use-after-free lors de l’encodage TIFF en mémoire après le rejet d’un tag par libtiff. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Pillow : consommation CPU excessive à l’analyse de commentaires GIF
Pillow de 5.4.0 à une version antérieure à 13.0.0 peut effectuer des copies quadratiques lors de l’analyse des commentaires GIF. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; filtrer ou limiter les GIF non fiables en attendant.
filelock : blocage possible de ReadWriteLock via une base SQLite
Dans filelock, ReadWriteLock peut être bloqué par une base SQLite de verrouillage dont le schéma et le travail de requête ne sont pas bornés. La faille concerne les versions 3.20.4 à 4.2.0 et est corrigée en 4.2.1.
Action recommandée : Mettre à niveau filelock vers la version 4.2.1.
filelock : substitution possible d’enregistrements de SoftReadWriteLock
Dans filelock, SoftReadWriteLock actualise les enregistrements des détenteurs en se fondant sur leur nom, ce qui permet de détourner une opération de verrouillage. Selon les permissions locales, cela peut bloquer le verrou ou permettre une écriture via un lien physique ; la correction est disponible en 4.2.1.
Action recommandée : Mettre à niveau filelock vers la version 4.2.1.
filelock : risque de double détenteur avec SoftFileLock
Dans filelock, SoftFileLock peut supprimer un marqueur de verrou encore valide à la suite d’une course lors de la détection d’un marqueur obsolète. Deux détenteurs peuvent alors être admis simultanément ; la faille est corrigée en 4.2.1.
Action recommandée : Mettre à niveau filelock vers la version 4.2.1.
filelock : détournement du chemin SQLite par lien symbolique
Dans filelock, ReadWriteLock et AsyncReadWriteLock ne rejettent pas un lien symbolique final avant de transmettre le chemin à SQLite. Un utilisateur local pouvant créer des noms dans le répertoire de verrouillage peut détourner ou scinder le verrouillage ; la correction est en 4.0.9.
Action recommandée : Mettre à niveau filelock vers la version 4.0.9 ou ultérieure.
filelock : suppression possible d’un répertoire lors du nettoyage
Dans filelock, le nettoyage de ReadWriteLock peut supprimer un répertoire privé `.filelock-*` à la suite d’une manipulation locale de noms. La faille affecte les versions 4.1.0 à 4.2.0 et est corrigée en 4.2.1.
Action recommandée : Mettre à niveau filelock vers la version 4.2.1.
filelock : falsification du PID dans un marqueur SoftFileLock
Dans filelock, SoftFileLock peut faire confiance à un identifiant de processus forgé dans un marqueur modifiable, mais non supprimable. Un processus autorisé peut alors supprimer le marqueur actif et permettre un second détenteur ; la correction est en 4.2.1.
Action recommandée : Mettre à niveau filelock vers la version 4.2.1.
virtualenv : environnement créé lié à des fichiers temporaires supprimés
Dans virtualenv, le seeder app-data peut créer un environnement lié à des fichiers temporaires de paquets ensuite supprimés. Les formes par variable d’environnement ou fichier de configuration de `symlink_app_data` peuvent déclencher cette situation ; la correction est incluse dans la version 21.14.10.
Action recommandée : Mettre à niveau virtualenv vers la version 21.14.10.
virtualenv : écritures hors de la destination via des liens symboliques
Avant virtualenv 21.14.9, le créateur builtin acceptait certains répertoires déjà présents sous forme de liens symboliques. Lorsqu’un autre compte local préparait l’arborescence et que l’utilisateur avait accès à la cible, la création de l’interpréteur, l’installation des paquets d’amorçage ou la génération des scripts pouvait écrire en dehors du répertoire demandé.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : suppression de fichiers hors environnement lors du réamorçage
Avant virtualenv 21.14.9, des métadonnées de paquets présentes dans une destination réutilisée pouvaient faire supprimer des fichiers en dehors de l’environnement lors de la réinstallation des paquets d’amorçage. Cette situation nécessite des métadonnées influencées par un autre compte local et des droits de suppression de l’utilisateur sur les chemins concernés; les environnements neufs et la création avec `–clear` n’empruntent pas ce chemin.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : permissions trop ouvertes sur les fichiers copiés depuis le cache
Avant virtualenv 21.14.9, le seeder app-data copiait les modes de fichiers du cache au lieu de respecter le umask de l’exécution courante. Un cache créé sous un umask permissif pouvait donc rendre des fichiers de paquets modifiables par un autre compte local dans un environnement accessible, puis permettre l’exécution de code modifié par le propriétaire de l’environnement.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : redirection d’écritures par des liens prépositionnés
Avant virtualenv 21.14.9, certains liens symboliques ou matériels déjà présents dans la destination pouvaient rediriger l’écriture de fichiers générés hors de l’arborescence demandée. Un autre compte local doit préparer les entrées finales dans la destination; le contenu écrit est limité à celui produit par virtualenv.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : modification de permissions via un lien symbolique dans le traitement d’erreur de suppression
Avant la version 21.14.9, le gestionnaire d’erreur de suppression de `virtualenv` peut suivre un lien symbolique lorsqu’il modifie les permissions avant de réessayer. Dans certaines conditions, un utilisateur peut ainsi rendre largement accessible en écriture un fichier qu’il possède hors du répertoire ciblé.
Action recommandée : Mettre à niveau vers virtualenv 21.14.9 ou une version ultérieure.
aiohttp : désynchronisation de requêtes avec l’analyseur HTTP purement Python
L’analyseur HTTP purement Python d’aiohttp est vulnérable à une attaque par désynchronisation de requêtes lorsque l’application utilise ce parseur. L’avis indique que le parseur par défaut en C constitue une solution de contournement.
Action recommandée : Mettre à niveau vers aiohttp 3.14.4 ou une version ultérieure; à défaut, utiliser le parseur C par défaut.
filelock : redirection d’écritures dans l’arborescence SoftReadWriteLock
Dans filelock, SoftReadWriteLock et AsyncSoftReadWriteLock réutilisent une vérification antérieure de l’arborescence `.rw`, puis résolvent de nouveau ses noms lors des opérations sur les enregistrements. Un utilisateur local peut remplacer cette arborescence après la première acquisition et rediriger certaines écritures ; la correction est en 4.2.1.
Action recommandée : Mettre à niveau filelock vers la version 4.2.1.
virtualenv : vérification insuffisante de certains paquets téléchargés
Avant virtualenv 21.14.9, le téléchargement d’un paquet pouvait laisser dans le cache un fichier rejeté sans vérification, dans certaines conditions liées à la sortie de pip et à un index contrôlé. Cela peut permettre la sélection ultérieure d’une archive non vérifiée; la faille ne contourne pas à elle seule TLS et ne prouve pas un contrôle de PyPI.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : injection de paramètres dans pyvenv.cfg via le chemin de destination
Avant virtualenv 21.14.9, le créateur stdlib venv pouvait interpréter des caractères de séparation de ligne présents dans le chemin de destination comme des entrées supplémentaires de pyvenv.cfg. Un appelant non fiable capable d’influencer ce chemin pouvait modifier des paramètres tels que home ou include-system-site-packages et affaiblir l’isolation de l’environnement.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
virtualenv : contournement de la comparaison de condensat lors du téléchargement par pip
Avant virtualenv 21.14.9, le chemin d’installation utilisant `–seeder pip –download` pouvait contourner la vérification du condensat SHA-256 de PyPI pour un paquet correspondant à celui intégré. Le défaut concerne la comparaison activée pour l’index par défaut et ne contourne pas à lui seul TLS ni n’établit le contrôle de la réponse de l’index.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure.
Pillow : lecture hors limites à l’encodage TIFF avec une ColorMap incompatible
Pillow peut provoquer une lecture hors limites lors de l’enregistrement en TIFF d’une image 16 bits dont les métadonnées conservées contiennent une palette `ColorMap` de taille incompatible. L’avis documente un dépassement lors de l’encodage, mais ne démontre pas l’extraction de contenu mémoire arbitraire.
