Les sujets à surveiller, en un regard.
293 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 12 sujet(s) en rouge, 9 en orange.
Shopify
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Shopify. Les résultats consultés ne montrent aucun avis de sécurité, correctif de vulnérabilité, exploitation ou changement substantiel de sécurité Shopify daté du 2026-10-21 dans la période demandée; le changelog consulté affiche des changements de produit/API, non des avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche web dédiée à Wix pour la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00 n’a fait ressortir aucun avis ou événement de sécurité Wix répondant aux critères de cette veille dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal pour la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00 n’a fait ressortir aucun avis de sécurité, correctif, exploitation ou changement substantiel vérifiable daté de cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
Pour la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00, les sources consultées n’établissent aucune nouvelle vulnérabilité, aucun correctif ni avis de sécurité propre à Craft CMS. Un billet Craft CMS daté du 2026-10-21 traite de vulnérabilités du moteur PHP et du déploiement d’images corrigées pour Craft Cloud ; il ne décrit pas une vulnérabilité de Craft CMS lui-même, donc il n’est pas retenu comme item Craft CMS.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
Pour Ghost, la recherche dédiée n’a pas relevé de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel de sécurité daté dans la période demandée. Les avis GitHub consultés étaient antérieurs à cette période; l’entrée Ghost datée du 21 octobre trouvée dans le changelog concerne une personnalisation de Stripe Checkout, pas la sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis/correctif ou évolution substantielle de sécurité Strapi datée du 2026-10-21 n’a été vérifiée dans les sources consultées. Les avis Strapi trouvés dans la recherche sont antérieurs à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Directus, aux CVE/NVD et aux sources de projet consultées n’a vérifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-21 dans la période demandée. Les avis Directus trouvés dans les résultats portent des dates antérieures à cette période et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
Les recherches ciblées sur OpenCart n’ont fait ressortir aucun nouvel avis, correctif ou événement de sécurité OpenCart daté dans la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Aucun candidat n’ayant été fourni, aucune décision de candidat n’est à rendre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Vérification incomplète
La recherche a repéré un avis cPanel du 21 octobre 2026 concernant deux CVE PHP et une mise à jour des paquets PHP internes de cPanel & WHM. Les notes consultées mentionnent les versions cPanel & WHM 11.110.0.153, 11.134.0.66, 11.136.0.50 et 11.138.0.18. Aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ruby
Vérification incomplète
La recherche a repéré un avis GitHub publié le 2026-10-21 concernant rubygems.org. Les sources Ruby-lang et RubySec consultées n’ont pas fourni d’autre avis daté de la période dans les résultats obtenus.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Bun
Recherche du sujet effectuée
Aucun avis, correctif ou événement de sécurité concernant Bun n’a été vérifié dans la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Le candidat fourni concerne Vite et indique explicitement que le problème ne touche pas les applications exécutant Vite avec Bun.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche dédiée sur Deno n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel vérifié comme daté du 2026-10-21 dans les sources consultées. Les avis Deno visibles dans la page officielle consultée sont datés de mai et juin 2026, hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
Trois avis liés à l’écosystème Go ont été retenus pour la période : un défaut de validation du pair dans Chi (CVE-2026-114437), un déni de service dans Moov signedxml (CVE-2026-113729) et un contournement d’autorisation dans OpenChoreo (CVE-2026-113727). Les dates de publication indiquées par les candidats se situent dans la fenêtre demandée.
Moov signedxml : déni de service par allocations excessives lors de la canonicalisation XML
La canonicalisation XML exclusive de `github.com/moov-io/signedxml` pouvait consommer une quantité excessive de mémoire et de CPU sur un XML spécialement construit, avant la vérification de la signature. Dans les services SAML ou WS-Federation traitant des documents non authentifiés, cela permet un déni de service pouvant provoquer l’épuisement mémoire du processus.
Action recommandée : Mettre à niveau `github.com/moov-io/signedxml` vers 1.4.1 ou une version ultérieure.
OpenChoreo : contournement d’autorisation lors de la mise à jour des WorkflowRun
OpenChoreo vérifiait l’autorisation de mise à jour d’un `WorkflowRun` à partir des étiquettes de projet et de composant fournies dans la requête, alors que l’objet modifié était identifié par l’URL. Un utilisateur authentifié autorisé à mettre à jour des exécutions dans un composant pouvait ainsi réétiqueter une exécution d’un autre projet ou composant du même espace de noms et en prendre le contrôle.
Action recommandée : Mettre à niveau vers 1.0.6, 1.1.7 ou 1.2.5, selon la branche utilisée.
Chi : validation insuffisante de l’adresse du proxy de confiance dans ClientIPFromXFF
Le middleware `ClientIPFromXFF` de Chi peut faire confiance à une adresse de proxy présente dans `X-Forwarded-For` sans vérifier que le pair TCP direct appartient au CIDR de confiance configuré. Un client pouvant joindre directement le serveur peut ainsi influencer l’adresse IP renvoyée par `middleware.GetClientIP`.
Action recommandée : Mettre à niveau chi vers 5.4.0 ou une version ultérieure.
Kotlin
Recherche du sujet effectuée
La recherche web dédiée n’a trouvé aucun avis de sécurité Kotlin, correctif de sécurité ou événement d’exploitation dont la date soit établie dans la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Les avis Kotlin consultés ne signalent pas d’avis publié, et la version Kotlin 2.4.21 repérée est datée du 8 octobre 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié sept CVE Electron dont la publication NVD tombe dans la période du 21 octobre 2026. Elles concernent l’attribution de navigations et de demandes de permission, la confidentialité des onglets et la validation de données de frame GPU ; les actions correctives et versions affectées sont précisées par CVE ci-dessus.
Classification incorrecte de navigations dans Electron
Electron ne conservait pas correctement la page initiatrice lors de l’ouverture d’une nouvelle fenêtre à partir de liens; certaines navigations pouvaient alors être considérées comme same-site. Dans une application chargeant du contenu non fiable et autorisant l’ouverture de fenêtres, cela peut permettre des requêtes authentifiées utilisant des cookies SameSite=Strict contre un autre site.
Action recommandée : Mettre à jour vers une des versions corrigées indiquées; vérifier en priorité les applications Electron qui chargent du contenu non fiable et autorisent les nouvelles fenêtres.
Electron : demande pointerLock attribuée à la mauvaise frame
Pour certaines demandes pointerLock provenant d’iframes inter-origines, Electron transmettait au gestionnaire de permissions l’URL et l’indicateur de frame principale du document englobant. Une application accordant cette permission selon l’origine pouvait ainsi l’accorder à du contenu intégré non fiable ; mettre à jour Electron ou refuser pointerLock à ce contenu.
Action recommandée : Mettre à jour Electron ; ne pas accorder pointerLock à des iframes non fiables.
Electron : vérifications de permissions HID/USB attribuées à la mauvaise origine
Les vérifications de permissions HID et USB déclenchées depuis une iframe pouvaient être évaluées avec l’origine et les détails de la frame principale, plutôt qu’avec ceux de la frame demanderesse. Une application autorisant ces périphériques selon l’origine pouvait accorder un accès indu à une iframe inter-origines ; appliquer le correctif ou ne pas déléguer ces permissions à du contenu non fiable.
Action recommandée : Mettre à jour vers une version corrigée et ne pas déléguer HID/USB à des iframes non fiables sans vérification de leur frame.
Electron : demande d’ouverture de protocole externe attribuée au mauvais document
Une requête visant à ouvrir une URL de protocole externe pouvait être attribuée à un document différent de celui qui l’avait initiée. Si l’application autorise openExternal selon l’origine et permet à du contenu non fiable d’ouvrir ou de naviguer des fenêtres, ce défaut pouvait conduire au lancement d’une application enregistrée dans le système ; mettre à jour Electron.
Action recommandée : Mettre à jour Electron et vérifier les règles d’autorisation openExternal, en particulier pour les fenêtres contenant du contenu non fiable.
Electron : divulgation des URL et titres des onglets aux extensions
Une extension chargée dans Electron pouvait obtenir les URL et titres des onglets via chrome.tabs.query() sans l’autorisation tabs ni des permissions d’hôte correspondantes. Le risque concerne notamment les applications qui chargent une extension insuffisamment fiable ; mettre Electron à jour vers une version corrigée.
Action recommandée : Mettre à jour Electron et éviter de charger des extensions qui ne sont pas pleinement fiables dans une session contenant du contenu sensible.
Electron : validation insuffisante des frames GPU lors de la capture
Les données de frame reçues du processus GPU pour webContents.beginFrameSubscription() n’étaient pas entièrement validées par le processus principal. Un attaquant ayant déjà obtenu l’exécution de code dans le processus GPU pouvait provoquer une lecture hors limites, avec divulgation mémoire ou plantage ; installer une version corrigée.
Action recommandée : Mettre à jour Electron vers une version corrigée.
Electron macOS : validation insuffisante des frames GPU en rendu hors écran
Pour le rendu hors écran sur macOS, les données de frame reçues du processus GPU n’étaient pas entièrement validées par le processus principal. Un attaquant ayant déjà obtenu l’exécution de code dans le processus GPU pouvait provoquer une lecture mémoire hors limites lors de la production d’images d’événement paint ; mettre à jour Electron.
Action recommandée : Mettre à jour Electron vers une version corrigée.
jQuery
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel concernant jQuery, daté de la période demandée. Les avis Kendo UI for jQuery trouvés sont datés du 15 octobre 2026, hors période; ils concernent en outre un produit distinct de la bibliothèque jQuery elle-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Vérification incomplète
Un avis Laravel daté du 21 octobre 2026 décrit les mesures prises ou recommandées pour les services Laravel à la suite de vulnérabilités critiques dans PHP. Aucun candidat n’a été fourni; les avis Laravel Framework repérés et datés du 19 octobre sont antérieurs à la période demandée et n’ont pas été retenus.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Svelte
Recherche du sujet effectuée
La recherche dédiée des avis de sécurité Svelte et SvelteKit n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-21 00:00:00+02:00 au 2026-10-22 00:00:00+02:00. Les avis SvelteKit trouvés sont datés du 2026-10-05; une fiche de CVE affichant une mise à jour le 2026-10-21 indique une date de publication antérieure au début de la période et ne constitue donc pas un événement nouveau dans celle-ci.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée aux avis Symfony, aux avis GitHub et aux sources CERT-FR n’a identifié aucun nouvel avis, correctif ou changement substantiel daté du 2026-10-21 dans la période demandée. Les avis Symfony repérés par la recherche sont datés du 2026-10-15 et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche web dédiée sur Flask n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-10-21 dans la période demandée. Les avis Flask visibles dans les résultats consultés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Django. Aucun avis ni correctif concernant le projet Django lui-même, daté de la période figée, n’a été vérifié parmi les résultats consultés; les candidats portant sur Django REST framework et djust concernent des projets distincts.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Niveau relevé : Critique
Un CVE publié pendant la période vise une application tierce, HKUDS Vibe-Trading, et non FastAPI lui-même : son interface FastAPI présente une absence d’authentification dans les versions antérieures à 0.1.7. Les notes de version FastAPI consultées mentionnent des corrections publiées le 2026-10-21, sans les présenter comme des correctifs de sécurité.
CVE-2026-114108 — absence d’authentification sur l’interface FastAPI de HKUDS Vibe-Trading
CVE-2026-114108 concerne HKUDS Vibe-Trading, et non le paquet ou le projet FastAPI lui-même : une absence d’authentification sur son interface FastAPI peut permettre à des attaquants non authentifiés d’accéder à des fonctions sensibles. Les versions de 0.1.0 à celles antérieures à 0.1.7 sont concernées ; mettre à niveau vers 0.1.7 ou une version ultérieure.
Action recommandée : Mettre à niveau HKUDS Vibe-Trading vers la version 0.1.7 ou ultérieure et ne pas exposer l’API sans authentification.
Express
Recherche du sujet effectuée
La recherche dédiée aux avis et sources du projet Express n’a pas identifié de vulnérabilité, correctif ou avis de sécurité Express daté du 2026-10-21 dans les sources consultées. Les deux candidats fournis concernent d’autres projets.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a identifié, dans les sources consultées, aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-10-21 dans la période demandée. Les avis NestJS repérés étaient datés du 2026-09-15 ou antérieurs, et les versions consultées étaient publiées avant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Les fiches NVD fournies signalent dix vulnérabilités MySQL publiées dans la fenêtre demandée selon leur horodatage UTC converti en +02:00. Elles concernent MySQL Server et/ou MySQL Cluster, principalement des dénis de service dans l’optimiseur, InnoDB et DDL ; l’avis Oracle du CPU d’octobre 2026 est également consulté. Les éléments vérifiés ne permettent pas de préciser les versions corrigées ni de confirmer une exploitation active. Les candidats fournis correspondent à onze fiches CVE MySQL publiées pendant la période indiquée, selon leurs horodatages NVD. Ils décrivent principalement des risques de déni de service dans MySQL Server/MySQL Cluster et une vulnérabilité de divulgation limitée dans Connector/Net ; les éléments fournis ne précisent pas de versions corrigées ni d’exploitation confirmée. Dix fiches NVD pour MySQL, Connector/Net, Connector/J, MySQL Router et MySQL Cluster ont été publiées pendant la période selon leur horodatage converti en UTC+02. Les impacts rapportés comprennent l’accès ou la modification de données et des dénis de service; les fiches fournies ne donnent pas de versions corrigées. Les données fournies recensent dix vulnérabilités MySQL dont les fiches NVD ont été publiées au début de la période locale du 2026-10-21. Les impacts rapportés comprennent des dénis de service, une modification non autorisée de données et une lecture non autorisée; les versions concernées et scores sont détaillés individuellement ci-dessus. Les candidats fournis signalent dix vulnérabilités MySQL distinctes dont la publication NVD tombe dans la période demandée. Elles concernent plusieurs composants de MySQL Server et MySQL Cluster et ont pour impact décrit un déni de service ; les données fournies ne précisent ni correctifs ni exploitation active. Aucune vulnéra…
CVE-2026-101679 — déni de service dans MySQL Client programs
Une vulnérabilité du composant Client programs de MySQL Server et MySQL Cluster peut permettre à un attaquant distant non authentifié de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101769 : déni de service et accès aux données dans MySQL Cluster
Une vulnérabilité de MySQL Cluster peut être exploitée à distance sans authentification pour provoquer un déni de service et permettre des modifications ou lectures non autorisées de certaines données. Les versions concernées indiquées sont 26.7.0 à 26.7.1 ; appliquez un correctif dès qu’il est disponible.
Action recommandée : Mettre à jour MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101770 : prise de contrôle via les programmes client MySQL
Une vulnérabilité des programmes client peut permettre à un attaquant non authentifié disposant d’un accès réseau de prendre le contrôle de MySQL Server ou de MySQL Cluster. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101771 : prise de contrôle via les programmes client MySQL
Une vulnérabilité des programmes client peut permettre à un attaquant non authentifié disposant d’un accès réseau de prendre le contrôle de MySQL Server ou de MySQL Cluster. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101772 : prise de contrôle via les programmes client MySQL
Une vulnérabilité des programmes client peut permettre à un attaquant non authentifié disposant d’un accès réseau de prendre le contrôle de MySQL Server ou de MySQL Cluster. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101773 : déni de service via Group Replication
Une vulnérabilité du plug-in Group Replication peut être exploitée par un attaquant non authentifié ayant accès au segment de communication physique du système. Elle peut provoquer un déni de service et permettre des modifications non autorisées de certaines données ; les versions concernées sont indiquées ci-dessous.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101775 : atteinte à l’intégrité et disponibilité via la réplication
Une vulnérabilité de la réplication peut permettre à un attaquant non authentifié disposant d’un accès réseau de modifier ou supprimer des données critiques, voire toutes les données accessibles, et de provoquer un déni de service. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101781 : prise de contrôle via Group Replication GCS
Une vulnérabilité du composant Group Replication GCS peut permettre à un attaquant non authentifié ayant accès au segment de communication physique concerné de prendre le contrôle de MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101783 : compromission de MySQL Router
Une vulnérabilité de MySQL Router permet à un attaquant non authentifié disposant d’un accès réseau HTTPS de compromettre le routeur, avec des difficultés d’exploitation élevées. La seule version affectée indiquée est MySQL Router 26.7.0 ; l’impact peut inclure un accès ou une modification non autorisés des données accessibles au routeur.
CVE-2026-101785 : atteinte à la confidentialité, à l’intégrité et à la disponibilité via Server: JSON
Une vulnérabilité du composant Server: JSON permet à un attaquant disposant de faibles privilèges et d’un accès réseau d’altérer des données, de lire une partie des données accessibles et de provoquer un déni de service complet. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101786 : prise de contrôle via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de privilèges élevés et d’un accès réseau de prendre le contrôle de MySQL Server ou MySQL Cluster. Les seules versions affectées indiquées sont 26.7.0–26.7.1 pour MySQL Server et MySQL Cluster.
CVE-2026-101796 — Prise de contrôle via Replication
La vulnérabilité du composant Replication peut permettre la prise de contrôle de MySQL Server ou MySQL Cluster par un attaquant réseau non authentifié, mais l’exploitation est difficile et nécessite l’interaction d’une autre personne. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucune version corrigée n’est fournie.
CVE-2026-101797 — Vulnérabilité du client mysqldump
La vulnérabilité du client mysqldump peut permettre à un attaquant réseau non authentifié de compromettre MySQL Server ou MySQL Cluster; l’exploitation est difficile et requiert l’interaction d’une autre personne. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; le correctif n’est pas précisé.
CVE-2026-101810 — déni de service dans MySQL Router
Une vulnérabilité de MySQL Router affecte la version 26.7.0 et permet à un attaquant distant non authentifié de provoquer un blocage ou des plantages répétés. La fiche NVD a été publiée pendant la période de veille ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Action recommandée : Évaluer l’exposition de MySQL Router 26.7.0 et appliquer un correctif éditeur dès qu’il est disponible.
MySQL Connector/Python : accès non autorisé à des données via le réseau
Oracle signale une vulnérabilité du composant Connector/Python, exploitable par un attaquant non authentifié disposant d’un accès réseau via plusieurs protocoles. Le descriptif NVD fourni associe la version prise en charge 26.7.0 à un risque d’accès non autorisé à des données; aucun correctif n’est établi par les éléments consultés ici.
Action recommandée : Évaluer l’exposition de Connector/Python 26.7.0 et appliquer un correctif éditeur dès qu’il est disponible.
MySQL Server et Cluster : déni de service via l’optimiseur
CVE-2026-101607 concerne l’optimiseur du serveur MySQL et de MySQL Cluster ; un attaquant réseau disposant de privilèges élevés peut provoquer un déni de service. Les versions affectées indiquées comprennent MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49 et les mêmes branches 8.4, 9.7 et 26.7 ; score CVSS 3.1 : 4,9.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via l’optimiseur
CVE-2026-101608 touche l’optimiseur de MySQL Server et MySQL Cluster et permet à un attaquant réseau ayant de faibles privilèges de provoquer un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49 et les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 6,5.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101609 concerne InnoDB dans MySQL Server et MySQL Cluster et peut conduire à un déni de service à la suite d’une attaque réseau difficile exigeant des privilèges élevés. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, et MySQL Cluster 8.0.0–8.0.49 ainsi que les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 4,4.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via l’optimiseur
CVE-2026-101610 affecte l’optimiseur de MySQL Server et MySQL Cluster ; un attaquant réseau disposant de privilèges élevés peut provoquer un déni de service. Les branches concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, et MySQL Cluster 8.0.0–8.0.49 ainsi que les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 4,9.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101611 touche InnoDB dans MySQL Server et MySQL Cluster ; son exploitation réseau est difficile et nécessite des privilèges élevés, mais peut provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49 et les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 4,4.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101612 concerne InnoDB dans MySQL Server et MySQL Cluster et peut causer un déni de service après une attaque locale difficile nécessitant des privilèges élevés et l’intervention d’un autre utilisateur. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49 et les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 4,0.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via DDL
CVE-2026-101613 affecte le composant DDL du serveur MySQL et de MySQL Cluster ; un attaquant réseau disposant de privilèges élevés peut provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, et MySQL Cluster 8.0.0–8.0.49 ainsi que les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 4,9.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101614 touche InnoDB dans MySQL Server et MySQL Cluster ; l’exploitation réseau, facilitée mais soumise à des privilèges élevés, peut entraîner un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, et MySQL Cluster 8.0.0–8.0.49 ainsi que les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 4,9.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101615 affecte InnoDB dans MySQL Server et MySQL Cluster et permet à un attaquant local fortement privilégié de provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49 et les branches 8.4, 9.7 et 26.7 correspondantes ; score CVSS 3.1 : 4,4.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
CVE-2026-101616 : déni de service dans MySQL Server et MySQL Cluster
Une vulnérabilité du composant Server: JSON de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de faibles privilèges de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101617 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101618 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101619 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101620 : déni de service dans l’Optimizer
Une vulnérabilité du composant Server: Optimizer de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de faibles privilèges de provoquer un déni de service. Seules les versions 9.7.0–9.7.3 sont indiquées comme affectées pour ces deux produits.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101621 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101622 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101623 : déni de service dans l’Optimizer
Une vulnérabilité du composant Server: Optimizer de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101624 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101625 : divulgation limitée via MySQL Connector/Net
Une vulnérabilité de MySQL Connector/Net permet à un attaquant distant non authentifié d’obtenir un accès en lecture non autorisé à une partie des données accessibles au connecteur, avec interaction humaine requise. La seule version indiquée comme affectée est 26.7.0.
Action recommandée : Évaluer l’utilisation de Connector/Net 26.7.0 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101626 : accès non autorisé à des données via Connector/Net
Une vulnérabilité de Connector/Net peut permettre à un attaquant distant non authentifié d’accéder à des données sensibles. L’exploitation est difficile et nécessite un accès réseau via plusieurs protocoles.
Action recommandée : Évaluer l’exposition de Connector/Net 26.7.0 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101627 : déni de service dans InnoDB
Une vulnérabilité dans InnoDB permet à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service complet sur MySQL Server ou MySQL Cluster. L’exploitation est difficile et peut entraîner un blocage ou des plantages répétitifs.
Action recommandée : Évaluer les versions concernées de MySQL Server et MySQL Cluster et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101628 : déni de service dans le NDB Operator
Une vulnérabilité du NDB Operator permet à un attaquant réseau disposant de faibles privilèges via HTTP de provoquer un déni de service complet de MySQL Cluster. La fiche concerne la version 9.7.3 et qualifie l’exploitation de facile.
Action recommandée : Évaluer l’exposition du NDB Operator 9.7.3 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101629 : déni de service dans InnoDB
Une vulnérabilité d’InnoDB permet à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service complet sur MySQL Server ou MySQL Cluster. La fiche indique une exploitation facile et des plantages répétitifs possibles.
Action recommandée : Évaluer les versions concernées de MySQL Server et MySQL Cluster et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101631 : accès et modification de données via MySQL Router
Une vulnérabilité de MySQL Router peut permettre à un attaquant distant non authentifié d’accéder à des données ou de les modifier, sous réserve d’une interaction humaine. La version concernée indiquée est 26.7.0 et l’exploitation est difficile.
Action recommandée : Évaluer l’exposition de MySQL Router 26.7.0 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101632 : lecture de données via MySQL Router
Une vulnérabilité de MySQL Router permet à un attaquant distant non authentifié de lire une partie des données accessibles, si une personne interagit. La version concernée indiquée est 26.7.0.
Action recommandée : Évaluer l’exposition de MySQL Router 26.7.0 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101633 : lecture de données via MySQL Router
Une vulnérabilité de MySQL Router permet à un attaquant disposant de faibles privilèges et d’un accès réseau HTTPS de lire une partie des données accessibles. La version concernée indiquée est 26.7.0.
Action recommandée : Évaluer l’exposition de MySQL Router 26.7.0 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101637 : altération de données et déni de service dans InnoDB
Une vulnérabilité d’InnoDB permet à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service et de modifier certaines données accessibles. Les versions concernées incluent MySQL Server et MySQL Cluster des branches 9.7 et 26.7 indiquées dans la fiche.
Action recommandée : Évaluer les versions concernées de MySQL Server et MySQL Cluster et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101677 : modification de données via Connector/J
Une vulnérabilité de Connector/J permet à un attaquant distant non authentifié, après interaction humaine, de modifier certaines données accessibles. La version concernée indiquée est 26.7.0.
Action recommandée : Évaluer l’exposition de Connector/J 26.7.0 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101678 : déni de service partiel dans Connector/J
Une vulnérabilité de Connector/J peut permettre à un attaquant distant non authentifié, après interaction humaine, de provoquer un déni de service partiel. La version concernée indiquée est 26.7.0.
Action recommandée : Évaluer l’exposition de Connector/J 26.7.0 et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101720 — modification non autorisée de données MySQL
Une vulnérabilité de Server: Connection Handling dans MySQL Server et MySQL Cluster peut permettre à un attaquant distant non authentifié d’effectuer des mises à jour, insertions ou suppressions non autorisées sur certaines données accessibles. Les versions affectées indiquées sont 26.7.0–26.7.1 pour les deux produits; les données fournies ne précisent ni correctif ni contournement.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101721 — déni de service dans MySQL Components Services
Une vulnérabilité de Server: Components Services dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101722 — lecture non autorisée de données MySQL
Une vulnérabilité de Server: Connection Handling dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de lire une partie des données accessibles. Les versions affectées indiquées sont 9.7.0–9.7.3 et 26.7.0–26.7.1 pour les deux produits; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101724 — déni de service dans MySQL InnoDB
Une vulnérabilité d’InnoDB dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101725 — déni de service via la C API MySQL
Une vulnérabilité de la C API de MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101726 — déni de service via la C API MySQL
Une vulnérabilité de la C API de MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101727 — déni de service dans MySQL Replication
Une vulnérabilité de Server: Replication dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101728 — déni de service dans MySQL Pluggable Auth
Une vulnérabilité de Server: Pluggable Auth dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101729 — déni de service dans MySQL Replication
Une vulnérabilité de Server: Replication dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-101730 — déni de service dans l’optimiseur MySQL
Une vulnérabilité de l’optimiseur de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101731 — déni de service dans l’optimiseur MySQL
Une vulnérabilité de l’optimiseur de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101732 — déni de service dans l’optimiseur MySQL
Une vulnérabilité de l’optimiseur de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101733 — déni de service dans le composant JSON de MySQL
Une vulnérabilité du composant JSON de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; les données fournies ne précisent aucun correctif ni contournement.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101743 — déni de service dans GIS de MySQL
Une vulnérabilité du composant GIS de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Elle concerne les versions 26.7.0–26.7.1 de MySQL Server et MySQL Cluster ; les données fournies ne précisent aucun correctif ni contournement.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101747 — déni de service dans InnoDB
Une vulnérabilité d’InnoDB dans MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101748 — déni de service dans l’Audit de sécurité MySQL
Une vulnérabilité du composant Audit de sécurité de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101749 — déni de service dans le chiffrement de sécurité MySQL
Une vulnérabilité du composant de chiffrement de sécurité de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Elle concerne les versions 26.7.0–26.7.1 de MySQL Server et MySQL Cluster ; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101750 — déni de service dans le plug-in Clone MySQL
Une vulnérabilité du plug-in Clone de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; les données fournies ne précisent aucun correctif ni contournement.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101751 — déni de service dans Group Replication GCS
Une vulnérabilité du composant Group Replication GCS de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1 ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Évaluer les instances des versions affectées et appliquer un correctif éditeur dès qu’il est disponible.
CVE-2026-101774 : déni de service lié à l’authentification enfichable
Une vulnérabilité du mécanisme d’authentification enfichable peut permettre à un attaquant non authentifié disposant d’un accès réseau de provoquer un déni de service et de modifier certaines données accessibles. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101776 : déni de service via Group Replication
Une vulnérabilité du plug-in Group Replication permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un déni de service. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101777 : déni de service et lecture de données via le chiffrement
Une vulnérabilité du chiffrement peut être exploitée par un attaquant disposant de privilèges élevés et d’un accès réseau pour provoquer un déni de service et lire une partie des données accessibles. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101778 : déni de service dans les services de composants MySQL
Une vulnérabilité des services de composants peut être exploitée par un utilisateur disposant de faibles privilèges et d’un accès réseau pour provoquer un déni de service. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour MySQL Server et/ou MySQL Cluster vers une version corrigée dès qu’elle est disponible.
CVE-2026-101780 : déni de service via Server: X Plugin
Une vulnérabilité du composant Server: X Plugin permet à un attaquant disposant de faibles privilèges et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101784 : déni de service via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101787 : déni de service via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101788 : déni de service via Components Services
Une vulnérabilité du composant Server: Components Services permet à un attaquant non authentifié disposant d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101789 : déni de service via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de faibles privilèges et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101794 — Déni de service dans le composant XML de MySQL
La vulnérabilité du composant XML de MySQL Server et MySQL Cluster peut permettre à un attaquant disposant de faibles privilèges et d’un accès réseau de provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucune version corrigée n’est précisée dans les données fournies.
CVE-2026-101795 — Prise de contrôle via Components Services
La vulnérabilité du composant Components Services peut permettre à un attaquant hautement privilégié ayant une connexion à l’infrastructure où le produit s’exécute de prendre le contrôle de MySQL Server ou MySQL Cluster. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif n’est indiqué dans les données fournies.
CVE-2026-101798 — Déni de service dans Optimizer
La vulnérabilité du composant Optimizer peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service sur MySQL Server ou MySQL Cluster. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif n’est indiqué.
CVE-2026-101799 — Déni de service dans Group Replication GCS
La vulnérabilité du composant Group Replication GCS peut permettre à un attaquant non authentifié ayant accès au segment de communication physique relié au matériel de provoquer un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucune version corrigée n’est spécifiée.
CVE-2026-101800 — Atteinte à la confidentialité et à l’intégrité des données
La vulnérabilité des privilèges de sécurité de MySQL peut permettre à un attaquant réseau disposant de faibles privilèges d’accéder à des données ou de les créer, supprimer ou modifier sans autorisation. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; les données fournies ne précisent pas de version corrigée.
CVE-2026-101801 — Déni de service dans Optimizer
La vulnérabilité du composant Optimizer peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucun correctif n’est mentionné.
CVE-2026-101802 — Déni de service dans Parser
La vulnérabilité du composant Parser peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un déni de service sur MySQL Server ou MySQL Cluster. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; aucune version de correction n’est indiquée.
CVE-2026-101803 — Atteinte à l’intégrité et déni de service via XML
La vulnérabilité du composant XML peut permettre à un attaquant réseau disposant de privilèges élevés de modifier des données sans autorisation et de provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MySQL Cluster 8.0.0–8.0.49, 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1; le correctif n’est pas précisé.
CVE-2026-101806 — accès et modification de données dans MySQL Connector/ODBC
Une vulnérabilité de Connector/ODBC affecte la version 26.7.1 et peut permettre à un attaquant distant disposant de faibles privilèges d’accéder à des données ou de les modifier. La fiche NVD a été publiée pendant la période de veille ; les informations fournies ne précisent ni version corrigée ni mesure de contournement.
Action recommandée : Évaluer l’exposition de Connector/ODBC 26.7.1 et appliquer un correctif éditeur dès qu’il est disponible.
MySQL Cluster : déni de service possible via InnoDB
CVE-2026-101513 affecte le composant InnoDB de MySQL Cluster 8.0.0 à 8.0.37 et peut permettre à un attaquant ayant un accès physique de provoquer un déni de service. La fiche NVD donne un score CVSS 3.1 de 3,8 ; le correctif et la version corrigée ne sont pas précisés dans les éléments vérifiés.
Action recommandée : Appliquer la mise à jour de sécurité Oracle correspondant aux produits et versions concernés dès qu’elle est disponible ; vérifier les consignes de l’avis MySQL.
CVE-2026-101779 : déni de service partiel via Server: Telemetry
Une vulnérabilité du composant Server: Telemetry permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un déni de service partiel sur MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MySQL Server et MySQL Cluster 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1.
CVE-2026-101804 — déni de service partiel dans MySQL Connector/ODBC
Une vulnérabilité de Connector/ODBC affecte la version 26.7.1 et peut permettre à un attaquant local sans privilèges de provoquer une indisponibilité partielle, avec interaction humaine requise. La fiche NVD a été publiée pendant la période de veille ; aucun correctif ni contournement n’est indiqué dans les informations fournies.
