Les sujets à surveiller, en un regard.
194 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 15 sujet(s) en rouge, 8 en orange.
Shopify
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Shopify sur la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les résultats consultés mentionnent une campagne de détournement de checkout visant des applications tierces, mais ne permettent pas de vérifier qu’un nouvel avis, correctif ou changement substantiel concernant Shopify a été publié dans cette période; les avis Shopify-app-js trouvés sont antérieurs. Aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche dédiée sur Wix n’a pas permis de vérifier de vulnérabilité, d’avis de sécurité, d’exploitation ou de changement substantiel concernant Wix et daté de la période demandée. Un avis GitHub trouvé sur un paquet npm portant « wix » dans son nom est daté du 2026-10-08, hors période, et ne constitue pas un avis de sécurité de Wix.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a pas permis de vérifier de vulnérabilité nouvelle, de correctif ou d’avis de sécurité, d’exploitation, ni de changement substantiel daté dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Aucun candidat n’était fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Vérification incomplète
La recherche a repéré deux avis Craft CMS publiés le 22 octobre 2026 : une injection SQL avec élévation de privilèges et une injection SQL aveugle via des critères du panneau de contrôle. Les deux candidats NVD fournis décrivent des vulnérabilités publiées antérieurement; les éléments consultés les rattachent à des avis éditeur du 5 octobre, et leur seule date de modification NVD du 22 octobre ne suffit pas à établir un nouvel événement de sécurité dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost n’a identifié aucun avis, correctif de sécurité, exploitation ni changement substantiel vérifiable comme daté dans la période demandée (du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu). Les avis Ghost repérés dans l’index des avis GitHub sont datés de septembre 2026 et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée a fait apparaître un billet de Strapi publié le 2026-10-23 au sujet de CVE-2026-111497. Comme sa publication est postérieure à la borne de fin du 2026-10-23T00:00:00+02:00, il n’est pas retenu; aucun autre élément répondant aux critères de la période n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée sur Directus n’a identifié aucun nouvel avis, correctif de sécurité ou événement d’exploitation daté de la période demandée (du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu). La version Directus v12.5.1 est datée du 23 octobre et les avis de sécurité Directus repérés dans les résultats sont antérieurs à cette période; ils sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée à OpenCart n’a fait ressortir aucun avis, correctif ou événement de sécurité daté du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les résultats consultés sur les vulnérabilités OpenCart mentionnaient des publications antérieures à cette période; ils ne constituent donc pas des nouveautés pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Vérification incomplète
L’avis de sécurité cPanel consulté concerne deux CVE PHP et recommande l’application des mises à jour. Les notes de version consultées indiquent que des mises à jour cPanel associées avaient déjà été consignées le 21 octobre ; les détails techniques propres à chaque CVE n’ont pas pu être établis à partir des éléments consultés.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ruby
Recherche du sujet effectuée
La recherche a identifié des correctifs Ruby publiés le 2026-10-23, après la période demandée, et des avis antérieurs à celle-ci. Aucun avis, correctif ou événement de sécurité Ruby daté dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00 inclus n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Vérification incomplète
Un correctif de sécurité pertinent pour Bun a été publié avec Bun 1.4.4 le 22 octobre : il traite la confiance envers des certificats intermédiaires eMudhra compromis. Les six candidats fournis concernent des paquets npm malveillants qui utilisent Bun comme outil d’exécution ; ils ne signalent pas une vulnérabilité de Bun.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Deno
Recherche du sujet effectuée
La recherche dédiée sur Deno n’a fait ressortir aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel dont la date de publication ou de survenue tombe dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les avis Deno repérés sur GitHub sont antérieurs à cette période; les autres résultats consultés ne documentent pas d’événement de sécurité Deno daté de cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Aucun nouvel avis, correctif ou changement substantiel de sécurité concernant Go n’a pu être confirmé pour la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les versions Go 1.27.3 et 1.26.10 mentionnées dans l’historique officiel sont datées du 2026-10-19, hors période. Les candidats dont la seule date dans la fenêtre est une mise à jour de fiche ou d’avis ne sont pas retenus sans preuve d’un changement de sécurité substantiel à cette date.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kotlin
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Kotlin, aux CVE/NVD et aux dépôts et publications du projet n’a identifié aucun avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté dans la période demandée. Les résultats consultés ne constituent pas une preuve d’absence de toute information sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Vérification incomplète
Niveau relevé : Moyenne
Les sources consultées signalent un avis Electron publié le 22 octobre 2026 concernant une atténuation liée à des certificats intermédiaires eMudhra compromis, sans détails suffisants sur les versions ou les mesures. Elles confirment aussi un avis daté du 22 octobre pour CVE-2026-113797, concernant l’accès non autorisé d’extensions aux URL et titres des onglets. Les autres candidats ne correspondent pas à une nouveauté ou à un avis substantiel Electron dans la période retenue. Six avis de sécurité Electron publiés le 2026-10-22 ont été retenus, un par CVE. Ils concernent l’attribution de permissions, la capture de trames, les extensions et le traitement des fenêtres ; les versions corrigées et conditions d’exposition sont indiquées dans chaque fiche.