Action recommandée : Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Java
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé six CVE du SDK A2A Java, une vulnérabilité de l’application Android Shortcutter signalée dans un fichier Java et une vulnérabilité de Stirling-PDF liée à l’exécution de méthodes Java lors d’un import H2. Les fiches NVD fournies datent ces publications du 2026-10-20; des avis GitHub associés aux CVE-2026-111761, CVE-2026-111763 et CVE-2026-111764 ont également été repérés. Deux avis GitHub publiés le 20 octobre 2026 concernent le A2A Java SDK : une fuite possible d’en-têtes d’authentification lors de redirections du client Android (CVE-2026-111765) et la journalisation de secrets de notification push après une erreur d’analyse JSON (CVE-2026-111762).
Stirling-PDF : contournement des restrictions d’import H2
Stirling-PDF versions 2.13.2 à 3.2.0 permet à un administrateur authentifié de contourner les restrictions d’import H2 au moyen d’un fichier SQL spécialement préparé. Le contournement peut conduire à l’exécution de méthodes Java lors de la restauration de la base de données.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et limiter l’accès aux fonctions d’import de base de données aux administrateurs de confiance.
A2A Java SDK Android : identifiants transférés lors de redirections
Dans les versions Android du SDK A2A Java allant de 1.3.0.Final à 1.3.1.Final, le chemin POST synchrone peut suivre des redirections malgré le réglage destiné à les désactiver. Des en-têtes d’authentification personnalisés peuvent alors être transmis à une autre autorité.
Action recommandée : Mettre à niveau vers A2A Java SDK 1.3.2.Final ou une version ultérieure.
A2A Java SDK : contrôle d’autorisation absent par défaut sur les tâches
Dans la configuration par défaut du magasin de tâches A2A Java, la lecture d’une tâche ne vérifie pas que l’appelant est autorisé à y accéder. Dans un déploiement multi-appelants, la connaissance ou la découverte de l’identifiant d’une tâche peut permettre de consulter son état, son historique et ses artefacts.
Action recommandée : Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure; vérifier que l’autorisation des tâches est effectivement activée.
A2A Java SDK : identifiants de notification push exposés dans les journaux
En cas d’échec de désérialisation protobuf d’une requête, le gestionnaire REST du SDK A2A Java journalise le corps JSON complet. Si les champs concernés contiennent des jetons ou identifiants de notification push, ceux-ci peuvent se retrouver en clair dans les journaux.
Action recommandée : Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure; restreindre l’accès aux journaux contenant potentiellement des données sensibles.
A2A Java SDK : requêtes serveur vers des destinations non validées
Avec les notifications push activées, le SDK A2A Java peut envoyer des données de tâche à une destination choisie par un appelant sans validation suffisante de l’adresse ni restriction des redirections. Selon le routage réseau, un attaquant non authentifié peut provoquer des requêtes vers des destinations locales ou internes.
Action recommandée : Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure.
A2A Java SDK : fuite de clé API lors d’une redirection
Le client JDK du SDK A2A Java peut placer une clé API dans un en-tête dont le nom est fourni par la fiche AgentCard distante, sans vérifier que l’emplacement déclaré est bien un en-tête. Avec les redirections suivies par le client, un agent malveillant ou compromis peut faire transférer la clé vers un serveur tiers.
Action recommandée : Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure.
Shortcutter 2 App : exportation incorrecte de composants Android
Une mauvaise exportation de composants Android dans Shortcutter 2 App peut être déclenchée localement par la fonction Class.forName de ToggleGeneric.java. Les versions concernées incluent la 9.0.48; le fournisseur indique que la version 9.0.90 corrige le problème.
Action recommandée : Mettre à niveau vers Shortcutter 2 App 9.0.90.
TYPO3
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux CVE liées à TYPO3 ont été publiées le 20 octobre 2026 : une faille de contrôle d’accès dans l’extension FAL Protect, et l’exposition d’une clé API OpenAI dans le backend d’une extension utilisée avec TYPO3 10 et 11.
CVE-2026-113459 — Exposition de la clé API OpenAI dans le backend TYPO3
Dans les versions de l’extension concernées utilisées avec TYPO3 10 et 11, une clé API OpenAI configurée était intégrée aux pages du backend. Tout utilisateur authentifié du backend pouvait la lire et l’utiliser aux frais de l’exploitant du site.
Action recommandée : Vérifier si l’extension concernée et une clé API OpenAI sont configurées; limiter l’accès au backend et faire tourner la clé exposée. Aucun correctif précis n’a été établi dans les sources consultées.
CVE-2026-112069 — Contournement du contrôle d’accès dans FAL Protect
Dans FAL Protect, des fichiers stockés avec un chemin de base relatif non standard pouvaient être servis sans contrôle d’accès, mais la faille ne concerne que les sites sous TYPO3 14.3. Mettre à jour l’extension vers la version 1.8.2 ou ultérieure.
Action recommandée : Mettre à jour FAL Protect vers 1.8.2 ou une version ultérieure; vérifier les stockages configurés avec un chemin de base relatif non standard sur TYPO3 14.3.
Drupal
Recherche du sujet effectuée
La recherche ciblée n’a pas vérifié de nouvel avis Drupal, correctif, exploitation ou changement substantiel daté du 2026-10-20 dans la période demandée. Les avis Drupal visibles dans les résultats consultés étaient datés du 2026-10-14 ou d’avant, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Vérification incomplète
Une annonce préalable concernant une mise à jour de sécurité de YOOtheme Pro 5 a été signalée le 20 octobre. Les détails techniques et le correctif annoncé pour le lendemain ne sont pas vérifiés dans la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Recherche du sujet effectuée
La recherche dédiée a retrouvé des informations Adobe sur la mise à jour de sécurité APSB26-153, publiée le 13 octobre 2026, ainsi que sur des articles de suivi mis à jour le 16 octobre 2026. Ces dates sont antérieures à la période demandée, qui commence le 20 octobre 2026 à 00:00 (+02:00) ; aucun élément vérifié dans les résultats consultés ne satisfait donc le critère temporel. Aucun candidat n’ayant été fourni, evidence_review est vide.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée a repéré l’avis Adobe APSB26-153, publié le 2026-10-13, donc avant la période demandée. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-20 n’a été vérifié pour Adobe Commerce dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée sur Fooocus n’a pas identifié de vulnérabilité, correctif, avis de sécurité, exploitation ou changement substantiel publié pendant la période figée du 2026-10-20T00:00:00+02:00 au 2026-10-21T00:00:00+02:00. Un avis relatif à CVE-2025-31114 a été trouvé, mais sa publication est datée du 2026-07-24, hors de cette période; il n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
49 alerte(s)GHSA-6hg9-v89p-9w82 : paquet npm malveillant tailwindcss-animate-catalog
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : ses versions 2.0.6 et 2.0.7 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter…
Source : GHSA-6hg9-v89p-9w82 — Malicious code in tailwindcss-animate-catalog (npm)
GHSA-259h-r4vh-ph5j : paquet npm malveillant tailwindcss-effect-lab
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 0.0.0-stage et 1.6.7 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’ex…
Source : GHSA-259h-r4vh-ph5j — Malicious code in tailwindcss-effect-lab (npm)
GHSA-jfww-6c2q-w9rr : paquet npm malveillant tailwindcss-animatemotion
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : la version 1.0.7 requiert une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargemen…
Source : GHSA-jfww-6c2q-w9rr — Malicious code in tailwindcss-animatemotion (npm)
GHSA-m8c8-f5hx-664g : paquet npm malveillant tailwindcss-visual-kit
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 0.0.0-stage et 1.3.6 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’ex…
Source : GHSA-m8c8-f5hx-664g — Malicious code in tailwindcss-visual-kit (npm)
GHSA-8vv2-m423-rcx4 : paquet npm malveillant tailwindcss-keyframe-kit
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 3.0.0, 3.0.1 et 3.0.2 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’e…
Source : GHSA-8vv2-m423-rcx4 — Malicious code in tailwindcss-keyframe-kit (npm)
GHSA-jqm8-4v5f-g79x : paquet npm malveillant tailwindcss-motionanimate
L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : la version 1.0.1 requiert une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargemen…
Source : GHSA-jqm8-4v5f-g79x — Malicious code in tailwindcss-motionanimate (npm)
Code malveillant dans tailwind-animatecss-kit
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animatecss-kit` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récu…
Source : GHSA-q56v-wqww-c9pm — Malicious code in tailwind-animatecss-kit (npm)
Code malveillant dans tailwind-animaflow-kit