Action recommandée : Évaluer l’exposition de Connector/ODBC 26.7.1 et appliquer un correctif éditeur dès qu’il est disponible.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un nouvel enregistrement CVE concernant WarehousePG, produit de la famille PostgreSQL, est daté du 2026-10-21 dans la période examinée. Le candidat porte sur une autorisation manquante dans gp_log_backend_memory_contexts(); l’avis EDB consulté est postérieur à la période. Aucune information vérifiée dans ce lot ne concerne une vulnérabilité, un correctif ou un avis de sécurité de PostgreSQL. Le candidat porte sur Baserow et décrit une injection SQL dans son application utilisant PostgreSQL ; sa mise à jour NVD, à elle seule, ne constitue pas une nouveauté de sécurité PostgreSQL pour la période demandée.
WarehousePG — autorisation manquante dans gp_log_backend_memory_contexts()
WarehousePG 7.2.1 à 7.6.0 présente une vulnérabilité d’autorisation manquante dans gp_log_backend_memory_contexts(), qu’un rôle authentifié peut appeler sans autorisation explicite. Cela peut provoquer l’écriture de données de contexte mémoire, potentiellement avec du texte de requêtes, dans les journaux des segments et générer un volume important de logs.
Action recommandée : Évaluer l’exposition des déploiements WarehousePG 7.2.1 à 7.6.0 et suivre les consignes de sécurité de l’éditeur.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié un nouvel avis sur MongoDB Compass (CVE-2026-113870) et un avis CERT-FR sur le MongoDB PHP Driver (CERTFR-2026-AVI-1347), tous deux datés du 21 octobre 2026. Les autres candidats ont été écartés car ils concernent Trudesk ou ApostropheCMS, et non une vulnérabilité de MongoDB ou de ses composants.
Exécution de code possible dans MongoDB Compass via une vue spécialement construite
MongoDB Compass échappait incorrectement certaines valeurs BSON lors de la conversion du pipeline d’agrégation d’une vue enregistrée en source modifiable. L’ouverture en édition d’une vue spécialement construite pouvait entraîner l’exécution de code avec les privilèges de l’utilisateur de Compass ; mettre à jour vers la version corrigée.
Action recommandée : Mettre à jour MongoDB Compass vers la version 1.49.15 ou une version ultérieure.
Déni de service à distance dans MongoDB PHP Driver
Une vulnérabilité du MongoDB PHP Driver peut permettre à un attaquant distant de provoquer un déni de service. L’avis CERT-FR fourni ne précise ni les versions affectées ni le correctif.
Action recommandée : Consulter l’avis de l’éditeur pour les versions concernées et appliquer les correctifs disponibles.
Redis
Recherche du sujet effectuée
Aucune nouveauté répondant au périmètre « Redis » n’a été vérifiée pour la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Les avis bRPC repérés concernent Apache bRPC, et non le produit Redis; les avis Redis consultés datent d’avant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche web dédiée à Caddy n’a relevé aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-21 dans la période demandée. L’avis Caddy repéré dans les résultats est daté du 2026-10-13, donc hors période; les autres avis affichés sont également antérieurs.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
Les quatre candidats correspondent à des avis de sécurité SvelteKit publiés sur GitHub le 2026-10-05, hors de la période demandée. Leur publication NVD le 2026-10-21 ne constitue pas, à elle seule, un nouvel avis ou un changement substantiel dans cette période; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée aux avis et publications de sécurité de Babel pour la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00 n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel Babel daté de cette période dans les sources consultées. Les avis Babel visibles dans les pages consultées sont datés antérieurement à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche web dédiée sur Elasticsearch n’a pas fait apparaître d’avis de sécurité, de vulnérabilité nouvelle, d’exploitation ni de changement substantiel publiés dans la période demandée (du 2026-10-21T00:00:00+02:00 inclus au 2026-10-22T00:00:00+02:00 exclu). Les résultats consultés incluaient la page d’avis de sécurité GitHub du projet, la catégorie officielle des annonces de sécurité Elastic et ses pages de sécurité produit; aucun événement correspondant à cette fenêtre n’y a été identifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée sur RabbitMQ n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel dont la date de publication ou de survenue tombe dans la période demandée. Les avis RabbitMQ visibles dans les sources consultées sont datés d’avant le 2026-10-21; une version du serveur publiée le 2026-10-19 ne constitue pas, à elle seule, un événement de sécurité répondant aux critères.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche web dédiée sur Memcached n’a pas identifié de vulnérabilité nouvelle, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel publié pendant la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Les avis Memcached repérés dans les résultats sont datés d’autres périodes; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de vulnérabilité GraphQL nouvelle ou d’avis de sécurité GraphQL vérifiable dans la période demandée. Le candidat fourni concerne le paquet pfSense-pkg-RESTAPI, mais la vulnérabilité décrite porte sur le contrôle d’accès à un endpoint de synchronisation HA et à la configuration de l’API REST, et non sur la fonctionnalité GraphQL.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Huit vulnérabilités de plugins WordPress liés à WooCommerce ont des fiches NVD publiées le 21 octobre 2026 dans la période demandée. Elles concernent la modification ou la confidentialité de commandes, paiements, coupons et listes de souhaits; les versions corrigées sont précisées dans les fiches candidates pour sept plugins, mais pas pour BjornTech Swish.
Contrôle d’accès insuffisant dans Synchrony Financing
Le plugin Synchrony Financing ne vérifie pas correctement les autorisations sur une route REST qui modifie les commandes WooCommerce avant la version 1.1.2. Un attaquant non authentifié peut réaffecter une commande, en modifier les détails et accéder aux données personnelles du client associé.
Action recommandée : Mettre à jour le plugin vers la version 1.1.2 ou ultérieure.
AI Engine : modification non autorisée de contenus arbitraires
AI Engine ne vérifie pas que l’appelant peut modifier l’objet ciblé avant d’en mettre à jour le titre et l’extrait. Un utilisateur ayant le rôle éditeur ou supérieur peut modifier des articles arbitraires, y compris des objets qu’il ne peut normalement pas éditer, comme des menus de navigation ou des coupons WooCommerce.
Action recommandée : Mettre à jour AI Engine vers la version 3.8.6 ou ultérieure.
SUMIT Payment Gateway : validation incorrecte des paiements de commandes
Le plugin SUMIT Payment Gateway for WooCommerce avant la version 4.0.0 ne lie pas correctement le paiement confirmé à la commande concernée et ne vérifie pas que le montant correspond au total de la commande. Un attaquant non authentifié peut réutiliser l’identifiant d’un paiement légitime pour marquer comme payée une commande en attente.
Action recommandée : Mettre à jour le plugin vers la version 4.0.0 ou ultérieure.
TI WooCommerce Wishlist : accès non autorisé aux listes privées via l’API REST
TI WooCommerce Wishlist avant la version 2.13.0 n’applique pas à son API REST le contrôle d’accès réservé au propriétaire qui existe sur l’interface publique. Des utilisateurs non authentifiés peuvent ainsi consulter les métadonnées et le contenu de listes de souhaits privées.
Action recommandée : Mettre à jour TI WooCommerce Wishlist vers la version 2.13.0 ou ultérieure.
Wava Payment Plugin : notifications de paiement non authentifiées
Wava Payment Plugin avant la version 0.3.10 ne vérifie pas l’authenticité des notifications du fournisseur de paiement et ne limite pas qui peut les envoyer. Un attaquant non authentifié peut modifier le statut de commandes WooCommerce; dans les versions jusqu’à 0.3.7, la réponse peut également divulguer les coordonnées de facturation de la commande concernée.
Action recommandée : Mettre à jour Wava Payment Plugin vers la version 0.3.10 ou ultérieure.
Telcell : notifications de paiement non authentifiées
Payment Gateway for Telcell ne valide pas l’authenticité des notifications de paiement, car le secret de signature est vide par défaut, permettant à un attaquant non authentifié de falsifier une notification et de marquer des commandes comme payées. Les versions antérieures à 2.0.5 sont concernées ; mettre à jour vers la version 2.0.5 ou ultérieure.
Action recommandée : Mettre à jour Payment Gateway for Telcell vers la version 2.0.5 ou ultérieure.
BjornTech Swish for WooCommerce : contrôle d’accès manquant
La fiche NVD signale une vulnérabilité de contrôle d’accès manquant dans BjornTech Swish for WooCommerce, affectant les versions jusqu’à 3.7.8 incluse. La description disponible ne précise pas davantage l’action exploitable ni la version corrigée; consulter l’avis du fournisseur et appliquer sa mise à jour de sécurité dès qu’elle est identifiée.
Action recommandée : Vérifier l’avis de BjornTech et appliquer une version corrigée dès sa disponibilité; version corrigée non précisée dans les informations consultées.
Cart Abandonment Recovery : jetons de récupération de panier non vérifiés
Cart Abandonment Recovery for WooCommerce ne vérifie pas l’intégrité des jetons de récupération de panier et accepte encore un ancien format non signé, permettant à un attaquant connaissant l’identifiant de session du panier d’en modifier l’enregistrement. Les versions antérieures à 2.2.0 sont concernées ; mettre à jour vers la version 2.2.0 ou ultérieure.
Action recommandée : Mettre à jour Cart Abandonment Recovery for WooCommerce vers la version 2.2.0 ou ultérieure.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée à Simple:Press n’a identifié aucun avis, correctif de sécurité, signalement d’exploitation ou changement substantiel daté de la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Les résultats consultés sur WordPress.org, WPScan et Patchstack décrivent des informations antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis ou de correctif de sécurité propre à Docker daté du 2026-10-21. Le candidat fourni concerne Trigger.dev : Docker Compose décrit le mode de déploiement concerné, mais la vulnérabilité porte sur les secrets et l’authentification de Trigger.dev; l’avis Docker Hub trouvé est daté du 2026-10-12, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a trouvé, dans la période demandée, deux avis touchant des plateformes destinées à Kubernetes (OpenChoreo et Lagoon) ainsi qu’une fiche concernant le composant Kubernetes Operator d’Oracle TimesTen. Les autres avis Kubernetes repérés dans les résultats de recherche étaient antérieurs à la période et n’ont pas été retenus. Aucune nouveauté Kubernetes vérifiée dans ce lot. Le candidat signale une mise à jour de la fiche NVD de CVE-2026-50516 le 2026-10-21, sans préciser de changement substantiel ; une modification de fiche NVD seule ne suffit pas à établir un nouvel événement de sécurité.
Lagoon — exécution de code arbitraire via le service ssh
Une vulnérabilité du service ssh de Lagoon core permet à un utilisateur disposant d’un compte Lagoon d’exécuter du code arbitraire, avec possibilité d’obtenir des privilèges administratifs élevés. Mettre à niveau Lagoon core vers v2.33.2 ou le chart Helm correspondant ; à défaut, désactiver le service ssh de Lagoon core.
Action recommandée : Mettre à niveau Lagoon core vers v2.33.2 ou le chart Helm lagoon/lagoon-core v1.62.2.
OpenChoreo : contournement d’autorisation lors de la mise à jour des WorkflowRun
OpenChoreo vérifiait l’autorisation de mise à jour d’un `WorkflowRun` à partir des étiquettes de projet et de composant fournies dans la requête, alors que l’objet modifié était identifié par l’URL. Un utilisateur authentifié autorisé à mettre à jour des exécutions dans un composant pouvait ainsi réétiqueter une exécution d’un autre projet ou composant du même espace de noms et en prendre le contrôle.
Action recommandée : Mettre à niveau vers 1.0.6, 1.1.7 ou 1.2.5, selon la branche utilisée.
Oracle TimesTen — vulnérabilité du Kubernetes Operator
Une vulnérabilité du composant Kubernetes Operator d’Oracle TimesTen In-Memory Database peut permettre à un attaquant disposant d’un accès réseau HTTPS et de privilèges faibles de lire sans autorisation une partie des données accessibles. Les versions concernées sont indiquées comme 22.1–22.1.40.0 et 26.1–26.1.1.2.0 ; les informations fournies ne précisent pas de version corrigée.
Linux (noyau)
Vérification antérieure conservée · complément incomplet
Niveau relevé : Gravité à préciser
La recherche a identifié deux publications NVD datées du 21 octobre 2026 concernant le noyau Linux : CVE-2026-98869 (vérificateur BPF) et CVE-2023-7356 (Bluetooth ISO). Les autres candidats fournis sont des mises à jour de fiches plus anciennes ; aucun changement substantiel daté dans la période n’a été établi pour eux. Les candidats fournis sont des mises à jour de fiches NVD datées du 2026-10-21, mais les informations décrites concernent des vulnérabilités et correctifs publiés antérieurement. Aucune nouveauté substantielle datée de la période demandée n’est établie par ce lot. Les candidats fournis sont des mises à jour de fiches NVD pour des vulnérabilités publiées en 2024. Leur date de mise à jour tombe dans la période demandée, mais les éléments fournis ne montrent pas de correctif, d’avis de sécurité, d’exploitation ni de changement substantiel daté de cette période ; une modification administrative NVD ne suffit pas à retenir un item. Aucune vulnérabilité du noyau Linux n’a été retenue pour la période. Les candidats sont des fiches NVD publiées en 2024, dont les seules dates dans la période indiquées ici sont des mises à jour NVD ; le lot ne fournit pas de preuve d’un changement substantiel daté du 2026-10-21. Les candidats sont des CVE Linux publiées avant la période. Le lot indique des mises à jour NVD le 2026-10-21, mais ne documente pour aucune un changement substantiel daté dans la période ; une modification administrative NVD seule ne constitue pas un nouvel événement à retenir. Les candidats fournis sont des fiches NVD publiées en 2025 et modifiées le 2026-10-21. Le lot ne contient pas d’élément établissant qu’une vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel a eu lieu pendant la période demandée; les mod…
Linux : défaut du vérificateur BPF affectant l’extension des registres sur s390
Un défaut du vérificateur BPF pouvait laisser indéterminée l’extension à zéro de registres 32 bits, avec un risque de sémantique incorrecte sur s390. Le correctif calcule statiquement la vivacité des parties haute et basse des registres et marque les instructions concernées ; appliquer une version intégrant le correctif.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif amont ; vérifier les versions fournies par la distribution.
Linux : publication NVD d’un correctif Bluetooth ISO associé à CVE-2023-7356
La fiche NVD publiée pendant la période associe CVE-2023-7356 à un correctif Bluetooth ISO qui ne copie les données BASE que lorsque l’UUID de service correspond à Basic Audio Announcement. Les sources consultées ne précisent pas ici les versions affectées ou corrigées ni l’impact de sécurité concret ; ces éléments ne peuvent donc pas être établis pour cette fiche.
Action recommandée : Consulter les avis et mises à jour de la distribution utilisée pour déterminer si le noyau déployé nécessite une mise à jour.
Debian
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a identifié l’avis Debian DSA-6575-1 pour nginx, daté du 21 octobre 2026, couvrant cinq CVE distinctes. Le candidat DSA-6576-1 pour bind9 a également été retenu sur la base des informations fournies ; les détails par CVE et les versions corrigées ne sont pas établis ici. Les modifications NVD de fiches plus anciennes n’ont pas été considérées comme de nouvelles vulnérabilités sur la seule base de leur date de modification. Les avis Debian publiés le 2026-10-21 comprennent deux vulnérabilités distinctes de PHP 8.2 (CVE-2026-109618 et CVE-2026-109619) et un avis de sécurité Git LFS sans CVE indiqué dans les éléments fournis. Les deux avis concernant Firefox ESR décrivent le blocage de certificats intermédiaires compromis, sans vulnérabilité CVE signalée. Les trois candidats sont des fiches NVD dont la date de mise à jour tombe dans la période, mais les éléments fournis ne documentent aucun changement substantiel survenu à cette date. Les descriptions concernent des vulnérabilités publiées antérieurement; une modification administrative de fiche ne suffit pas à retenir un événement pour ce bulletin.
PHP — exécution de code à distance possible lors d’une erreur de mémoire insuffisante
Une erreur de gestion des conditions de mémoire insuffisante dans PHP peut corrompre des données internes de requête. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une vulnérabilité propre au core ou à un module PrestaShop.
Action recommandée : Faire appliquer le correctif PHP correspondant par l’hébergeur ou l’équipe responsable du serveur et en demander confirmation ; une mise à jour de PrestaShop ou de ses modules ne corrige pas le runtime PHP.
Lire la fiche →Source : 2026-018: Critical Vulnerabilities in PHP ↗Source : Critical PHP vulnerabilities (php2shell): what PrestaShop merchants need to know ↗Source : DLA-4848-1 php8.2 – security update ↗Source : NVD — CVE-2026-109618 ↗Source : [Màj] Multiples vulnérabilités dans PHP (21 octobre 2026) ↗PHP — état interne périmé pouvant conduire à une exécution de code à distance
Un état interne de requête conservé après libération de mémoire peut être réutilisé lors du traitement d’une requête ultérieure par le même worker PHP. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une vulnérabilité propre au core ou à un module PrestaShop.
Action recommandée : Faire appliquer le correctif PHP correspondant par l’hébergeur ou l’équipe responsable du serveur et en demander confirmation ; une mise à jour de PrestaShop ou de ses modules ne corrige pas le runtime PHP.
Lire la fiche →Source : 2026-018: Critical Vulnerabilities in PHP ↗Source : Critical PHP vulnerabilities (php2shell): what PrestaShop merchants need to know ↗Source : DLA-4848-1 php8.2 – security update ↗Source : NVD — CVE-2026-109619 ↗Source : [Màj] Multiples vulnérabilités dans PHP (21 octobre 2026) ↗Debian publie DSA-6575-1 pour CVE-2026-15176 dans nginx
Debian a publié le 21 octobre un avis de sécurité concernant un dépassement de tampon lorsque nginx associe `alias` au traitement d’une URI réécrite. L’impact dépend de la configuration ; appliquer la mise à jour de sécurité Debian ou passer à une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-93479 dans nginx
L’avis Debian du 21 octobre signale un dépassement de tampon lors de l’évaluation d’expressions de chaînes dans les modules HTTP et stream. Mettre à jour le paquet nginx Debian concerné ou utiliser une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-95101 dans nginx
Debian a inclus cette vulnérabilité dans son avis nginx publié le 21 octobre : des trames HTTP/3 inconnues fragmentées peuvent être interprétées comme des données de corps de requête. En cas de proxy, cela peut permettre l’injection de requêtes vers un serveur dorsal ou le contournement de limites sur la taille du corps ; appliquer le correctif Debian ou une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-97205 dans nginx
L’avis Debian publié le 21 octobre décrit un use-after-free causé par le débordement d’un compteur d’opérations asynchrones en attente. Cela peut provoquer une corruption mémoire ou un déni de service ; appliquer la mise à jour de sécurité Debian ou une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-97629 dans nginx
Debian a signalé le 21 octobre un défaut de synchronisation des clés de tickets de session TLS entre processus workers, pouvant laisser un worker utiliser des clés non initialisées. Selon l’avis, cela pourrait permettre de forger des sessions TLS et de contourner l’authentification par certificat client ; appliquer le correctif Debian ou une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie une mise à jour de sécurité pour bind9 (DSA-6576-1)
Le candidat annonce DSA-6576-1, une mise à jour de sécurité Debian pour bind9, à la date du 21 octobre 2026. Le résumé fourni indique plusieurs vulnérabilités susceptibles d’entraîner un déni de service ou une exécution de code à distance ; installer la mise à jour Debian de bind9.
Action recommandée : Consulter l’avis Debian et installer la version corrigée de bind9 adaptée à la distribution.
Git LFS : écriture hors du dépôt via des liens symboliques
Debian a publié le DLA-4846-1 pour corriger le traitement des liens symboliques dans Git LFS. Un dépôt Git malveillant pouvait permettre l’écriture de fichiers hors de l’arbre de travail ou du dépôt nu de la victime, avec un risque d’exécution de commandes à distance ; l’identifiant CVE et les versions corrigées ne figurent pas dans les éléments fournis.
Action recommandée : Appliquer la mise à jour Debian DLA-4846-1 pour git-lfs.
Alpine Linux
Vérification incomplète
La recherche a relevé des mises à jour de sécurité Alpine datées du 21 octobre 2026 pour php83 (CVE-2026-109618 et CVE-2026-109619) et musl (CVE-2026-107891). Les sources consultées indiquent les versions corrigées php83 8.3.36-r0 et musl 1.2.6-r3; les informations de gravité et d’impact propres à chaque CVE n’ont pas été vérifiées indépendamment.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée aux avis Apache HTTP Server et aux sources de vulnérabilités accessibles n’a identifié aucun nouvel avis, correctif ou changement substantiel daté du 2026-10-21 dans la période demandée. Les résultats trouvés concernent des annonces antérieures ou des produits autres qu’Apache HTTP Server.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a relevé DSA-6575-1, publié par Debian le 21 octobre 2026, qui couvre cinq CVE nginx. Les versions amont indiquées comme corrigées par le projet sont 1.30.6+ et 1.31.7+ ; pour les paquets Debian, appliquer la mise à jour adaptée à la distribution.
Debian publie DSA-6575-1 pour CVE-2026-15176 dans nginx
Debian a publié le 21 octobre un avis de sécurité concernant un dépassement de tampon lorsque nginx associe `alias` au traitement d’une URI réécrite. L’impact dépend de la configuration ; appliquer la mise à jour de sécurité Debian ou passer à une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-93479 dans nginx
L’avis Debian du 21 octobre signale un dépassement de tampon lors de l’évaluation d’expressions de chaînes dans les modules HTTP et stream. Mettre à jour le paquet nginx Debian concerné ou utiliser une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-95101 dans nginx
Debian a inclus cette vulnérabilité dans son avis nginx publié le 21 octobre : des trames HTTP/3 inconnues fragmentées peuvent être interprétées comme des données de corps de requête. En cas de proxy, cela peut permettre l’injection de requêtes vers un serveur dorsal ou le contournement de limites sur la taille du corps ; appliquer le correctif Debian ou une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-97205 dans nginx
L’avis Debian publié le 21 octobre décrit un use-after-free causé par le débordement d’un compteur d’opérations asynchrones en attente. Cela peut provoquer une corruption mémoire ou un déni de service ; appliquer la mise à jour de sécurité Debian ou une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
Debian publie DSA-6575-1 pour CVE-2026-97629 dans nginx
Debian a signalé le 21 octobre un défaut de synchronisation des clés de tickets de session TLS entre processus workers, pouvant laisser un worker utiliser des clés non initialisées. Selon l’avis, cela pourrait permettre de forger des sessions TLS et de contourner l’authentification par certificat client ; appliquer le correctif Debian ou une version amont corrigée.
Action recommandée : Installer la mise à jour de sécurité Debian correspondant à la distribution, ou utiliser nginx 1.30.6+ ou 1.31.7+.
PHP
Vérification incomplète
Niveau relevé : Critique
L’avis officiel de PHP du 21 octobre 2026 annonce des correctifs pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, permettant une exécution de code à distance sans authentification. Les versions correctives publiées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Aucun des candidats fournis ne concerne une vulnérabilité du langage ou du projet PHP lui-même. Deux CVE concernant le moteur PHP ont été publiées par le NVD dans la période : CVE-2026-109618, liée à certains chemins d’erreur OOM, et CVE-2026-109619, liée à un état global pouvant conserver une référence vers de la mémoire de requête libérée. Les éléments fournis indiquent un risque d’exécution de code à distance pour chacune, mais ne précisent ni versions affectées ni correctif; les mises à jour NVD du 22 octobre sont postérieures à la période. Aucun candidat de ce lot ne concerne le moteur PHP ou PHP-FPM : les fiches décrivent des vulnérabilités dans des applications tierces écrites en PHP. Aucun item n’est donc retenu pour le sujet demandé. Les sources CERT-FR fournies signalent un avis de déni de service concernant MongoDB PHP Driver et une mise à jour d’alerte PHP indiquant deux CVE avec exécution de code à distance et correctifs disponibles. Les détails de versions affectées et corrigées ne figurent pas dans les éléments fournis. Les éléments fournis documentent deux vulnérabilités PHP critiques publiées le 21 octobre 2026, avec des correctifs annoncés par CERT-EU dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Debian a également publié DSA-6574-1 pour php8.4, sans CVE ni version corrigée précisée dans le texte fourni.
PHP — exécution de code à distance possible lors d’une erreur de mémoire insuffisante
Une erreur de gestion des conditions de mémoire insuffisante dans PHP peut corrompre des données internes de requête. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une vulnérabilité propre au core ou à un module PrestaShop.
Action recommandée : Faire appliquer le correctif PHP correspondant par l’hébergeur ou l’équipe responsable du serveur et en demander confirmation ; une mise à jour de PrestaShop ou de ses modules ne corrige pas le runtime PHP.
Lire la fiche →Source : 2026-018: Critical Vulnerabilities in PHP ↗Source : Critical PHP vulnerabilities (php2shell): what PrestaShop merchants need to know ↗Source : DLA-4848-1 php8.2 – security update ↗Source : NVD — CVE-2026-109618 ↗Source : [Màj] Multiples vulnérabilités dans PHP (21 octobre 2026) ↗PHP — état interne périmé pouvant conduire à une exécution de code à distance
Un état interne de requête conservé après libération de mémoire peut être réutilisé lors du traitement d’une requête ultérieure par le même worker PHP. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une vulnérabilité propre au core ou à un module PrestaShop.
Action recommandée : Faire appliquer le correctif PHP correspondant par l’hébergeur ou l’équipe responsable du serveur et en demander confirmation ; une mise à jour de PrestaShop ou de ses modules ne corrige pas le runtime PHP.
Lire la fiche →Source : 2026-018: Critical Vulnerabilities in PHP ↗Source : Critical PHP vulnerabilities (php2shell): what PrestaShop merchants need to know ↗Source : DLA-4848-1 php8.2 – security update ↗Source : NVD — CVE-2026-109619 ↗Source : [Màj] Multiples vulnérabilités dans PHP (21 octobre 2026) ↗Déni de service à distance dans MongoDB PHP Driver
Une vulnérabilité du MongoDB PHP Driver peut permettre à un attaquant distant de provoquer un déni de service. L’avis CERT-FR fourni ne précise ni les versions affectées ni le correctif.
Action recommandée : Consulter l’avis de l’éditeur pour les versions concernées et appliquer les correctifs disponibles.
Debian publie une mise à jour de sécurité pour php8.4
Debian a publié l’avis DSA-6574-1 pour une mise à jour de sécurité de php8.4, signalant qu’un suivi incorrect de l’état mémoire pourrait permettre l’exécution de code arbitraire. Le texte fourni ne donne ni CVE ni détail permettant d’associer cet avis à l’une des CVE distinctes décrites dans les autres candidats.
Action recommandée : Appliquer la mise à jour de sécurité Debian correspondant à DSA-6574-1.
WordPress
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche web dédiée a relevé dix avis CVE WordPress dont les dates de publication indiquées se situent dans la période demandée : neuf plugins tiers et une vulnérabilité touchant Duplicator et Duplicator Pro. Les informations de versions corrigées et d’impact sont rapportées au niveau de chaque CVE; aucune exploitation active n’est établie par les éléments consultés. Dix vulnérabilités WordPress ont été publiées par le NVD le 21 octobre 2026 dans le lot fourni. Elles touchent des extensions et couvrent notamment des contrôles d’autorisation insuffisants, des risques de prise de contrôle de compte, des XSS et l’exposition de données. Dix fiches NVD relatives à des extensions WordPress ont été publiées le 21 octobre 2026 dans la période demandée. Elles concernent des contrôles d’accès insuffisants, des injections SQL ou XSS, l’exposition de données de commande et le contournement de l’authentification à deux facteurs ; les versions correctives sont indiquées lorsqu’elles figurent dans les données fournies. Dix fiches CVE WordPress publiées par le NVD le 21 octobre 2026 concernent des plugins de commerce, de paiement, de gestion de fichiers, de formulaires et de listes de souhaits. Les impacts décrits incluent l’activation de comptes, l’exposition de données, la validation incorrecte de commandes, des scripts dans des SVG, une interruption de vérifications de paiement et des modifications de paramètres par CSRF; les versions correctrices sont précisées lorsqu’elles figurent dans les candidats. Dix fiches NVD concernant des extensions WordPress ont été publiées dans la période : les vulnérabilités touchent les extensions Wava Payment, Translate WordPress with Weglot, Click n Chat, Cart Abandonment Recovery for WooCommerce, CMP – Coming Soon & Maintenance, Payment Gatew…
GS Plugins WordPress Team Members : désérialisation de données non fiables
Une vulnérabilité de désérialisation de données non fiables dans GS Plugins WordPress Team Members permet une injection d’objets. La fiche NVD signale comme concernées les versions jusqu’à 2.8.2 incluse, sans préciser de version corrigée dans les informations fournies.
Injection d’objet PHP dans Duplicator et Duplicator Pro
Duplicator et Duplicator Pro sont vulnérables à une injection d’objet PHP pendant une migration, respectivement jusqu’aux versions 1.5.17 et 4.6.10 incluses. Mettre à jour vers une version corrigée; la chaîne d’exploitation décrite nécessite notamment qu’un administrateur lance ensuite une migration ou un import.
Action recommandée : Mettre à jour Duplicator et Duplicator Pro vers une version corrigée; vérifier également les migrations ou imports récents.
Injection SQL dans Modern Events Calendar Lite et Pro
Modern Events Calendar Lite et Pro ne neutralisent pas correctement un paramètre utilisé dans une requête SQL avant la version 7.37.0. Un utilisateur authentifié disposant au moins du rôle Subscriber peut injecter des requêtes et extraire des données sensibles de la base.
Action recommandée : Mettre à jour Lite et Pro vers la version 7.37.0 ou ultérieure.
XSS stockée et contrôle de capacité manquant dans Falang
Falang ne vérifie pas les capacités lors de l’enregistrement des traductions de termes et expose un nonce valide à tout utilisateur connecté avant la version 1.4.6. Un utilisateur de niveau Subscriber ou supérieur peut enregistrer du contenu qui, rendu sans échappement correct, provoque une XSS stockée susceptible de s’exécuter dans le contexte d’un administrateur.
Action recommandée : Mettre à jour Falang vers la version 1.4.6 ou ultérieure.
Uncanny Toolkit for LearnDash : risque de prise de contrôle de compte lors d’une réinitialisation
CVE-2026-107127 affecte la réinitialisation de mot de passe dans Uncanny Toolkit for LearnDash : l’origine de la demande n’est pas vérifiée. Une requête forgée peut permettre de choisir le mot de passe d’un compte dont la procédure de réinitialisation est en cours et entraîner une prise de contrôle du compte.
Action recommandée : Mettre à jour Uncanny Toolkit for LearnDash vers la version 3.8.2 ou ultérieure.
WP Time Capsule : déploiement de staging accessible sans contrôles suffisants
CVE-2026-107237 concerne le gestionnaire de déploiement d’un site de staging vers le site en production de Backup and Staging by WP Time Capsule, qui ne contrôle ni les capacités ni les nonces. Un abonné sur le site de staging peut écraser la base de données et la configuration du site distinct en production, et le mettre hors ligne.
Action recommandée : Mettre à jour Backup and Staging by WP Time Capsule vers la version 1.22.28 ou ultérieure.
Simple Banner : élévation de privilèges par attribution excessive de capacités
CVE-2026-107506 affecte la gestion des capacités dans Simple Banner : les capacités accordées aux rôles autorisés à gérer les bannières ne sont pas correctement limitées. Des utilisateurs de faible privilège peuvent obtenir les droits d’administrateur et compromettre le site.
Action recommandée : Mettre à jour Simple Banner vers la version 3.3.3 ou ultérieure.
WP Booking System : XSS réfléchie dans une page d’administration
CVE-2026-109147 concerne un paramètre de WP Booking System renvoyé dans une page d’administration sans validation ni échappement suffisants. Cela permet une XSS réfléchie susceptible de viser des utilisateurs privilégiés, notamment des administrateurs.
Action recommandée : Mettre à jour WP Booking System vers la version 2.1.0.3 ou ultérieure.
WP User Manager : contournement du paiement à l’inscription et attribution de rôle privilégié
WP User Manager ne maintient pas les restrictions d’inscription payante lorsque la passerelle de paiement est déconnectée, alors qu’un formulaire publié continue d’attribuer le rôle configuré. Un visiteur non authentifié peut s’inscrire sans payer et obtenir un rôle privilégié équivalent à administrateur.
Action recommandée : Mettre à jour WP User Manager vers la version 2.9.26 ou ultérieure.