Electron : attribution incorrecte des demandes `openExternal`
Electron pouvait attribuer à un document de confiance une demande d’ouverture de protocole externe initiée par un contenu non fiable, ce qui pouvait permettre le lancement d’une application enregistrée par le système. Le défaut concerne les applications qui autorisent `openExternal` selon l’origine et laissent du contenu non fiable ouvrir ou naviguer des fenêtres ; mettez Electron à jour ou refusez ces demandes.
Action recommandée : Mettre Electron à jour vers une version corrigée et vérifier les règles d’autorisation de `openExternal`.
Electron : attribution erronée des demandes `pointerLock` d’iframes
Pour certaines demandes de permission `pointerLock` provenant d’iframes inter-origines, Electron transmettait à `session.setPermissionRequestHandler` l’URL et l’indicateur de frame principale au lieu de ceux de la frame demandeuse. Les applications qui intègrent du contenu non fiable et accordent `pointerLock` selon l’origine sont concernées ; refusez cette permission pour ces contenus ou mettez Electron à jour.
Action recommandée : Mettre Electron à jour et ne pas accorder `pointerLock` au contenu non fiable sur la seule base de l’origine rapportée.
Electron : restrictions SameSite omises pour des fenêtres ouvertes depuis des liens
Les fenêtres ouvertes depuis des liens étaient traitées comme si la navigation provenait de l’application plutôt que de la page contenant le lien, ce qui pouvait faire considérer la requête comme same-site. Du contenu non fiable autorisé à ouvrir des fenêtres pouvait alors provoquer une requête authentifiée exploitant des cookies `SameSite=Strict` ; bloquez ces fenêtres ou mettez Electron à jour.
Action recommandée : Mettre Electron à jour et bloquer l’ouverture de fenêtres par du contenu non fiable.
Electron : lecture mémoire hors limites en rendu hors écran sur macOS
En mode de rendu hors écran sur macOS, des données de trame du processus GPU insuffisamment validées pouvaient conduire le processus principal à lire hors limites lors de la production des images des événements `paint`. Une compromission préalable du processus GPU était nécessaire ; mettez Electron à jour, car aucun contournement côté application n’est indiqué.
Action recommandée : Mettre Electron à jour vers une version corrigée, en particulier si l’application utilise le rendu hors écran sur macOS.
Electron : validation insuffisante des trames de `beginFrameSubscription`
Les données de trame utilisées par `webContents.beginFrameSubscription` n’étaient pas entièrement validées par le processus principal ; un processus GPU compromis pouvait ainsi provoquer une lecture mémoire hors limites pendant la capture. Le défaut concerne les applications utilisant cette API et nécessite une compromission préalable du processus GPU ; la mesure indiquée est la mise à jour d’Electron.
Action recommandée : Mettre Electron à jour vers une version corrigée si l’application utilise `webContents.beginFrameSubscription`.
Electron : fuite des URL et titres d’onglets aux extensions
La méthode `chrome.tabs.query()` pouvait renvoyer les URL et titres des onglets à une extension sans permission `tabs` ni permission d’hôte correspondante. Le risque concerne les applications Electron qui chargent des extensions non fiables ; ne chargez que des extensions de confiance et mettez Electron à jour.