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animaflow-kit` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récup…
Source : GHSA-2hh6-9wwc-7j9w — Malicious code in tailwind-animaflow-kit (npm)
Code malveillant dans tailwind-animate-kit
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animate-kit` dans les versions 2.0.6, 2.0.7 et 2.0.8. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge ut…
Source : GHSA-pvxf-hc22-hp2x — Malicious code in tailwind-animate-kit (npm)
Code malveillant dans tailwind-animationlab
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-animationlab` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupé…
Source : GHSA-wrp2-f9jg-g5qx — Malicious code in tailwind-animationlab (npm)
Code malveillant dans animatecss-tailwind-plugin
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `animatecss-tailwind-plugin` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été r…
Source : GHSA-gqf2-w3vm-g87w — Malicious code in animatecss-tailwind-plugin (npm)
Code malveillant dans tailwind-kinetic
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-kinetic` dans les versions 2.0.6 et 2.0.8. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas…
Source : GHSA-h6pg-m44p-2×74 — Malicious code in tailwind-kinetic (npm)
Code malveillant dans tailwind-keyframes
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-keyframes` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée…
Source : GHSA-94m4-x888-pgf4 — Malicious code in tailwind-keyframes (npm)
Code malveillant dans animatecss-tailwind-binary
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `animatecss-tailwind-binary` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été r…
Source : GHSA-5fhm-3gq2-6gj8 — Malicious code in animatecss-tailwind-binary (npm)
Code malveillant dans tailwind-fabric
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-fabric` dans les versions 3.0.1 et 3.0.4. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas…
Source : GHSA-jm3w-rxjc-9rp6 — Malicious code in tailwind-fabric (npm)
Code malveillant dans tailwind-css-keyframes
Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-css-keyframes` en version 1.0.7. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récup…
Source : GHSA-qpfh-v8qh-gq5m — Malicious code in tailwind-css-keyframes (npm)
Google ADK TypeScript : traversée de chemin dans FileArtifactService
Dans `FileArtifactService`, des séquences de traversée de chemin fournies dans `userId` ou `sessionId` peuvent permettre à un attaquant distant non authentifié de lire des fichiers ou, lorsque l’outil d’agent appelle `saveArtifact`, d’écri…
Source : NVD — CVE-2026-105772
Unblu Spark : XSS dans la co-navigation intégrée
Unblu Spark présente une XSS dans la fonction de co-navigation intégrée : le contenu de la page consultée conjointement peut être interprété comme HTML dans le navigateur de l’agent. L’attaque nécessite qu’un agent rejoigne une session de…
Source : CVE-2026-14933 — NVD
MCP TypeScript SDK : accès intersession aux tâches expérimentales
La fonctionnalité expérimentale `taskStore` ne vérifie pas quelle session a créé une tâche, permettant à des clients partageant le même `InMemoryTaskStore` de consulter ou d’annuler les tâches d’autres sessions. Le défaut concerne les vers…
MCP TypeScript SDK — épuisement mémoire pendant la validation des requêtes
La validation d’une requête HTTP n’impose pas de limite au nombre d’éléments de tableaux et de clés d’objets, ce qui peut épuiser la mémoire du serveur. Mettre à niveau le SDK ou le serveur, définir maxToolInputElements et limiter égalemen…
MCP TypeScript server SDK : confusion de messages entre clients HTTP
Dans certaines configurations HTTP où plusieurs clients partagent un transport sans état ou une même instance serveur, les réponses et notifications destinées à un client pouvaient être distribuées à un autre. Le défaut concerne `@modelcon…
Vite : divulgation possible d’un fichier hôte via safeModulePaths
Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu et nettoyé. Sur un serveur de développement non-Windows accessible par le réseau, cela peut perm…
Source : CVE-2026-112946 — NVD
Vite : divulgation des premiers octets de fichiers hors des règles server.fs
Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines conditions, l’erreur de parsing WebAssembly révèle les quatre premiers octets du fichi…
Source : NVD — CVE-2026-112947
Angular SSR : redirection externe par URL protocol-relative
Une URL SSR spécialement construite peut contourner la vérification initiale des URL protocol-relative et provoquer une redirection HTTP vers un domaine externe. Le problème concerne les applications Angular utilisant SSR, et non les appli…
Angular HttpClient : fuite possible du jeton XSRF après correction incomplète
Une correction incomplète d’un problème antérieur de protection XSRF permettrait, dans certaines conditions, de transmettre le jeton XSRF à une origine contrôlée par un tiers. Le problème concerne l’analyse d’URL du client HTTP Angular et…
Vitest : exécution de JavaScript sur l’origine du serveur de développement
Vitest permet, dans certaines configurations de serveur de développement, à un client WebSocket non authentifié de faire enregistrer un mock contenant une URL contrôlée par l’attaquant. Lorsque le navigateur du développeur charge le module…
Source : NVD — CVE-2026-112949
Vitest sous Windows : lecture de fichiers hors des chemins autorisés
Sous Windows, Vitest interprète différemment les antislashs dans le contrôle d’accès aux fichiers et dans leur lecture. Un client pouvant joindre le serveur de développement peut exploiter cette différence avec un mock de redirection pour…
Source : NVD — CVE-2026-112950
MCP TypeScript SDK : transmission de requêtes et d’informations sensibles lors de redirections inter-origines
Les transports HTTP et les requêtes OAuth du SDK suivaient des redirections vers une autre origine, pouvant transmettre des en-têtes personnalisés et l’identifiant de session; avec une redirection 307 ou 308, le corps de la requête pouvait…
MCP TypeScript SDK : acceptation de jetons destinés à un autre service
L’authentification bearer côté serveur ne permettait pas de vérifier que le jeton avait été délivré pour ce serveur; un jeton valide destiné à un autre service pouvait donc être accepté dans certaines configurations. La mise à niveau seule…
LIFF SDK : XSS basée sur le DOM via une URL spécialement construite
Le LIFF SDK présente une vulnérabilité XSS basée sur le DOM : l’ouverture d’une URL spécialement construite dans un navigateur externe peut exécuter du JavaScript dans l’origine du point de terminaison de l’application LIFF. Les versions a…
Source : CVE-2026-112148 — NVD
FacturaScripts : XSS persistante dans ListAlmacen
FacturaScripts 2025.61 comporte une XSS persistante due à une validation ou assainissement insuffisant des champs « city » et « province » dans l’endpoint ListAlmacen. L’exécution de JavaScript dans le navigateur d’un utilisateur peut nota…
Source : CVE-2026-11959 — NVD
react-admin : XSS via des URI javascript: dans UrlField et FileField
Dans react-admin, des URI javascript: stockées dans des champs d’enregistrement peuvent déclencher une XSS lorsque UrlField ou FileField les affiche. Le défaut affecte les versions antérieures à 5.15.5 et peut viser une session administrat…
Source : CVE-2026-113350 — NVD
Chatwoot : XSS dans l’intégration vidéo du Help Center
Chatwoot comporte une XSS persistante dans les liens d’intégration vidéo des articles du Help Center : une destination de lien spécialement formée peut sortir de l’attribut iframe src non échappé. Les versions antérieures à 4.14.0 sont aff…
Source : CVE-2026-113355 — NVD
Cypht : XSS via les valeurs d’images externes dans un courriel HTML
Cypht webmail présente une XSS basée sur le DOM lorsqu’un message HTML contient des valeurs alt ou URL malveillantes dans une image externe et que ALLOW_EXTERNAL_IMAGE_SOURCES est activé. Les versions 2.0.0 à 2.12.2 sont concernées ; l’ouv…
Source : CVE-2026-113583 — NVD
Vitest : contournement de restrictions de fichiers et exposition de secrets
Vitest peut mal appliquer `server.fs.deny` sur ses serveurs de développement, exposant des fichiers de projet ou le jeton API de secours. Le mode Browser avec `test.projects` peut également divulguer des valeurs `.env` compatibles JavaScri…
Source : NVD — CVE-2026-112948
VPL pour Moodle : XSS réfléchie dans la comparaison de fichiers
Virtual Programming Lab pour Moodle présente une XSS réfléchie dans `similarity/diff.php`, liée aux paramètres `filename1` et `filename2` qui ne sont pas encodés. Un lien spécialement construit peut exécuter un script dans le navigateur d’…
Source : NVD — CVE-2026-113683
SolarWinds Observability Self-Hosted : XSS stockée
SolarWinds Observability Self-Hosted présente une XSS stockée permettant à un attaquant authentifié d’injecter du contenu malveillant ou du JavaScript. Celui-ci peut s’exécuter dans le navigateur d’autres utilisateurs authentifiés qui cons…
Source : NVD — CVE-2026-28330
Cachet : XSS stockée dans la création d’incidents
Une faille XSS stockée dans les champs Nom et Message du formulaire de création d’incident peut exécuter du JavaScript dans le navigateur des personnes consultant la page d’état publique. L’avis indique que cela peut compromettre les compt…