Redirection for Contact Form 7 : XSS stockée dans les entrées de prospects
Redirection for Contact Form 7 n’assainit ni n’échappe les données de formulaire enregistrées comme entrées de prospects avant leur affichage dans la boîte de débogage. Un attaquant non authentifié peut y stocker un script qui s’exécute lorsqu’un utilisateur connecté consulte l’entrée avec le mode de débogage activé.
Action recommandée : Mettre à jour Redirection for Contact Form 7 vers la version 3.2.12 ou ultérieure ; désactiver le mode de débogage si la mise à jour n’est pas possible.
XSS réfléchie dans User Profile Builder
Le plugin WordPress User Profile Builder ne protège pas suffisamment l’URL de la page courante avant de l’insérer dans un contexte JavaScript d’une page d’administration. La fiche signale une XSS réfléchie visant les utilisateurs disposant de privilèges élevés.
Action recommandée : Mettre à jour User Profile Builder vers la version 4.0.1 ou ultérieure.
miniOrange 2FA : contournement du second facteur par ajout de passkey
miniOrange 2FA permet à une connexion par passkey encore en attente d’enregistrer une passkey supplémentaire sur un compte qui en possède déjà une. Un attaquant connaissant le mot de passe de la victime peut ainsi ajouter son propre authentificateur et contourner le second facteur.
Action recommandée : Mettre à jour miniOrange 2FA vers la version 6.3.1 ou ultérieure.
Advanced File Manager : script actif dans un fichier SVG stocké
Advanced File Manager avant la version 6.0.0 ne détermine pas correctement si un fichier stocké est un SVG avant de le nettoyer. Un utilisateur auquel un administrateur a accordé l’accès au gestionnaire de fichiers peut conserver un fichier contenant un script qui s’exécute dans le navigateur des personnes qui l’ouvrent, y compris un administrateur.
Action recommandée : Mettre à jour Advanced File Manager vers la version 6.0.0 ou ultérieure.
Formidable Forms : épuisement non authentifié du quota de vérification des paiements
Formidable Forms avant la version 7.0 ne vérifie pas l’identité de l’appelant avant d’enregistrer l’horodatage utilisé pour limiter les requêtes de vérification d’une passerelle de paiement. Un attaquant non authentifié peut épuiser le quota journalier et faire refuser les vérifications légitimes pendant les 24 heures suivantes.
Action recommandée : Mettre à jour Formidable Forms vers la version 7.0 ou ultérieure.
Weglot : injection de contenu via les URL réécrites des pages traduites
Le plugin Translate WordPress with Weglot ne neutralise pas les URL réinjectées lors de la réécriture des liens pour une langue traduite, permettant à un utilisateur non authentifié d’y stocker une charge exécutée dans le navigateur des visiteurs de la page traduite. Les versions antérieures à 6.4.3 sont concernées ; mettre à jour vers la version 6.4.3 ou ultérieure.
Action recommandée : Mettre à jour Translate WordPress with Weglot vers la version 6.4.3 ou ultérieure.
Click n Chat : injection SQL par paramètre de colonne non validé
Le plugin Click n Chat utilise un paramètre comme identifiant de colonne dans une requête SQL sans validation adéquate, ce qui permet à des attaquants non authentifiés de réaliser une injection SQL. Les versions antérieures à 1.1.3 sont concernées ; mettre à jour vers la version 1.1.3 ou ultérieure.
Action recommandée : Mettre à jour Click n Chat vers la version 1.1.3 ou ultérieure.
Click n Chat : injection SQL via les paramètres de tri
Le plugin Click n Chat ne nettoie pas les paramètres de tri avant leur insertion dans une clause SQL ORDER BY, permettant à des attaquants non authentifiés de réaliser une injection SQL. Les versions antérieures à 1.1.3 sont concernées ; mettre à jour vers la version 1.1.3 ou ultérieure.
Action recommandée : Mettre à jour Click n Chat vers la version 1.1.3 ou ultérieure.
XSS non authentifiée dans Jane Menu
Le plugin Jane Menu expose sans authentification un gestionnaire de formulaire dépourvu de contrôles de capacité et de nonce, permettant de lier une page publiée à un document distant. Le contenu distant est ensuite rendu sans échappement, ce qui peut entraîner une XSS sur les pages visitées.
Action recommandée : Mettre à jour Jane Menu vers la version 1.5.1 ou ultérieure.
Contrôle d’accès insuffisant dans Synchrony Financing
Le plugin Synchrony Financing ne vérifie pas correctement les autorisations sur une route REST qui modifie les commandes WooCommerce avant la version 1.1.2. Un attaquant non authentifié peut réaffecter une commande, en modifier les détails et accéder aux données personnelles du client associé.
Action recommandée : Mettre à jour le plugin vers la version 1.1.2 ou ultérieure.
AI Engine : modification non autorisée de contenus arbitraires
AI Engine ne vérifie pas que l’appelant peut modifier l’objet ciblé avant d’en mettre à jour le titre et l’extrait. Un utilisateur ayant le rôle éditeur ou supérieur peut modifier des articles arbitraires, y compris des objets qu’il ne peut normalement pas éditer, comme des menus de navigation ou des coupons WooCommerce.
Action recommandée : Mettre à jour AI Engine vers la version 3.8.6 ou ultérieure.
SUMIT Payment Gateway : validation incorrecte des paiements de commandes
Le plugin SUMIT Payment Gateway for WooCommerce avant la version 4.0.0 ne lie pas correctement le paiement confirmé à la commande concernée et ne vérifie pas que le montant correspond au total de la commande. Un attaquant non authentifié peut réutiliser l’identifiant d’un paiement légitime pour marquer comme payée une commande en attente.
Action recommandée : Mettre à jour le plugin vers la version 4.0.0 ou ultérieure.
TI WooCommerce Wishlist : accès non autorisé aux listes privées via l’API REST
TI WooCommerce Wishlist avant la version 2.13.0 n’applique pas à son API REST le contrôle d’accès réservé au propriétaire qui existe sur l’interface publique. Des utilisateurs non authentifiés peuvent ainsi consulter les métadonnées et le contenu de listes de souhaits privées.
Action recommandée : Mettre à jour TI WooCommerce Wishlist vers la version 2.13.0 ou ultérieure.
Wava Payment Plugin : notifications de paiement non authentifiées
Wava Payment Plugin avant la version 0.3.10 ne vérifie pas l’authenticité des notifications du fournisseur de paiement et ne limite pas qui peut les envoyer. Un attaquant non authentifié peut modifier le statut de commandes WooCommerce; dans les versions jusqu’à 0.3.7, la réponse peut également divulguer les coordonnées de facturation de la commande concernée.
Action recommandée : Mettre à jour Wava Payment Plugin vers la version 0.3.10 ou ultérieure.
Telcell : notifications de paiement non authentifiées
Payment Gateway for Telcell ne valide pas l’authenticité des notifications de paiement, car le secret de signature est vide par défaut, permettant à un attaquant non authentifié de falsifier une notification et de marquer des commandes comme payées. Les versions antérieures à 2.0.5 sont concernées ; mettre à jour vers la version 2.0.5 ou ultérieure.
Action recommandée : Mettre à jour Payment Gateway for Telcell vers la version 2.0.5 ou ultérieure.
Notifications de paiement falsifiables dans Payment Gateway for Idram
Payment Gateway for Idram ne vérifie pas l’authenticité des notifications de paiement avant la version 2.1.6, car les identifiants marchands utilisés pour calculer leur checksum sont vides par défaut. Un attaquant non authentifié peut falsifier des confirmations de paiement ou faire passer des commandes en échec.
Action recommandée : Mettre à jour le plugin vers la version 2.1.6 ou ultérieure.
Réservations confirmables sans paiement dans Ettrick Escape Room Booking
Ettrick Escape Room Booking ne vérifie pas auprès du prestataire de paiement qu’une réservation a bien été payée avant de la confirmer comme réglée, dans les versions antérieures à 1.3.1. Un attaquant non authentifié peut faire confirmer des réservations sans payer.
Action recommandée : Mettre à jour le plugin vers la version 1.3.1 ou ultérieure.
Jetons de réservation prévisibles dans Booking Package
Booking Package génère des jetons d’annulation prévisibles avant la version 1.7.31, à partir de valeurs exposées publiquement. Un attaquant non authentifié peut reconstruire le jeton d’une réservation, en consulter les données personnelles et, si l’option est activée, l’annuler.
Action recommandée : Mettre à jour Booking Package vers la version 1.7.31 ou ultérieure.
Désactivation des fonctions premium de Booking Package
Booking Package permet de réinitialiser l’état d’abonnement premium sans contrôle d’autorisation ni de validité avant la version 1.7.31. Un attaquant non authentifié peut désactiver les fonctionnalités payantes du plugin.
Action recommandée : Mettre à jour Booking Package vers la version 1.7.31 ou ultérieure.
Divulgation de configuration dans Booking Package
Booking Package renvoie des paramètres de configuration du compte calendrier sans contrôle d’autorisation avant la version 1.7.31. Un utilisateur non authentifié peut notamment obtenir des paramètres sensibles tels que les adresses de notification de l’administrateur.
Action recommandée : Mettre à jour Booking Package vers la version 1.7.31 ou ultérieure.
Moloni : contrôles d’autorisation manquants sur des actions AJAX
CVE-2026-106932 concerne plusieurs actions AJAX authentifiées du plugin Moloni qui ne vérifient ni les capacités ni les nonces. Un utilisateur authentifié, par exemple un abonné, peut notamment créer des factures pour des commandes arbitraires, supprimer des commandes ou modifier des produits et des stocks.
Action recommandée : Mettre à jour Moloni vers la version 5.0.14 ou ultérieure.
Uncanny Toolkit for LearnDash : modification non autorisée de l’état de vérification des comptes
CVE-2026-107128 concerne les changements d’état de vérification des comptes dans Uncanny Toolkit for LearnDash, sans contrôle suffisant du droit de l’utilisateur à gérer le compte ciblé. Dans un réseau multisite, un administrateur de sous-site peut ainsi marquer comme non vérifiés des utilisateurs d’autres sites et empêcher leur connexion.
Action recommandée : Mettre à jour Uncanny Toolkit for LearnDash vers la version 3.8.2 ou ultérieure.
SmartyParcel : suppression non autorisée d’enregistrements d’expédition
CVE-2026-107788 concerne la suppression d’enregistrements d’étiquettes d’expédition dans SmartyParcel, qui ne vérifie pas les autorisations. Tout utilisateur authentifié, y compris un abonné, peut supprimer les enregistrements d’étiquettes et de suivi de commandes arbitraires à l’échelle du site.
Action recommandée : Mettre à jour SmartyParcel vers la version 1.23.4 ou ultérieure.
SmartyParcel : accès non authentifié aux étiquettes d’expédition
CVE-2026-107789 affecte le téléchargement des étiquettes d’expédition dans SmartyParcel, qui ne vérifie pas les autorisations d’accès. Des visiteurs non authentifiés peuvent obtenir les étiquettes de commandes arbitraires, contenant notamment les noms, adresses et numéros de téléphone des clients.
Action recommandée : Mettre à jour SmartyParcel vers la version 1.23.4 ou ultérieure.
HireZoot : XSS persistante dans le tableau de bord d’administration
CVE-2026-107790 concerne des données stockées dans HireZoot, qui ne sont pas correctement assainies et échappées avant leur affichage dans le tableau de bord d’administration. Un utilisateur ayant le rôle Auteur peut ainsi provoquer une XSS persistante exécutée dans le contexte d’un administrateur connecté.
Action recommandée : Mettre à jour HireZoot vers la version 4.1.1 ou ultérieure.
SureCart : exposition de données privées du catalogue via l’API REST
CVE-2026-108073 concerne l’API REST de SureCart, qui autorise les visiteurs anonymes à inclure des objets liés à un tunnel de vente sans filtrer leurs champs privés. Des données internes de catalogue — notamment prix, commissions, stocks, SKU et taxes — peuvent être exposées, y compris pour des produits non publiés.
Action recommandée : Mettre à jour SureCart vers la version 4.9.5 ou ultérieure.
Productive Commerce : contrôle d’accès insuffisant dans une action AJAX
Dans Productive Commerce, une action AJAX ne vérifie pas les capacités de l’utilisateur et son nonce est exposé sur les pages d’administration. Un utilisateur authentifié peut ainsi activer certaines extensions Productive Commerce déjà installées.
Action recommandée : Mettre à jour Productive Commerce vers la version 1.1.49 ou ultérieure.
WPZOOM Portfolio Lite : modification non autorisée du type de contenus
WPZOOM Portfolio Lite ne vérifie pas que l’utilisateur est autorisé à modifier un article avant d’en changer le type et l’ordre. Un contributeur ou un utilisateur de rôle supérieur peut convertir les contenus d’autres utilisateurs en éléments de portfolio, ce qui les retire de leurs listes et URLs d’origine.
Action recommandée : Mettre à jour WPZOOM Portfolio Lite vers la version 1.4.34 ou ultérieure.
Swift Performance Lite : injection SQL accessible aux auteurs
Swift Performance Lite ne nettoie ni n’échappe correctement une valeur avant son utilisation dans une requête SQL. Un utilisateur ayant le rôle auteur ou supérieur peut exploiter cette injection SQL.
Action recommandée : Mettre à jour Swift Performance Lite vers la version 2.3.7.4 ou ultérieure.
Kliken: Ads + Pixel for Meta : exposition de détails de commandes
Kliken: Ads + Pixel for Meta n’exige pas la clé de commande correspondante avant d’afficher les détails d’une commande sur la page de confirmation. Un visiteur non authentifié peut obtenir, en énumérant des identifiants de commande, la localisation de facturation, les produits achetés et les montants d’autres clients.
Action recommandée : Mettre à jour Kliken: Ads + Pixel for Meta vers la version 1.2.3 ou ultérieure.
Pricing Table WordPress Plugin : duplication et publication non autorisées de contenus
Pricing Table WordPress Plugin n’effectue pas de contrôle d’autorisation lors de la duplication d’une ancienne table tarifaire. Un contributeur ou un utilisateur de rôle supérieur peut cloner et publier des articles ou pages appartenant à d’autres utilisateurs, y compris des contenus privés ou en brouillon.
Action recommandée : Mettre à jour Pricing Table WordPress Plugin vers la version 4.1.3 ou ultérieure.
WholesaleX : contournement de l’approbation des comptes en attente
WholesaleX avant la version 3.0.9 ne vérifie pas qu’un code de confirmation de compte est enregistré avant de le comparer à celui fourni dans la requête. Un attaquant non authentifié peut ainsi activer un compte en attente et contourner l’approbation administrative requise avant la connexion.
Action recommandée : Mettre à jour WholesaleX vers la version 3.0.9 ou ultérieure.
WholesaleX : exposition publique des fichiers d’importation d’utilisateurs
WholesaleX avant la version 3.0.9 conserve le fichier d’importation des utilisateurs dans un emplacement accessible publiquement, sous un nom prévisible, sans le protéger ni le supprimer. Un attaquant non authentifié peut télécharger les données du dernier import, qui peuvent comprendre des mots de passe et des renseignements de contact ou d’adresse des clients.
Action recommandée : Mettre à jour WholesaleX vers la version 3.0.9 ou ultérieure.
SVG malveillant téléversable via Elementor
Le plugin Elementor Website Builder ne désinfecte pas les fichiers SVG sur toutes les voies d’envoi; un auteur ou utilisateur de rôle supérieur peut ainsi téléverser un SVG contenant du JavaScript. Le scénario décrit requiert que l’option autorisant les téléversements de fichiers non filtrés soit activée.
Action recommandée : Mettre à jour Elementor vers la version 4.3.5 ou ultérieure; désactiver l’option de téléversement non filtré si elle n’est pas indispensable.
Elementor Website Builder : contenu textuel SVG non assaini
Elementor Website Builder avant la version 4.3.5 vérifie les éléments et attributs des fichiers SVG, mais pas leur contenu textuel. Un utilisateur ayant le rôle Contributeur ou supérieur peut ainsi enregistrer une charge utile qui, lors du rendu du SVG intégré à une page, s’exécute dans les navigateurs Chromium; Firefox n’est pas concerné selon la description fournie.
Action recommandée : Mettre à jour Elementor Website Builder vers la version 4.3.5 ou ultérieure.
Download Manager : modification de paramètres par requête CSRF
Download Manager ne met pas en œuvre des protections CSRF à certains endroits dans les branches concernées, antérieures aux versions 3.3.71 et 7.5.9. Un attaquant peut inciter un administrateur connecté à modifier les paramètres de confidentialité et de stockage, notamment l’identifiant protégeant le point de maintenance accessible sans authentification.
Action recommandée : Mettre à jour Download Manager vers la version 3.3.71 ou ultérieure pour la branche concernée, ou 7.5.9 ou ultérieure.
Wava Payment : absence de contrôles sur un point de terminaison REST public
Le point de terminaison REST public du plugin Wava Payment ne vérifie ni les autorisations, ni le nonce, ni l’origine, ce qui permet à un attaquant non authentifié de modifier les identifiants du compte marchand, de forcer l’état de vérification ou de retirer le moyen de paiement du paiement en caisse. Les versions antérieures à 0.3.10 sont concernées ; mettre à jour vers 0.3.10 ou une version ultérieure.
Action recommandée : Mettre à jour le plugin Wava Payment vers la version 0.3.10 ou ultérieure.
Click n Chat : export non autorisé des données de contact
Le gestionnaire d’exportation des prospects de Click n Chat ne vérifie pas les autorisations, permettant à un utilisateur non authentifié de télécharger les données de contact collectées. Les versions antérieures à 1.1.3 sont concernées ; mettre à jour vers la version 1.1.3 ou ultérieure.
Action recommandée : Mettre à jour Click n Chat vers la version 1.1.3 ou ultérieure.
CMP : pages accessibles malgré le mode maintenance
CMP – Coming Soon & Maintenance n’applique pas correctement le mode maintenance aux pages ajoutées à sa liste blanche au moyen de motifs d’URL saisis manuellement, de sorte que des visiteurs non authentifiés peuvent en consulter le contenu. Les versions antérieures à 4.1.21 sont concernées ; mettre à jour vers la version 4.1.21 ou ultérieure.
Action recommandée : Mettre à jour CMP – Coming Soon & Maintenance vers la version 4.1.21 ou ultérieure.
Simple Shopping Cart : notification PayPal non liée au compte marchand
Dans sa configuration par défaut, Simple Shopping Cart ne vérifie pas que la notification PayPal concerne un paiement reçu par le compte du propriétaire du site, permettant à un attaquant non authentifié de faire marquer une commande comme payée à partir d’un paiement destiné à son propre compte. Les versions antérieures à 5.3.3 sont concernées ; mettre à jour vers la version 5.3.3 ou ultérieure.
Action recommandée : Mettre à jour Simple Shopping Cart vers la version 5.3.3 ou ultérieure.
LatePoint : réservation confirmée sans paiement possible
La version de LatePoint antérieure à 5.7.5 ne vérifie pas correctement le montant de réservation fourni par le client. Un visiteur non authentifié peut ainsi faire enregistrer une réservation confirmée sans paiement.
Action recommandée : Mettre à jour LatePoint vers la version 5.7.5 ou une version ultérieure.
Contest Gallery : contournement de la limite de votes
Contest Gallery, avant la version 34.0.1, n’identifie pas de façon fiable les visiteurs pour appliquer la limite d’un vote par entrée. Un utilisateur non authentifié peut contourner cette restriction et gonfler le nombre de votes d’une entrée.
Action recommandée : Mettre à jour Contest Gallery vers la version 34.0.1 ou une version ultérieure.
HappyForms : injection de HTML dans les courriels de notification
HappyForms, avant la version 1.26.15, n’échappe pas une valeur de recommandation contrôlée par l’utilisateur avant de l’insérer dans le courriel de notification du formulaire. Un attaquant non authentifié peut injecter du HTML dans les courriels reçus par les administrateurs du site.
Action recommandée : Mettre à jour HappyForms vers la version 1.26.15 ou une version ultérieure.
Cart Abandonment Recovery : jetons de récupération de panier non vérifiés
Cart Abandonment Recovery for WooCommerce ne vérifie pas l’intégrité des jetons de récupération de panier et accepte encore un ancien format non signé, permettant à un attaquant connaissant l’identifiant de session du panier d’en modifier l’enregistrement. Les versions antérieures à 2.2.0 sont concernées ; mettre à jour vers la version 2.2.0 ou ultérieure.
Action recommandée : Mettre à jour Cart Abandonment Recovery for WooCommerce vers la version 2.2.0 ou ultérieure.
Divulgation de dossiers clients dans Appointment Booking Plugin
Appointment Booking Plugin ne vérifie pas qu’un agent est affecté au client dont il consulte ou recherche le dossier avant la version 5.7.5. Tout agent authentifié peut ainsi parcourir les renseignements personnels de l’ensemble des clients du site.
Action recommandée : Mettre à jour le plugin vers la version 5.7.5 ou ultérieure.
Simple Shopping Cart : prix de produits modifiables par des contributeurs
Simple Shopping Cart ne vérifie pas que les prix soumis correspondent à une valeur définie uniquement par le propriétaire du site, permettant aux utilisateurs ayant le rôle Contributeur ou supérieur de fixer des prix arbitraires pour des produits existants. Les versions antérieures à 5.3.3 sont concernées ; mettre à jour vers la version 5.3.3 ou ultérieure.
Action recommandée : Mettre à jour Simple Shopping Cart vers la version 5.3.3 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
Niveau relevé : Critique
Aucune vulnérabilité PrestaShop, mise à jour de sécurité, exploitation ou changement substantiel de sécurité n’a été vérifié comme nouvel événement survenu pendant la période demandée. Les informations trouvées sur CVE-2026-109618 et CVE-2026-109619 concernent PHP, pas le core ni un module PrestaShop; les avis PrestaShop consultés sont antérieurs à la période.
PHP — exécution de code à distance possible lors d’une erreur de mémoire insuffisante
Une erreur de gestion des conditions de mémoire insuffisante dans PHP peut corrompre des données internes de requête. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une vulnérabilité propre au core ou à un module PrestaShop.
Action recommandée : Faire appliquer le correctif PHP correspondant par l’hébergeur ou l’équipe responsable du serveur et en demander confirmation ; une mise à jour de PrestaShop ou de ses modules ne corrige pas le runtime PHP.
Lire la fiche →Source : 2026-018: Critical Vulnerabilities in PHP ↗Source : Critical PHP vulnerabilities (php2shell): what PrestaShop merchants need to know ↗Source : DLA-4848-1 php8.2 – security update ↗Source : NVD — CVE-2026-109618 ↗Source : [Màj] Multiples vulnérabilités dans PHP (21 octobre 2026) ↗PHP — état interne périmé pouvant conduire à une exécution de code à distance
Un état interne de requête conservé après libération de mémoire peut être réutilisé lors du traitement d’une requête ultérieure par le même worker PHP. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une vulnérabilité propre au core ou à un module PrestaShop.
Action recommandée : Faire appliquer le correctif PHP correspondant par l’hébergeur ou l’équipe responsable du serveur et en demander confirmation ; une mise à jour de PrestaShop ou de ses modules ne corrige pas le runtime PHP.
Lire la fiche →Source : 2026-018: Critical Vulnerabilities in PHP ↗Source : Critical PHP vulnerabilities (php2shell): what PrestaShop merchants need to know ↗Source : DLA-4848-1 php8.2 – security update ↗Source : NVD — CVE-2026-109619 ↗Source : [Màj] Multiples vulnérabilités dans PHP (21 octobre 2026) ↗
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a pas fait ressortir, parmi les sources consultées, de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Les informations de sécurité repérées dans ces résultats sont datées hors de cette période; cette conclusion se limite aux sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Vérification incomplète
La recherche a identifié deux avis PHP publiés le 21 octobre 2026, discutés dans le dépôt CloudPanel comme pertinents pour les installations CloudPanel utilisant PHP. Les éléments consultés signalent que les paquets du dépôt CloudPanel n’étaient pas encore à jour au moment des échanges et rapportent des tentatives d’attaque; ils ne démontrent pas d’exploitation réussie et ne permettent pas d’attribuer à chaque CVE ses versions affectées ou corrigées, son score ou son impact précis.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel concernant Uptime Kuma publié pendant la période demandée. Les résultats trouvés portent sur des événements datés hors de cette période et ont donc été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche web dédiée sur MariaDB n’a pas permis de vérifier de nouvel avis, correctif, exploitation ou changement substantiel daté du 2026-10-21 dans la période demandée. Les avis MariaDB repérés dans les résultats consultés étaient datés d’avant cette période; une annonce de la MariaDB Foundation du 2026-10-21 concernait un sponsor, pas la sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée a consulté la page de sécurité et la page des téléchargements de phpMyAdmin. Les résultats obtenus ne montrent pas de nouvel avis, correctif ou changement substantiel propre à phpMyAdmin daté dans la période demandée; les avis PHP trouvés portent sur le langage PHP et ne sont pas attribués à phpMyAdmin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif/avis ou autre évolution substantielle de pgAdmin datée de la période demandée n’a été vérifiée dans les sources consultées. La page de sécurité officielle présente des avis antérieurs à cette période; une mention de correctifs sur la page d’accueil ne permet pas, à elle seule, d’établir qu’ils ont été publiés dans la fenêtre retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ni avis de sécurité propre à Virtualmin daté de la période demandée n’a été vérifié. Les résultats concernant des vulnérabilités PHP portent sur PHP, et non sur Virtualmin ; la discussion consultée précise que les paquets PHP sont fournis par le système d’exploitation.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche Webmin n’a identifié aucun avis, correctif de sécurité, événement d’exploitation ou changement substantiel dont la date soit établie dans la période demandée. Les avis Webmin repérés dans les sources consultées sont datés antérieurement à cette période; ils ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a identifié quatre publications NVD Nuxt, toutes horodatées le 2026-10-21 dans la période demandée. Les avis GitHub Nuxt correspondants sont datés du 2026-10-16 ; les événements retenus dans ce bulletin sont donc les publications NVD à la date indiquée, et non la date antérieure des avis éditeur.
Nuxt — contournement de règles de routes par segment encodé
Une différence entre la comparaison des règles de routes sur le chemin brut et la résolution des segments décodés peut permettre d’atteindre une page protégée sans appliquer la règle ou `appMiddleware` prévu. Une requête non authentifiée peut alors obtenir la page et ses données SSR ; mettez à niveau vers une version corrigée et ne faites pas reposer les contrôles d’accès uniquement sur ces règles.
Action recommandée : Mettre à niveau vers une version corrigée et vérifier que l’autorisation est appliquée par un contrôle indépendant des règles de routes vulnérables.
Nuxt — règles côté serveur ignorées pour des chemins variant par la casse
La résolution des pages insensible à la casse peut diverger de la correspondance sensible à la casse des règles côté serveur, si bien qu’un chemin ne différant que par la casse peut éviter la règle prévue. Cela peut notamment affecter des redirections, en-têtes, proxies ou paramètres SSR ; mettez à niveau et, dans l’intervalle, appliquez les contrôles d’accès indépendamment de cette correspondance.
Action recommandée : Mettre à niveau vers Nuxt 4.6.2 ou ultérieur ; appliquer les mesures de contournement de l’avis en attendant.
Nuxt — XSS via useHeadSafe dans le rendu des server islands
Dans un server island, des données non fiables transmises à `useHeadSafe` peuvent perdre leur marqueur de sécurité lors de la sérialisation, puis être insérées comme une entrée ordinaire dans le head de la page. Si l’application transmet de telles données contrôlées par un attaquant, cela peut conduire à du XSS persistant ; mettez à niveau ou évitez cet usage dans les server islands et validez les entrées.
Action recommandée : Mettre à niveau vers Nuxt 4.6.2 ou ultérieur ; sinon, ne pas transmettre d’entrée non fiable à `useHeadSafe` depuis un server island sans validation.
Nuxt : URL javascript via NuxtLink lorsque les pages sont désactivées
Dans Nuxt, lorsque les pages sont désactivées, une URL fournie à `NuxtLink` pouvait contourner une vérification de protocole si elle était précédée d’un caractère de contrôle ASCII C0. Le navigateur pouvait alors interpréter le lien comme une URL `javascript:` ; mettez à jour vers Nuxt 4.6.0.
Action recommandée : Mettre à jour Nuxt vers 4.6.0 et valider les URL contrôlées par l’utilisateur, en particulier lorsque les pages sont désactivées.
Vite
Vérification incomplète
La recherche a repéré un avis du projet Vite publié le 21 octobre 2026 pour un contournement de `server.fs.deny` dans la branche 6.x, corrigé en 6.4.5. Les autres avis Vite trouvés dans le lot portent des dates de publication antérieures à la période ; les candidats concernant SvelteKit ou Vitest ne sont pas des vulnérabilités du projet Vite.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nuxt
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a identifié quatre CVE Nuxt publiées par le NVD le 21 octobre 2026 : une liée à NuxtLink sans pages, deux à la correspondance des règles de routes, et une au rendu de useHeadSafe dans les server islands. Les avis GitHub correspondants apparaissent datés du 16 octobre ; les dates NVD sont celles qui placent les fiches CVE dans la période demandée.
Nuxt — contournement de règles de routes par segment encodé
Une différence entre la comparaison des règles de routes sur le chemin brut et la résolution des segments décodés peut permettre d’atteindre une page protégée sans appliquer la règle ou `appMiddleware` prévu. Une requête non authentifiée peut alors obtenir la page et ses données SSR ; mettez à niveau vers une version corrigée et ne faites pas reposer les contrôles d’accès uniquement sur ces règles.
Action recommandée : Mettre à niveau vers une version corrigée et vérifier que l’autorisation est appliquée par un contrôle indépendant des règles de routes vulnérables.
Nuxt — règles côté serveur ignorées pour des chemins variant par la casse
La résolution des pages insensible à la casse peut diverger de la correspondance sensible à la casse des règles côté serveur, si bien qu’un chemin ne différant que par la casse peut éviter la règle prévue. Cela peut notamment affecter des redirections, en-têtes, proxies ou paramètres SSR ; mettez à niveau et, dans l’intervalle, appliquez les contrôles d’accès indépendamment de cette correspondance.
Action recommandée : Mettre à niveau vers Nuxt 4.6.2 ou ultérieur ; appliquer les mesures de contournement de l’avis en attendant.
Nuxt — XSS via useHeadSafe dans le rendu des server islands
Dans un server island, des données non fiables transmises à `useHeadSafe` peuvent perdre leur marqueur de sécurité lors de la sérialisation, puis être insérées comme une entrée ordinaire dans le head de la page. Si l’application transmet de telles données contrôlées par un attaquant, cela peut conduire à du XSS persistant ; mettez à niveau ou évitez cet usage dans les server islands et validez les entrées.
Action recommandée : Mettre à niveau vers Nuxt 4.6.2 ou ultérieur ; sinon, ne pas transmettre d’entrée non fiable à `useHeadSafe` depuis un server island sans validation.
Nuxt : URL javascript via NuxtLink lorsque les pages sont désactivées
Dans Nuxt, lorsque les pages sont désactivées, une URL fournie à `NuxtLink` pouvait contourner une vérification de protocole si elle était précédée d’un caractère de contrôle ASCII C0. Le navigateur pouvait alors interpréter le lien comme une URL `javascript:` ; mettez à jour vers Nuxt 4.6.0.
Action recommandée : Mettre à jour Nuxt vers 4.6.0 et valider les URL contrôlées par l’utilisateur, en particulier lorsque les pages sont désactivées.
Next.js
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, exploitation ni changement substantiel de sécurité concernant Next.js daté du 2026-10-21 dans la période demandée. Les avis Next.js du 14 octobre repérés lors de la recherche sont antérieurs à cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
La recherche ciblée a consulté les avis de sécurité du projet React et son changelog, ainsi que des résultats CVE/NVD et de recherche complémentaire. Les avis React visibles dans les sources consultées sont antérieurs à la période demandée; aucun événement de sécurité React daté du 2026-10-21 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel Angular daté du 2026-10-21 dans la période demandée. Les avis Angular repérés dans les résultats consultés étaient publiés avant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié deux vulnérabilités Astro publiées le 21 octobre 2026 dans la période demandée : une injection CSS dans les View Transitions (CVE-2026-114127) et une XSS dans le rendu JSX/MDX de contenus script/style (CVE-2026-114128). Les versions correctrices indiquées sont respectivement 7.3.3 et 7.3.2; aucune exploitation active n’est connue d’après les éléments examinés.
Astro : XSS via des enfants dynamiques d’éléments script et style
Dans le rendu JSX et MDX d’Astro, les chaînes dynamiques placées comme enfants d’éléments `script` ou `style` étaient traitées comme du HTML de confiance. Une donnée contrôlée par un attaquant pouvait sortir de l’élément et injecter du HTML et du JavaScript, entraînant une XSS ; mettez Astro à jour vers 7.3.2.