Action recommandée : Mettre Electron à jour et limiter le chargement d’extensions aux extensions de confiance.
jQuery
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou changement de sécurité vérifié concernant jQuery dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Le candidat fourni concerne l’extension Maps de MediaWiki : le fait que sa description mentionne le fichier jquery.leaflet.js ne le rend pas pertinent pour le sujet jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
Niveau relevé : Critique
Deux avis Laravel vérifiés concernent la période : un contournement d’authentification de TokenGuard (CVE-2026-114509), pour lequel une preuve de concept a été signalée, et une opération destructive possible depuis certains endpoints en lecture (CVE-2026-114508). Les dates de publication NVD, converties en +02:00, tombent le 22 octobre ; aucune exploitation réelle n’est confirmée par les éléments consultés.
Laravel TokenGuard : contournement d’authentification
Un identifiant d’authentification non textuel spécialement construit peut contourner l’authentification de TokenGuard sur certaines configurations MySQL ou MariaDB, et permettre une prise de contrôle de compte sans authentification. Un avis du CERT italien daté du 22 octobre signale la disponibilité d’une preuve de concept ; cela ne confirme pas une exploitation réelle.
Action recommandée : Mettre à jour vers Laravel 12.68.0 ou ultérieur, ou 13.29.0 ou ultérieur. Vérifier les gardes TokenGuard et les routes qui en dépendent.
Laravel : opération destructive possible via une inclusion de relation
Une inclusion de relation construite spécialement sur certains points d’accès en lecture peut déclencher une opération destructive sur une table liée, alors que la requête devrait seulement lire des données. Un utilisateur disposant uniquement d’un accès en lecture peut ainsi provoquer une perte de données ; les versions corrigées indiquées sont 12.68.0 et 13.27.0.
Action recommandée : Mettre à jour vers Laravel 12.68.0 ou ultérieur, ou 13.27.0 ou ultérieur.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte et SvelteKit a consulté les pages officielles d’avis de sécurité des projets. Les avis visibles sur ces pages sont antérieurs à la période demandée; aucune nouveauté de sécurité datée du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00 n’a été vérifiée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis ou correctif de sécurité Symfony daté de la période demandée n’a été vérifié. Les avis Symfony repérés dans les sources consultées sont datés du 15 octobre 2026, hors période; les publications Symfony datées du 22 octobre repérées portent sur des nouveautés produit, pas sur la sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis ou correctif de sécurité, aucune exploitation ni mise à jour substantielle concernant Flask n’a été vérifié dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les résultats pertinents consultés renvoient notamment à des avis antérieurs; la publication de Flask-Security du 21 octobre est hors période et concerne une extension distincte.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié trois avis de sécurité Django REST framework publiés le 2026-10-22 pendant la période spécifiée : deux signalent des risques de déni de service par consommation de mémoire ou de CPU, et un une révocation de jeton qui peut échouer silencieusement. Les trois avis indiquent une correction dans Django REST framework 3.18.2.
Django REST framework : amplification mémoire par le charset des requêtes JSON
Django REST framework peut utiliser un codec de compression indiqué par le client dans le paramètre charset d’une requête JSON, ce qui permet d’amplifier fortement la mémoire consommée au-delà de la limite portant sur le corps reçu. Les versions de djangorestframework à partir de 3.6.4 et antérieures à 3.18.2 sont affectées ; mettre à jour vers 3.18.2.
Action recommandée : Mettre à jour djangorestframework vers 3.18.2.
Django REST framework : déni de service CPU par en-tête Accept
La négociation de contenu de Django REST framework peut consommer beaucoup de CPU en analysant à plusieurs reprises des en-têtes Accept volumineux comportant de nombreux paramètres cités. Les versions de djangorestframework antérieures à 3.18.2 sont affectées ; mettre à jour vers 3.18.2.
Action recommandée : Mettre à jour djangorestframework vers 3.18.2.