Source : GHSA-x397-5hrv-j9m9 — Cachet has Stored XSS in Incident Component
Vite : chargement d’un module contrôlé par l’attaquant via middleware personnalisé
Dans Vite, des applications utilisant un middleware personnalisé peuvent être vulnérables lorsque celui-ci transmet à server.transformIndexHtml une URL de requête navigateur inchangée. Une URL spécialement construite peut provoquer le char…
Source : CVE-2026-112945 — NVD
Code malveillant dans animate-twcss-bridge
Un avis publié le 2026-10-20 signale du code malveillant dans animate-twcss-bridge 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin d…
Source : GHSA-v2vq-rvhc-qqr9 — avis GitHub
Code malveillant dans animate-twcss-pack
Un avis publié le 2026-10-20 signale du code malveillant dans animate-twcss-pack 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dan…
Source : GHSA-jr8w-9rvh-vv8p — avis GitHub
Code malveillant dans animate-tailwind-kit
Un avis publié le 2026-10-20 signale du code malveillant dans animate-tailwind-kit, versions 3.0.1 et 3.0.4, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le cha…
Source : GHSA-q29m-3m5r-fmjj — avis GitHub
Code malveillant dans animatecss-tailwind-graphic
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-graphic 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du p…
Source : GHSA-mp8w-g7p9-w5v3 — avis GitHub
Code malveillant dans signalledger-bridge
Un avis publié le 2026-10-20 signale du code malveillant dans signalledger-bridge 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin da…
Source : GHSA-h368-qgvj-jhgw — avis GitHub
Code malveillant dans animatecss-tailwind-presets
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-presets, versions 1.0.0 et 2.0.3, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré;…
Source : GHSA-gh2v-353h-8jhq — avis GitHub
Code malveillant dans animatecss-tailwind-helper
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-helper 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du pl…
Source : GHSA-8rrv-xcpx-rv3r — avis GitHub
Code malveillant dans animatecss-tailwind-vectrix
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-vectrix, versions 2.0.6 et 2.0.7, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré;…
Source : GHSA-hcfv-m7w3-vcch — avis GitHub
Code malveillant dans animatecss-tailwind-luminary
Un avis publié le 2026-10-20 signale du code malveillant dans animatecss-tailwind-luminary, versions 2.0.6 et 2.0.7, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré…
Source : GHSA-vj87-h2x3-2985 — avis GitHub
Code malveillant dans signalledger-diagnostics
Un avis publié le 2026-10-20 signale du code malveillant dans signalledger-diagnostics 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plug…
Source : GHSA-q9pp-3583-37vv — avis GitHub
Backend & données
83 alerte(s)Paquet PyPI malveillant déclenché au chargement de Python
Un paquet PyPI malveillant, `security-research-startup-snapshot-810764b303` version 0.1.0, a été signalé le 2026-10-20. Son fichier `.pth` s’exécute au chargement de Python et collecte notamment des données système et des informations prov…
Source : GHSA-9qvj-cj8j-4c9v — Malicious code in security-research-startup-snapshot-810764b303 (PyPI)
DB-GPT expose une instance MySQL avec des identifiants root statiques
La configuration Docker par défaut de DB-GPT jusqu’à la version 0.8.2 fixe un mot de passe root MySQL et expose le port 3306 sur toutes les interfaces. Un attaquant pouvant joindre ce port ou le réseau dbgptnet peut obtenir un accès privil…
Source : NVD — CVE-2026-77933
Le CERT-EU annonce deux vulnérabilités critiques à corriger dans PHP
Le CERT-EU signale deux vulnérabilités critiques de PHP susceptibles de permettre une exécution de code à distance, sans publier de détails techniques ni de versions concernées. Il recommande de se préparer à appliquer le correctif dès sa…
Source : CERT-EU — 2026-018: Critical Vulnerabilities in PHP
Pillow : débordement de tampon lors du décodage JPEG FlashPix
Pillow avant 13.0.0 peut écrire au-delà du tampon alloué pour une tuile JPEG FlashPix dans certaines conditions de décodage. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure; le scénario décrit implique notamment la dépendance…
Source : NVD — CVE-2026-112398
Pillow : dépassement de tampon lors du décodage de JPEG sans perte redimensionnés
Pillow jusqu’à la version 12.3.0 présente un dépassement de tampon sur le tas lors du décodage de certains JPEG sans perte dont l’image est redimensionnée par `draft()`. Les dimensions de sortie utilisées par libjpeg-turbo peuvent dépasser…
FlexGet : traversée de chemin dans le plugin decompress
Le plugin decompress de FlexGet présente une traversée de chemin lors du traitement d’archives, permettant à un attaquant distant de faire écrire des fichiers arbitraires. Des fichiers Python déposés dans le répertoire des plugins peuvent…
Source : NVD — CVE-2026-113613
certifi : risque d’interception TLS lié à des clés intermédiaires emSign compromises
Les versions de `certifi` antérieures à 2026.10.19 incluaient une racine emSign associée à huit certificats intermédiaires dont les clés privées étaient compromises et révoquées. Un attaquant disposant d’une clé compromise et placé sur le…
Stirling-PDF : contournement des restrictions d’import H2
Stirling-PDF versions 2.13.2 à 3.2.0 permet à un administrateur authentifié de contourner les restrictions d’import H2 au moyen d’un fichier SQL spécialement préparé. Le contournement peut conduire à l’exécution de méthodes Java lors de la…
Source : NVD — CVE-2026-113605
Crass — déni de service par grands exposants numériques (CVE-2026-61845)
Crass peut consommer excessivement CPU et mémoire lors de l’analyse de CSS contenant de très grands exposants numériques, pouvant entraîner un déni de service ou un plantage. Le problème concerne les versions antérieures à 1.0.7 ; mettre à…
GHSA-259r-337f-4rfw / CVE-2026-63209 — Déni de service possible dans s2.NewDict
L’avis GHSA-259r-337f-4rfw décrit un débordement d’entier dans `s2.NewDict()` qui peut contourner la validation d’une valeur de répétition et provoquer un accès mémoire hors limites, entraînant un plantage du processus lorsque `Dict.Encode…
Angular Router : déni de service par correspondance de routes auxiliaires en SSR
Avec le rendu côté serveur (SSR) sur Node.js, des segments de routes auxiliaires vides non configurés peuvent entraîner une reconnaissance répétée des routes et épuiser le processeur ou le tas mémoire. Mettez à niveau @angular/router vers…
Angular Router : épuisement mémoire par rétention des paramètres de requête en SSR
Lorsque le SSR Node.js rend des directives RouterLink utilisant la fusion ou la conservation des paramètres de requête, les URL calculées peuvent retenir en mémoire des copies de ces paramètres pendant la requête. Mettez à niveau @angular/…
ApostropheCMS : suppression d’un membre partagé via un chemin de projection
Avec un adaptateur SQLite, PostgreSQL ou multipostgres, un compte disposant de l’accès aux brouillons peut fournir un chemin d’exclusion de projection traversant la chaîne de prototypes et conduire à la suppression d’un membre partagé à l’…
Source : GHSA-j5rq-xfvr-p969 — ApostropheCMS
markdown-it : déni de service algorithmique par définition de référence multilignes
markdown-it peut traiter en temps quadratique une définition de référence Markdown multilignes dont le libellé ou le titre reste ouvert, même avec les options par défaut. Si une application Node.js rend du Markdown contrôlé par un utilisat…
launch-editor : contournement de validation de fichier sous Windows
Sur Windows, la validation du nom de fichier dans launch-editor-middleware peut être contournée lorsqu’un argument contrôlé se termine par un composant parent suivi d’un suffixe de ligne et de colonne. La correction est disponible dans lau…
Source : NVD — CVE-2026-112942
ApostropheCMS : fichiers temporaires conservés après des uploads rejetés
Avant ApostropheCMS 4.33.0, la route publique de conversion CSV du texte riche stockait un téléversement multipart dans le répertoire temporaire avant de vérifier son extension, sans supprimer le fichier si la validation échouait. Des télé…
Source : NVD — CVE-2026-113658
follow-redirects : fuite d’en-têtes d’authentification avec des en-têtes en tableau
Dans follow-redirects 1.16.0, les en-têtes sensibles n’étaient pas supprimés lors de redirections inter-hôtes ou vers un protocole moins sûr si les en-têtes étaient fournis sous forme de tableau de paires nom-valeur. Une application utilis…
Source : NVD — CVE-2026-111756
ApostropheCMS : opérations de téléversement non autorisées avant le contrôle d’accès
Les routes d’import d’ApostropheCMS effectuent des opérations de téléversement et de traitement temporaire avant de vérifier les droits de l’utilisateur, permettant à des requêtes non authentifiées de déclencher ces opérations. Mettez à ni…
Source : NVD — CVE-2026-113711
Pillow : crash lors du filtrage d’une image de taille nulle
Pillow avant 13.0.0 peut planter lorsqu’un filtre de rang est appliqué à une image de taille nulle. Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure.