Action recommandée : Mettre à jour Astro vers la version 7.3.2 et ne pas transmettre de données non fiables comme enfants dynamiques de `script` ou `style`.
Astro : injection de règles CSS via les propriétés des transitions de vue
Dans Astro, le générateur CSS côté serveur des transitions de vue ne confinait pas certaines propriétés d’animation textuelles à leurs déclarations. Des données contrôlées par un attaquant pouvaient injecter des règles CSS et déformer l’interface ; le correctif est disponible dans Astro 7.3.3.
Action recommandée : Mettre à jour Astro vers la version 7.3.3 et éviter de transmettre des données non fiables aux propriétés concernées.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une faille XSS touchant odf-kit, bibliothèque écrite en TypeScript et JavaScript, a été publiée pendant la période. La version corrective indiquée est 0.14.2 ; la recherche n’a pas établi d’exploitation confirmée.
Injection HTML/JavaScript lors du rendu HTML par odf-kit
odf-kit échappe les textes et attributs HTML, mais pas certaines valeurs CSS provenant des documents OpenDocument rendus en HTML. Une valeur CSS malveillante peut rompre le contexte de l’attribut `style` et injecter du HTML ou du JavaScript; la version 0.14.2 corrige le défaut.
Action recommandée : Mettre à jour odf-kit vers la version 0.14.2 ou ultérieure; traiter les documents non fiables avec prudence avant mise à niveau.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche web a trouvé des fiches NVD publiées dans la période pour des vulnérabilités affectant des bibliothèques et projets JavaScript, ainsi que des extensions WordPress dont les failles conduisent à l’exécution de JavaScript. L’avis SvelteKit correspondant apparaît sur GitHub au 2026-10-05, avant la période; la fiche NVD correspondante est néanmoins datée du 2026-10-21. Aucun élément de la recherche consultée ne confirme une exploitation active pour les éléments retenus. Les candidats vérifiés signalent, pour la période demandée, des vulnérabilités nouvellement publiées touchant Electron, Astro, Nuxt et Sentry-Javascript. Les fiches fournies indiquent des correctifs disponibles pour chaque problème. Huit avis GitHub publiés le 2026-10-21 concernent JavaScript : vulnérabilités dans ApostropheCMS, Vite et Vitest, avec les versions affectées et correctifs indiqués dans les avis. Les avis Vitest et Vite portent sur des configurations et conditions d’exposition spécifiques; aucune exploitation active n’est établie par les éléments fournis.
Sentry-Javascript : contournement de middleware sur les routes de tunnel Next.js
Dans l’intégration webpack de `@sentry/nextjs`, les requêtes sous un `tunnelRoute` configuré pouvaient contourner les middlewares de l’application, y compris leurs contrôles d’autorisation. Le problème exige notamment une route en collision, une compilation webpack et un middleware constituant l’unique contrôle d’accès ; mettez à jour le SDK Sentry JavaScript.
Action recommandée : Mettre à jour `@sentry/nextjs` vers une version corrigée et vérifier les routes en collision ainsi que les contrôles d’autorisation appliqués par middleware.
Injection JavaScript côté serveur dans Trudesk
Trudesk présente une injection de JavaScript côté serveur dans une clause MongoDB `$where` lors de la recherche de tickets. Un utilisateur authentifié peut provoquer un déni de service ou exposer des documents de tickets, y compris des notes internes.
Action recommandée : Restreindre l’accès à l’API concernée aux utilisateurs de confiance et rechercher une mise à jour corrective auprès du projet.
XSS réfléchie dans User Profile Builder
Le plugin WordPress User Profile Builder ne protège pas suffisamment l’URL de la page courante avant de l’insérer dans un contexte JavaScript d’une page d’administration. La fiche signale une XSS réfléchie visant les utilisateurs disposant de privilèges élevés.
Action recommandée : Mettre à jour User Profile Builder vers la version 4.0.1 ou ultérieure.
XSS non authentifiée dans Jane Menu
Le plugin Jane Menu expose sans authentification un gestionnaire de formulaire dépourvu de contrôles de capacité et de nonce, permettant de lier une page publiée à un document distant. Le contenu distant est ensuite rendu sans échappement, ce qui peut entraîner une XSS sur les pages visitées.
Action recommandée : Mettre à jour Jane Menu vers la version 1.5.1 ou ultérieure.
ApostropheCMS : épuisement de ressources non authentifié via l’import par blocs
Une vulnérabilité de consommation incontrôlée de ressources dans le traitement des imports par blocs de `@apostrophecms/import-export` permet à un attaquant non authentifié de déclencher des opérations de téléversement et de traitement avant le contrôle d’authentification. Les versions indiquées comme affectées sont `apostrophe` antérieures à 4.33.0 et `@apostrophecms/import-export` antérieures à 3.7.0.
Action recommandée : Mettre à niveau `apostrophe` vers 4.33.0 ou ultérieur et `@apostrophecms/import-export` vers 3.7.0 ou ultérieur.
Classification incorrecte de navigations dans Electron
Electron ne conservait pas correctement la page initiatrice lors de l’ouverture d’une nouvelle fenêtre à partir de liens; certaines navigations pouvaient alors être considérées comme same-site. Dans une application chargeant du contenu non fiable et autorisant l’ouverture de fenêtres, cela peut permettre des requêtes authentifiées utilisant des cookies SameSite=Strict contre un autre site.
Action recommandée : Mettre à jour vers une des versions corrigées indiquées; vérifier en priorité les applications Electron qui chargent du contenu non fiable et autorisent les nouvelles fenêtres.
Electron : demande pointerLock attribuée à la mauvaise frame
Pour certaines demandes pointerLock provenant d’iframes inter-origines, Electron transmettait au gestionnaire de permissions l’URL et l’indicateur de frame principale du document englobant. Une application accordant cette permission selon l’origine pouvait ainsi l’accorder à du contenu intégré non fiable ; mettre à jour Electron ou refuser pointerLock à ce contenu.
Action recommandée : Mettre à jour Electron ; ne pas accorder pointerLock à des iframes non fiables.
Electron : vérifications de permissions HID/USB attribuées à la mauvaise origine
Les vérifications de permissions HID et USB déclenchées depuis une iframe pouvaient être évaluées avec l’origine et les détails de la frame principale, plutôt qu’avec ceux de la frame demanderesse. Une application autorisant ces périphériques selon l’origine pouvait accorder un accès indu à une iframe inter-origines ; appliquer le correctif ou ne pas déléguer ces permissions à du contenu non fiable.
Action recommandée : Mettre à jour vers une version corrigée et ne pas déléguer HID/USB à des iframes non fiables sans vérification de leur frame.
Electron : demande d’ouverture de protocole externe attribuée au mauvais document
Une requête visant à ouvrir une URL de protocole externe pouvait être attribuée à un document différent de celui qui l’avait initiée. Si l’application autorise openExternal selon l’origine et permet à du contenu non fiable d’ouvrir ou de naviguer des fenêtres, ce défaut pouvait conduire au lancement d’une application enregistrée dans le système ; mettre à jour Electron.
Action recommandée : Mettre à jour Electron et vérifier les règles d’autorisation openExternal, en particulier pour les fenêtres contenant du contenu non fiable.
SVG malveillant téléversable via Elementor
Le plugin Elementor Website Builder ne désinfecte pas les fichiers SVG sur toutes les voies d’envoi; un auteur ou utilisateur de rôle supérieur peut ainsi téléverser un SVG contenant du JavaScript. Le scénario décrit requiert que l’option autorisant les téléversements de fichiers non filtrés soit activée.
Action recommandée : Mettre à jour Elementor vers la version 4.3.5 ou ultérieure; désactiver l’option de téléversement non filtré si elle n’est pas indispensable.
Astro : XSS via des enfants dynamiques d’éléments script et style
Dans le rendu JSX et MDX d’Astro, les chaînes dynamiques placées comme enfants d’éléments `script` ou `style` étaient traitées comme du HTML de confiance. Une donnée contrôlée par un attaquant pouvait sortir de l’élément et injecter du HTML et du JavaScript, entraînant une XSS ; mettez Astro à jour vers 7.3.2.
Action recommandée : Mettre à jour Astro vers la version 7.3.2 et ne pas transmettre de données non fiables comme enfants dynamiques de `script` ou `style`.
Injection HTML/JavaScript lors du rendu HTML par odf-kit
odf-kit échappe les textes et attributs HTML, mais pas certaines valeurs CSS provenant des documents OpenDocument rendus en HTML. Une valeur CSS malveillante peut rompre le contexte de l’attribut `style` et injecter du HTML ou du JavaScript; la version 0.14.2 corrige le défaut.
Action recommandée : Mettre à jour odf-kit vers la version 0.14.2 ou ultérieure; traiter les documents non fiables avec prudence avant mise à niveau.
XSS dans IBM Carbon Charts
IBM Carbon Charts présente une XSS dans `MeterChart` lorsque le titre tronqué réinsère dans le DOM du texte non assaini. Les versions 0.4.0 à 1.27.19 sont indiquées comme affectées; vérifiez les versions corrigées auprès d’IBM avant mise à niveau.
Action recommandée : Vérifier l’avis IBM et mettre à niveau vers une version corrigée; éviter les libellés non fiables dans les graphiques jusqu’au correctif.
XSS réfléchie dans e107 CMS
e107 CMS présente une XSS réfléchie dans `search.php`: le paramètre GET `author` est rendu sans échappement dans un champ HTML. Un attaquant non authentifié peut construire une requête qui injecte du contenu exécuté dans le navigateur de la victime.
Action recommandée : Mettre à jour e107 vers la version 2.3.13 ou ultérieure.
ApostropheCMS : contournement de validation d’un champ couleur permettant une XSS persistante
La validation d’un champ couleur peut accepter une chaîne commençant par une couleur `rgb()` ou `hsl()` valide même si elle contient ensuite du HTML. Un utilisateur authentifié disposant de droits d’édition peut ainsi enregistrer une valeur qui provoque une XSS persistante lorsqu’une page concernée est affichée.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.34.0 ou ultérieur.
ApostropheCMS : XSS persistante via la sérialisation non échappée du style d’un widget
Des valeurs libres de style de widget peuvent être insérées sans échappement dans l’attribut HTML `style`. Un éditeur capable de modifier le widget peut provoquer une XSS persistante sur les pages où celui-ci est rendu.
Action recommandée : Mettre à niveau ApostropheCMS vers 4.34.0 ou ultérieur.
ApostropheCMS : divulgation d’informations via des noms de fichiers d’export prévisibles
Les fichiers d’export peuvent être accessibles anonymement par une URL prévisible pendant leur période de conservation, car leur nom est déterministe et le téléchargement est publié sous `/uploads/exports/`. L’exposition exige que le module et l’export soient activés et que les fichiers soient servis par une configuration publiquement lisible.
Action recommandée : Mettre à niveau `@apostrophecms/import-export` vers 3.7.1 ou ultérieur et protéger les fichiers d’export contre l’accès anonyme.
Vitest : injection de code via l’enregistrement non authentifié de mocks manuels
Le plugin d’interception de mocks de Vitest accepte des enregistrements manuels non authentifiés par WebSocket et insère une URL de module sans échappement dans du code généré. Un client ayant accès au port du serveur de développement peut ainsi faire servir du JavaScript arbitraire à la place d’un module du projet.
Action recommandée : Mettre à niveau `@vitest/mocker` vers 4.1.12 ou 5.0.3 selon la branche utilisée.
Vitest : application incorrecte de server.fs.deny exposant des fichiers sensibles
Dans certaines configurations Vitest 5 qui démarrent un serveur HTTP, les règles `server.fs.deny` sont appliquées incorrectement, ce qui peut exposer des fichiers sensibles tels que `.env` ou le jeton d’API Vitest. Le problème ne concerne pas les exécutions simples `vitest` ou `vitest run` sans serveur; les configurations avec UI, API ou Browser Mode sont visées selon les conditions décrites dans l’avis.
Action recommandée : Mettre à niveau Vitest et les paquets concernés vers les versions corrigées; vérifier toutes les configurations qui démarrent un serveur HTTP.
Electron : divulgation des URL et titres des onglets aux extensions
Une extension chargée dans Electron pouvait obtenir les URL et titres des onglets via chrome.tabs.query() sans l’autorisation tabs ni des permissions d’hôte correspondantes. Le risque concerne notamment les applications qui chargent une extension insuffisamment fiable ; mettre Electron à jour vers une version corrigée.
Action recommandée : Mettre à jour Electron et éviter de charger des extensions qui ne sont pas pleinement fiables dans une session contenant du contenu sensible.
Electron : validation insuffisante des frames GPU lors de la capture
Les données de frame reçues du processus GPU pour webContents.beginFrameSubscription() n’étaient pas entièrement validées par le processus principal. Un attaquant ayant déjà obtenu l’exécution de code dans le processus GPU pouvait provoquer une lecture hors limites, avec divulgation mémoire ou plantage ; installer une version corrigée.
Action recommandée : Mettre à jour Electron vers une version corrigée.
Electron macOS : validation insuffisante des frames GPU en rendu hors écran
Pour le rendu hors écran sur macOS, les données de frame reçues du processus GPU n’étaient pas entièrement validées par le processus principal. Un attaquant ayant déjà obtenu l’exécution de code dans le processus GPU pouvait provoquer une lecture mémoire hors limites lors de la production d’images d’événement paint ; mettre à jour Electron.
Action recommandée : Mettre à jour Electron vers une version corrigée.
Nuxt : URL javascript via NuxtLink lorsque les pages sont désactivées
Dans Nuxt, lorsque les pages sont désactivées, une URL fournie à `NuxtLink` pouvait contourner une vérification de protocole si elle était précédée d’un caractère de contrôle ASCII C0. Le navigateur pouvait alors interpréter le lien comme une URL `javascript:` ; mettez à jour vers Nuxt 4.6.0.
Action recommandée : Mettre à jour Nuxt vers 4.6.0 et valider les URL contrôlées par l’utilisateur, en particulier lorsque les pages sont désactivées.
Astro : injection de règles CSS via les propriétés des transitions de vue
Dans Astro, le générateur CSS côté serveur des transitions de vue ne confinait pas certaines propriétés d’animation textuelles à leurs déclarations. Des données contrôlées par un attaquant pouvaient injecter des règles CSS et déformer l’interface ; le correctif est disponible dans Astro 7.3.3.
Action recommandée : Mettre à jour Astro vers la version 7.3.3 et éviter de transmettre des données non fiables aux propriétés concernées.
Vite : exécution de script inter-origines via un middleware personnalisé
Dans certaines configurations de serveur de développement Vite utilisant un middleware personnalisé, une URL contrôlée par un site malveillant peut provoquer l’exécution d’un script distant dans la page servie par le serveur. Le problème concerne notamment les intégrations transmettant sans modification l’URL à `transformIndexHtml` avec un script de module inline; les versions corrigées varient selon la branche.
Action recommandée : Mettre à niveau Vite ou vite-plus vers la version corrigée correspondant à la branche utilisée.
ApostropheCMS : absence d’authentification sur la route cleanExport
La route `clean-export` du module `@apostrophecms/import-export` ne vérifie pas l’authentification ni l’autorisation avant d’appeler sa méthode de nettoyage. Un client non authentifié disposant du cookie CSRF standard peut invoquer cette route.
Action recommandée : Mettre à niveau `@apostrophecms/import-export` vers 3.7.1 ou ultérieur.
XSS dans les pages pré-rendues SvelteKit
SvelteKit présente une XSS dans les pages pré-rendues lorsque une valeur `cache-control` définie via `setHeaders` est insérée sans échappement dans une balise meta. Le défaut concerne les versions antérieures à 3.0.0 et nécessite qu’un acteur puisse influencer cette valeur au moment du pré-rendu.
Action recommandée : Mettre à niveau vers SvelteKit 3.0.0 ou une version corrigée; ne pas incorporer de valeurs non fiables dans les en-têtes utilisés au pré-rendu.
HTML5
Recherche du sujet effectuée
La recherche web dédiée a été effectuée pour HTML5 sur la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Parmi les sources consultées, aucun avis ou événement de sécurité correspondant clairement au sujet HTML5 et aux critères de date n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche web dédiée sur CSS3 n’a pas permis d’établir de vulnérabilité, d’avis, de correctif, d’exploitation ni de changement substantiel correspondant à la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Les résultats identifiés concernant CSS3 ou l’analyse de sélecteurs CSS étaient datés hors de cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée a été effectuée. Aucun avis, correctif, exploit ni changement substantiel concernant Tailwind CSS dont la date de publication ou de l’événement soit établie dans la période du 2026-10-21T00:00:00+02:00 inclus au 2026-10-22T00:00:00+02:00 exclu n’a été vérifié. Les résultats sur des paquets npm malveillants liés à des plugins Tailwind CSS renvoient à des avis ou événements antérieurs à cette période; une page secondaire indique une mise à jour le 21 octobre, sans établir un changement de sécurité substantiel ce jour-là.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
Aucun avis, correctif, événement d’exploitation ou changement substantiel concernant le projet Bootstrap (twbs/bootstrap) n’a été trouvé pour la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Un avis publié le 21 octobre concerne le thème Drupal « Bootstrap » (drupal/bootstrap), projet distinct du framework demandé, et n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche a relevé CVE-2026-114139, qui concerne l’intégration webpack de @sentry/nextjs, et non le projet Webpack lui-même. L’avis GitHub correspondant est daté du 24 septembre 2026, avant la période demandée; sa publication NVD le 21 octobre ne constitue donc pas, à elle seule, une nouveauté de sécurité datée dans cette période pour le sujet Webpack.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis de sécurité, exploitation signalée ou mise à jour substantielle concernant esbuild datée de la période demandée n’a été relevée dans les sources consultées. Les avis GitHub repérés sont datés du 11 juin 2026 et ne relèvent pas de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée pour Parcel n’a identifié aucun avis ou événement de sécurité concernant le projet Parcel (bundler) daté de la période demandée. Les résultats concernant SmartyParcel sont un produit distinct et ont été écartés ; l’avis Parcel de 2025 est antérieur à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
La recherche a fait ressortir l’avis de sécurité du projet Node.js pour le 21 octobre 2026. La page consultée indique une publication à 2026-10-21T22:00:00Z, soit 2026-10-22T00:00:00+02:00, à la borne de fin exclue de la période demandée ; cet avis n’est donc pas retenu. Les autres candidats concernent des paquets ou projets distincts de Node.js lui-même, ou un autre logiciel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié, dans la fenêtre du 21 octobre 2026 en heure +02:00, des avis concernant virtualenv, djust, MySQL Connector/Python, vLLM, Vyper et pypdf. Les publications NVD candidates tombent dans la période après conversion de leurs horodatages UTC; les actions recommandées et versions corrigées ne sont indiquées que lorsque les éléments fournis ou les sources consultées les établissent. Les candidats fournis signalent dix nouvelles vulnérabilités publiées le 21 octobre 2026 dans des composants Python ou reposant sur Python : six concernent pypdf, et les autres MindsDB, Amazon SageMaker Python SDK, GitPython et Pillow. Les correctifs indiqués sont disponibles pour pypdf, SageMaker Python SDK, GitPython et Pillow ; aucune version corrigée n’est précisée pour MindsDB dans les données fournies. Le lot fourni documente neuf vulnérabilités nouvelles dans Pillow, publiées par le NVD le 2026-10-21, ainsi qu’un avis de sécurité virtualenv publié le même jour. Les correctifs indiqués sont Pillow 13.0.0 et virtualenv 21.14.2. Les candidats fournis sont dix avis GitHub publiés le 2026-10-21 portant sur djust et Pillow. Ils décrivent des vulnérabilités de lecture de fichiers, d’injection d’arguments, de dépassement de lecture, de corruption mémoire, de plantage, de déni de service et de divulgation de mémoire; les avis indiquent des versions corrigées pour chacun. Dix avis GitHub publiés le 2026-10-21 dans la période indiquée concernent Pillow et virtualenv. Ils décrivent des défauts de disponibilité, de gestion mémoire et de traitement des chemins ou liens symboliques ; les avis indiquent respectivement les versions correctrices Pillow 13.0.0 et virtualenv 21.14.9.
vLLM : exécution de code via la révision du processeur multimodal
vLLM transmet une valeur fournie dans la requête à la sélection de révision du code de processeur Transformers lorsque trust_remote_code est activé. Un client pouvant joindre l’API et contrôler une révision dans le dépôt de modèle servi peut déclencher l’exécution de code Python dans le processus API, notamment via l’endpoint /tokenize.
Action recommandée : Mettre à niveau vLLM vers 0.31.0 ou une version ultérieure; désactiver trust_remote_code si cela est compatible avec le déploiement et limiter l’accès à l’API.
Amazon SageMaker Python SDK : validation insuffisante du compartiment S3 par défaut
La fonction default_bucket() du SDK Python Amazon SageMaker ne vérifie pas suffisamment la propriété du compartiment S3 utilisé, ce qui peut permettre l’exécution de code dans l’environnement SageMaker et l’obtention d’identifiants IAM. Mettez à niveau le SDK V3 vers 3.10.0 ou le SDK V2 vers 2.257.3.
Action recommandée : Mettre à niveau Amazon SageMaker Python SDK vers V3 3.10.0 ou V2 2.257.3, selon la branche utilisée.
Pillow — écritures natives hors limites lors de changements de mode entre trames
Dans Pillow de 11.0.0 à avant 13.0.0, certains changements de mode entre trames peuvent conduire le décodeur à réutiliser une allocation native trop petite. Un fichier construit à cet effet peut provoquer des écritures hors limites et un plantage; le scénario MPO peut également entraîner une lecture hors limites, avec exécution de code indiquée dans certains environnements.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; éviter de charger des fichiers multitrames non fiables avec une version affectée.
Pillow : injection d’arguments dans l’appel à Ghostscript lors du rendu EPS
Lors du rendu d’une image EPS, Pillow transmet le nom du fichier à Ghostscript sans neutraliser les noms interprétables comme options ou fichiers d’arguments. Un nom de fichier contrôlé par un attaquant peut donc provoquer une injection d’arguments, susceptible d’aboutir à une exécution de code; les versions de Pillow antérieures à 13.0.0 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; en attendant, éviter de traiter des fichiers EPS non fiables avec Ghostscript.
MySQL Connector/Python : accès non autorisé à des données via le réseau
Oracle signale une vulnérabilité du composant Connector/Python, exploitable par un attaquant non authentifié disposant d’un accès réseau via plusieurs protocoles. Le descriptif NVD fourni associe la version prise en charge 26.7.0 à un risque d’accès non autorisé à des données; aucun correctif n’est établi par les éléments consultés ici.
Action recommandée : Évaluer l’exposition de Connector/Python 26.7.0 et appliquer un correctif éditeur dès qu’il est disponible.
MindsDB : exécution de code via la classe OpenBBtable
Une validation insuffisante d’une chaîne fournie par l’utilisateur dans la classe OpenBBtable peut permettre à un attaquant authentifié d’exécuter du code à distance sur MindsDB. Le code s’exécute avec les privilèges du compte de service ; la source fournie ne précise pas de version corrigée ni de plage affectée.
virtualenv : interprétation de valeurs d’invite dans zsh
Dans zsh avec PROMPT_SUBST activé, une valeur contrôlée de nom ou de chemin d’environnement peut être interprétée lors de l’affichage de l’invite et y exécuter des commandes. Les versions antérieures à 21.14.4 sont concernées par ce mécanisme; bash et zsh sans PROMPT_SUBST ne le sont pas.
Action recommandée : Mettre à niveau virtualenv vers 21.14.4 ou une version ultérieure; éviter les valeurs d’invite ou chemins non fiables avant mise à niveau.
virtualenv : injection de commande dans le script d’activation fish
Dans les versions antérieures à 21.14.2, l’activation fish utilise un échappement POSIX incompatible avec les règles d’interprétation de fish. Une valeur contrôlée contenant une séquence appropriée peut fermer le littéral généré et provoquer une substitution de commande lorsque l’utilisateur source activate.fish.
Action recommandée : Mettre à niveau virtualenv vers 21.14.2 ou une version ultérieure et ne pas activer d’environnement généré à partir de chemins ou invites non fiables.
virtualenv — injection de commandes dans les scripts d’activation générés
Les scripts d’activation générés par virtualenv peuvent exécuter du code lorsque le chemin de l’environnement ou le prompt contient le nom d’un espace réservé du modèle. Le problème touche les versions 20.26.6 à 21.14.1 et est corrigé dans 21.14.2.
Action recommandée : Mettre à niveau virtualenv vers 21.14.2 ou une version ultérieure; en attendant, éviter les noms de chemins et prompts contenant les espaces réservés indiqués et vérifier les scripts avant activation.
GitPython : dépôt de hook exécutable via un chemin de sous-module contrôlé
GitPython peut cloner un sous-module contrôlé par un attaquant dans un chemin sensible tel que .git/hooks avant de rejeter le chemin, permettant de déposer un hook exécutable. Les versions antérieures à 3.2.1 sont concernées ; mettez à niveau vers 3.2.1 ou une version ultérieure.
Action recommandée : Mettre à niveau GitPython vers la version 3.2.1 ou ultérieure et éviter d’accepter des chemins de sous-modules non fiables.
Pillow — contournement du contrôle de bombes de décompression dans les images SPIDER
Pillow avant 13.0.0 ne relance pas le contrôle de bombes de décompression lorsqu’un accès à une image SPIDER ultérieure remplace les dimensions de l’image. Un fichier spécialement construit peut ainsi provoquer une consommation mémoire très importante et un déni de service.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; éviter de traiter des fichiers SPIDER non fiables avec les versions affectées.
Pillow — consommation excessive de CPU lors de l’ajout de pages à un PDF
Dans Pillow de 5.1.0 à avant 13.0.0, l’ajout de pages à certains PDF peut développer de manière exponentielle un graphe /Pages qui contient des références répétées. Le traitement peut alors consommer un temps processeur disproportionné et provoquer un déni de service.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; ne pas ajouter de pages à des PDF non fiables avec les versions affectées.
Pillow — boucle infinie lors de la recherche d’un membre TAR
Avant Pillow 13.0.0, un membre TAR dont la taille octale est négative peut faire revenir TarIO au même en-tête lors de sa recherche. Si le nom demandé ne correspond pas, l’analyse boucle indéfiniment et monopolise un cœur de processeur.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; en attendant, éviter l’usage direct de TarIO sur des archives non fiables.
Pillow — traitement quadratique des métadonnées EXIF de PNG
Dans Pillow de 11.0.0 à avant 13.0.0, des en-têtes EXIF répétés dans un bloc eXIf PNG peuvent déclencher des copies successives de taille décroissante. Le travail quadratique qui en résulte peut ralentir fortement le traitement et provoquer un déni de service.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; limiter l’extraction EXIF de PNG non fiables avec les versions affectées.
Pillow sur Windows — lecture hors limites lors du rendu WMF/EMF
Avant Pillow 13.0.0 sous Windows, des dimensions WMF ou EMF non vérifiées peuvent faire allouer un tampon plus petit que les données copiées par le rendu natif. Un fichier spécialement construit peut provoquer une lecture hors limites, une divulgation de mémoire ou un plantage.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; éviter le rendu de fichiers WMF/EMF non fiables sur les systèmes concernés tant que la mise à niveau n’est pas faite.
Pillow — corruption mémoire pendant l’encodage JPEG avec profil ICC et commentaire
Dans Pillow de 9.4.0 à avant 13.0.0, un profil ICC de taille précise peut épuiser le tampon de l’encodeur JPEG avant l’écriture d’un commentaire. Le défaut peut provoquer une corruption mémoire sur le tas, un plantage et, selon l’environnement, une exécution de code possible.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; éviter de réenregistrer des images non fiables en transmettant leurs profils ICC et commentaires avec une version affectée.
Pillow : double libération de mémoire dans Image.transform()
Dans Pillow, une allocation échouée dans `ImagingScaleAffine()` peut libérer deux fois la mémoire de l’image produite par `Image.transform()`. Le scénario peut faire planter le processus, notamment lorsque la taille de sortie est contrôlable et qu’une limite mémoire provoque l’échec d’allocation; les versions jusqu’à 12.3.0 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; limiter les dimensions des transformations et isoler les traitements d’images soumis à des entrées non fiables.
Pillow : libération invalide d’un glyphe lors du rendu de texte avec contour
Pillow peut effectuer une libération invalide ou double d’un objet glyph lorsque le chargement d’un glyphe échoue pendant le rendu de texte avec un contour. Une police malformée fournie par un utilisateur peut déclencher le chemin d’erreur; les versions de Pillow de 10.0.0 à avant 13.0.0 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; ne pas rendre du texte avec contour à partir de polices non fiables sur les versions vulnérables.
Pillow : déréférencement de pointeur nul dans Image.merge()
`Image.merge()` ne valide pas le premier canal et peut déréférencer un pointeur nul lorsque celui-ci est une image de mode `I` ou `F`. Un fichier IPTC forgé peut conduire à ce chemin et provoquer l’arrêt brutal du processus; Pillow de 12.0.0 à avant 13.0.0 est indiqué comme affecté.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; isoler le traitement des images non fiables et éviter de transmettre des bandes non validées à `Image.merge()`.
Pillow : plantage des filtres de rang sur des images vides
Les filtres médian, minimum, maximum et de rang de Pillow peuvent provoquer un déréférencement de pointeur nul lorsqu’ils sont appliqués à une image de largeur ou de hauteur nulle. Des images vides peuvent provenir de recadrages ou de fichiers construits spécialement; Pillow jusqu’à 12.3.0 est indiqué comme affecté.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; rejeter ou traiter explicitement les images de largeur ou hauteur nulle avant l’application de filtres de rang.
Pillow : boucle infinie lors du calcul des trames d’images MIC
Avec `olefile` installé, Pillow peut boucler indéfiniment lors du calcul de `n_frames` d’un fichier MIC contenant un TIFF intégré avec au moins trois répertoires d’images. L’ouverture d’un tel fichier suivie de la lecture de `n_frames` peut monopoliser un cœur de processeur; les versions depuis 7.2.0 et antérieures à 13.0.0 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; en attendant, limiter l’analyse de fichiers MIC non fiables, notamment lorsque `olefile` est installé.
Pillow : déni de service quadratique lors de la sauvegarde PDF multipage
La réservation répétée d’identifiants d’objets dans le générateur PDF de Pillow entraîne un coût CPU quadratique lors de la conversion d’images animées en PDF multipage. Les versions à partir de 5.1.0 et antérieures à 13.0.0 sont concernées lorsque l’application utilise `save_all=True` ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0 et éviter de convertir des images animées non fiables en PDF avec `save_all=True` sur une version vulnérable.
Pillow : allocation excessive lors de l’ouverture de certains APNG
Lors de l’ouverture d’un APNG, une option de disposition peut pousser Pillow à allouer le canevas entier avant l’exécution de son contrôle contre les images démesurées. Les versions à partir de 8.1.0 et antérieures à 13.0.0 sont concernées ; mettre à jour vers Pillow 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0 et traiter avec prudence les APNG fournis par des utilisateurs sur les versions vulnérables.
Pillow : boucle infinie dans le traitement de l’arbre de pages PDF
Un cycle dans la chaîne `/Parent` de l’arbre de pages d’un PDF peut bloquer indéfiniment Pillow lorsqu’une image est ajoutée à ce PDF. Les versions à partir de 5.1.0 et antérieures à 13.0.0 sont concernées sur le chemin `append=True` ; la version 13.0.0 corrige le problème.
Action recommandée : Mettre à jour Pillow vers 13.0.0 et ne pas utiliser le chemin d’ajout PDF avec des documents non fiables sur les versions vulnérables.
Pillow : divulgation mémoire ou plantage via des balises TIFF forgées
Le transfert de certaines balises TIFF vers libtiff peut entraîner une lecture de mémoire non initialisée ou une lecture à une adresse contrôlée, puis divulguer des données ou faire planter le processus lors de la réécriture d’images. Les versions jusqu’à 12.3.0 sont concernées ; mettre à jour vers Pillow 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0 et éviter de réenregistrer en TIFF des fichiers non fiables avec une version vulnérable.
virtualenv : injection shell dans les lanceurs POSIX générés
Les lanceurs POSIX générés par virtualenv peuvent interpréter comme syntaxe shell des métacaractères présents dans le chemin de destination de l’environnement. Les versions antérieures à 21.14.9 sont concernées ; mettre à jour vers 21.14.9 et éviter d’exécuter des lanceurs générés à partir d’un chemin contrôlé par un tiers sur une version vulnérable.