Django REST framework : suppression de TokenProxy sans révocation effective du jeton
Dans Django REST framework, appeler delete() sur une instance TokenProxy peut ne supprimer aucun jeton tout en donnant l’impression que l’opération a réussi. Le jeton reste alors valide et peut continuer à authentifier son détenteur.
Action recommandée : Mettre à niveau Django REST framework vers la version 3.18.2 ou une version ultérieure; vérifier les opérations de révocation effectuées par TokenProxy.
FastAPI
Recherche du sujet effectuée
La recherche dédiée n’a pas permis de vérifier de nouvel avis ou changement de sécurité concernant FastAPI dans la période demandée. Le candidat concerne Vibe-Trading, une application qui utilise FastAPI, et non une vulnérabilité du framework FastAPI lui-même; l’avis GitHub associé est daté du 29 juillet 2026 et son dernier changement indiqué est du 2 octobre 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Vérification incomplète
Recherche dédiée effectuée sur les avis et sources pertinentes de l’écosystème Express. Une nouvelle vulnérabilité body-parser (CVE-2026-111181) et un avis Multer (CVE-2026-113872) sont répertoriés pour le 22 octobre 2026. Les autres candidats ont été écartés parce qu’ils concernent un greffon WordPress homonyme, le middleware de Fastify ou un service TypeSpec, et non une vulnérabilité du projet Express.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. Les résultats consultés indiquent notamment des avis NestJS antérieurs, publiés le 2026-09-15, et une version publiée le 2026-10-19, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
La recherche dédiée a trouvé l’avis Oracle du Critical Patch Update MySQL d’octobre, daté du 2026-10-20, donc hors de la période demandée. Un avis général CERT-In sur plusieurs produits Oracle est daté du 2026-10-22, mais les éléments consultés ne permettent pas d’établir qu’il annonce une vulnérabilité MySQL nouvelle ou un changement substantiel survenu dans la période. Aucun item MySQL répondant aux critères n’est donc retenu. Aucun événement MySQL admissible n’est établi par les éléments fournis pour cette période : les candidats sont des fiches NVD publiées avant la période, et leur seule date dans la période est une date de modification, sans preuve d’un changement substantiel. Les candidats concernent des fiches NVD publiées le 20 octobre 2026 et modifiées le 22 octobre. Les éléments fournis n'établissent pas que ces modifications soient substantielles ; aucune nouveauté de sécurité admissible pour la période ne peut donc être retenue sur cette seule base. Les 11 fiches NVD fournies indiquent une publication le 20 octobre 2026 et une modification le 22 octobre. Les éléments fournis ne documentent pas de changement substantiel dans la période ; une modification administrative seule ne suffit pas à retenir une nouveauté. Aucun candidat ne démontre une vulnérabilité nouvelle, un correctif ou avis de sécurité, une exploitation, ni un changement substantiel survenu pendant la période. Les dates de mise à jour NVD fournies seules ne suffisent pas à établir un tel événement. Aucun événement admissible n’est établi pour MySQL dans ce lot pendant la période demandée. Les candidats indiquent des dates de modification NVD, mais ne documentent pas de changement substantiel intervenu durant cette période; une modification administrative seule ne constitue pas une nouveauté. A…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
La recherche dédiée n’a pas permis d’établir de vulnérabilité, d’avis ou de correctif concernant le projet PostgreSQL daté de la période demandée. Les éléments repérés concernent Splunk Enterprise, un modèle e-commerce utilisant PostgreSQL, ou WarehousePG, et ne constituent pas des événements de sécurité du projet PostgreSQL répondant aux critères de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Vérification incomplète
Niveau relevé : Élevée
La recherche a relevé dix vulnérabilités nouvellement publiées le 22 octobre 2026 concernant les pilotes MongoDB C#/.NET et C. Pour les avis du pilote C# consultés, la version corrigée indiquée est 3.13.0; le défaut du pilote C vise le backend Windows Kerberos/SSPI. Les éléments consultés ne permettent pas d’établir une exploitation active. Deux vulnérabilités du pilote MongoDB C# ont été publiées par la NVD le 22 octobre 2026 : une concernant la construction du schéma de chiffrement côté client et une autre la conversion de sous-types binaires BSON. Les éléments fournis ne permettent pas d’établir si les mises à jour NVD du 22 octobre pour CVE-2026-114396 et CVE-2026-113870 étaient substantielles.