Source : NVD — CVE-2026-112392
Pillow : accès hors limites en morphologie sur une image de largeur nulle
Pillow accepte une image PPM ou PGM de largeur nulle; l’application de certaines opérations de morphologie peut alors indexer une position hors limites dans le code natif. Le résultat documenté est un plantage du processus et un risque de…
Pillow : épuisement mémoire lors de l’ouverture d’un APNG
Pillow de 8.1.0 à une version antérieure à 13.0.0 peut allouer le canevas complet d’un APNG avant le contrôle anti-bombe de décompression. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Source : NVD — CVE-2026-112399
Pillow : dimensions GIF rejetées conservées après une erreur de décompression
Dans Pillow, le rejet d’une frame GIF trop grande peut laisser ses dimensions sur l’objet image après une exception `DecompressionBombError`. Si une application intercepte l’erreur puis réutilise l’objet, des opérations ultérieures peuvent…
Pillow : double libération mémoire lors d’une transformation
Pillow avant 13.0.0 peut libérer deux fois la mémoire d’une image si une allocation sélective échoue pendant certaines transformations. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Source : NVD — CVE-2026-112402
Pillow : lecture hors limites dans des chemins de décodage TIFF
Pillow de 8.1.0 à une version antérieure à 13.0.0 peut lire au-delà des données de ligne produites par libtiff dans certains chemins de décodage TIFF. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Source : NVD — CVE-2026-112404
filelock : opérations SQLite sur des fichiers auxiliaires manipulables
Dans filelock sur POSIX, ReadWriteLock laisse SQLite rouvrir la base et ses fichiers auxiliaires par nom, ce qui peut exposer des opérations de remplacement ou de suppression. La faille concerne les versions 3.20.4 à 4.2.0 et est corrigée…
Source : NVD — CVE-2026-112940
virtualenv : exécution de code via un script d’activation xonsh
Avant virtualenv 21.14.9, le script d’activation POSIX pour xonsh pouvait encoder des données non ASCII en UTF-8 alors que xonsh le lisait avec un encodage multioctet ancien. Dans certaines configurations, un utilisateur influençant le pro…
Source : NVD — CVE-2026-113718
virtualenv : exécution de commandes via les lanceurs POSIX générés
Avant virtualenv 21.14.9, des chemins d’interpréteur contenant des espaces ou produisant un shebang de plus de 127 octets pouvaient générer un lanceur POSIX dont le chemin entre guillemets laissait interpréter des substitutions de commande…
Source : NVD — CVE-2026-113722
virtualenv : injection de syntaxe dans le prompt d’activation bash
Avant virtualenv 21.14.9, le texte de prompt fourni par l’appelant pouvait être interprété comme une syntaxe exécutable dans le prompt du script d’activation bash. L’exploitation exige qu’un attaquant influence ce texte puis qu’un utilisat…
Source : NVD — CVE-2026-113723
virtualenv : exécution de commandes dans Bash via un nom d’environnement mal échappé
Avant la version 21.14.7, le script d’activation Bash de `virtualenv` n’échappe pas correctement le nom de l’environnement lors des deux traitements de `PS1`. Un nom contenant une barre oblique inverse et une substitution de commande peut…
Source : NVD — CVE-2026-113725
Pillow : récursion non bornée lors de l’analyse de certains PDF
Pillow peut subir une récursion non bornée lors de l’analyse d’un PDF existant auquel une application veut ajouter du contenu. Un arbre de pages cyclique ou dupliqué, ou une longue chaîne de trailers à offsets uniques, peut provoquer une c…
A2A Java SDK Android : identifiants transférés lors de redirections
Dans les versions Android du SDK A2A Java allant de 1.3.0.Final à 1.3.1.Final, le chemin POST synchrone peut suivre des redirections malgré le réglage destiné à les désactiver. Des en-têtes d’authentification personnalisés peuvent alors êt…
Source : GHSA-4fpj-g9jf-9rgg — A2A Java SDK
A2A Java SDK : contrôle d’autorisation absent par défaut sur les tâches
Dans la configuration par défaut du magasin de tâches A2A Java, la lecture d’une tâche ne vérifie pas que l’appelant est autorisé à y accéder. Dans un déploiement multi-appelants, la connaissance ou la découverte de l’identifiant d’une tâc…
launch-editor : nom de fichier relatif interprété comme option d’éditeur
launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs plutôt que comme nom de fichier. Mettre à jour vers 2.14.2; l’impact dépend de l’éditeur choisi et des conditions locales perme…
Source : Avis GitHub GHSA-r825-w8mm-5pxw
fast-uri : validation contournable d’un schéma encodé
fast-uri décode le composant schéma avec unescape() avant validation et peut ainsi produire un schéma actif à partir d’une entrée encodée. Mettre à jour vers une version corrigée; à défaut, refuser les signes « % » dans le schéma et appliq…
Source : NVD — CVE-2026-110306
sanitize-html : valeurs meta refresh dangereuses conservées
Avant sanitize-html 2.18.0, une configuration non standard autorisant les éléments `meta refresh` et leurs attributs `http-equiv` et `content` pouvait conserver dans la valeur de rafraîchissement des destinations de script ou de redirectio…
Source : GHSA-cv27-6wvh-8x7j — sanitize-html
ApostropheCMS : pollution de prototype dans le contexte d’administration
Avant ApostropheCMS 4.33.0, un attaquant sans authentification pouvait construire une URL dont la chaîne de requête était interprétée par `apos.http.parseQuery` lorsqu’une victime authentifiée chargeait une page avec le bundle d’administra…
Source : GHSA-m2m5-rw3w-cwmj — ApostropheCMS
fast-uri : divergence possible entre l’hôte vérifié et l’hôte canonisé
Pour les schémas HTTP, canonicalizeHost() peut accepter un hôte réécrit par le parseur WHATWG sans vérifier que toute l’entrée a été interprétée comme hôte. Mettre à jour fast-uri vers la version corrigée, ou rejeter les autorités comporta…
Source : NVD — CVE-2026-110180
launch-editor : échappement incomplet des arguments de commande sous Windows
Sous Windows, launch-editor n’échappait pas le caractère % lors du passage d’arguments à cmd, ce qui pouvait permettre l’exécution de contenu malveillant dans des conditions nécessitant notamment qu’un attaquant puisse placer un fichier pi…
ApostropheCMS : XSS persistante via le champ couleur
Le champ couleur acceptait du contenu HTML ajouté après un préfixe rgb() ou hsl() valide, permettant à un utilisateur authentifié disposant de droits d’édition d’enregistrer une charge XSS persistante. Mettre à jour ApostropheCMS vers 4.34…
Source : NVD — CVE-2026-112951
ApostropheCMS : énumération de slugs de documents non publics
Un utilisateur connecté pouvait interroger l’API slugTaken et déterminer si un slug existait parmi des documents privés, brouillons ou archivés, sans filtrage de permissions ou de type. Mettre à jour ApostropheCMS vers 4.34.0 ou une versio…
Source : NVD — CVE-2026-112952
ApostropheCMS import-export : téléchargement possible d’archives d’export