Action recommandée : Mettre à jour virtualenv vers 21.14.9 et ne pas exécuter de lanceurs POSIX générés à partir de chemins de destination non fiables sur une version vulnérable.
Vyper : décalage d’offsets pouvant altérer des constantes compilées
Vyper mélange des offsets de lignes comptés en caractères avec des positions col_offset exprimées en octets UTF-8, ce qui peut décaler les tranches de source utilisées pour reconstruire des littéraux numériques. Du code source contenant certains caractères non ASCII peut ainsi modifier silencieusement des constantes dans le code compilé.
Action recommandée : Mettre à niveau vers une version corrigée de la branche utilisée et faire vérifier les sources compilées contenant des caractères non ASCII inhabituels.
Vyper : décalage de lignes lors de l’analyse de caractères particuliers
La table des lignes de source de Vyper est construite avec str.splitlines(), qui traite certains caractères comme des séparateurs de ligne contrairement au parseur Python. Des caractères insérés dans des commentaires, chaînes ou espaces peuvent décaler l’analyse des littéraux et modifier silencieusement des constantes du code compilé.
Action recommandée : Mettre à niveau vers une version corrigée et examiner les sources compilées contenant les caractères concernés.
pypdf : consommation excessive de ressources lors de la lecture des champs de formulaire
La récupération des champs de formulaire d’un PDF spécialement conçu peut provoquer une consommation mémoire importante ou des temps de traitement excessifs dans pypdf. La version 6.21.0 corrige ce problème.
Action recommandée : Mettre à niveau pypdf vers 6.21.0 ou ultérieure et traiter avec prudence les PDF non fiables.
pypdf : consommation mémoire excessive lors de l’analyse de PDF
Des PDF conçus spécialement peuvent provoquer une forte consommation de mémoire lors de leur analyse par pypdf. Les versions antérieures à 6.21.0 sont concernées ; mettez à niveau vers 6.21.0 ou une version ultérieure.
Action recommandée : Mettre à niveau pypdf vers la version 6.21.0 ou ultérieure.
pypdf : consommation mémoire excessive dans un flux de contenu PDF
Un flux de contenu PDF comportant de nombreuses petites opérations peut entraîner une consommation importante de mémoire lors de son analyse par pypdf. Les versions antérieures à 6.21.0 sont concernées ; mettez à niveau vers 6.21.0 ou une version ultérieure.
Action recommandée : Mettre à niveau pypdf vers la version 6.21.0 ou ultérieure.
pypdf : blocage lors de la recherche dans un plan de navigation cyclique
La recherche d’un élément dans un plan de navigation PDF cyclique spécialement conçu peut provoquer une boucle infinie et bloquer le processus. Les versions antérieures à 6.20.1 sont concernées ; mettez à niveau vers 6.20.1 ou une version ultérieure.
Action recommandée : Mettre à niveau pypdf vers la version 6.20.1 ou ultérieure.
pypdf : blocage lors de la suppression d’un objet dans un arbre cyclique
La suppression d’un objet dans un arbre PDF cyclique spécialement conçu peut provoquer une boucle infinie et bloquer le processus. Les versions antérieures à 6.20.1 sont concernées ; mettez à niveau vers 6.20.1 ou une version ultérieure.
Action recommandée : Mettre à niveau pypdf vers la version 6.20.1 ou ultérieure.
pypdf : boucle infinie à la lecture d’un PDF incomplet
Un PDF incomplet se terminant au milieu d’une table standard de références croisées peut faire entrer pypdf dans une boucle infinie. Les versions antérieures à 6.20.0 sont concernées ; mettez à niveau vers 6.20.0 ou une version ultérieure.
Action recommandée : Mettre à niveau pypdf vers la version 6.20.0 ou ultérieure.
pypdf : consommation mémoire excessive lors du traitement de flux filtrés
L’accès à certains flux PDF spécialement conçus peut entraîner une consommation excessive de mémoire dans pypdf. Les versions antérieures à 6.20.0 sont concernées ; mettez à niveau vers 6.20.0 ou une version ultérieure.
Action recommandée : Mettre à niveau pypdf vers la version 6.20.0 ou ultérieure.
Pillow : contrôle de décompression insuffisant pour certaines trames MPO et DCX
Dans Pillow, le parcours de certaines images MPO ou DCX à plusieurs trames peut décoder une trame dépassant la limite de taille sans refaire le contrôle de décompression. Les versions antérieures à 13.0.0 sont concernées ; mettez à niveau vers 13.0.0 ou une version ultérieure.
Action recommandée : Mettre à niveau Pillow vers la version 13.0.0 ou ultérieure.
Pillow — croissance excessive de mémoire lors du décodage BMP RLE
Dans Pillow de 9.1.0 à avant 13.0.0, le décodeur BMP RLE peut ajouter des données au-delà de la longueur restante prévue. Un fichier BMP construit à cet effet peut faire croître fortement la mémoire utilisée et provoquer un déni de service.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; limiter le traitement de BMP RLE provenant de sources non fiables tant que la mise à niveau n’est pas faite.
Pillow — débordement d’entier signé dans le calcul de largeur du texte
Avant Pillow 13.0.0, le calcul natif de largeur du texte ne contrôle pas le débordement signé lorsque les avances de glyphes sont négatives. Des données de police construites à cet effet peuvent fausser le résultat de largeur et perturber les traitements qui s’y fient.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou une version ultérieure; examiner les usages des largeurs de texte calculées à partir de polices non fiables.
Pillow : lecture hors limites dans les décodeurs P;2L et P;4L
Les décodeurs Pillow des modes `P;2L` et `P;4L` peuvent lire de 1 à 3 octets au-delà du tampon fourni pour certaines dimensions. Le défaut résulte d’un calcul de taille de ligne qui ne tient pas compte du remplissage séparé de chaque plan; Pillow jusqu’à 12.3.0 est indiqué comme affecté.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; éviter de décoder des données non fiables avec les modes concernés dans les versions vulnérables.
Pillow : déni de service par concaténation quadratique des commentaires GIF
Pillow concatène les commentaires GIF par ajouts répétés à des objets `bytes` immuables, ce qui entraîne un coût quadratique à l’ouverture. Un GIF construit avec de nombreuses extensions de commentaire peut ainsi monopoliser le processeur; les versions depuis 5.4.0 et antérieures à 13.0.0 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; limiter la taille des fichiers GIF non fiables et leur traitement dans des workers isolés.
Pillow : fuite de mémoire non initialisée avec une palette vide
Pillow peut divulguer des octets non initialisés de la pile lors de `Image.quantize()` avec une image de palette vide contrôlée par l’utilisateur. Les valeurs divulguées sont copiées dans les pixels du résultat; les versions de Pillow depuis 9.1.0 et antérieures à 13.0.0 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Pillow vers 13.0.0 ou ultérieur; ne pas utiliser de palettes non fiables ou vides avec `Image.quantize()` sur les versions affectées.
Pillow : déni de service par ReDoS dans le lecteur XBM
Pillow présente une vulnérabilité de déni de service par épuisement du processeur dans le traitement XBM : un fichier de 512 octets spécialement formé peut ralentir `Image.open()` pendant plusieurs minutes. Les versions jusqu’à 12.3.0 sont concernées ; mettre à jour vers Pillow 13.0.0, ou exclure le format XBM de la liste `formats=` en attendant.
Action recommandée : Mettre à jour Pillow vers 13.0.0 ; à défaut, désactiver la prise en charge de XBM pour les entrées non fiables.
Pillow : récursion sans limite dans l’analyse PDF en mode ajout
Le garde-fou de profondeur récursive de `PdfParser.get_value()` est inopérant, ce qui permet à un PDF spécialement construit de provoquer une `RecursionError` non interceptée. Le chemin concerné est l’ajout d’une image à un PDF existant avec `append=True` ; les versions de Pillow à partir de 5.1.0 et antérieures à 13.0.0 sont touchées, et la mise à jour vers 13.0.0 corrige le problème.
Action recommandée : Mettre à jour Pillow vers 13.0.0, en particulier pour les applications qui ajoutent des pages à des PDF non fiables.
Pillow : use-after-free dans l’encodage TIFF en mémoire
Un use-after-free dans l’encodeur TIFF de Pillow survient lorsque l’écriture échoue avec certaines métadonnées, puis que le nettoyage de libtiff réutilise le tampon déjà libéré. Les versions 11.3.0 à 12.3.0 sont concernées ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0 et éviter de réencoder en mémoire des images non fiables en TIFF avec une version vulnérable.
virtualenv : modification des permissions de la cible d’un lien symbolique
Dans le traitement d’une erreur de suppression, virtualenv peut appliquer les permissions d’un lien symbolique à sa cible, car il lit le mode avec `lstat()` mais modifie les permissions avec `chmod()` qui suit le lien. Les versions antérieures à 21.14.9 sont concernées ; mettre à jour vers 21.14.9.
Action recommandée : Mettre à jour virtualenv vers 21.14.9 et éviter de lancer la récupération d’environnements sur des arborescences préparées par des tiers avec une version vulnérable.
virtualenv : écritures hors destination via des répertoires liés
Lors de la création d’un environnement, virtualenv peut suivre des liens symboliques de répertoires déjà présents sous la destination et écrire des fichiers en dehors de celle-ci. Les versions antérieures à 21.14.9 sont concernées ; mettre à jour vers 21.14.9 et éviter de créer un environnement dans une destination préparée par un tiers sur une version vulnérable.
Action recommandée : Mettre à jour virtualenv vers 21.14.9 et créer les environnements dans des destinations contrôlées et non préconfigurées par un tiers.
djust : lecture de fichiers hors du répertoire du projet via un outil MCP
La fonction MCP `find_handlers_for_template` de djust accepte un chemin absolu sans le restreindre au répertoire du projet, ce qui permet à un client autorisé d’interroger des fichiers accessibles au processus. Elle ne renvoie pas le contenu brut, mais peut révéler les chaînes correspondant à son motif de recherche et confirmer l’existence et la lisibilité d’un fichier.
Action recommandée : Mettre à niveau djust vers une version corrigée : 1.0.10, 1.1.7, 1.2.4 ou 1.3.0rc8, selon la branche utilisée; limiter l’accès au serveur MCP aux clients de confiance.
pypdf : sélection d’un parseur d’image inattendu via un PDF construit
Un PDF spécialement construit utilisant le filtre /DCTDecode peut pousser Pillow à sélectionner puis invoquer un parseur d’image inattendu lors du chargement de l’image par pypdf. Le problème concerne les installations avec la dépendance facultative Pillow; pypdf 6.21.1 corrige le défaut.
Action recommandée : Mettre à niveau pypdf vers 6.21.1 ou ultérieure, en particulier lorsque Pillow est installé.
Java
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée a repéré une alerte Oracle Java SE publiée le 21 octobre 2026, ainsi que des publications NVD datées du 21 octobre en heure +02:00 concernant Java SE/GraalVM et OGNL. Les éléments relevés comprennent des problèmes d’accès aux données, une vulnérabilité de déni de service dans Compiler et un contournement de restriction OGNL. Le candidat Oracle E-Business Suite est exclu car il porte sur un produit EBS, et non sur Java comme sujet logiciel. Les fiches NVD fournies décrivent neuf vulnérabilités Java SE/GraalVM publiées pendant la période, concernant les composants Networking, JAXP, Compiler, RMI et Security. Le lot ne fournit pas les versions corrigées ni de preuve d’exploitation active. La fiche JDeveloper CVE-2026-91319 concerne Oracle Fusion Middleware, et non une vulnérabilité du sujet Java SE demandé. Les candidats fournis correspondent à onze fiches NVD de vulnérabilités Oracle Java SE ou GraalVM publiées dans la période demandée, après conversion de leurs horodatages UTC en heure +02:00. Les informations disponibles décrivent des impacts d’intégrité, de confidentialité ou de disponibilité ; elles ne précisent pas de versions corrigées ni d’exploitation active. Dix fiches NVD concernant Oracle Java, JavaFX et GraalVM ont été publiées durant la période demandée, selon leurs horodatages de publication. Les entrées fournies décrivent leurs composants touchés, versions affectées et impacts ; elles ne précisent pas les versions corrigées ni une exploitation confirmée. Dix fiches NVD relatives à Java et aux produits GraalVM ont une date de publication qui, convertie en fuseau +02:00, tombe dans la période demandée. Elles décrivent des vulnérabilités touchant les composants Libraries, JGSS, 2D, CORBA, ImageIO, Networking, Lightweight HTTP Server et JSS…
CVE-2026-91415 — Vulnérabilité du composant 2D dans Java SE et GraalVM
Une vulnérabilité du composant 2D peut permettre à un attaquant réseau non authentifié de provoquer un déni de service complet et d’accéder à certaines données en lecture ou en écriture. La difficulté d’exploitation est élevée; les versions affectées comprennent Java SE et les produits GraalVM listés ci-dessous.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
Oracle Java SE : vulnérabilité du plug-in Java (CVE-2026-91484)
Une vulnérabilité du plug-in Java d’Oracle Java SE peut permettre à un utilisateur disposant de faibles privilèges sur l’infrastructure d’altérer des données ou d’accéder à des données sensibles. La fiche indique que seules les versions 8u503 et 8u503-perf sont affectées; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les installations Oracle Java SE 8 concernées et appliquer les correctifs Oracle lorsqu’ils sont disponibles; limiter les accès locaux non nécessaires.
Oracle Java SE / GraalVM — vulnérabilité du composant Libraries
CVE-2026-101516 concerne le composant Libraries d’Oracle Java SE et des produits Oracle GraalVM. L’exploitation via des API du composant peut permettre un accès non autorisé en lecture à certaines données ainsi qu’en modification à une partie des données accessibles.
Action recommandée : Appliquer le correctif Oracle correspondant aux produits et versions déployés.
Oracle Java SE — déni de service dans Compiler
CVE-2026-101737 affecte le composant Compiler d’Oracle Java SE 26.0.2. Une exploitation difficile via le réseau peut provoquer le blocage ou un plantage répétable du runtime, entraînant un déni de service.
Action recommandée : Appliquer le correctif Oracle correspondant à Oracle Java SE.
OGNL — contournement du mode d’invocation stricte
CVE-2026-113730 est un contournement du mode d’invocation stricte d’OGNL impliquant des objets de réflexion Java. Le problème concerne les applications qui évaluent des expressions non fiables et utilisent cette restriction comme bac à sable; la version corrigée est OGNL 3.4.13.
Action recommandée : Mettre à niveau OGNL vers 3.4.13 ou une version ultérieure.
Oracle Java SE / GraalVM — vulnérabilité du composant Security
CVE-2026-83374 affecte le composant Security d’Oracle Java SE et des produits Oracle GraalVM. Une exploitation réseau difficile peut permettre la création, la suppression ou la modification non autorisée de données accessibles, potentiellement critiques.
Action recommandée : Appliquer le correctif Oracle correspondant aux produits et versions déployés.
Oracle Java SE — vulnérabilité du composant Compiler
CVE-2026-83378 concerne le composant Compiler d’Oracle Java SE. Une exploitation réseau difficile via les API concernées peut permettre un accès non autorisé en lecture à une partie des données et la modification de certaines données accessibles.
Action recommandée : Appliquer le correctif Oracle correspondant à Oracle Java SE.
Oracle Java SE / GraalVM — vulnérabilité JAAS
CVE-2026-83380 touche JAAS dans Oracle Java SE et les produits Oracle GraalVM. Une exploitation facile à distance peut donner un accès en lecture non autorisé à une partie des données accessibles.
Action recommandée : Appliquer le correctif Oracle correspondant aux produits et versions déployés.
Oracle Java SE / GraalVM — vulnérabilité du composant Security
CVE-2026-83381 concerne le composant Security d’Oracle Java SE et des produits Oracle GraalVM. Une exploitation difficile via le réseau peut entraîner la lecture non autorisée de certaines données et la modification d’une partie des données accessibles.
Action recommandée : Appliquer le correctif Oracle correspondant aux produits et versions déployés.
Oracle Java SE / GraalVM — vulnérabilité JDBC
CVE-2026-83387 affecte JDBC dans Oracle Java SE et les produits Oracle GraalVM. Une exploitation réseau difficile via les API concernées peut permettre l’accès non autorisé à des données critiques ou à l’ensemble des données accessibles par les produits concernés.
Action recommandée : Appliquer le correctif Oracle correspondant aux produits et versions déployés.
CVE-2026-83395 — altération de données et déni de service partiel dans Java Networking
Une vulnérabilité du composant Networking de Java SE et des produits GraalVM peut permettre à un attaquant distant non authentifié de modifier certaines données accessibles et de provoquer un déni de service partiel. Les versions concernées sont celles listées ci-dessous ; appliquer les correctifs Oracle correspondants.
Action recommandée : Mettre à jour les produits concernés avec les correctifs Oracle applicables ; limiter l’exposition des API Networking aux données non fiables.
CVE-2026-83400 — déni de service partiel dans Java JAXP
Une vulnérabilité du composant JAXP de Java SE et des produits GraalVM permet à un attaquant distant non authentifié de provoquer un déni de service partiel. Les versions concernées sont indiquées ci-dessous ; appliquer les correctifs Oracle correspondants.
Action recommandée : Mettre à jour les produits concernés avec les correctifs Oracle applicables et contrôler les données transmises aux API JAXP.
CVE-2026-87290 — divulgation de données via Java JAXP
Une vulnérabilité du composant JAXP de Java SE et des produits GraalVM peut conduire à la divulgation de données accessibles, jusqu’à un accès complet à ces données. Les versions concernées sont listées ci-dessous ; appliquer les correctifs Oracle correspondants.
Action recommandée : Mettre à jour les produits concernés avec les correctifs Oracle applicables et limiter les entrées non fiables traitées par les API JAXP.
CVE-2026-87291 — lecture de données via Java Networking
Une vulnérabilité du composant Networking de Java SE peut permettre à un attaquant distant non authentifié de lire un sous-ensemble des données accessibles. Les versions concernées sont Java SE 21.0.12.1, 25.0.4.1 et 27 ; appliquer le correctif Oracle applicable.
Action recommandée : Mettre à jour Java SE vers une version corrigée et contrôler les données fournies aux API Networking.
CVE-2026-87293 — lecture et altération de données via RMI
Une vulnérabilité RMI touchant Java SE et GraalVM Enterprise Edition peut permettre à un attaquant distant de lire et de modifier certaines données accessibles. Les versions mentionnées sont Java SE 8u503 et 8u503-perf, ainsi que GraalVM Enterprise Edition 21.3.19.1.1 ; appliquer les correctifs Oracle applicables.
Action recommandée : Mettre à jour Java SE et GraalVM Enterprise Edition concernés avec les correctifs Oracle applicables ; vérifier l’exposition des API RMI.
CVE-2026-87294 — lecture et altération de données via Java Security
Une vulnérabilité du composant Security de Java SE et des produits GraalVM peut permettre à un attaquant distant non authentifié de lire un sous-ensemble de données et d’en modifier certaines. Les versions concernées sont listées ci-dessous ; appliquer les correctifs Oracle correspondants.
Action recommandée : Mettre à jour les produits concernés avec les correctifs Oracle applicables et limiter les données non fiables soumises aux API Security.
CVE-2026-91332 : altération de données via Networking dans Oracle Java SE
Une vulnérabilité du composant Networking de Java SE peut permettre à un attaquant distant non authentifié d’altérer certaines données accessibles à Java SE. Elle concerne les versions indiquées ci-dessous ; aucune version corrigée ni mesure de contournement n’est précisée dans les informations fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91373 : déni de service partiel dans JSSE
Une vulnérabilité de JSSE peut permettre à un attaquant distant non authentifié de provoquer une dégradation partielle de disponibilité de Java SE. Elle concerne les versions indiquées ci-dessous et peut être exploitée via TLS ; aucun correctif ni contournement n’est précisé dans les informations fournies.
Action recommandée : Évaluer l’exposition des services utilisant JSSE/TLS et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91374 : accès non autorisé aux données via Serviceability
Une vulnérabilité du composant Serviceability peut permettre à un attaquant distant non authentifié de lire ou de modifier certaines données accessibles dans les produits concernés. L’exploitation est difficile et peut passer par les API du composant ; les versions affectées sont listées ci-dessous.
Action recommandée : Évaluer l’exposition des produits concernés et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91375 : altération de données via Libraries
Une vulnérabilité du composant Libraries peut permettre une création, suppression ou modification non autorisée de données critiques ou de l’ensemble des données accessibles à Java SE. L’attaque nécessite un accès local à l’infrastructure, une interaction humaine et concerne les versions indiquées ci-dessous.
Action recommandée : Évaluer l’exposition et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91379 : altération de données via les outils JDK
Une vulnérabilité des outils JDK peut permettre une création, suppression ou modification non autorisée de données critiques ou de l’ensemble des données accessibles aux produits concernés. Elle requiert un accès local à l’infrastructure et une interaction humaine ; la fiche précise qu’elle ne s’applique pas aux serveurs exécutant uniquement du code fiable.
Action recommandée : Examiner les environnements clients exécutant du code non fiable et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91380 : accès non autorisé aux données via Utility
Une vulnérabilité du composant Utility peut permettre à un attaquant ayant un accès local à l’infrastructure d’altérer ou de lire certaines données accessibles. Les versions affectées sont indiquées ci-dessous ; les informations fournies ne précisent pas de version corrigée ou de contournement.
Action recommandée : Évaluer l’exposition des systèmes concernés et appliquer un correctif Oracle dès sa disponibilité.
Oracle Java : vulnérabilité dans le composant 2D (CVE-2026-91382)
Une vulnérabilité du composant 2D d’Oracle Java SE et des éditions Oracle GraalVM peut permettre à un attaquant distant non authentifié d’altérer des données accessibles et de provoquer un déni de service partiel. Les versions touchées indiquées comprennent Java SE 8u503, 11.0.32.1 et 17.0.20.1, ainsi que des versions de GraalVM ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle ; vérifier les déploiements Java concernés.
Oracle JavaFX : vulnérabilité d’accès et de modification de données (CVE-2026-91385)
Une vulnérabilité de JavaFX peut permettre à un attaquant distant d’accéder à certaines données et de les modifier, sous réserve d’une interaction d’une autre personne. Les versions concernées comprennent Java SE 8u503, JavaFX 21.0.12, 25.0.4 et 27, ainsi que GraalVM Enterprise Edition 21.3.19.1.1 ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour les versions concernées vers les correctifs Oracle disponibles ; examiner en priorité les clients qui exécutent du code non fiable.
Oracle Java Networking : vulnérabilité de confidentialité (CVE-2026-91394)
Une vulnérabilité du composant Networking peut permettre à un attaquant distant non authentifié de lire des données accessibles dans Oracle Java SE ou GraalVM. Les versions touchées indiquées comprennent Java SE 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1 et 27, ainsi que GraalVM for JDK 17.0.20.1 et 21.0.12.1 ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle et évaluer les services qui exposent les API Networking concernées.
Oracle Java Utility : vulnérabilité d’intégrité et de disponibilité (CVE-2026-91395)
Une vulnérabilité du composant Utility peut permettre à un attaquant distant non authentifié de modifier certaines données accessibles et de provoquer un déni de service partiel. Les versions touchées indiquées sont Java SE 8u503, 8u503-perf et 11.0.32.1, ainsi que certaines versions de GraalVM ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle ; vérifier les applications utilisant le composant Utility.
Oracle Java Utility : vulnérabilité d’intégrité et de disponibilité (CVE-2026-91396)
Une vulnérabilité du composant Utility peut permettre à un attaquant distant non authentifié de modifier certaines données accessibles et de provoquer un déni de service partiel. Les versions touchées indiquées sont Java SE 8u503, 8u503-perf et 11.0.32.1, ainsi que certaines versions de GraalVM ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle ; vérifier les applications utilisant le composant Utility.
Oracle Java Networking : vulnérabilité liée à SOCKS5 (CVE-2026-91398)
Une vulnérabilité du composant Networking, liée à SOCKS5, peut permettre à un attaquant distant non authentifié de modifier des données accessibles, avec un possible effet au-delà du produit vulnérable. Les versions touchées indiquées couvrent Java SE 8u503 à 27, des versions de GraalVM for JDK et GraalVM Enterprise Edition ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle et examiner l’exposition des usages de SOCKS5.
CVE-2026-91410 — Déni de service partiel dans Java SE, composant Libraries
Une vulnérabilité du composant Libraries de Java SE peut permettre à un attaquant non authentifié disposant d’un accès réseau de provoquer un déni de service partiel. Elle concerne également les produits GraalVM indiqués dans les versions affectées.
Action recommandée : Mettre à jour Java SE et les produits GraalVM concernés vers une version corrigée lorsqu’elle est disponible.
CVE-2026-91411 — Déni de service et atteinte à l’intégrité dans JGSS
Une vulnérabilité du composant JGSS peut permettre à un attaquant réseau non authentifié de provoquer un déni de service complet et d’obtenir un accès non autorisé en écriture à certaines données accessibles. L’exploitation est qualifiée de difficile et concerne les versions et produits Oracle indiqués ci-dessous.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
CVE-2026-91417 — Déni de service partiel dans CORBA
Une vulnérabilité du composant CORBA permet à un attaquant non authentifié disposant d’un accès réseau de provoquer un déni de service partiel. Elle concerne Java SE et Oracle GraalVM Enterprise Edition dans les versions indiquées.
Action recommandée : Mettre à jour Java SE et GraalVM Enterprise Edition concernés vers une version corrigée lorsqu’elle est disponible.
CVE-2026-91418 — Déni de service partiel dans ImageIO
Une vulnérabilité du composant ImageIO peut permettre à un attaquant réseau non authentifié de provoquer un déni de service partiel. Elle affecte les versions indiquées de Java SE, JavaFX et des produits GraalVM.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
CVE-2026-91451 — Atteinte à l’intégrité dans le composant Networking
Une vulnérabilité du composant Networking peut permettre à un attaquant non authentifié disposant d’un accès réseau de modifier certaines données accessibles dans Java SE. Elle s’exploite en fournissant des données aux API concernées, sans recours à des applications Java Web Start ou applets non fiables.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
CVE-2026-91452 — Atteinte à l’intégrité dans Networking
Une vulnérabilité du composant Networking peut permettre à un attaquant réseau non authentifié de modifier certaines données accessibles dans Java SE et les produits GraalVM indiqués. L’attaque passe par les API du composant, sans nécessiter d’application Java Web Start ou d’applet non fiable.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
CVE-2026-91453 — Atteinte à l’intégrité du Lightweight HTTP Server
Une vulnérabilité du Lightweight HTTP Server peut permettre à un attaquant réseau non authentifié de modifier certaines données accessibles dans Java SE et les produits GraalVM indiqués. La fiche décrit un accès non autorisé en écriture via les API concernées.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
CVE-2026-91462 — Atteinte à l’intégrité dans JGSS
Une vulnérabilité du composant JGSS peut permettre à un attaquant non authentifié disposant d’un accès réseau de modifier ou supprimer des données accessibles, y compris des données critiques selon la fiche. L’exploitation est qualifiée de difficile et concerne les versions listées de Java SE et de GraalVM.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
Oracle Java et GraalVM : vulnérabilité JGSS (CVE-2026-91463)
Une vulnérabilité du composant JGSS d’Oracle Java SE et des éditions GraalVM peut permettre à un attaquant distant non authentifié d’accéder à des données accessibles au produit, si un utilisateur exécute du code non fiable dans un environnement Java sandboxé. Elle concerne les versions indiquées dans l’avis; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Examiner les déploiements Java concernés, éviter l’exécution de code non fiable dans des environnements sandboxés vulnérables et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Java et GraalVM : vulnérabilité JGSS (CVE-2026-91464)
Une vulnérabilité du composant JGSS d’Oracle Java SE et des éditions GraalVM peut permettre à un attaquant distant non authentifié d’accéder à des données accessibles au produit, si un utilisateur exécute du code non fiable dans un environnement Java sandboxé. Elle concerne les versions indiquées dans l’avis; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Examiner les déploiements Java concernés, éviter l’exécution de code non fiable dans des environnements sandboxés vulnérables et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Java SE et GraalVM : vulnérabilité du compilateur (CVE-2026-91487)
Une vulnérabilité du compilateur d’Oracle Java SE peut permettre à un attaquant distant non authentifié d’altérer ou de lire une partie des données accessibles en fournissant des données aux API du composant. Les versions affectées sont celles énumérées dans la fiche; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Examiner les applications qui exposent les API du compilateur à des données non fiables et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Database : vulnérabilité de Java VM (CVE-2026-91615)
Une vulnérabilité du composant Java VM d’Oracle Database Server peut permettre à un attaquant disposant de faibles privilèges et d’un accès réseau via SOCKS5 d’altérer des données. Les versions de base de données indiquées comme affectées sont 19.3–19.32, 21.3–21.23 et 23.4.0–23.26.3; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les versions Oracle Database Server concernées, restreindre les accès réseau SOCKS5 et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91643)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles via HTTP. La version concernée indiquée est 21.8.3.0.0; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les déploiements Oracle Essbase 21.8.3.0.0, restreindre l’accès HTTP aux interfaces concernées et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91648)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles via TCP. La version concernée indiquée est 21.8.3.0.0; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les déploiements Oracle Essbase 21.8.3.0.0, restreindre l’accès TCP aux interfaces concernées et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91649)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant local disposant de privilèges élevés d’accéder aux données accessibles à Essbase. La version concernée indiquée est 21.8.3.0.0; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les déploiements Oracle Essbase 21.8.3.0.0 et limiter les privilèges locaux élevés; appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Java SE / GraalVM — vulnérabilité JSSE
CVE-2026-83376 concerne JSSE dans Oracle Java SE et les produits Oracle GraalVM. Une exploitation difficile via TLS et les API concernées peut permettre des modifications non autorisées de certaines données accessibles.
Action recommandée : Appliquer le correctif Oracle correspondant aux produits et versions déployés.
CVE-2026-87255 — lecture non autorisée de données via le compilateur Java
Une vulnérabilité du compilateur de Java SE peut permettre à un attaquant distant de lire un sous-ensemble des données accessibles. La fiche cite Java SE 25.0.4.1 et 27 comme versions concernées ; appliquer le correctif Oracle applicable.
Action recommandée : Mettre à jour Java SE vers une version corrigée dès qu’elle est disponible et examiner l’exposition des API du compilateur aux entrées non fiables.
CVE-2026-87292 — altération de données via Java Networking
Une vulnérabilité du composant Networking de Java SE et des produits GraalVM peut permettre à un attaquant distant de modifier certaines données accessibles. Les versions concernées figurent ci-dessous ; appliquer les correctifs Oracle correspondants.
Action recommandée : Mettre à jour les produits concernés avec les correctifs Oracle applicables et limiter les données non fiables traitées par les API Networking.
CVE-2026-87367 — altération de données via Java JAXP
Une vulnérabilité JAXP touchant Java SE et les produits GraalVM peut permettre à un attaquant distant de modifier certaines données accessibles. Les versions touchées sont indiquées ci-dessous ; appliquer les correctifs Oracle correspondants.
Action recommandée : Mettre à jour les produits concernés avec les correctifs Oracle applicables et contrôler les données fournies aux API JAXP.
CVE-2026-91333 : altération de données dans Oracle Java SE Security
Une vulnérabilité du composant Security de Java SE peut permettre à un attaquant distant non authentifié d’altérer certaines données accessibles. Les versions concernées sont indiquées ci-dessous ; les informations fournies ne précisent ni version corrigée ni contournement.
Action recommandée : Évaluer l’exposition et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91334 : lecture non autorisée via ImageIO
Une vulnérabilité d’ImageIO peut permettre à un attaquant distant non authentifié d’accéder en lecture à une partie des données accessibles dans les produits concernés. Les versions affectées sont indiquées ci-dessous ; aucune version corrigée ou mesure de contournement n’est précisée dans les données fournies.
Action recommandée : Évaluer l’exposition des produits concernés et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91335 : lecture de données via AWT
Une vulnérabilité du composant AWT peut permettre à un attaquant disposant de faibles privilèges de lire une partie des données accessibles dans les produits concernés. L’attaque exige une interaction humaine et concerne notamment des déploiements clients exécutant du code non fiable dans un bac à sable ; les versions affectées figurent ci-dessous.
Action recommandée : Examiner en priorité les clients exécutant du code non fiable dans un environnement Java sandboxé et appliquer un correctif Oracle dès sa disponibilité.