MongoDB C# Driver : des champs prévus pour le chiffrement côté client peuvent rester en clair
Un composant de construction de schéma de chiffrement côté client du pilote MongoDB C# peut traiter des identifiants de champs fournis par l’appelant comme des expressions de motif sans les normaliser ni les valider. Le chiffrement prévu peut alors ne pas s’appliquer, exposant les valeurs en clair aux personnes ayant accès aux données, ou s’appliquer plus largement que prévu.
Action recommandée : Vérifier l’utilisation du chiffrement côté client dans les applications reposant sur le pilote MongoDB C# et consulter l’avis du fournisseur pour les versions corrigées.
Consommation mémoire non bornée lors de la désérialisation BSON
La désérialisation BSON dans le pilote MongoDB C# peut conserver sans limite des données dérivées d’une entrée, entraînant une croissance mémoire incontrôlée. Une entrée non fiable peut ainsi provoquer l’épuisement mémoire et un déni de service de l’application; mettre à jour vers la version corrigée.
Action recommandée : Mettre à jour le pilote MongoDB C# vers la version 3.13.0 ou ultérieure et limiter la désérialisation de contenu non fiable.
Neutralisation insuffisante des caractères point et dollar dans les chemins LINQ
Le pilote MongoDB C# transmet certains caractères `.` et `$` dans des noms de clés et chemins de champs issus de requêtes LINQ sans les neutraliser. Une entrée utilisateur peut ainsi rediriger des requêtes ou mises à jour vers d’autres champs, exposer des documents ou rendre certaines données illisibles; mettre à jour vers la version corrigée.
Action recommandée : Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; ne pas laisser des utilisateurs non fiables déterminer les clés ou identifiants transmis aux chemins LINQ.
Comparaison incomplète des certificats TLS dans le cache de connexions
Le pilote MongoDB C# compare les certificats TLS clients à partir de l’émetteur et du numéro de série seulement lors du partage de connexions en cache. Dans une application construisant des clients à partir de certificats fournis par différents utilisateurs, cela peut conduire au partage d’une connexion authentifiée sous l’identité d’un autre utilisateur; mettre à jour le pilote.
Action recommandée : Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; examiner les applications qui créent des clients depuis des certificats contrôlés par des utilisateurs.
Neutralisation insuffisante de valeurs dans la construction des mises à jour
Une faiblesse dans la construction de certaines instructions de mise à jour du pilote C# peut faire interpréter des valeurs fournies par l’application comme de la logique de requête plutôt que comme des données littérales. Un utilisateur pouvant influencer ces valeurs peut provoquer des modifications ou suppressions non prévues; mettre à jour vers la version corrigée.
Action recommandée : Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; contrôler les valeurs utilisateurs transmises aux méthodes de construction des mises à jour.
MongoDB C# Driver : contournement des contrôles d’intégrité BSON par conversion numérique
Une conversion numérique incorrecte dans le traitement BSON du pilote MongoDB C# permet à une valeur de sous-type binaire hors plage, issue d’un texte non fiable, de contourner des contrôles d’intégrité. Les données binaires mal formées qui en résultent peuvent être rejetées ou interprétées comme plus courtes par les lecteurs ultérieurs.
Action recommandée : Évaluer l’exposition des applications utilisant le pilote MongoDB C# pour analyser du texte non fiable et consulter l’avis du fournisseur pour les versions corrigées.
Collision de champs réservés dans les membres GeoJSON du pilote C#
Le pilote MongoDB C# n’empêche pas des membres GeoJSON supplémentaires d’entrer en collision avec des champs réservés, comme `type` ou `coordinates`. Des données mal formées peuvent alors être enregistrées et devenir illisibles par le pilote; mettre à jour vers la version corrigée.
Action recommandée : Mettre à jour le pilote MongoDB C# vers la version 3.13.0 ou ultérieure; éviter d’utiliser des noms de membres GeoJSON contrôlés par l’utilisateur.