Des noms prévisibles d’archives d’export pouvaient permettre à une personne non authentifiée de télécharger un export d’un autre utilisateur lorsque le stockage était publiquement lisible et que l’archive existait encore. Mettre à jour le…
Source : NVD — CVE-2026-112953
ApostropheCMS : contrôle d’accès insuffisant sur des objets utilisateur exposés
Avant ApostropheCMS 4.33.0, des visiteurs anonymes pouvaient obtenir certains champs d’objets utilisateur exposés dans des relations ou une API publique lorsque les templates n’appliquaient pas correctement les contrôles `viewRole`. Mettre…
Source : NVD — CVE-2026-113653
sanitize-html : contenu noscript pouvant échapper à la suppression
Avant sanitize-html 2.18.0, une configuration non standard de `nonTextTags` incluant `noscript` pouvait laisser sortir trop tôt la région à supprimer lorsque htmlparser2 traitait une fermeture implicite d’ancêtre. Du contenu destiné à rest…
Source : NVD — CVE-2026-113654
ApostropheCMS : contournement d’autorisation lors du classement de pages
Avant ApostropheCMS 4.33.0, un éditeur authentifié disposant de droits de modification sur une page existante pouvait modifier l’ordre de pages sœurs sous un parent restreint sans autorisation de création sur ce parent. Le défaut exige une…
Source : NVD — CVE-2026-113655
ApostropheCMS Form : téléversements sans limites pouvant épuiser le disque temporaire
Avant la version 1.5.5 de l’extension ApostropheCMS Form, la route de soumission acceptait des téléversements multipart sans limites de taille, de nombre ou de débit et les stockait avant validation ou authentification. Des soumissions rép…
Source : NVD — CVE-2026-113656
ApostropheCMS : divulgation de l’existence de documents restreints
Avant ApostropheCMS 4.33.0, l’API `exist-in-locale` permettait à un utilisateur authentifié de faible privilège de découvrir l’existence de documents restreints dans une locale et un mode donnés, y compris en brouillon. La route renvoyait…
Source : NVD — CVE-2026-113660
ApostropheCMS : mise à jour d’import pouvant viser un document inattendu
Un utilisateur authentifié disposant d’un droit d’import peut fournir un objet ou un opérateur comme valeur de clé de mise à jour, ce qui peut faire correspondre un document existant qu’il est autorisé à modifier. Le filtre normal de permi…
Source : NVD — CVE-2026-113662
ApostropheCMS : arrêt possible du processus lors d’un import tar
Un importeur authentifié peut soumettre une entrée tar dont la destination normalisée vise un répertoire et déclenche une erreur de système de fichiers non gérée lors de l’ouverture en écriture. Cette erreur peut arrêter le processus Node.…
Source : NVD — CVE-2026-113664
ApostropheCMS : manipulation des requêtes de vérification CAPTCHA
Les intégrations CAPTCHA concernées insèrent dans la requête de vérification un jeton de réponse fourni par l’utilisateur sans l’encoder. Des jetons construits peuvent perturber la vérification et les parcours de formulaire ou de connexion…
Source : NVD — CVE-2026-113667
ApostropheCMS : divulgation de l’existence et des locales de documents sans contrôle d’accès
Une route REST ApostropheCMS permettant de consulter les locales d’un document n’applique pas le contrôle d’accès utilisé par les routes de lecture voisines. Une requête non authentifiée peut ainsi révéler l’existence d’un document et ses…
ApostropheCMS : risque d’adoption de session lors d’une migration
Avant ApostropheCMS 4.33.0 et passport-bridge 1.6.1, la migration de session entre hôtes ou locales place dans l’URL de redirection un jeton porteur à usage unique. Un tiers qui obtient ce jeton valide et le consomme avant son usage initia…
Source : NVD — CVE-2026-113669
ApostropheCMS : accès non autorisé au contenu de pages
Avant ApostropheCMS 4.33.0, l’API REST des pages lit certains documents avec les contrôles de permission désactivés, y compris dans la réponse d’arborescence complète. Des visiteurs non authentifiés ou des contributeurs peu privilégiés peu…
Source : NVD — CVE-2026-113670
ApostropheCMS AI helper : requêtes serveur vers une origine contrôlée
Dans les versions bêta concernées de l’AI helper, un éditeur autorisé à générer des images peut déclencher une requête côté serveur vers un hôte, port et origine HTTP choisis par un attaquant lorsque le stockage relatif local est configuré…
Source : NVD — CVE-2026-113671
ApostropheCMS : absence de limitation des essais du mot de passe actuel
Avant ApostropheCMS 4.33.0, le point d’accès de changement de mot de passe vérifie le mot de passe actuel mais ne tient pas compte du compteur d’échecs, du délai, de la limitation de débit ni du verrouillage du module de connexion. Un atta…
Source : NVD — CVE-2026-113710
Pillow : use-after-free lors de l’encodage TIFF en mémoire
Pillow de 11.3.0 à une version antérieure à 13.0.0 peut subir un use-after-free lors de l’encodage TIFF en mémoire après le rejet d’un tag par libtiff. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Source : NVD — CVE-2026-112396
Pillow : consommation CPU excessive à l’analyse de commentaires GIF
Pillow de 5.4.0 à une version antérieure à 13.0.0 peut effectuer des copies quadratiques lors de l’analyse des commentaires GIF. Mettre à niveau vers Pillow 13.0.0 ou une version ultérieure.
Source : NVD — CVE-2026-112401
filelock : blocage possible de ReadWriteLock via une base SQLite
Dans filelock, ReadWriteLock peut être bloqué par une base SQLite de verrouillage dont le schéma et le travail de requête ne sont pas bornés. La faille concerne les versions 3.20.4 à 4.2.0 et est corrigée en 4.2.1.
Source : NVD — CVE-2026-112915
filelock : substitution possible d’enregistrements de SoftReadWriteLock
Dans filelock, SoftReadWriteLock actualise les enregistrements des détenteurs en se fondant sur leur nom, ce qui permet de détourner une opération de verrouillage. Selon les permissions locales, cela peut bloquer le verrou ou permettre une…
Source : NVD — CVE-2026-112934
filelock : risque de double détenteur avec SoftFileLock
Dans filelock, SoftFileLock peut supprimer un marqueur de verrou encore valide à la suite d’une course lors de la détection d’un marqueur obsolète. Deux détenteurs peuvent alors être admis simultanément ; la faille est corrigée en 4.2.1.
Source : NVD — CVE-2026-112935
filelock : détournement du chemin SQLite par lien symbolique
Dans filelock, ReadWriteLock et AsyncReadWriteLock ne rejettent pas un lien symbolique final avant de transmettre le chemin à SQLite. Un utilisateur local pouvant créer des noms dans le répertoire de verrouillage peut détourner ou scinder…
Source : NVD — CVE-2026-112936
filelock : suppression possible d’un répertoire lors du nettoyage
Dans filelock, le nettoyage de ReadWriteLock peut supprimer un répertoire privé `.filelock-*` à la suite d’une manipulation locale de noms. La faille affecte les versions 4.1.0 à 4.2.0 et est corrigée en 4.2.1.