CVE-2026-91381 : altération de données via le composant 2D
Une vulnérabilité du composant 2D peut permettre à un attaquant distant non authentifié d’altérer certaines données accessibles dans les produits concernés. Elle touche les versions Java SE et GraalVM Enterprise Edition indiquées ci-dessous ; aucun correctif ni contournement n’est précisé dans les informations fournies.
Action recommandée : Évaluer l’exposition des versions concernées et appliquer un correctif Oracle dès sa disponibilité.
Oracle Java Serviceability : vulnérabilité d’intégrité et de disponibilité (CVE-2026-91397)
Une vulnérabilité du composant Serviceability peut permettre à une personne ayant accès à l’infrastructure et à l’exécution d’une interaction humaine de modifier certaines données accessibles et de provoquer un déni de service partiel. Les versions touchées incluent plusieurs versions de Java SE et de GraalVM ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle et limiter les accès à l’infrastructure concernée.
Oracle Java Sound : vulnérabilité de déni de service (CVE-2026-91400)
Une vulnérabilité du composant Sound peut permettre à un attaquant distant de provoquer un déni de service partiel, avec interaction humaine requise. Les versions concernées indiquées vont de Java SE 8u503 à 27, ainsi que certaines versions de GraalVM ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle ; vérifier les clients qui exécutent du code non fiable.
Oracle JavaFX : vulnérabilité de confidentialité (CVE-2026-91402)
Une vulnérabilité de JavaFX peut permettre à un attaquant distant de lire une partie des données accessibles, sous réserve d’une interaction humaine. Les versions concernées comprennent Java SE 8u503, JavaFX 21.0.12, 25.0.4 et 27, ainsi que GraalVM Enterprise Edition 21.3.19.1.1 ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour vers les versions corrigées publiées par Oracle ; examiner les clients qui exécutent du code non fiable.
Oracle Java SE 27 : vulnérabilité de déni de service (CVE-2026-91409)
Une vulnérabilité du composant Networking dans Oracle Java SE 27 peut permettre à un attaquant distant non authentifié de provoquer un déni de service partiel. La fiche ne cite que Java SE 27 comme version concernée ; appliquer les correctifs Oracle disponibles.
Action recommandée : Mettre à jour Java SE 27 vers la version corrigée publiée par Oracle.
CVE-2026-91461 — Atteinte à l’intégrité dans JSSE
Une vulnérabilité de JSSE peut permettre à un attaquant non authentifié d’altérer certaines données accessibles via TLS. L’exploitation est qualifiée de difficile et concerne Java SE ainsi que les produits GraalVM listés.
Action recommandée : Mettre à jour les produits concernés vers une version corrigée lorsqu’elle est disponible.
Oracle JavaFX : vulnérabilité d’accès aux données (CVE-2026-91477)
Une vulnérabilité de JavaFX peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles, lorsqu’un utilisateur interagit avec du code non fiable dans un environnement Java sandboxé. Les versions concernées indiquées sont JavaFX 25.0.4 et 27; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les déploiements JavaFX affectés, limiter l’exécution de code non fiable dans des environnements sandboxés et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91650)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles via HTTP. La version concernée indiquée est 21.8.3.0.0; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Vérifier les déploiements Oracle Essbase 21.8.3.0.0, restreindre l’accès HTTP aux interfaces concernées et appliquer les correctifs Oracle lorsqu’ils sont disponibles.
TYPO3
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel TYPO3 daté du 2026-10-21 dans les sources consultées. La page officielle des avis consultée affichait notamment comme avis le plus récent TYPO3-CORE-SA-2026-024, daté du 2026-10-13, hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée a consulté l’index officiel des avis de sécurité Drupal et recherché des publications datées du 21 octobre 2026. Les avis Drupal affichés dans les résultats disponibles sont datés du 14 octobre ou d’avant; aucun avis, correctif ou changement substantiel Drupal vérifiable dans la période demandée n’a été identifié. Les vulnérabilités PHP signalées le 21 octobre ne sont pas incluses : les éléments consultés ne les établissent pas comme des avis Drupal.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
La recherche web dédiée a consulté le centre de sécurité et les annonces officielles de Joomla, ainsi que des résultats GitHub et des mentions de sécurité liées à Joomla. Je n’ai pas pu vérifier, dans les sources consultées, un avis Joomla ou un correctif de sécurité publié pendant la période demandée; les annonces officielles visibles concernaient des dates antérieures.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Magento, notamment dans les résultats des sources Adobe et sur les sources de vulnérabilités consultées. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel propre à Magento daté du 2026-10-21 dans la période demandée n’a pu être vérifié. Une mention de vulnérabilités PHP repérée pour cette date ne suffit pas à établir un événement de sécurité Magento.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée sur Adobe Commerce n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-21 dans la période demandée. Les éléments pertinents trouvés concernaient des événements antérieurs, notamment l’avis APSB26-153 publié le 2026-10-13 et une mise à jour de correctif annoncée le 2026-10-16 ; ils sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée à Fooocus n’a relevé aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel dont la date de publication ou d’événement est comprise dans la période du 2026-10-21T00:00:00+02:00 au 2026-10-22T00:00:00+02:00. Les résultats consultés mentionnent des vulnérabilités Fooocus publiées antérieurement ; elles ne sont donc pas retenues pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
27 alerte(s)Sentry-Javascript : contournement de middleware sur les routes de tunnel Next.js
Dans l’intégration webpack de `@sentry/nextjs`, les requêtes sous un `tunnelRoute` configuré pouvaient contourner les middlewares de l’application, y compris leurs contrôles d’autorisation. Le problème exige notamment une route en collisio…
Source : NVD — CVE-2026-114139
Injection JavaScript côté serveur dans Trudesk
Trudesk présente une injection de JavaScript côté serveur dans une clause MongoDB `$where` lors de la recherche de tickets. Un utilisateur authentifié peut provoquer un déni de service ou exposer des documents de tickets, y compris des not…
Source : NVD — CVE-2026-114396
ApostropheCMS : épuisement de ressources non authentifié via l’import par blocs
Une vulnérabilité de consommation incontrôlée de ressources dans le traitement des imports par blocs de `@apostrophecms/import-export` permet à un attaquant non authentifié de déclencher des opérations de téléversement et de traitement ava…
Classification incorrecte de navigations dans Electron
Electron ne conservait pas correctement la page initiatrice lors de l’ouverture d’une nouvelle fenêtre à partir de liens; certaines navigations pouvaient alors être considérées comme same-site. Dans une application chargeant du contenu non…
Source : NVD — CVE-2026-113796
Electron : demande pointerLock attribuée à la mauvaise frame
Pour certaines demandes pointerLock provenant d’iframes inter-origines, Electron transmettait au gestionnaire de permissions l’URL et l’indicateur de frame principale du document englobant. Une application accordant cette permission selon…
Source : NVD — CVE-2026-113798
Electron : vérifications de permissions HID/USB attribuées à la mauvaise origine
Les vérifications de permissions HID et USB déclenchées depuis une iframe pouvaient être évaluées avec l’origine et les détails de la frame principale, plutôt qu’avec ceux de la frame demanderesse. Une application autorisant ces périphériq…
Electron : demande d’ouverture de protocole externe attribuée au mauvais document
Une requête visant à ouvrir une URL de protocole externe pouvait être attribuée à un document différent de celui qui l’avait initiée. Si l’application autorise openExternal selon l’origine et permet à du contenu non fiable d’ouvrir ou de n…
Source : NVD — CVE-2026-114121
Nuxt — contournement de règles de routes par segment encodé
Une différence entre la comparaison des règles de routes sur le chemin brut et la résolution des segments décodés peut permettre d’atteindre une page protégée sans appliquer la règle ou `appMiddleware` prévu. Une requête non authentifiée p…
Source : NVD — CVE-2026-114131
Nuxt — règles côté serveur ignorées pour des chemins variant par la casse
La résolution des pages insensible à la casse peut diverger de la correspondance sensible à la casse des règles côté serveur, si bien qu’un chemin ne différant que par la casse peut éviter la règle prévue. Cela peut notamment affecter des…
Source : NVD — CVE-2026-114132
Nuxt — XSS via useHeadSafe dans le rendu des server islands
Dans un server island, des données non fiables transmises à `useHeadSafe` peuvent perdre leur marqueur de sécurité lors de la sérialisation, puis être insérées comme une entrée ordinaire dans le head de la page. Si l’application transmet d…
Source : NVD — CVE-2026-114133
Astro : XSS via des enfants dynamiques d’éléments script et style
Dans le rendu JSX et MDX d’Astro, les chaînes dynamiques placées comme enfants d’éléments `script` ou `style` étaient traitées comme du HTML de confiance. Une donnée contrôlée par un attaquant pouvait sortir de l’élément et injecter du HTM…
Source : NVD — CVE-2026-114128
Injection HTML/JavaScript lors du rendu HTML par odf-kit
odf-kit échappe les textes et attributs HTML, mais pas certaines valeurs CSS provenant des documents OpenDocument rendus en HTML. Une valeur CSS malveillante peut rompre le contexte de l’attribut `style` et injecter du HTML ou du JavaScrip…
Source : NVD — CVE-2026-113787
XSS dans IBM Carbon Charts
IBM Carbon Charts présente une XSS dans `MeterChart` lorsque le titre tronqué réinsère dans le DOM du texte non assaini. Les versions 0.4.0 à 1.27.19 sont indiquées comme affectées; vérifiez les versions corrigées auprès d’IBM avant mise à…
Source : NVD — CVE-2026-94402
XSS réfléchie dans e107 CMS
e107 CMS présente une XSS réfléchie dans `search.php`: le paramètre GET `author` est rendu sans échappement dans un champ HTML. Un attaquant non authentifié peut construire une requête qui injecte du contenu exécuté dans le navigateur de l…
Source : NVD — CVE-2026-114407
ApostropheCMS : contournement de validation d’un champ couleur permettant une XSS persistante
La validation d’un champ couleur peut accepter une chaîne commençant par une couleur `rgb()` ou `hsl()` valide même si elle contient ensuite du HTML. Un utilisateur authentifié disposant de droits d’édition peut ainsi enregistrer une valeu…
ApostropheCMS : XSS persistante via la sérialisation non échappée du style d’un widget
Des valeurs libres de style de widget peuvent être insérées sans échappement dans l’attribut HTML `style`. Un éditeur capable de modifier le widget peut provoquer une XSS persistante sur les pages où celui-ci est rendu.
ApostropheCMS : divulgation d’informations via des noms de fichiers d’export prévisibles
Les fichiers d’export peuvent être accessibles anonymement par une URL prévisible pendant leur période de conservation, car leur nom est déterministe et le téléchargement est publié sous `/uploads/exports/`. L’exposition exige que le modul…
Vitest : injection de code via l’enregistrement non authentifié de mocks manuels
Le plugin d’interception de mocks de Vitest accepte des enregistrements manuels non authentifiés par WebSocket et insère une URL de module sans échappement dans du code généré. Un client ayant accès au port du serveur de développement peut…
Vitest : application incorrecte de server.fs.deny exposant des fichiers sensibles
Dans certaines configurations Vitest 5 qui démarrent un serveur HTTP, les règles `server.fs.deny` sont appliquées incorrectement, ce qui peut exposer des fichiers sensibles tels que `.env` ou le jeton d’API Vitest. Le problème ne concerne…
Electron : divulgation des URL et titres des onglets aux extensions
Une extension chargée dans Electron pouvait obtenir les URL et titres des onglets via chrome.tabs.query() sans l’autorisation tabs ni des permissions d’hôte correspondantes. Le risque concerne notamment les applications qui chargent une ex…
Source : NVD — CVE-2026-113797
Electron : validation insuffisante des frames GPU lors de la capture
Les données de frame reçues du processus GPU pour webContents.beginFrameSubscription() n’étaient pas entièrement validées par le processus principal. Un attaquant ayant déjà obtenu l’exécution de code dans le processus GPU pouvait provoque…
Source : NVD — CVE-2026-114122
Electron macOS : validation insuffisante des frames GPU en rendu hors écran
Pour le rendu hors écran sur macOS, les données de frame reçues du processus GPU n’étaient pas entièrement validées par le processus principal. Un attaquant ayant déjà obtenu l’exécution de code dans le processus GPU pouvait provoquer une…
Source : NVD — CVE-2026-114124
Nuxt : URL javascript via NuxtLink lorsque les pages sont désactivées
Dans Nuxt, lorsque les pages sont désactivées, une URL fournie à `NuxtLink` pouvait contourner une vérification de protocole si elle était précédée d’un caractère de contrôle ASCII C0. Le navigateur pouvait alors interpréter le lien comme…
Source : NVD — CVE-2026-114130
Astro : injection de règles CSS via les propriétés des transitions de vue
Dans Astro, le générateur CSS côté serveur des transitions de vue ne confinait pas certaines propriétés d’animation textuelles à leurs déclarations. Des données contrôlées par un attaquant pouvaient injecter des règles CSS et déformer l’in…
Source : NVD — CVE-2026-114127
Vite : exécution de script inter-origines via un middleware personnalisé
Dans certaines configurations de serveur de développement Vite utilisant un middleware personnalisé, une URL contrôlée par un site malveillant peut provoquer l’exécution d’un script distant dans la page servie par le serveur. Le problème c…
ApostropheCMS : absence d’authentification sur la route cleanExport
La route `clean-export` du module `@apostrophecms/import-export` ne vérifie pas l’authentification ni l’autorisation avant d’appeler sa méthode de nettoyage. Un client non authentifié disposant du cookie CSRF standard peut invoquer cette r…
XSS dans les pages pré-rendues SvelteKit
SvelteKit présente une XSS dans les pages pré-rendues lorsque une valeur `cache-control` définie via `setHeaders` est insérée sans échappement dans une balise meta. Le défaut concerne les versions antérieures à 3.0.0 et nécessite qu’un act…
Source : NVD — CVE-2026-114061
Backend & données
204 alerte(s)PHP — exécution de code à distance possible lors d’une erreur de mémoire insuffisante
Une erreur de gestion des conditions de mémoire insuffisante dans PHP peut corrompre des données internes de requête. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une vulnérabilité propre au core ou à…
PHP — état interne périmé pouvant conduire à une exécution de code à distance
Un état interne de requête conservé après libération de mémoire peut être réutilisé lors du traitement d’une requête ultérieure par le même worker PHP. Pour une boutique PrestaShop, le risque concerne le runtime PHP du serveur, et non une…
CVE-2026-114108 — absence d’authentification sur l’interface FastAPI de HKUDS Vibe-Trading
CVE-2026-114108 concerne HKUDS Vibe-Trading, et non le paquet ou le projet FastAPI lui-même : une absence d’authentification sur son interface FastAPI peut permettre à des attaquants non authentifiés d’accéder à des fonctions sensibles. Le…
Source : NVD — CVE-2026-114108
vLLM : exécution de code via la révision du processeur multimodal
vLLM transmet une valeur fournie dans la requête à la sélection de révision du code de processeur Transformers lorsque trust_remote_code est activé. Un client pouvant joindre l’API et contrôler une révision dans le dépôt de modèle servi pe…
Source : NVD — CVE-2026-114053
Amazon SageMaker Python SDK : validation insuffisante du compartiment S3 par défaut
La fonction default_bucket() du SDK Python Amazon SageMaker ne vérifie pas suffisamment la propriété du compartiment S3 utilisé, ce qui peut permettre l’exécution de code dans l’environnement SageMaker et l’obtention d’identifiants IAM. Me…
Source : NVD — CVE-2026-112408
Pillow — écritures natives hors limites lors de changements de mode entre trames
Dans Pillow de 11.0.0 à avant 13.0.0, certains changements de mode entre trames peuvent conduire le décodeur à réutiliser une allocation native trop petite. Un fichier construit à cet effet peut provoquer des écritures hors limites et un p…
Source : CVE-2026-96639 — NVD
Pillow : injection d’arguments dans l’appel à Ghostscript lors du rendu EPS
Lors du rendu d’une image EPS, Pillow transmet le nom du fichier à Ghostscript sans neutraliser les noms interprétables comme options ou fichiers d’arguments. Un nom de fichier contrôlé par un attaquant peut donc provoquer une injection d’…
Source : GHSA-w889-685w-c8fh — Pillow: Argument Injection in Ghostscript call, potentially leading into RCE
CVE-2026-101679 — déni de service dans MySQL Client programs
Une vulnérabilité du composant Client programs de MySQL Server et MySQL Cluster peut permettre à un attaquant distant non authentifié de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées i…
Source : NVD — CVE-2026-101679
CVE-2026-101769 : déni de service et accès aux données dans MySQL Cluster
Une vulnérabilité de MySQL Cluster peut être exploitée à distance sans authentification pour provoquer un déni de service et permettre des modifications ou lectures non autorisées de certaines données. Les versions concernées indiquées son…
Source : NVD — CVE-2026-101769
CVE-2026-101770 : prise de contrôle via les programmes client MySQL
Une vulnérabilité des programmes client peut permettre à un attaquant non authentifié disposant d’un accès réseau de prendre le contrôle de MySQL Server ou de MySQL Cluster. Les versions affectées sont indiquées ci-dessous ; mettez à jour…
Source : NVD — CVE-2026-101770
CVE-2026-101771 : prise de contrôle via les programmes client MySQL
Une vulnérabilité des programmes client peut permettre à un attaquant non authentifié disposant d’un accès réseau de prendre le contrôle de MySQL Server ou de MySQL Cluster. Les versions affectées sont indiquées ci-dessous ; mettez à jour…
Source : NVD — CVE-2026-101771
CVE-2026-101772 : prise de contrôle via les programmes client MySQL
Une vulnérabilité des programmes client peut permettre à un attaquant non authentifié disposant d’un accès réseau de prendre le contrôle de MySQL Server ou de MySQL Cluster. Les versions affectées sont indiquées ci-dessous ; mettez à jour…
Source : NVD — CVE-2026-101772
CVE-2026-101773 : déni de service via Group Replication
Une vulnérabilité du plug-in Group Replication peut être exploitée par un attaquant non authentifié ayant accès au segment de communication physique du système. Elle peut provoquer un déni de service et permettre des modifications non auto…
Source : NVD — CVE-2026-101773
CVE-2026-101775 : atteinte à l’intégrité et disponibilité via la réplication
Une vulnérabilité de la réplication peut permettre à un attaquant non authentifié disposant d’un accès réseau de modifier ou supprimer des données critiques, voire toutes les données accessibles, et de provoquer un déni de service. Les ver…
Source : NVD — CVE-2026-101775
CVE-2026-101781 : prise de contrôle via Group Replication GCS
Une vulnérabilité du composant Group Replication GCS peut permettre à un attaquant non authentifié ayant accès au segment de communication physique concerné de prendre le contrôle de MySQL Server ou MySQL Cluster. Les versions affectées in…
Source : CVE-2026-101781 — NVD
CVE-2026-101783 : compromission de MySQL Router
Une vulnérabilité de MySQL Router permet à un attaquant non authentifié disposant d’un accès réseau HTTPS de compromettre le routeur, avec des difficultés d’exploitation élevées. La seule version affectée indiquée est MySQL Router 26.7.0 ;…
Source : CVE-2026-101783 — NVD
CVE-2026-101785 : atteinte à la confidentialité, à l’intégrité et à la disponibilité via Server: JSON
Une vulnérabilité du composant Server: JSON permet à un attaquant disposant de faibles privilèges et d’un accès réseau d’altérer des données, de lire une partie des données accessibles et de provoquer un déni de service complet. Les versio…
Source : CVE-2026-101785 — NVD
CVE-2026-101786 : prise de contrôle via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de privilèges élevés et d’un accès réseau de prendre le contrôle de MySQL Server ou MySQL Cluster. Les seules versions affectées indiquées sont 26.7.0–26.7.1…
Source : CVE-2026-101786 — NVD
CVE-2026-101796 — Prise de contrôle via Replication
La vulnérabilité du composant Replication peut permettre la prise de contrôle de MySQL Server ou MySQL Cluster par un attaquant réseau non authentifié, mais l’exploitation est difficile et nécessite l’interaction d’une autre personne. Les…
Source : NVD — CVE-2026-101796
CVE-2026-101797 — Vulnérabilité du client mysqldump
La vulnérabilité du client mysqldump peut permettre à un attaquant réseau non authentifié de compromettre MySQL Server ou MySQL Cluster; l’exploitation est difficile et requiert l’interaction d’une autre personne. Les versions indiquées co…
Source : NVD — CVE-2026-101797
CVE-2026-101810 — déni de service dans MySQL Router
Une vulnérabilité de MySQL Router affecte la version 26.7.0 et permet à un attaquant distant non authentifié de provoquer un blocage ou des plantages répétés. La fiche NVD a été publiée pendant la période de veille ; aucun correctif ni con…
Source : NVD — CVE-2026-101810
MySQL Connector/Python : accès non autorisé à des données via le réseau
Oracle signale une vulnérabilité du composant Connector/Python, exploitable par un attaquant non authentifié disposant d’un accès réseau via plusieurs protocoles. Le descriptif NVD fourni associe la version prise en charge 26.7.0 à un risq…
Source : NVD — CVE-2026-83404
MindsDB : exécution de code via la classe OpenBBtable
Une validation insuffisante d’une chaîne fournie par l’utilisateur dans la classe OpenBBtable peut permettre à un attaquant authentifié d’exécuter du code à distance sur MindsDB. Le code s’exécute avec les privilèges du compte de service ;…
Source : NVD — CVE-2026-92207
CVE-2026-91415 — Vulnérabilité du composant 2D dans Java SE et GraalVM
Une vulnérabilité du composant 2D peut permettre à un attaquant réseau non authentifié de provoquer un déni de service complet et d’accéder à certaines données en lecture ou en écriture. La difficulté d’exploitation est élevée; les version…
Source : NVD — CVE-2026-91415
Oracle Java SE : vulnérabilité du plug-in Java (CVE-2026-91484)
Une vulnérabilité du plug-in Java d’Oracle Java SE peut permettre à un utilisateur disposant de faibles privilèges sur l’infrastructure d’altérer des données ou d’accéder à des données sensibles. La fiche indique que seules les versions 8u…
Source : NVD — CVE-2026-91484
Moov signedxml : déni de service par allocations excessives lors de la canonicalisation XML
La canonicalisation XML exclusive de `github.com/moov-io/signedxml` pouvait consommer une quantité excessive de mémoire et de CPU sur un XML spécialement construit, avant la vérification de la signature. Dans les services SAML ou WS-Federa…
OpenChoreo : contournement d’autorisation lors de la mise à jour des WorkflowRun
OpenChoreo vérifiait l’autorisation de mise à jour d’un `WorkflowRun` à partir des étiquettes de projet et de composant fournies dans la requête, alors que l’objet modifié était identifié par l’URL. Un utilisateur authentifié autorisé à me…
Exécution de code possible dans MongoDB Compass via une vue spécialement construite
MongoDB Compass échappait incorrectement certaines valeurs BSON lors de la conversion du pipeline d’agrégation d’une vue enregistrée en source modifiable. L’ouverture en édition d’une vue spécialement construite pouvait entraîner l’exécuti…
Source : NVD — CVE-2026-113870
virtualenv : interprétation de valeurs d’invite dans zsh
Dans zsh avec PROMPT_SUBST activé, une valeur contrôlée de nom ou de chemin d’environnement peut être interprétée lors de l’affichage de l’invite et y exécuter des commandes. Les versions antérieures à 21.14.4 sont concernées par ce mécani…
Source : NVD — CVE-2026-113726
virtualenv : injection de commande dans le script d’activation fish
Dans les versions antérieures à 21.14.2, l’activation fish utilise un échappement POSIX incompatible avec les règles d’interprétation de fish. Une valeur contrôlée contenant une séquence appropriée peut fermer le littéral généré et provoqu…
Source : NVD — CVE-2026-113732
virtualenv — injection de commandes dans les scripts d’activation générés
Les scripts d’activation générés par virtualenv peuvent exécuter du code lorsque le chemin de l’environnement ou le prompt contient le nom d’un espace réservé du modèle. Le problème touche les versions 20.26.6 à 21.14.1 et est corrigé dans…
GitPython : dépôt de hook exécutable via un chemin de sous-module contrôlé
GitPython peut cloner un sous-module contrôlé par un attaquant dans un chemin sensible tel que .git/hooks avant de rejeter le chemin, permettant de déposer un hook exécutable. Les versions antérieures à 3.2.1 sont concernées ; mettez à niv…
Source : NVD — CVE-2026-114145
Pillow — contournement du contrôle de bombes de décompression dans les images SPIDER
Pillow avant 13.0.0 ne relance pas le contrôle de bombes de décompression lorsqu’un accès à une image SPIDER ultérieure remplace les dimensions de l’image. Un fichier spécialement construit peut ainsi provoquer une consommation mémoire trè…
Source : CVE-2026-96637 — NVD
Pillow — consommation excessive de CPU lors de l’ajout de pages à un PDF
Dans Pillow de 5.1.0 à avant 13.0.0, l’ajout de pages à certains PDF peut développer de manière exponentielle un graphe /Pages qui contient des références répétées. Le traitement peut alors consommer un temps processeur disproportionné et…
Source : CVE-2026-96640 — NVD
Pillow — boucle infinie lors de la recherche d’un membre TAR
Avant Pillow 13.0.0, un membre TAR dont la taille octale est négative peut faire revenir TarIO au même en-tête lors de sa recherche. Si le nom demandé ne correspond pas, l’analyse boucle indéfiniment et monopolise un cœur de processeur.
Source : CVE-2026-96642 — NVD
Pillow — traitement quadratique des métadonnées EXIF de PNG
Dans Pillow de 11.0.0 à avant 13.0.0, des en-têtes EXIF répétés dans un bloc eXIf PNG peuvent déclencher des copies successives de taille décroissante. Le travail quadratique qui en résulte peut ralentir fortement le traitement et provoque…
Source : CVE-2026-96643 — NVD
Pillow sur Windows — lecture hors limites lors du rendu WMF/EMF
Avant Pillow 13.0.0 sous Windows, des dimensions WMF ou EMF non vérifiées peuvent faire allouer un tampon plus petit que les données copiées par le rendu natif. Un fichier spécialement construit peut provoquer une lecture hors limites, une…
Source : CVE-2026-96644 — NVD
Pillow — corruption mémoire pendant l’encodage JPEG avec profil ICC et commentaire
Dans Pillow de 9.4.0 à avant 13.0.0, un profil ICC de taille précise peut épuiser le tampon de l’encodeur JPEG avant l’écriture d’un commentaire. Le défaut peut provoquer une corruption mémoire sur le tas, un plantage et, selon l’environne…
Source : CVE-2026-96778 — NVD
Pillow : double libération de mémoire dans Image.transform()
Dans Pillow, une allocation échouée dans `ImagingScaleAffine()` peut libérer deux fois la mémoire de l’image produite par `Image.transform()`. Le scénario peut faire planter le processus, notamment lorsque la taille de sortie est contrôlab…
Pillow : libération invalide d’un glyphe lors du rendu de texte avec contour
Pillow peut effectuer une libération invalide ou double d’un objet glyph lorsque le chargement d’un glyphe échoue pendant le rendu de texte avec un contour. Une police malformée fournie par un utilisateur peut déclencher le chemin d’erreur…
Source : GHSA-j4m9-6w36-pw47 — Pillow: Invalid free in FreeType glyph rendering when a stroker is active
Pillow : déréférencement de pointeur nul dans Image.merge()
`Image.merge()` ne valide pas le premier canal et peut déréférencer un pointeur nul lorsque celui-ci est une image de mode `I` ou `F`. Un fichier IPTC forgé peut conduire à ce chemin et provoquer l’arrêt brutal du processus; Pillow de 12.0…
Source : GHSA-cp9v-662q-vvx9 — Pillow: NULL pointer dereference in Image.merge via an unvalidated band 0
Pillow : plantage des filtres de rang sur des images vides
Les filtres médian, minimum, maximum et de rang de Pillow peuvent provoquer un déréférencement de pointeur nul lorsqu’ils sont appliqués à une image de largeur ou de hauteur nulle. Des images vides peuvent provenir de recadrages ou de fich…
Source : GHSA-27h8-gf7j-v5hc — Pillow: NULL dereference in ImagingExpand via rank filters on zero-size images
Pillow : boucle infinie lors du calcul des trames d’images MIC
Avec `olefile` installé, Pillow peut boucler indéfiniment lors du calcul de `n_frames` d’un fichier MIC contenant un TIFF intégré avec au moins trois répertoires d’images. L’ouverture d’un tel fichier suivie de la lecture de `n_frames` peu…
Source : GHSA-22hg-r758-rrw9 — Pillow: Infinite loop in MIC n_frames when the embedded TIFF
Pillow : déni de service quadratique lors de la sauvegarde PDF multipage
La réservation répétée d’identifiants d’objets dans le générateur PDF de Pillow entraîne un coût CPU quadratique lors de la conversion d’images animées en PDF multipage. Les versions à partir de 5.1.0 et antérieures à 13.0.0 sont concernée…
Source : GHSA-jg86-v3jv-hrpm — Pillow
Pillow : allocation excessive lors de l’ouverture de certains APNG
Lors de l’ouverture d’un APNG, une option de disposition peut pousser Pillow à allouer le canevas entier avant l’exécution de son contrôle contre les images démesurées. Les versions à partir de 8.1.0 et antérieures à 13.0.0 sont concernées…
Source : GHSA-5xm2-6676-qcp9 — Pillow
Pillow : boucle infinie dans le traitement de l’arbre de pages PDF
Un cycle dans la chaîne `/Parent` de l’arbre de pages d’un PDF peut bloquer indéfiniment Pillow lorsqu’une image est ajoutée à ce PDF. Les versions à partir de 5.1.0 et antérieures à 13.0.0 sont concernées sur le chemin `append=True` ; la…
Source : GHSA-f2g6-542v-9j58 — Pillow
Pillow : divulgation mémoire ou plantage via des balises TIFF forgées
Le transfert de certaines balises TIFF vers libtiff peut entraîner une lecture de mémoire non initialisée ou une lecture à une adresse contrôlée, puis divulguer des données ou faire planter le processus lors de la réécriture d’images. Les…
Source : GHSA-xvh5-g6gv-559v — Pillow
virtualenv : injection shell dans les lanceurs POSIX générés
Les lanceurs POSIX générés par virtualenv peuvent interpréter comme syntaxe shell des métacaractères présents dans le chemin de destination de l’environnement. Les versions antérieures à 21.14.9 sont concernées ; mettre à jour vers 21.14.9…
Source : GHSA-c978-59m8-c77v — virtualenv
Chi : validation insuffisante de l’adresse du proxy de confiance dans ClientIPFromXFF
Le middleware `ClientIPFromXFF` de Chi peut faire confiance à une adresse de proxy présente dans `X-Forwarded-For` sans vérifier que le pair TCP direct appartient au CIDR de confiance configuré. Un client pouvant joindre directement le ser…
Source : NVD — CVE-2026-114437
MySQL Server et Cluster : déni de service via l’optimiseur
CVE-2026-101607 concerne l’optimiseur du serveur MySQL et de MySQL Cluster ; un attaquant réseau disposant de privilèges élevés peut provoquer un déni de service. Les versions affectées indiquées comprennent MySQL Server 8.4.0–8.4.12, 9.7.…
Source : NVD — CVE-2026-101607
MySQL Server et Cluster : déni de service via l’optimiseur
CVE-2026-101608 touche l’optimiseur de MySQL Server et MySQL Cluster et permet à un attaquant réseau ayant de faibles privilèges de provoquer un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–…
Source : NVD — CVE-2026-101608
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101609 concerne InnoDB dans MySQL Server et MySQL Cluster et peut conduire à un déni de service à la suite d’une attaque réseau difficile exigeant des privilèges élevés. Les versions affectées indiquées sont MySQL Server 8.4.0–8.4…
Source : NVD — CVE-2026-101609
MySQL Server et Cluster : déni de service via l’optimiseur
CVE-2026-101610 affecte l’optimiseur de MySQL Server et MySQL Cluster ; un attaquant réseau disposant de privilèges élevés peut provoquer un déni de service. Les branches concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.…
Source : NVD — CVE-2026-101610
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101611 touche InnoDB dans MySQL Server et MySQL Cluster ; son exploitation réseau est difficile et nécessite des privilèges élevés, mais peut provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.…
Source : NVD — CVE-2026-101611
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101612 concerne InnoDB dans MySQL Server et MySQL Cluster et peut causer un déni de service après une attaque locale difficile nécessitant des privilèges élevés et l’intervention d’un autre utilisateur. Les versions affectées sont…
Source : NVD — CVE-2026-101612
MySQL Server et Cluster : déni de service via DDL
CVE-2026-101613 affecte le composant DDL du serveur MySQL et de MySQL Cluster ; un attaquant réseau disposant de privilèges élevés peut provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26…
Source : NVD — CVE-2026-101613
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101614 touche InnoDB dans MySQL Server et MySQL Cluster ; l’exploitation réseau, facilitée mais soumise à des privilèges élevés, peut entraîner un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3…
Source : NVD — CVE-2026-101614
MySQL Server et Cluster : déni de service via InnoDB
CVE-2026-101615 affecte InnoDB dans MySQL Server et MySQL Cluster et permet à un attaquant local fortement privilégié de provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ai…
Source : NVD — CVE-2026-101615
CVE-2026-101616 : déni de service dans MySQL Server et MySQL Cluster
Une vulnérabilité du composant Server: JSON de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de faibles privilèges de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.…
Source : NVD — CVE-2026-101616
CVE-2026-101617 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7…
Source : NVD — CVE-2026-101617
CVE-2026-101618 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7…
Source : NVD — CVE-2026-101618
CVE-2026-101619 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7…
Source : NVD — CVE-2026-101619
CVE-2026-101620 : déni de service dans l’Optimizer
Une vulnérabilité du composant Server: Optimizer de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de faibles privilèges de provoquer un déni de service. Seules les versions 9.7.0–9.7.3 sont indiquées comme affectées…
Source : NVD — CVE-2026-101620
CVE-2026-101621 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7…
Source : NVD — CVE-2026-101621
CVE-2026-101622 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7…
Source : NVD — CVE-2026-101622
CVE-2026-101623 : déni de service dans l’Optimizer
Une vulnérabilité du composant Server: Optimizer de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–…
Source : NVD — CVE-2026-101623
CVE-2026-101624 : déni de service dans InnoDB
Une vulnérabilité du composant InnoDB de MySQL Server et MySQL Cluster permet à un attaquant distant disposant de privilèges élevés de provoquer un déni de service. Les versions indiquées comme affectées sont MySQL Server 8.4.0–8.4.12, 9.7…
Source : NVD — CVE-2026-101624
CVE-2026-101625 : divulgation limitée via MySQL Connector/Net
Une vulnérabilité de MySQL Connector/Net permet à un attaquant distant non authentifié d’obtenir un accès en lecture non autorisé à une partie des données accessibles au connecteur, avec interaction humaine requise. La seule version indiqu…
Source : NVD — CVE-2026-101625
CVE-2026-101626 : accès non autorisé à des données via Connector/Net
Une vulnérabilité de Connector/Net peut permettre à un attaquant distant non authentifié d’accéder à des données sensibles. L’exploitation est difficile et nécessite un accès réseau via plusieurs protocoles.