Écriture mémoire hors limites dans l’authentification Windows du pilote C
Le pilote MongoDB C pour Windows peut subir un débordement d’entier dans le traitement d’authentification Kerberos/SSPI, conduisant à une allocation mémoire insuffisante puis à une écriture hors limites. Le risque concerne les builds clients utilisant ce backend et une configuration d’identifiants excessivement longue; mettre à jour le pilote concerné.
Action recommandée : Mettre à jour le pilote MongoDB C vers une version corrigée; vérifier spécifiquement les builds Windows utilisant SSPI/Kerberos.
Validation insuffisante de BSON brut dans le pilote C#
Le pilote MongoDB C# ne vérifie pas que la taille déclarée dans un document BSON brut ou différé correspond aux octets effectivement fournis, et transmet les données sans validation. Si une application accepte une telle entrée externe, des éléments de commande peuvent être ajoutés ou supprimés, avec des effets bornés par les privilèges de la base utilisés par l’application; appliquer le correctif.
Action recommandée : Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; ne pas accepter de BSON brut non fiable sans validation préalable.
Noms de champs commençant par `$` non rejetés dans FindOneAndReplace
Dans `FindOneAndReplace`, le pilote C# ne rejette pas certains documents de remplacement dont les noms de champs de premier niveau commencent par `$`, contrairement à d’autres opérations de remplacement. Si ces noms sont fournis par un utilisateur, le serveur peut traiter le document comme des opérateurs de mise à jour; mettre à jour le pilote et valider ces noms de champs.
Action recommandée : Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; valider ou rejeter les noms de champs fournis par l’utilisateur dans les documents de remplacement.
Écriture possible en clair de champs destinés au chiffrement côté client
Une conversion interne de noms sous certaines configurations d’encodage de texte peut empêcher le pilote .NET/C# d’appliquer les règles configurées de chiffrement de champs côté client. Des données destinées à être chiffrées peuvent alors être écrites en clair sans erreur; mettre à jour et vérifier les écritures protégées par chiffrement côté client.
Action recommandée : Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; vérifier que les données sensibles sont effectivement chiffrées au repos côté client.
Divulgation possible d’octets résiduels pendant la désérialisation BSON
Le composant de désérialisation BSON du pilote MongoDB C# peut renvoyer des octets résiduels d’un contenu antérieur lors du traitement d’une entrée spécialement construite. Dans certaines applications désérialisant des collections primitives, ces octets peuvent révéler une quantité limitée de données d’autres requêtes; mettre à jour le pilote.
Action recommandée : Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; éviter de désérialiser des données sérialisées non fiables avec les types concernés.
Redis
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité vérifié concernant Redis, daté de la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les candidats examinés portent soit sur des événements antérieurs à cette période, soit sur des vulnérabilités d’autres projets utilisant le protocole Redis.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les avis Caddy repérés dans les résultats consultés sont datés hors de cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
Les avis GitHub du projet correspondant aux quatre vulnérabilités indiquent une publication le 2026-10-05, hors de la période demandée. Les candidats signalent des mises à jour NVD le 2026-10-22, mais les informations consultées ne permettent pas d’établir qu’elles correspondent à un changement substantiel plutôt qu’à une mise à jour administrative; aucun item n’est donc retenu pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel n’a pas identifié de vulnérabilité, d’avis de sécurité, d’exploitation ni de changement substantiel publié pendant la période demandée, du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. Les avis de sécurité Babel repérés étaient antérieurs à cette période; les versions Babel publiées le 2026-10-23 sont postérieures à la borne de fin et ont été exclues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Les recherches ciblées n’ont pas identifié de nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant Elasticsearch daté du 22 octobre 2026 dans la période demandée. Les avis de sécurité Elasticsearch retrouvés étaient datés du 6 octobre 2026, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Les pages de sécurité RabbitMQ et les résultats consultés ne montrent aucun nouvel avis, correctif, cas d’exploitation ni changement substantiel daté du 2026-10-22 dans la période demandée. Les avis RabbitMQ visibles dans les sources consultées sont datés antérieurement; une mise à jour de page au 2026-10-22 ne suffit pas à établir un nouvel événement de sécurité à cette date.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel concernant Memcached daté de la période du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. Les avis et vulnérabilités Memcached repérés dans les sources consultées étaient datés d’avant cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Vérification incomplète
Niveau relevé : Élevée
La recherche a identifié, dans la période demandée, deux vulnérabilités de déni de service dans graphql-core, un avis de pollution de prototype dans @graphql-tools/utils, ainsi qu’une vulnérabilité GitLab liée à l’application des permissions sur un champ GraphQL. La modification NVD de CVE-2026-113779 a été exclue : les éléments fournis établissent une publication antérieure à la période et ne démontrent pas un changement substantiel intervenu pendant celle-ci.