Source : NVD — CVE-2026-112937
filelock : falsification du PID dans un marqueur SoftFileLock
Dans filelock, SoftFileLock peut faire confiance à un identifiant de processus forgé dans un marqueur modifiable, mais non supprimable. Un processus autorisé peut alors supprimer le marqueur actif et permettre un second détenteur ; la corr…
Source : NVD — CVE-2026-112939
virtualenv : environnement créé lié à des fichiers temporaires supprimés
Dans virtualenv, le seeder app-data peut créer un environnement lié à des fichiers temporaires de paquets ensuite supprimés. Les formes par variable d’environnement ou fichier de configuration de `symlink_app_data` peuvent déclencher cette…
Source : NVD — CVE-2026-113713
virtualenv : écritures hors de la destination via des liens symboliques
Avant virtualenv 21.14.9, le créateur builtin acceptait certains répertoires déjà présents sous forme de liens symboliques. Lorsqu’un autre compte local préparait l’arborescence et que l’utilisateur avait accès à la cible, la création de l…
Source : NVD — CVE-2026-113716
virtualenv : suppression de fichiers hors environnement lors du réamorçage
Avant virtualenv 21.14.9, des métadonnées de paquets présentes dans une destination réutilisée pouvaient faire supprimer des fichiers en dehors de l’environnement lors de la réinstallation des paquets d’amorçage. Cette situation nécessite…
Source : NVD — CVE-2026-113719
virtualenv : permissions trop ouvertes sur les fichiers copiés depuis le cache
Avant virtualenv 21.14.9, le seeder app-data copiait les modes de fichiers du cache au lieu de respecter le umask de l’exécution courante. Un cache créé sous un umask permissif pouvait donc rendre des fichiers de paquets modifiables par un…
Source : NVD — CVE-2026-113720
virtualenv : redirection d’écritures par des liens prépositionnés
Avant virtualenv 21.14.9, certains liens symboliques ou matériels déjà présents dans la destination pouvaient rediriger l’écriture de fichiers générés hors de l’arborescence demandée. Un autre compte local doit préparer les entrées finales…
Source : NVD — CVE-2026-113721
virtualenv : modification de permissions via un lien symbolique dans le traitement d’erreur de suppression
Avant la version 21.14.9, le gestionnaire d’erreur de suppression de `virtualenv` peut suivre un lien symbolique lorsqu’il modifie les permissions avant de réessayer. Dans certaines conditions, un utilisateur peut ainsi rendre largement ac…
Source : NVD — CVE-2026-113724
aiohttp : désynchronisation de requêtes avec l’analyseur HTTP purement Python
L’analyseur HTTP purement Python d’aiohttp est vulnérable à une attaque par désynchronisation de requêtes lorsque l’application utilise ce parseur. L’avis indique que le parseur par défaut en C constitue une solution de contournement.
A2A Java SDK : identifiants de notification push exposés dans les journaux
En cas d’échec de désérialisation protobuf d’une requête, le gestionnaire REST du SDK A2A Java journalise le corps JSON complet. Si les champs concernés contiennent des jetons ou identifiants de notification push, ceux-ci peuvent se retrou…
Source : GHSA-x32g-jvvm-4725 — A2A Java SDK
A2A Java SDK : requêtes serveur vers des destinations non validées
Avec les notifications push activées, le SDK A2A Java peut envoyer des données de tâche à une destination choisie par un appelant sans validation suffisante de l’adresse ni restriction des redirections. Selon le routage réseau, un attaquan…
A2A Java SDK : fuite de clé API lors d’une redirection
Le client JDK du SDK A2A Java peut placer une clé API dans un en-tête dont le nom est fourni par la fiche AgentCard distante, sans vérifier que l’emplacement déclaré est bien un en-tête. Avec les redirections suivies par le client, un agen…
fast-uri : un chemin relatif peut être réinterprété comme URI absolue
Avec l’option non par défaut reference=suffix, fast-uri peut sérialiser un chemin relatif dont le premier segment contient un deux-points nu, le faisant réinterpréter comme URI absolue. Mettre à jour fast-uri ou éviter cette option sur des…
Source : NVD — CVE-2026-110725
sanitize-html : contournement de la protection des URL dans certains SVG
Dans sanitize-html 2.17.7 à 2.17.x, une configuration autorisant certains éléments SVG d’animation préfixés par un espace de noms et des attributs ciblant des URL pouvait contourner la protection SMIL. Après rendu du SVG, un lien pouvait ê…
Source : GHSA-374f-7chj-9948 — sanitize-html
uploadfs : traversée de chemin dans le backend de stockage local
Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire de téléversement, ce qui permet une traversée de répertoires. Mettez à niveau uploadfs vers 1.28.0; la sourc…
ApostropheCMS : modification ou suppression non autorisée de notifications
Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB sans vérifier l’authentification ni la propriété de la notification. Un attaquant non authentifié…
Source : GHSA-vwwx-px9w-crrc — ApostropheCMS
fast-uri : une référence relative peut sortir de son répertoire attendu
La normalisation d’une référence relative peut supprimer un segment « .. » et la faire pointer hors du répertoire attendu. Mettre à jour fast-uri vers la version corrigée correspondant à sa branche, ou résoudre d’abord la référence contre…
Source : NVD — CVE-2026-110095
filelock : redirection d’écritures dans l’arborescence SoftReadWriteLock
Dans filelock, SoftReadWriteLock et AsyncSoftReadWriteLock réutilisent une vérification antérieure de l’arborescence `.rw`, puis résolvent de nouveau ses noms lors des opérations sur les enregistrements. Un utilisateur local peut remplacer…
Source : NVD — CVE-2026-112941
virtualenv : vérification insuffisante de certains paquets téléchargés
Avant virtualenv 21.14.9, le téléchargement d’un paquet pouvait laisser dans le cache un fichier rejeté sans vérification, dans certaines conditions liées à la sortie de pip et à un index contrôlé. Cela peut permettre la sélection ultérieu…
Source : NVD — CVE-2026-113714
virtualenv : injection de paramètres dans pyvenv.cfg via le chemin de destination
Avant virtualenv 21.14.9, le créateur stdlib venv pouvait interpréter des caractères de séparation de ligne présents dans le chemin de destination comme des entrées supplémentaires de pyvenv.cfg. Un appelant non fiable capable d’influencer…
Source : NVD — CVE-2026-113715
virtualenv : contournement de la comparaison de condensat lors du téléchargement par pip
Avant virtualenv 21.14.9, le chemin d’installation utilisant `–seeder pip –download` pouvait contourner la vérification du condensat SHA-256 de PyPI pour un paquet correspondant à celui intégré. Le défaut concerne la comparaison activée…
Source : NVD — CVE-2026-113717
Shortcutter 2 App : exportation incorrecte de composants Android
Une mauvaise exportation de composants Android dans Shortcutter 2 App peut être déclenchée localement par la fonction Class.forName de ToggleGeneric.java. Les versions concernées incluent la 9.0.48; le fournisseur indique que la version 9.…
Source : NVD — CVE-2026-113385
Pillow : lecture hors limites à l’encodage TIFF avec une ColorMap incompatible
Pillow peut provoquer une lecture hors limites lors de l’enregistrement en TIFF d’une image 16 bits dont les métadonnées conservées contiennent une palette `ColorMap` de taille incompatible. L’avis documente un dépassement lors de l’encoda…
CMS & e-commerce
20 alerte(s)TinyMCE Thumbnail Gallery : traversée de répertoires et lecture de fichiers
TinyMCE Thumbnail Gallery contient une traversée de répertoires dans les versions antérieures à 1.1.0, susceptible de permettre la lecture de fichiers arbitraires sans authentification. La fiche CVE a été publiée le 2026-10-20 ; l’exploita…
Source : NVD — CVE-2012-20002
Inclusion de fichier dans le plugin Issuu Panel pour WordPress
Le plugin Issuu Panel pour WordPress antérieur à la version 1.6.6 présente une inclusion de fichier PHP permettant à un attaquant non authentifié de faire inclure des fichiers locaux ou distants. Mettre à jour le plugin vers la version 1.6…
Source : NVD — CVE-2016-20101
Custom Tables : XSS réfléchie via le paramètre key
Custom Tables présente une XSS réfléchie dans les versions antérieures à 3.4.6, via le paramètre `key` de `iframe.php`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-20, hors de la période…
Source : NVD — CVE-2012-20003
K-news : XSS réfléchie via le paramètre ff
K-news présente une XSS réfléchie dans les versions antérieures à 1.1.1, par le paramètre `ff` de la page `fontpicker`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-19, hors de la période…
Source : NVD — CVE-2012-20004
SocialFit : XSS réfléchie via le paramètre msg
SocialFit jusqu’à la version 1.2.2 présente une XSS réfléchie via le paramètre `msg` de `popup.php`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-19, hors de la période retenue.