Source : NVD — CVE-2026-101626
CVE-2026-101627 : déni de service dans InnoDB
Une vulnérabilité dans InnoDB permet à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service complet sur MySQL Server ou MySQL Cluster. L’exploitation est difficile et peut entraîner un blocage ou des plantages…
Source : NVD — CVE-2026-101627
CVE-2026-101628 : déni de service dans le NDB Operator
Une vulnérabilité du NDB Operator permet à un attaquant réseau disposant de faibles privilèges via HTTP de provoquer un déni de service complet de MySQL Cluster. La fiche concerne la version 9.7.3 et qualifie l’exploitation de facile.
Source : NVD — CVE-2026-101628
CVE-2026-101629 : déni de service dans InnoDB
Une vulnérabilité d’InnoDB permet à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service complet sur MySQL Server ou MySQL Cluster. La fiche indique une exploitation facile et des plantages répétitifs possible…
Source : NVD — CVE-2026-101629
CVE-2026-101631 : accès et modification de données via MySQL Router
Une vulnérabilité de MySQL Router peut permettre à un attaquant distant non authentifié d’accéder à des données ou de les modifier, sous réserve d’une interaction humaine. La version concernée indiquée est 26.7.0 et l’exploitation est diff…
Source : NVD — CVE-2026-101631
CVE-2026-101632 : lecture de données via MySQL Router
Une vulnérabilité de MySQL Router permet à un attaquant distant non authentifié de lire une partie des données accessibles, si une personne interagit. La version concernée indiquée est 26.7.0.
Source : NVD — CVE-2026-101632
CVE-2026-101633 : lecture de données via MySQL Router
Une vulnérabilité de MySQL Router permet à un attaquant disposant de faibles privilèges et d’un accès réseau HTTPS de lire une partie des données accessibles. La version concernée indiquée est 26.7.0.
Source : NVD — CVE-2026-101633
CVE-2026-101637 : altération de données et déni de service dans InnoDB
Une vulnérabilité d’InnoDB permet à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service et de modifier certaines données accessibles. Les versions concernées incluent MySQL Server et MySQL Cluster des branche…
Source : NVD — CVE-2026-101637
CVE-2026-101677 : modification de données via Connector/J
Une vulnérabilité de Connector/J permet à un attaquant distant non authentifié, après interaction humaine, de modifier certaines données accessibles. La version concernée indiquée est 26.7.0.
Source : NVD — CVE-2026-101677
CVE-2026-101678 : déni de service partiel dans Connector/J
Une vulnérabilité de Connector/J peut permettre à un attaquant distant non authentifié, après interaction humaine, de provoquer un déni de service partiel. La version concernée indiquée est 26.7.0.
Source : NVD — CVE-2026-101678
CVE-2026-101720 — modification non autorisée de données MySQL
Une vulnérabilité de Server: Connection Handling dans MySQL Server et MySQL Cluster peut permettre à un attaquant distant non authentifié d’effectuer des mises à jour, insertions ou suppressions non autorisées sur certaines données accessi…
Source : NVD — CVE-2026-101720
CVE-2026-101721 — déni de service dans MySQL Components Services
Une vulnérabilité de Server: Components Services dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Ser…
Source : NVD — CVE-2026-101721
CVE-2026-101722 — lecture non autorisée de données MySQL
Une vulnérabilité de Server: Connection Handling dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de lire une partie des données accessibles. Les versions affectées indiquées sont 9.7.…
Source : NVD — CVE-2026-101722
CVE-2026-101724 — déni de service dans MySQL InnoDB
Une vulnérabilité d’InnoDB dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.…
Source : NVD — CVE-2026-101724
CVE-2026-101725 — déni de service via la C API MySQL
Une vulnérabilité de la C API de MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.…
Source : NVD — CVE-2026-101725
CVE-2026-101726 — déni de service via la C API MySQL
Une vulnérabilité de la C API de MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.…
Source : NVD — CVE-2026-101726
CVE-2026-101727 — déni de service dans MySQL Replication
Une vulnérabilité de Server: Replication dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.…
Source : NVD — CVE-2026-101727
CVE-2026-101728 — déni de service dans MySQL Pluggable Auth
Une vulnérabilité de Server: Pluggable Auth dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server…
Source : NVD — CVE-2026-101728
CVE-2026-101729 — déni de service dans MySQL Replication
Une vulnérabilité de Server: Replication dans MySQL Server et MySQL Cluster peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un blocage ou des plantages répétés. Les versions affectées sont MySQL Server 8.4.…
Source : NVD — CVE-2026-101729
CVE-2026-101730 — déni de service dans l’optimiseur MySQL
Une vulnérabilité de l’optimiseur de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées…
Source : NVD — CVE-2026-101730
CVE-2026-101731 — déni de service dans l’optimiseur MySQL
Une vulnérabilité de l’optimiseur de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées…
Source : NVD — CVE-2026-101731
CVE-2026-101732 — déni de service dans l’optimiseur MySQL
Une vulnérabilité de l’optimiseur de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées…
Source : NVD — CVE-2026-101732
CVE-2026-101733 — déni de service dans le composant JSON de MySQL
Une vulnérabilité du composant JSON de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affect…
Source : NVD — CVE-2026-101733
CVE-2026-101743 — déni de service dans GIS de MySQL
Une vulnérabilité du composant GIS de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Elle concerne les ve…
Source : NVD — CVE-2026-101743
CVE-2026-101747 — déni de service dans InnoDB
Une vulnérabilité d’InnoDB dans MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectées son…
Source : NVD — CVE-2026-101747
CVE-2026-101748 — déni de service dans l’Audit de sécurité MySQL
Une vulnérabilité du composant Audit de sécurité de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de faibles privilèges de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les ve…
Source : NVD — CVE-2026-101748
CVE-2026-101749 — déni de service dans le chiffrement de sécurité MySQL
Une vulnérabilité du composant de chiffrement de sécurité de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service…
Source : NVD — CVE-2026-101749
CVE-2026-101750 — déni de service dans le plug-in Clone MySQL
Une vulnérabilité du plug-in Clone de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les versions affectée…
Source : NVD — CVE-2026-101750
CVE-2026-101751 — déni de service dans Group Replication GCS
Une vulnérabilité du composant Group Replication GCS de MySQL Server et MySQL Cluster peut permettre à un attaquant distant disposant de privilèges élevés de provoquer un blocage ou des plantages répétés, entraînant un déni de service. Les…
Source : NVD — CVE-2026-101751
CVE-2026-101774 : déni de service lié à l’authentification enfichable
Une vulnérabilité du mécanisme d’authentification enfichable peut permettre à un attaquant non authentifié disposant d’un accès réseau de provoquer un déni de service et de modifier certaines données accessibles. Les versions affectées son…
Source : NVD — CVE-2026-101774
CVE-2026-101776 : déni de service via Group Replication
Une vulnérabilité du plug-in Group Replication permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un déni de service. Les versions affectées sont indiquées ci-dessous ; mettez à jour vers une version cor…
Source : NVD — CVE-2026-101776
CVE-2026-101777 : déni de service et lecture de données via le chiffrement
Une vulnérabilité du chiffrement peut être exploitée par un attaquant disposant de privilèges élevés et d’un accès réseau pour provoquer un déni de service et lire une partie des données accessibles. Les versions affectées sont indiquées c…
Source : NVD — CVE-2026-101777
CVE-2026-101778 : déni de service dans les services de composants MySQL
Une vulnérabilité des services de composants peut être exploitée par un utilisateur disposant de faibles privilèges et d’un accès réseau pour provoquer un déni de service. Les versions affectées sont indiquées ci-dessous ; mettez à jour ve…
Source : NVD — CVE-2026-101778
CVE-2026-101780 : déni de service via Server: X Plugin
Une vulnérabilité du composant Server: X Plugin permet à un attaquant disposant de faibles privilèges et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées…
Source : CVE-2026-101780 — NVD
CVE-2026-101784 : déni de service via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées…
Source : CVE-2026-101784 — NVD
CVE-2026-101787 : déni de service via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées…
Source : CVE-2026-101787 — NVD
CVE-2026-101788 : déni de service via Components Services
Une vulnérabilité du composant Server: Components Services permet à un attaquant non authentifié disposant d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquée…
Source : CVE-2026-101788 — NVD
CVE-2026-101789 : déni de service via Server: Optimizer
Une vulnérabilité du composant Server: Optimizer permet à un attaquant disposant de faibles privilèges et d’un accès réseau de provoquer un blocage ou des plantages répétés de MySQL Server ou MySQL Cluster. Les versions affectées indiquées…
Source : CVE-2026-101789 — NVD
CVE-2026-101794 — Déni de service dans le composant XML de MySQL
La vulnérabilité du composant XML de MySQL Server et MySQL Cluster peut permettre à un attaquant disposant de faibles privilèges et d’un accès réseau de provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12,…
Source : NVD — CVE-2026-101794
CVE-2026-101795 — Prise de contrôle via Components Services
La vulnérabilité du composant Components Services peut permettre à un attaquant hautement privilégié ayant une connexion à l’infrastructure où le produit s’exécute de prendre le contrôle de MySQL Server ou MySQL Cluster. Les versions conce…
Source : NVD — CVE-2026-101795
CVE-2026-101798 — Déni de service dans Optimizer
La vulnérabilité du composant Optimizer peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service sur MySQL Server ou MySQL Cluster. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.…
Source : NVD — CVE-2026-101798
CVE-2026-101799 — Déni de service dans Group Replication GCS
La vulnérabilité du composant Group Replication GCS peut permettre à un attaquant non authentifié ayant accès au segment de communication physique relié au matériel de provoquer un déni de service. Les versions affectées sont MySQL Server…
Source : NVD — CVE-2026-101799
CVE-2026-101800 — Atteinte à la confidentialité et à l’intégrité des données
La vulnérabilité des privilèges de sécurité de MySQL peut permettre à un attaquant réseau disposant de faibles privilèges d’accéder à des données ou de les créer, supprimer ou modifier sans autorisation. Les versions concernées sont MySQL…
Source : NVD — CVE-2026-101800
CVE-2026-101801 — Déni de service dans Optimizer
La vulnérabilité du composant Optimizer peut permettre à un attaquant réseau disposant de privilèges élevés de provoquer un déni de service. Les versions affectées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.3 et 26.7.0–26.7.1, ainsi que MyS…
Source : NVD — CVE-2026-101801
CVE-2026-101802 — Déni de service dans Parser
La vulnérabilité du composant Parser peut permettre à un attaquant réseau disposant de faibles privilèges de provoquer un déni de service sur MySQL Server ou MySQL Cluster. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7.0–9.7.…
Source : NVD — CVE-2026-101802
CVE-2026-101803 — Atteinte à l’intégrité et déni de service via XML
La vulnérabilité du composant XML peut permettre à un attaquant réseau disposant de privilèges élevés de modifier des données sans autorisation et de provoquer un déni de service. Les versions concernées sont MySQL Server 8.4.0–8.4.12, 9.7…
Source : NVD — CVE-2026-101803
CVE-2026-101806 — accès et modification de données dans MySQL Connector/ODBC
Une vulnérabilité de Connector/ODBC affecte la version 26.7.1 et peut permettre à un attaquant distant disposant de faibles privilèges d’accéder à des données ou de les modifier. La fiche NVD a été publiée pendant la période de veille ; le…
Source : NVD — CVE-2026-101806
WarehousePG — autorisation manquante dans gp_log_backend_memory_contexts()
WarehousePG 7.2.1 à 7.6.0 présente une vulnérabilité d’autorisation manquante dans gp_log_backend_memory_contexts(), qu’un rôle authentifié peut appeler sans autorisation explicite. Cela peut provoquer l’écriture de données de contexte mém…
Source : NVD — CVE-2026-104947
Debian publie DSA-6575-1 pour CVE-2026-15176 dans nginx
Debian a publié le 21 octobre un avis de sécurité concernant un dépassement de tampon lorsque nginx associe `alias` au traitement d’une URI réécrite. L’impact dépend de la configuration ; appliquer la mise à jour de sécurité Debian ou pass…
Source : Debian DSA-6575-1
Debian publie DSA-6575-1 pour CVE-2026-93479 dans nginx
L’avis Debian du 21 octobre signale un dépassement de tampon lors de l’évaluation d’expressions de chaînes dans les modules HTTP et stream. Mettre à jour le paquet nginx Debian concerné ou utiliser une version amont corrigée.
Source : Debian DSA-6575-1
Debian publie DSA-6575-1 pour CVE-2026-95101 dans nginx
Debian a inclus cette vulnérabilité dans son avis nginx publié le 21 octobre : des trames HTTP/3 inconnues fragmentées peuvent être interprétées comme des données de corps de requête. En cas de proxy, cela peut permettre l’injection de req…
Source : Debian DSA-6575-1
Debian publie DSA-6575-1 pour CVE-2026-97205 dans nginx
L’avis Debian publié le 21 octobre décrit un use-after-free causé par le débordement d’un compteur d’opérations asynchrones en attente. Cela peut provoquer une corruption mémoire ou un déni de service ; appliquer la mise à jour de sécurité…
Source : Debian DSA-6575-1
Debian publie DSA-6575-1 pour CVE-2026-97629 dans nginx
Debian a signalé le 21 octobre un défaut de synchronisation des clés de tickets de session TLS entre processus workers, pouvant laisser un worker utiliser des clés non initialisées. Selon l’avis, cela pourrait permettre de forger des sessi…
Source : Debian DSA-6575-1
Vyper : décalage d’offsets pouvant altérer des constantes compilées
Vyper mélange des offsets de lignes comptés en caractères avec des positions col_offset exprimées en octets UTF-8, ce qui peut décaler les tranches de source utilisées pour reconstruire des littéraux numériques. Du code source contenant ce…
Source : NVD — CVE-2026-114114
Vyper : décalage de lignes lors de l’analyse de caractères particuliers
La table des lignes de source de Vyper est construite avec str.splitlines(), qui traite certains caractères comme des séparateurs de ligne contrairement au parseur Python. Des caractères insérés dans des commentaires, chaînes ou espaces pe…
Source : NVD — CVE-2026-114116
pypdf : consommation excessive de ressources lors de la lecture des champs de formulaire
La récupération des champs de formulaire d’un PDF spécialement conçu peut provoquer une consommation mémoire importante ou des temps de traitement excessifs dans pypdf. La version 6.21.0 corrige ce problème.
Source : NVD — CVE-2026-113789
pypdf : consommation mémoire excessive lors de l’analyse de PDF
Des PDF conçus spécialement peuvent provoquer une forte consommation de mémoire lors de leur analyse par pypdf. Les versions antérieures à 6.21.0 sont concernées ; mettez à niveau vers 6.21.0 ou une version ultérieure.
Source : NVD — CVE-2026-113790
pypdf : consommation mémoire excessive dans un flux de contenu PDF
Un flux de contenu PDF comportant de nombreuses petites opérations peut entraîner une consommation importante de mémoire lors de son analyse par pypdf. Les versions antérieures à 6.21.0 sont concernées ; mettez à niveau vers 6.21.0 ou une…
Source : NVD — CVE-2026-113791
pypdf : blocage lors de la recherche dans un plan de navigation cyclique
La recherche d’un élément dans un plan de navigation PDF cyclique spécialement conçu peut provoquer une boucle infinie et bloquer le processus. Les versions antérieures à 6.20.1 sont concernées ; mettez à niveau vers 6.20.1 ou une version…
Source : NVD — CVE-2026-113792
pypdf : blocage lors de la suppression d’un objet dans un arbre cyclique
La suppression d’un objet dans un arbre PDF cyclique spécialement conçu peut provoquer une boucle infinie et bloquer le processus. Les versions antérieures à 6.20.1 sont concernées ; mettez à niveau vers 6.20.1 ou une version ultérieure.
Source : NVD — CVE-2026-113793
pypdf : boucle infinie à la lecture d’un PDF incomplet
Un PDF incomplet se terminant au milieu d’une table standard de références croisées peut faire entrer pypdf dans une boucle infinie. Les versions antérieures à 6.20.0 sont concernées ; mettez à niveau vers 6.20.0 ou une version ultérieure.
Source : NVD — CVE-2026-113794
pypdf : consommation mémoire excessive lors du traitement de flux filtrés
L’accès à certains flux PDF spécialement conçus peut entraîner une consommation excessive de mémoire dans pypdf. Les versions antérieures à 6.20.0 sont concernées ; mettez à niveau vers 6.20.0 ou une version ultérieure.
Source : NVD — CVE-2026-113795
Pillow : contrôle de décompression insuffisant pour certaines trames MPO et DCX
Dans Pillow, le parcours de certaines images MPO ou DCX à plusieurs trames peut décoder une trame dépassant la limite de taille sans refaire le contrôle de décompression. Les versions antérieures à 13.0.0 sont concernées ; mettez à niveau…
Source : NVD — CVE-2026-96636
Pillow — croissance excessive de mémoire lors du décodage BMP RLE
Dans Pillow de 9.1.0 à avant 13.0.0, le décodeur BMP RLE peut ajouter des données au-delà de la longueur restante prévue. Un fichier BMP construit à cet effet peut faire croître fortement la mémoire utilisée et provoquer un déni de service.
Source : CVE-2026-96638 — NVD
Pillow — débordement d’entier signé dans le calcul de largeur du texte
Avant Pillow 13.0.0, le calcul natif de largeur du texte ne contrôle pas le débordement signé lorsque les avances de glyphes sont négatives. Des données de police construites à cet effet peuvent fausser le résultat de largeur et perturber…
Source : CVE-2026-96641 — NVD
Pillow : lecture hors limites dans les décodeurs P;2L et P;4L
Les décodeurs Pillow des modes `P;2L` et `P;4L` peuvent lire de 1 à 3 octets au-delà du tampon fourni pour certaines dimensions. Le défaut résulte d’un calcul de taille de ligne qui ne tient pas compte du remplissage séparé de chaque plan;…
Pillow : déni de service par concaténation quadratique des commentaires GIF
Pillow concatène les commentaires GIF par ajouts répétés à des objets `bytes` immuables, ce qui entraîne un coût quadratique à l’ouverture. Un GIF construit avec de nombreuses extensions de commentaire peut ainsi monopoliser le processeur;…
Source : GHSA-74r2-7ff9-mjj2 — Pillow: Quadratic GIF comment concatenation allows DoS in Image.open()
Pillow : fuite de mémoire non initialisée avec une palette vide
Pillow peut divulguer des octets non initialisés de la pile lors de `Image.quantize()` avec une image de palette vide contrôlée par l’utilisateur. Les valeurs divulguées sont copiées dans les pixels du résultat; les versions de Pillow depu…
Source : GHSA-rfgq-q3w2-pmv2 — Pillow: Image.quantize() with empty palette leaks uninitialized stack memory
Pillow : déni de service par ReDoS dans le lecteur XBM
Pillow présente une vulnérabilité de déni de service par épuisement du processeur dans le traitement XBM : un fichier de 512 octets spécialement formé peut ralentir `Image.open()` pendant plusieurs minutes. Les versions jusqu’à 12.3.0 sont…
Source : GHSA-xgh8-jp6q-p5x8 — Pillow
Pillow : récursion sans limite dans l’analyse PDF en mode ajout
Le garde-fou de profondeur récursive de `PdfParser.get_value()` est inopérant, ce qui permet à un PDF spécialement construit de provoquer une `RecursionError` non interceptée. Le chemin concerné est l’ajout d’une image à un PDF existant av…
Source : GHSA-254f-3936-288h — Pillow
Pillow : use-after-free dans l’encodage TIFF en mémoire
Un use-after-free dans l’encodeur TIFF de Pillow survient lorsque l’écriture échoue avec certaines métadonnées, puis que le nettoyage de libtiff réutilise le tampon déjà libéré. Les versions 11.3.0 à 12.3.0 sont concernées ; mettre à jour…
Source : GHSA-4rr5-89j8-mwwm — Pillow
virtualenv : modification des permissions de la cible d’un lien symbolique
Dans le traitement d’une erreur de suppression, virtualenv peut appliquer les permissions d’un lien symbolique à sa cible, car il lit le mode avec `lstat()` mais modifie les permissions avec `chmod()` qui suit le lien. Les versions antérie…
Source : GHSA-43mp-35q3-x3fq — virtualenv
virtualenv : écritures hors destination via des répertoires liés
Lors de la création d’un environnement, virtualenv peut suivre des liens symboliques de répertoires déjà présents sous la destination et écrire des fichiers en dehors de celle-ci. Les versions antérieures à 21.14.9 sont concernées ; mettre…
Source : GHSA-cw65-gx24-rc82 — virtualenv
Oracle Java SE / GraalVM — vulnérabilité du composant Libraries
CVE-2026-101516 concerne le composant Libraries d’Oracle Java SE et des produits Oracle GraalVM. L’exploitation via des API du composant peut permettre un accès non autorisé en lecture à certaines données ainsi qu’en modification à une par…
Source : CVE-2026-101516 — NVD
Oracle Java SE — déni de service dans Compiler
CVE-2026-101737 affecte le composant Compiler d’Oracle Java SE 26.0.2. Une exploitation difficile via le réseau peut provoquer le blocage ou un plantage répétable du runtime, entraînant un déni de service.
Source : CVE-2026-101737 — NVD
OGNL — contournement du mode d’invocation stricte
CVE-2026-113730 est un contournement du mode d’invocation stricte d’OGNL impliquant des objets de réflexion Java. Le problème concerne les applications qui évaluent des expressions non fiables et utilisent cette restriction comme bac à sab…
Oracle Java SE / GraalVM — vulnérabilité du composant Security
CVE-2026-83374 affecte le composant Security d’Oracle Java SE et des produits Oracle GraalVM. Une exploitation réseau difficile peut permettre la création, la suppression ou la modification non autorisée de données accessibles, potentielle…
Source : CVE-2026-83374 — NVD
Oracle Java SE — vulnérabilité du composant Compiler
CVE-2026-83378 concerne le composant Compiler d’Oracle Java SE. Une exploitation réseau difficile via les API concernées peut permettre un accès non autorisé en lecture à une partie des données et la modification de certaines données acces…
Source : CVE-2026-83378 — NVD
Oracle Java SE / GraalVM — vulnérabilité JAAS
CVE-2026-83380 touche JAAS dans Oracle Java SE et les produits Oracle GraalVM. Une exploitation facile à distance peut donner un accès en lecture non autorisé à une partie des données accessibles.
Source : CVE-2026-83380 — NVD
Oracle Java SE / GraalVM — vulnérabilité du composant Security
CVE-2026-83381 concerne le composant Security d’Oracle Java SE et des produits Oracle GraalVM. Une exploitation difficile via le réseau peut entraîner la lecture non autorisée de certaines données et la modification d’une partie des donnée…
Source : CVE-2026-83381 — NVD
Oracle Java SE / GraalVM — vulnérabilité JDBC
CVE-2026-83387 affecte JDBC dans Oracle Java SE et les produits Oracle GraalVM. Une exploitation réseau difficile via les API concernées peut permettre l’accès non autorisé à des données critiques ou à l’ensemble des données accessibles pa…
Source : CVE-2026-83387 — NVD
CVE-2026-83395 — altération de données et déni de service partiel dans Java Networking
Une vulnérabilité du composant Networking de Java SE et des produits GraalVM peut permettre à un attaquant distant non authentifié de modifier certaines données accessibles et de provoquer un déni de service partiel. Les versions concernée…
Source : NVD — CVE-2026-83395
CVE-2026-83400 — déni de service partiel dans Java JAXP
Une vulnérabilité du composant JAXP de Java SE et des produits GraalVM permet à un attaquant distant non authentifié de provoquer un déni de service partiel. Les versions concernées sont indiquées ci-dessous ; appliquer les correctifs Orac…
Source : NVD — CVE-2026-83400
CVE-2026-87290 — divulgation de données via Java JAXP
Une vulnérabilité du composant JAXP de Java SE et des produits GraalVM peut conduire à la divulgation de données accessibles, jusqu’à un accès complet à ces données. Les versions concernées sont listées ci-dessous ; appliquer les correctif…
Source : NVD — CVE-2026-87290
CVE-2026-87291 — lecture de données via Java Networking
Une vulnérabilité du composant Networking de Java SE peut permettre à un attaquant distant non authentifié de lire un sous-ensemble des données accessibles. Les versions concernées sont Java SE 21.0.12.1, 25.0.4.1 et 27 ; appliquer le corr…
Source : NVD — CVE-2026-87291
CVE-2026-87293 — lecture et altération de données via RMI
Une vulnérabilité RMI touchant Java SE et GraalVM Enterprise Edition peut permettre à un attaquant distant de lire et de modifier certaines données accessibles. Les versions mentionnées sont Java SE 8u503 et 8u503-perf, ainsi que GraalVM E…
Source : NVD — CVE-2026-87293
CVE-2026-87294 — lecture et altération de données via Java Security
Une vulnérabilité du composant Security de Java SE et des produits GraalVM peut permettre à un attaquant distant non authentifié de lire un sous-ensemble de données et d’en modifier certaines. Les versions concernées sont listées ci-dessou…
Source : NVD — CVE-2026-87294
CVE-2026-91332 : altération de données via Networking dans Oracle Java SE
Une vulnérabilité du composant Networking de Java SE peut permettre à un attaquant distant non authentifié d’altérer certaines données accessibles à Java SE. Elle concerne les versions indiquées ci-dessous ; aucune version corrigée ni mesu…
Source : NVD — CVE-2026-91332
CVE-2026-91373 : déni de service partiel dans JSSE
Une vulnérabilité de JSSE peut permettre à un attaquant distant non authentifié de provoquer une dégradation partielle de disponibilité de Java SE. Elle concerne les versions indiquées ci-dessous et peut être exploitée via TLS ; aucun corr…
Source : NVD — CVE-2026-91373
CVE-2026-91374 : accès non autorisé aux données via Serviceability
Une vulnérabilité du composant Serviceability peut permettre à un attaquant distant non authentifié de lire ou de modifier certaines données accessibles dans les produits concernés. L’exploitation est difficile et peut passer par les API d…
Source : NVD — CVE-2026-91374
CVE-2026-91375 : altération de données via Libraries
Une vulnérabilité du composant Libraries peut permettre une création, suppression ou modification non autorisée de données critiques ou de l’ensemble des données accessibles à Java SE. L’attaque nécessite un accès local à l’infrastructure,…
Source : NVD — CVE-2026-91375
CVE-2026-91379 : altération de données via les outils JDK
Une vulnérabilité des outils JDK peut permettre une création, suppression ou modification non autorisée de données critiques ou de l’ensemble des données accessibles aux produits concernés. Elle requiert un accès local à l’infrastructure e…
Source : NVD — CVE-2026-91379
CVE-2026-91380 : accès non autorisé aux données via Utility
Une vulnérabilité du composant Utility peut permettre à un attaquant ayant un accès local à l’infrastructure d’altérer ou de lire certaines données accessibles. Les versions affectées sont indiquées ci-dessous ; les informations fournies n…
Source : NVD — CVE-2026-91380
Oracle Java : vulnérabilité dans le composant 2D (CVE-2026-91382)
Une vulnérabilité du composant 2D d’Oracle Java SE et des éditions Oracle GraalVM peut permettre à un attaquant distant non authentifié d’altérer des données accessibles et de provoquer un déni de service partiel. Les versions touchées ind…
Source : NVD — CVE-2026-91382
Oracle JavaFX : vulnérabilité d’accès et de modification de données (CVE-2026-91385)
Une vulnérabilité de JavaFX peut permettre à un attaquant distant d’accéder à certaines données et de les modifier, sous réserve d’une interaction d’une autre personne. Les versions concernées comprennent Java SE 8u503, JavaFX 21.0.12, 25.…
Source : NVD — CVE-2026-91385
Oracle Java Networking : vulnérabilité de confidentialité (CVE-2026-91394)
Une vulnérabilité du composant Networking peut permettre à un attaquant distant non authentifié de lire des données accessibles dans Oracle Java SE ou GraalVM. Les versions touchées indiquées comprennent Java SE 11.0.32.1, 17.0.20.1, 21.0.…
Source : NVD — CVE-2026-91394
Oracle Java Utility : vulnérabilité d’intégrité et de disponibilité (CVE-2026-91395)
Une vulnérabilité du composant Utility peut permettre à un attaquant distant non authentifié de modifier certaines données accessibles et de provoquer un déni de service partiel. Les versions touchées indiquées sont Java SE 8u503, 8u503-pe…
Source : NVD — CVE-2026-91395
Oracle Java Utility : vulnérabilité d’intégrité et de disponibilité (CVE-2026-91396)
Une vulnérabilité du composant Utility peut permettre à un attaquant distant non authentifié de modifier certaines données accessibles et de provoquer un déni de service partiel. Les versions touchées indiquées sont Java SE 8u503, 8u503-pe…
Source : NVD — CVE-2026-91396
Oracle Java Networking : vulnérabilité liée à SOCKS5 (CVE-2026-91398)
Une vulnérabilité du composant Networking, liée à SOCKS5, peut permettre à un attaquant distant non authentifié de modifier des données accessibles, avec un possible effet au-delà du produit vulnérable. Les versions touchées indiquées couv…
Source : NVD — CVE-2026-91398
CVE-2026-91410 — Déni de service partiel dans Java SE, composant Libraries
Une vulnérabilité du composant Libraries de Java SE peut permettre à un attaquant non authentifié disposant d’un accès réseau de provoquer un déni de service partiel. Elle concerne également les produits GraalVM indiqués dans les versions…
Source : NVD — CVE-2026-91410
CVE-2026-91411 — Déni de service et atteinte à l’intégrité dans JGSS
Une vulnérabilité du composant JGSS peut permettre à un attaquant réseau non authentifié de provoquer un déni de service complet et d’obtenir un accès non autorisé en écriture à certaines données accessibles. L’exploitation est qualifiée d…
Source : NVD — CVE-2026-91411
CVE-2026-91417 — Déni de service partiel dans CORBA
Une vulnérabilité du composant CORBA permet à un attaquant non authentifié disposant d’un accès réseau de provoquer un déni de service partiel. Elle concerne Java SE et Oracle GraalVM Enterprise Edition dans les versions indiquées.
Source : NVD — CVE-2026-91417
CVE-2026-91418 — Déni de service partiel dans ImageIO
Une vulnérabilité du composant ImageIO peut permettre à un attaquant réseau non authentifié de provoquer un déni de service partiel. Elle affecte les versions indiquées de Java SE, JavaFX et des produits GraalVM.
Source : NVD — CVE-2026-91418
CVE-2026-91451 — Atteinte à l’intégrité dans le composant Networking
Une vulnérabilité du composant Networking peut permettre à un attaquant non authentifié disposant d’un accès réseau de modifier certaines données accessibles dans Java SE. Elle s’exploite en fournissant des données aux API concernées, sans…
Source : NVD — CVE-2026-91451
CVE-2026-91452 — Atteinte à l’intégrité dans Networking
Une vulnérabilité du composant Networking peut permettre à un attaquant réseau non authentifié de modifier certaines données accessibles dans Java SE et les produits GraalVM indiqués. L’attaque passe par les API du composant, sans nécessit…
Source : NVD — CVE-2026-91452
CVE-2026-91453 — Atteinte à l’intégrité du Lightweight HTTP Server
Une vulnérabilité du Lightweight HTTP Server peut permettre à un attaquant réseau non authentifié de modifier certaines données accessibles dans Java SE et les produits GraalVM indiqués. La fiche décrit un accès non autorisé en écriture vi…
Source : NVD — CVE-2026-91453
CVE-2026-91462 — Atteinte à l’intégrité dans JGSS
Une vulnérabilité du composant JGSS peut permettre à un attaquant non authentifié disposant d’un accès réseau de modifier ou supprimer des données accessibles, y compris des données critiques selon la fiche. L’exploitation est qualifiée de…
Source : NVD — CVE-2026-91462
Oracle Java et GraalVM : vulnérabilité JGSS (CVE-2026-91463)
Une vulnérabilité du composant JGSS d’Oracle Java SE et des éditions GraalVM peut permettre à un attaquant distant non authentifié d’accéder à des données accessibles au produit, si un utilisateur exécute du code non fiable dans un environ…
Source : NVD — CVE-2026-91463
Oracle Java et GraalVM : vulnérabilité JGSS (CVE-2026-91464)
Une vulnérabilité du composant JGSS d’Oracle Java SE et des éditions GraalVM peut permettre à un attaquant distant non authentifié d’accéder à des données accessibles au produit, si un utilisateur exécute du code non fiable dans un environ…
Source : NVD — CVE-2026-91464
Oracle Java SE et GraalVM : vulnérabilité du compilateur (CVE-2026-91487)
Une vulnérabilité du compilateur d’Oracle Java SE peut permettre à un attaquant distant non authentifié d’altérer ou de lire une partie des données accessibles en fournissant des données aux API du composant. Les versions affectées sont ce…
Source : NVD — CVE-2026-91487
Oracle Database : vulnérabilité de Java VM (CVE-2026-91615)
Une vulnérabilité du composant Java VM d’Oracle Database Server peut permettre à un attaquant disposant de faibles privilèges et d’un accès réseau via SOCKS5 d’altérer des données. Les versions de base de données indiquées comme affectées…
Source : NVD — CVE-2026-91615
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91643)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles via HTTP. La version concernée indiquée est 21.8.3.0.0; aucun…
Source : NVD — CVE-2026-91643
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91648)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles via TCP. La version concernée indiquée est 21.8.3.0.0; aucun…
Source : NVD — CVE-2026-91648
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91649)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant local disposant de privilèges élevés d’accéder aux données accessibles à Essbase. La version concernée indiquée est 21.8.3.0.0; aucun correctif n’est pr…
Source : NVD — CVE-2026-91649
MySQL Cluster : déni de service possible via InnoDB
CVE-2026-101513 affecte le composant InnoDB de MySQL Cluster 8.0.0 à 8.0.37 et peut permettre à un attaquant ayant un accès physique de provoquer un déni de service. La fiche NVD donne un score CVSS 3.1 de 3,8 ; le correctif et la version…
Source : NVD — CVE-2026-101513
CVE-2026-101779 : déni de service partiel via Server: Telemetry
Une vulnérabilité du composant Server: Telemetry permet à un attaquant disposant de privilèges élevés et d’un accès réseau de provoquer un déni de service partiel sur MySQL Server ou MySQL Cluster. Les versions affectées indiquées sont MyS…
Source : CVE-2026-101779 — NVD
CVE-2026-101804 — déni de service partiel dans MySQL Connector/ODBC
Une vulnérabilité de Connector/ODBC affecte la version 26.7.1 et peut permettre à un attaquant local sans privilèges de provoquer une indisponibilité partielle, avec interaction humaine requise. La fiche NVD a été publiée pendant la périod…
Source : NVD — CVE-2026-101804
djust : lecture de fichiers hors du répertoire du projet via un outil MCP
La fonction MCP `find_handlers_for_template` de djust accepte un chemin absolu sans le restreindre au répertoire du projet, ce qui permet à un client autorisé d’interroger des fichiers accessibles au processus. Elle ne renvoie pas le conte…
pypdf : sélection d’un parseur d’image inattendu via un PDF construit
Un PDF spécialement construit utilisant le filtre /DCTDecode peut pousser Pillow à sélectionner puis invoquer un parseur d’image inattendu lors du chargement de l’image par pypdf. Le problème concerne les installations avec la dépendance f…
Source : NVD — CVE-2026-113786
Oracle Java SE / GraalVM — vulnérabilité JSSE
CVE-2026-83376 concerne JSSE dans Oracle Java SE et les produits Oracle GraalVM. Une exploitation difficile via TLS et les API concernées peut permettre des modifications non autorisées de certaines données accessibles.
Source : CVE-2026-83376 — NVD
CVE-2026-87255 — lecture non autorisée de données via le compilateur Java
Une vulnérabilité du compilateur de Java SE peut permettre à un attaquant distant de lire un sous-ensemble des données accessibles. La fiche cite Java SE 25.0.4.1 et 27 comme versions concernées ; appliquer le correctif Oracle applicable.
Source : NVD — CVE-2026-87255
CVE-2026-87292 — altération de données via Java Networking
Une vulnérabilité du composant Networking de Java SE et des produits GraalVM peut permettre à un attaquant distant de modifier certaines données accessibles. Les versions concernées figurent ci-dessous ; appliquer les correctifs Oracle cor…
Source : NVD — CVE-2026-87292
CVE-2026-87367 — altération de données via Java JAXP
Une vulnérabilité JAXP touchant Java SE et les produits GraalVM peut permettre à un attaquant distant de modifier certaines données accessibles. Les versions touchées sont indiquées ci-dessous ; appliquer les correctifs Oracle correspondan…
Source : NVD — CVE-2026-87367
CVE-2026-91333 : altération de données dans Oracle Java SE Security
Une vulnérabilité du composant Security de Java SE peut permettre à un attaquant distant non authentifié d’altérer certaines données accessibles. Les versions concernées sont indiquées ci-dessous ; les informations fournies ne précisent ni…
Source : NVD — CVE-2026-91333
CVE-2026-91334 : lecture non autorisée via ImageIO
Une vulnérabilité d’ImageIO peut permettre à un attaquant distant non authentifié d’accéder en lecture à une partie des données accessibles dans les produits concernés. Les versions affectées sont indiquées ci-dessous ; aucune version corr…
Source : NVD — CVE-2026-91334
CVE-2026-91335 : lecture de données via AWT
Une vulnérabilité du composant AWT peut permettre à un attaquant disposant de faibles privilèges de lire une partie des données accessibles dans les produits concernés. L’attaque exige une interaction humaine et concerne notamment des dépl…
Source : NVD — CVE-2026-91335
CVE-2026-91381 : altération de données via le composant 2D
Une vulnérabilité du composant 2D peut permettre à un attaquant distant non authentifié d’altérer certaines données accessibles dans les produits concernés. Elle touche les versions Java SE et GraalVM Enterprise Edition indiquées ci-dessou…
Source : NVD — CVE-2026-91381
Oracle Java Serviceability : vulnérabilité d’intégrité et de disponibilité (CVE-2026-91397)
Une vulnérabilité du composant Serviceability peut permettre à une personne ayant accès à l’infrastructure et à l’exécution d’une interaction humaine de modifier certaines données accessibles et de provoquer un déni de service partiel. Les…
Source : NVD — CVE-2026-91397
Oracle Java Sound : vulnérabilité de déni de service (CVE-2026-91400)
Une vulnérabilité du composant Sound peut permettre à un attaquant distant de provoquer un déni de service partiel, avec interaction humaine requise. Les versions concernées indiquées vont de Java SE 8u503 à 27, ainsi que certaines version…
Source : NVD — CVE-2026-91400
Oracle JavaFX : vulnérabilité de confidentialité (CVE-2026-91402)
Une vulnérabilité de JavaFX peut permettre à un attaquant distant de lire une partie des données accessibles, sous réserve d’une interaction humaine. Les versions concernées comprennent Java SE 8u503, JavaFX 21.0.12, 25.0.4 et 27, ainsi qu…
Source : NVD — CVE-2026-91402
Oracle Java SE 27 : vulnérabilité de déni de service (CVE-2026-91409)
Une vulnérabilité du composant Networking dans Oracle Java SE 27 peut permettre à un attaquant distant non authentifié de provoquer un déni de service partiel. La fiche ne cite que Java SE 27 comme version concernée ; appliquer les correct…
Source : NVD — CVE-2026-91409
CVE-2026-91461 — Atteinte à l’intégrité dans JSSE
Une vulnérabilité de JSSE peut permettre à un attaquant non authentifié d’altérer certaines données accessibles via TLS. L’exploitation est qualifiée de difficile et concerne Java SE ainsi que les produits GraalVM listés.
Source : NVD — CVE-2026-91461
Oracle JavaFX : vulnérabilité d’accès aux données (CVE-2026-91477)
Une vulnérabilité de JavaFX peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles, lorsqu’un utilisateur interagit avec du code non fiable dans un environnement Java sandbo…
Source : NVD — CVE-2026-91477
Oracle Essbase : vulnérabilité de l’agent Java Based (CVE-2026-91650)
Une vulnérabilité de l’agent Java Based d’Oracle Essbase peut permettre à un attaquant distant non authentifié d’obtenir un accès en lecture à une partie des données accessibles via HTTP. La version concernée indiquée est 21.8.3.0.0; aucun…
Source : NVD — CVE-2026-91650
Déni de service à distance dans MongoDB PHP Driver
Une vulnérabilité du MongoDB PHP Driver peut permettre à un attaquant distant de provoquer un déni de service. L’avis CERT-FR fourni ne précise ni les versions affectées ni le correctif.
Source : Vulnérabilité dans MongoDB PHP Driver (21 octobre 2026)
Debian publie une mise à jour de sécurité pour php8.4
Debian a publié l’avis DSA-6574-1 pour une mise à jour de sécurité de php8.4, signalant qu’un suivi incorrect de l’état mémoire pourrait permettre l’exécution de code arbitraire. Le texte fourni ne donne ni CVE ni détail permettant d’assoc…
Source : DSA-6574-1 php8.4 – security update
CMS & e-commerce
56 alerte(s)GS Plugins WordPress Team Members : désérialisation de données non fiables
Une vulnérabilité de désérialisation de données non fiables dans GS Plugins WordPress Team Members permet une injection d’objets. La fiche NVD signale comme concernées les versions jusqu’à 2.8.2 incluse, sans préciser de version corrigée d…
Source : NVD — CVE-2026-110369
Injection d’objet PHP dans Duplicator et Duplicator Pro
Duplicator et Duplicator Pro sont vulnérables à une injection d’objet PHP pendant une migration, respectivement jusqu’aux versions 1.5.17 et 4.6.10 incluses. Mettre à jour vers une version corrigée; la chaîne d’exploitation décrite nécessi…
Source : NVD — CVE-2026-82814
Injection SQL dans Modern Events Calendar Lite et Pro
Modern Events Calendar Lite et Pro ne neutralisent pas correctement un paramètre utilisé dans une requête SQL avant la version 7.37.0. Un utilisateur authentifié disposant au moins du rôle Subscriber peut injecter des requêtes et extraire…
Source : NVD — CVE-2026-102499
XSS stockée et contrôle de capacité manquant dans Falang
Falang ne vérifie pas les capacités lors de l’enregistrement des traductions de termes et expose un nonce valide à tout utilisateur connecté avant la version 1.4.6. Un utilisateur de niveau Subscriber ou supérieur peut enregistrer du conte…
Source : NVD — CVE-2026-105262
Uncanny Toolkit for LearnDash : risque de prise de contrôle de compte lors d’une réinitialisation
CVE-2026-107127 affecte la réinitialisation de mot de passe dans Uncanny Toolkit for LearnDash : l’origine de la demande n’est pas vérifiée. Une requête forgée peut permettre de choisir le mot de passe d’un compte dont la procédure de réin…
Source : NVD — CVE-2026-107127
WP Time Capsule : déploiement de staging accessible sans contrôles suffisants
CVE-2026-107237 concerne le gestionnaire de déploiement d’un site de staging vers le site en production de Backup and Staging by WP Time Capsule, qui ne contrôle ni les capacités ni les nonces. Un abonné sur le site de staging peut écraser…
Source : NVD — CVE-2026-107237
Simple Banner : élévation de privilèges par attribution excessive de capacités
CVE-2026-107506 affecte la gestion des capacités dans Simple Banner : les capacités accordées aux rôles autorisés à gérer les bannières ne sont pas correctement limitées. Des utilisateurs de faible privilège peuvent obtenir les droits d’ad…
Source : NVD — CVE-2026-107506
WP Booking System : XSS réfléchie dans une page d’administration
CVE-2026-109147 concerne un paramètre de WP Booking System renvoyé dans une page d’administration sans validation ni échappement suffisants. Cela permet une XSS réfléchie susceptible de viser des utilisateurs privilégiés, notamment des adm…
Source : NVD — CVE-2026-109147
WP User Manager : contournement du paiement à l’inscription et attribution de rôle privilégié
WP User Manager ne maintient pas les restrictions d’inscription payante lorsque la passerelle de paiement est déconnectée, alors qu’un formulaire publié continue d’attribuer le rôle configuré. Un visiteur non authentifié peut s’inscrire sa…
Source : NVD — CVE-2026-110523
Redirection for Contact Form 7 : XSS stockée dans les entrées de prospects
Redirection for Contact Form 7 n’assainit ni n’échappe les données de formulaire enregistrées comme entrées de prospects avant leur affichage dans la boîte de débogage. Un attaquant non authentifié peut y stocker un script qui s’exécute lo…
Source : NVD — CVE-2026-111574
XSS réfléchie dans User Profile Builder
Le plugin WordPress User Profile Builder ne protège pas suffisamment l’URL de la page courante avant de l’insérer dans un contexte JavaScript d’une page d’administration. La fiche signale une XSS réfléchie visant les utilisateurs disposant…
Source : NVD — CVE-2026-111948
miniOrange 2FA : contournement du second facteur par ajout de passkey
miniOrange 2FA permet à une connexion par passkey encore en attente d’enregistrer une passkey supplémentaire sur un compte qui en possède déjà une. Un attaquant connaissant le mot de passe de la victime peut ainsi ajouter son propre authen…
Source : NVD — CVE-2026-111949
Advanced File Manager : script actif dans un fichier SVG stocké
Advanced File Manager avant la version 6.0.0 ne détermine pas correctement si un fichier stocké est un SVG avant de le nettoyer. Un utilisateur auquel un administrateur a accordé l’accès au gestionnaire de fichiers peut conserver un fichie…
Source : NVD — CVE-2026-79627
Formidable Forms : épuisement non authentifié du quota de vérification des paiements
Formidable Forms avant la version 7.0 ne vérifie pas l’identité de l’appelant avant d’enregistrer l’horodatage utilisé pour limiter les requêtes de vérification d’une passerelle de paiement. Un attaquant non authentifié peut épuiser le quo…
Source : NVD — CVE-2026-85642
Weglot : injection de contenu via les URL réécrites des pages traduites
Le plugin Translate WordPress with Weglot ne neutralise pas les URL réinjectées lors de la réécriture des liens pour une langue traduite, permettant à un utilisateur non authentifié d’y stocker une charge exécutée dans le navigateur des vi…
Source : NVD — CVE-2026-88784
Click n Chat : injection SQL par paramètre de colonne non validé
Le plugin Click n Chat utilise un paramètre comme identifiant de colonne dans une requête SQL sans validation adéquate, ce qui permet à des attaquants non authentifiés de réaliser une injection SQL. Les versions antérieures à 1.1.3 sont co…
Source : NVD — CVE-2026-92997
Click n Chat : injection SQL via les paramètres de tri
Le plugin Click n Chat ne nettoie pas les paramètres de tri avant leur insertion dans une clause SQL ORDER BY, permettant à des attaquants non authentifiés de réaliser une injection SQL. Les versions antérieures à 1.1.3 sont concernées ; m…
Source : NVD — CVE-2026-92998
XSS non authentifiée dans Jane Menu
Le plugin Jane Menu expose sans authentification un gestionnaire de formulaire dépourvu de contrôles de capacité et de nonce, permettant de lier une page publiée à un document distant. Le contenu distant est ensuite rendu sans échappement,…
Source : NVD — CVE-2026-85683
Contrôle d’accès insuffisant dans Synchrony Financing
Le plugin Synchrony Financing ne vérifie pas correctement les autorisations sur une route REST qui modifie les commandes WooCommerce avant la version 1.1.2. Un attaquant non authentifié peut réaffecter une commande, en modifier les détails…
Source : NVD — CVE-2026-100145
AI Engine : modification non autorisée de contenus arbitraires
AI Engine ne vérifie pas que l’appelant peut modifier l’objet ciblé avant d’en mettre à jour le titre et l’extrait. Un utilisateur ayant le rôle éditeur ou supérieur peut modifier des articles arbitraires, y compris des objets qu’il ne peu…
Source : NVD — CVE-2026-110982
SUMIT Payment Gateway : validation incorrecte des paiements de commandes
Le plugin SUMIT Payment Gateway for WooCommerce avant la version 4.0.0 ne lie pas correctement le paiement confirmé à la commande concernée et ne vérifie pas que le montant correspond au total de la commande. Un attaquant non authentifié p…
Source : NVD — CVE-2026-111957
TI WooCommerce Wishlist : accès non autorisé aux listes privées via l’API REST
TI WooCommerce Wishlist avant la version 2.13.0 n’applique pas à son API REST le contrôle d’accès réservé au propriétaire qui existe sur l’interface publique. Des utilisateurs non authentifiés peuvent ainsi consulter les métadonnées et le…
Source : NVD — CVE-2026-15261
Wava Payment Plugin : notifications de paiement non authentifiées
Wava Payment Plugin avant la version 0.3.10 ne vérifie pas l’authenticité des notifications du fournisseur de paiement et ne limite pas qui peut les envoyer. Un attaquant non authentifié peut modifier le statut de commandes WooCommerce; da…
Source : NVD — CVE-2026-87837
Telcell : notifications de paiement non authentifiées
Payment Gateway for Telcell ne valide pas l’authenticité des notifications de paiement, car le secret de signature est vide par défaut, permettant à un attaquant non authentifié de falsifier une notification et de marquer des commandes com…
Source : NVD — CVE-2026-103301
BjornTech Swish for WooCommerce : contrôle d’accès manquant
La fiche NVD signale une vulnérabilité de contrôle d’accès manquant dans BjornTech Swish for WooCommerce, affectant les versions jusqu’à 3.7.8 incluse. La description disponible ne précise pas davantage l’action exploitable ni la version c…
Source : NVD — CVE-2026-111835
Notifications de paiement falsifiables dans Payment Gateway for Idram
Payment Gateway for Idram ne vérifie pas l’authenticité des notifications de paiement avant la version 2.1.6, car les identifiants marchands utilisés pour calculer leur checksum sont vides par défaut. Un attaquant non authentifié peut fals…
Source : NVD — CVE-2026-103302
Réservations confirmables sans paiement dans Ettrick Escape Room Booking
Ettrick Escape Room Booking ne vérifie pas auprès du prestataire de paiement qu’une réservation a bien été payée avant de la confirmer comme réglée, dans les versions antérieures à 1.3.1. Un attaquant non authentifié peut faire confirmer d…
Source : NVD — CVE-2026-105992
Jetons de réservation prévisibles dans Booking Package
Booking Package génère des jetons d’annulation prévisibles avant la version 1.7.31, à partir de valeurs exposées publiquement. Un attaquant non authentifié peut reconstruire le jeton d’une réservation, en consulter les données personnelles…
Source : NVD — CVE-2026-105996
Désactivation des fonctions premium de Booking Package
Booking Package permet de réinitialiser l’état d’abonnement premium sans contrôle d’autorisation ni de validité avant la version 1.7.31. Un attaquant non authentifié peut désactiver les fonctionnalités payantes du plugin.
Source : NVD — CVE-2026-105998
Divulgation de configuration dans Booking Package
Booking Package renvoie des paramètres de configuration du compte calendrier sans contrôle d’autorisation avant la version 1.7.31. Un utilisateur non authentifié peut notamment obtenir des paramètres sensibles tels que les adresses de noti…
Source : NVD — CVE-2026-105999
Moloni : contrôles d’autorisation manquants sur des actions AJAX
CVE-2026-106932 concerne plusieurs actions AJAX authentifiées du plugin Moloni qui ne vérifient ni les capacités ni les nonces. Un utilisateur authentifié, par exemple un abonné, peut notamment créer des factures pour des commandes arbitra…
Source : NVD — CVE-2026-106932
Uncanny Toolkit for LearnDash : modification non autorisée de l’état de vérification des comptes
CVE-2026-107128 concerne les changements d’état de vérification des comptes dans Uncanny Toolkit for LearnDash, sans contrôle suffisant du droit de l’utilisateur à gérer le compte ciblé. Dans un réseau multisite, un administrateur de sous-…
Source : NVD — CVE-2026-107128
SmartyParcel : suppression non autorisée d’enregistrements d’expédition
CVE-2026-107788 concerne la suppression d’enregistrements d’étiquettes d’expédition dans SmartyParcel, qui ne vérifie pas les autorisations. Tout utilisateur authentifié, y compris un abonné, peut supprimer les enregistrements d’étiquettes…
Source : NVD — CVE-2026-107788
SmartyParcel : accès non authentifié aux étiquettes d’expédition
CVE-2026-107789 affecte le téléchargement des étiquettes d’expédition dans SmartyParcel, qui ne vérifie pas les autorisations d’accès. Des visiteurs non authentifiés peuvent obtenir les étiquettes de commandes arbitraires, contenant notamm…
Source : NVD — CVE-2026-107789
HireZoot : XSS persistante dans le tableau de bord d’administration
CVE-2026-107790 concerne des données stockées dans HireZoot, qui ne sont pas correctement assainies et échappées avant leur affichage dans le tableau de bord d’administration. Un utilisateur ayant le rôle Auteur peut ainsi provoquer une XS…
Source : NVD — CVE-2026-107790
SureCart : exposition de données privées du catalogue via l’API REST
CVE-2026-108073 concerne l’API REST de SureCart, qui autorise les visiteurs anonymes à inclure des objets liés à un tunnel de vente sans filtrer leurs champs privés. Des données internes de catalogue — notamment prix, commissions, stocks,…
Source : NVD — CVE-2026-108073
Productive Commerce : contrôle d’accès insuffisant dans une action AJAX
Dans Productive Commerce, une action AJAX ne vérifie pas les capacités de l’utilisateur et son nonce est exposé sur les pages d’administration. Un utilisateur authentifié peut ainsi activer certaines extensions Productive Commerce déjà ins…
Source : NVD — CVE-2026-109926
WPZOOM Portfolio Lite : modification non autorisée du type de contenus
WPZOOM Portfolio Lite ne vérifie pas que l’utilisateur est autorisé à modifier un article avant d’en changer le type et l’ordre. Un contributeur ou un utilisateur de rôle supérieur peut convertir les contenus d’autres utilisateurs en éléme…
Source : NVD — CVE-2026-110514
Swift Performance Lite : injection SQL accessible aux auteurs
Swift Performance Lite ne nettoie ni n’échappe correctement une valeur avant son utilisation dans une requête SQL. Un utilisateur ayant le rôle auteur ou supérieur peut exploiter cette injection SQL.
Source : NVD — CVE-2026-110651
Kliken: Ads + Pixel for Meta : exposition de détails de commandes
Kliken: Ads + Pixel for Meta n’exige pas la clé de commande correspondante avant d’afficher les détails d’une commande sur la page de confirmation. Un visiteur non authentifié peut obtenir, en énumérant des identifiants de commande, la loc…
Source : NVD — CVE-2026-111596
Pricing Table WordPress Plugin : duplication et publication non autorisées de contenus
Pricing Table WordPress Plugin n’effectue pas de contrôle d’autorisation lors de la duplication d’une ancienne table tarifaire. Un contributeur ou un utilisateur de rôle supérieur peut cloner et publier des articles ou pages appartenant à…
Source : NVD — CVE-2026-111947
WholesaleX : contournement de l’approbation des comptes en attente
WholesaleX avant la version 3.0.9 ne vérifie pas qu’un code de confirmation de compte est enregistré avant de le comparer à celui fourni dans la requête. Un attaquant non authentifié peut ainsi activer un compte en attente et contourner l’…
Source : NVD — CVE-2026-111955
WholesaleX : exposition publique des fichiers d’importation d’utilisateurs
WholesaleX avant la version 3.0.9 conserve le fichier d’importation des utilisateurs dans un emplacement accessible publiquement, sous un nom prévisible, sans le protéger ni le supprimer. Un attaquant non authentifié peut télécharger les d…
Source : NVD — CVE-2026-111956
SVG malveillant téléversable via Elementor
Le plugin Elementor Website Builder ne désinfecte pas les fichiers SVG sur toutes les voies d’envoi; un auteur ou utilisateur de rôle supérieur peut ainsi téléverser un SVG contenant du JavaScript. Le scénario décrit requiert que l’option…
Source : NVD — CVE-2026-81812
Elementor Website Builder : contenu textuel SVG non assaini
Elementor Website Builder avant la version 4.3.5 vérifie les éléments et attributs des fichiers SVG, mais pas leur contenu textuel. Un utilisateur ayant le rôle Contributeur ou supérieur peut ainsi enregistrer une charge utile qui, lors du…
Source : NVD — CVE-2026-81813
Download Manager : modification de paramètres par requête CSRF
Download Manager ne met pas en œuvre des protections CSRF à certains endroits dans les branches concernées, antérieures aux versions 3.3.71 et 7.5.9. Un attaquant peut inciter un administrateur connecté à modifier les paramètres de confide…
Source : NVD — CVE-2026-86611
Wava Payment : absence de contrôles sur un point de terminaison REST public
Le point de terminaison REST public du plugin Wava Payment ne vérifie ni les autorisations, ni le nonce, ni l’origine, ce qui permet à un attaquant non authentifié de modifier les identifiants du compte marchand, de forcer l’état de vérifi…
Source : NVD — CVE-2026-87838
Click n Chat : export non autorisé des données de contact
Le gestionnaire d’exportation des prospects de Click n Chat ne vérifie pas les autorisations, permettant à un utilisateur non authentifié de télécharger les données de contact collectées. Les versions antérieures à 1.1.3 sont concernées ;…
Source : NVD — CVE-2026-92999
CMP : pages accessibles malgré le mode maintenance
CMP – Coming Soon & Maintenance n’applique pas correctement le mode maintenance aux pages ajoutées à sa liste blanche au moyen de motifs d’URL saisis manuellement, de sorte que des visiteurs non authentifiés peuvent en consulter le contenu…
Source : NVD — CVE-2026-101138
Simple Shopping Cart : notification PayPal non liée au compte marchand
Dans sa configuration par défaut, Simple Shopping Cart ne vérifie pas que la notification PayPal concerne un paiement reçu par le compte du propriétaire du site, permettant à un attaquant non authentifié de faire marquer une commande comme…
Source : NVD — CVE-2026-104641
LatePoint : réservation confirmée sans paiement possible
La version de LatePoint antérieure à 5.7.5 ne vérifie pas correctement le montant de réservation fourni par le client. Un visiteur non authentifié peut ainsi faire enregistrer une réservation confirmée sans paiement.
Source : NVD — CVE-2026-105256
Contest Gallery : contournement de la limite de votes
Contest Gallery, avant la version 34.0.1, n’identifie pas de façon fiable les visiteurs pour appliquer la limite d’un vote par entrée. Un utilisateur non authentifié peut contourner cette restriction et gonfler le nombre de votes d’une ent…
Source : NVD — CVE-2026-107447
HappyForms : injection de HTML dans les courriels de notification
HappyForms, avant la version 1.26.15, n’échappe pas une valeur de recommandation contrôlée par l’utilisateur avant de l’insérer dans le courriel de notification du formulaire. Un attaquant non authentifié peut injecter du HTML dans les cou…
Source : NVD — CVE-2026-14556
Cart Abandonment Recovery : jetons de récupération de panier non vérifiés
Cart Abandonment Recovery for WooCommerce ne vérifie pas l’intégrité des jetons de récupération de panier et accepte encore un ancien format non signé, permettant à un attaquant connaissant l’identifiant de session du panier d’en modifier…
Source : NVD — CVE-2026-96901
Divulgation de dossiers clients dans Appointment Booking Plugin
Appointment Booking Plugin ne vérifie pas qu’un agent est affecté au client dont il consulte ou recherche le dossier avant la version 5.7.5. Tout agent authentifié peut ainsi parcourir les renseignements personnels de l’ensemble des client…
Source : NVD — CVE-2026-105257
Simple Shopping Cart : prix de produits modifiables par des contributeurs
Simple Shopping Cart ne vérifie pas que les prix soumis correspondent à une valeur définie uniquement par le propriétaire du site, permettant aux utilisateurs ayant le rôle Contributeur ou supérieur de fixer des prix arbitraires pour des p…
Source : NVD — CVE-2026-104642
Systèmes & serveurs
4 alerte(s)Linux : défaut du vérificateur BPF affectant l’extension des registres sur s390
Un défaut du vérificateur BPF pouvait laisser indéterminée l’extension à zéro de registres 32 bits, avec un risque de sémantique incorrecte sur s390. Le correctif calcule statiquement la vivacité des parties haute et basse des registres et…
Source : NVD — CVE-2026-98869
Linux : publication NVD d’un correctif Bluetooth ISO associé à CVE-2023-7356
La fiche NVD publiée pendant la période associe CVE-2023-7356 à un correctif Bluetooth ISO qui ne copie les données BASE que lorsque l’UUID de service correspond à Basic Audio Announcement. Les sources consultées ne précisent pas ici les v…
Source : NVD — CVE-2023-7356
Debian publie une mise à jour de sécurité pour bind9 (DSA-6576-1)
Le candidat annonce DSA-6576-1, une mise à jour de sécurité Debian pour bind9, à la date du 21 octobre 2026. Le résumé fourni indique plusieurs vulnérabilités susceptibles d’entraîner un déni de service ou une exécution de code à distance…
Git LFS : écriture hors du dépôt via des liens symboliques
Debian a publié le DLA-4846-1 pour corriger le traitement des liens symboliques dans Git LFS. Un dépôt Git malveillant pouvait permettre l’écriture de fichiers hors de l’arbre de travail ou du dépôt nu de la victime, avec un risque d’exécu…
Source : DLA-4846-1 git-lfs – security update
Cloud & DevOps
2 alerte(s)Lagoon — exécution de code arbitraire via le service ssh
Une vulnérabilité du service ssh de Lagoon core permet à un utilisateur disposant d’un compte Lagoon d’exécuter du code arbitraire, avec possibilité d’obtenir des privilèges administratifs élevés. Mettre à niveau Lagoon core vers v2.33.2 o…
Source : NVD — CVE-2026-113788
Oracle TimesTen — vulnérabilité du Kubernetes Operator
Une vulnérabilité du composant Kubernetes Operator d’Oracle TimesTen In-Memory Database peut permettre à un attaquant disposant d’un accès réseau HTTPS et de privilèges faibles de lire sans autorisation une partie des données accessibles.…
Source : NVD — CVE-2026-87354