Source : NVD — CVE-2012-20005
Blogroll Fun : XSS réfléchie via le paramètre k
Blogroll Fun présente une XSS réfléchie dans les versions antérieures à 0.8.5, via le paramètre `k` de `blogroll.php`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-19, hors de la période…
Source : NVD — CVE-2014-125132
EventON – Subscriber : injection SQL non authentifiée
Le plugin EventON – Subscriber est vulnérable à une injection SQL non authentifiée via le paramètre `email`, permettant potentiellement d’extraire des informations de la base de données. Les versions jusqu’à 1.4.5 inclus sont concernées ;…
Source : NVD — CVE-2026-93300
CVE-2026-113459 — Exposition de la clé API OpenAI dans le backend TYPO3
Dans les versions de l’extension concernées utilisées avec TYPO3 10 et 11, une clé API OpenAI configurée était intégrée aux pages du backend. Tout utilisateur authentifié du backend pouvait la lire et l’utiliser aux frais de l’exploitant d…
Source : CVE-2026-113459 — NVD
Traversée de répertoires dans le thème NativeChurch pour WordPress
Le thème NativeChurch pour WordPress antérieur à la version 1.6.2 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le thème vers la version 1.6.2 ou ulté…
Source : NVD — CVE-2014-125133
Traversée de répertoires dans le thème ChurcHope pour WordPress
Le thème ChurcHope pour WordPress antérieur à la version 2.2 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le thème vers la version 2.2 ou ultérieure,…
Source : NVD — CVE-2014-125134
Traversée de répertoires dans Aspose Doc Exporter pour WordPress
Le plugin Aspose Doc Exporter pour WordPress antérieur à la version 2.0 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version 2.0 ou…
Source : NVD — CVE-2015-20123
Traversée de répertoires dans Aspose Importer & Exporter pour WordPress
Le plugin Aspose Importer & Exporter pour WordPress antérieur à la version 3.0 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version…
Source : NVD — CVE-2015-20124
Traversée de répertoires dans Aspose PDF Exporter pour WordPress
Le plugin Aspose PDF Exporter pour WordPress antérieur à la version 2.0 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version 2.0 ou…
Source : NVD — CVE-2015-20125
Traversée de répertoires dans Memphis Documents Library pour WordPress
Le plugin Memphis Documents Library pour WordPress antérieur à la version 3.1.6 présente une traversée de répertoires permettant à un attaquant non authentifié de lire des fichiers arbitraires. Mettre à jour le plugin vers la version 3.1.6…
Source : NVD — CVE-2016-20100
Traversée de répertoires dans le plugin Cherry pour WordPress
Le plugin Cherry pour WordPress antérieur à la version 1.2.7 présente une traversée de répertoires permettant à un attaquant non authentifié de télécharger des fichiers arbitraires. Mettre à jour le plugin vers la version 1.2.7 ou ultérieu…
Source : NVD — CVE-2016-20103
Easy Property Listings : divulgation d’informations de fiches via l’API REST
Easy Property Listings ne limite pas les champs de fiches exposés par sa sortie publique de l’API REST, ce qui peut révéler des informations masquées sur des annonces publiées. Les versions antérieures à 3.5.28 sont concernées ; appliquer…
Source : NVD — CVE-2026-96902
Easy Property Listings : accès non autorisé aux dossiers de contacts
Easy Property Listings n’effectue pas les contrôles d’autorisation nécessaires sur plusieurs actions AJAX de lecture liées à la gestion des contacts. Les versions antérieures à 3.5.27 sont concernées ; appliquer la version 3.5.27 ou une ve…
Source : NVD — CVE-2026-96903
DiviGear Carousel : XSS persistante via l’action AJAX de licence
DiviGear Carousel est vulnérable à une injection XSS persistante via l’action AJAX `update_license`, en raison d’un assainissement et d’un échappement insuffisants. Les versions jusqu’à 5.2.0 inclus sont concernées ; aucune version corrigé…
Source : NVD — CVE-2026-93878
Meta Box : défaut d’autorisation
Meta Box – WordPress Custom Fields Framework présente un défaut d’autorisation pouvant permettre l’exploitation de niveaux de contrôle d’accès mal configurés. L’avis indique que les versions jusqu’à 5.15.2 sont concernées ; aucune version…
Source : NVD — CVE-2026-109700
CVE-2026-112069 — Contournement du contrôle d’accès dans FAL Protect
Dans FAL Protect, des fichiers stockés avec un chemin de base relatif non standard pouvaient être servis sans contrôle d’accès, mais la faille ne concerne que les sites sous TYPO3 14.3. Mettre à jour l’extension vers la version 1.8.2 ou ul…
Source : CVE-2026-112069 — NVD
Systèmes & serveurs
13 alerte(s)DSA-6572-1 : mise à jour de ca-certificates
Debian a publié une mise à jour de ca-certificates après la découverte de compromissions touchant des certificats d’autorité intermédiaires eMudhra. La mise à jour retire les certificats « emSign ECC Root CA – G3 » et « Comodo AAA Services…
DLA-4845-1 : mise à jour de ca-certificates
Debian LTS a publié une mise à jour de ca-certificates après la découverte de compromissions touchant des certificats d’autorité intermédiaires eMudhra. La mise à jour retire les certificats « emSign ECC Root CA – G3 » et « Comodo AAA Serv…
CVE-2026-0964 : chemin SCP hors du répertoire de travail
DLA-4844-1 signale une vulnérabilité de traversée de chemin dans le traitement SCP : un serveur SCP malveillant peut fournir un chemin qui sort du répertoire de travail. L’avis la rapproche de CVE-2019-6111, mais cette fiche porte uniqueme…
Source : DLA-4844-1 libssh – security update
CVE-2026-0965 : déni de service lors de l’analyse d’un fichier de configuration
DLA-4844-1 signale qu’analyser un fichier de configuration qui n’est pas un fichier ordinaire, ou qui est trop volumineux, peut provoquer un déni de service. Cette fiche concerne uniquement CVE-2026-0965.
Source : DLA-4844-1 libssh – security update
CVE-2026-0966 : sous-dépassement de tampon dans ssh_get_hexa()
DLA-4844-1 indique qu’une entrée invalide transmise à ssh_get_hexa() pouvait provoquer un sous-dépassement de tampon sur le tas. Cette fiche concerne uniquement CVE-2026-0966.
Source : DLA-4844-1 libssh – security update
CVE-2026-0967 : traitement excessif de motifs dans match_pattern()
DLA-4844-1 signale qu’un motif spécialement construit dans un fichier de configuration ou known_hosts pouvait entraîner un retour arrière excessif dans match_pattern() jusqu’à expiration du délai. Cette fiche concerne uniquement CVE-2026-0…
Source : DLA-4844-1 libssh – security update
CVE-2026-0968 : lecture hors limites dans sftp_parse_longname()
DLA-4844-1 indique qu’un serveur SFTP malveillant peut transmettre un champ longname que sftp_parse_longname() lit au-delà de ses limites. Cette fiche concerne uniquement CVE-2026-0968.
Source : DLA-4844-1 libssh – security update
CVE-2026-3731 : index SFTP hors limites dans les fonctions d’extensions
DLA-4844-1 relève que sftp_extensions_get_name() et sftp_extensions_get_data() ne rejetaient pas un index au-delà de la fin de la liste des extensions. Cette fiche concerne uniquement CVE-2026-3731.
Source : DLA-4844-1 libssh – security update
CVE-2026-59843 : déni de service avec une taille de paquet de canal nulle
DLA-4844-1 signale qu’un pair annonçant une taille maximale de paquet de canal égale à zéro peut provoquer un déni de service. Cette fiche concerne uniquement CVE-2026-59843.
Source : DLA-4844-1 libssh – security update
CVE-2026-59844 : déni de service via une requête SSH_FXP_READ
DLA-4844-1 indique qu’une longueur excessive dans une requête SSH_FXP_READ peut provoquer un déni de service. Cette fiche concerne uniquement CVE-2026-59844.
Source : DLA-4844-1 libssh – security update
CVE-2026-59845 : déni de service lié à la gestion de fork() dans ProxyCommand
DLA-4844-1 relève que ProxyCommand ne vérifiait pas la valeur de retour de fork(), ce qui peut causer un déni de service. Cette fiche concerne uniquement CVE-2026-59845.
Source : DLA-4844-1 libssh – security update
CVE-2026-59846 : métacaractères shell dans le nom d’utilisateur transmis à ProxyCommand
DLA-4844-1 signale qu’un nom d’utilisateur contenant des métacaractères shell pouvait être développé dans ProxyCommand via %r. Cette fiche concerne uniquement CVE-2026-59846.
Source : DLA-4844-1 libssh – security update
CVE-2026-59847 : échec de vérification AES-GCM traité comme une réussite
DLA-4844-1 indique qu’avec le backend OpenSSL, l’échec de vérification d’une étiquette AES-GCM pouvait être traité comme une réussite; le backend gcrypt n’était pas affecté selon le résumé fourni. Cette fiche concerne uniquement CVE-2026-5…
Source : DLA-4844-1 libssh – security update