Consommation excessive de CPU lors de la validation GraphQL dans GraphQL-core
La règle OverlappingFieldsCanBeMerged de GraphQL-core peut répéter des comparaisons coûteuses de champs et de fragments imbriqués pendant la validation d’une requête. Une requête spécialement construite peut monopoliser les processeurs de travail avant l’exécution des résolveurs; des versions corrigées sont indiquées en 3.2.12 et 3.3.0rc1.
Action recommandée : Mettre à niveau vers une version corrigée, 3.2.12 ou 3.3.0rc1 selon la branche.
GraphQL-core — épuisement mémoire par commentaires contournant max_tokens
GraphQL-core ne comptabilise pas les commentaires ignorés par l’analyse lexicale dans sa limite max_tokens, alors que leurs jetons restent alloués en mémoire. Un document GraphQL fortement rempli de commentaires peut ainsi épuiser la mémoire d’un service exposé; les versions correctrices indiquées sont 3.2.12 et 3.3.0rc1.
Action recommandée : Mettre à niveau vers GraphQL-core 3.2.12 ou 3.3.0rc1 selon la branche utilisée; appliquer également des limites de taille de requête côté service.
@graphql-tools/utils : pollution de prototype via des segments de chemin non primitifs
Une validation incomplète des segments de chemin dans `mergeIncrementalResult` permet à un segment non primitif de contourner le contrôle des clés dangereuses. Un chemin malveillant fourni dans une réponse incrémentale peut alors écrire des propriétés sur `Object.prototype` et affecter le comportement d’autres objets du processus.
Action recommandée : Mettre à niveau vers @graphql-tools/utils 12.0.2 ou ultérieur. Éviter de fusionner des résultats incrémentaux provenant de sources non fiables tant que la mise à niveau n’est pas effectuée.
GitLab : contournement de restrictions de portée via un champ GraphQL
Une application insuffisante des permissions à un champ GraphQL pouvait permettre à un utilisateur authentifié doté d’un jeton `read_api` de récupérer l’adresse e-mail entrante d’un projet et de créer des work items, au-delà des droits du jeton. Les versions antérieures à 19.3.6, 19.4.3 et 19.5.1 sont concernées dans les branches indiquées; mettre à niveau vers la version corrigée correspondant à sa branche.
Action recommandée : Mettre à niveau GitLab CE/EE vers la version corrigée correspondant à la branche utilisée.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a relevé quatre nouvelles fiches de vulnérabilité publiées le 22 octobre 2026 pour des extensions de l’écosystème WooCommerce : MarketKing, ShopMagic, ЮKassa et Waitlist WooCommerce. Les simples mises à jour NVD de fiches déjà publiées n’ont pas été comptées comme des événements distincts.
MarketKing pour WooCommerce : défaut d’autorisation
Une vulnérabilité de contrôle d’accès manquant touche MarketKing pour WooCommerce jusqu’à la version 2.1.72 incluse. Le défaut peut permettre un accès non autorisé ; la version corrigée et les modalités précises d’exploitation ne sont pas établies par les éléments consultés.
Action recommandée : Vérifier la présence de MarketKing et appliquer une version corrigée dès qu’elle est confirmée par l’éditeur.
ShopMagic pour WooCommerce : risque d’exposition de données sensibles
ShopMagic pour WooCommerce jusqu’à la version 4.9.1 incluse présente un risque d’exposition de données sensibles dans un fichier ou répertoire accessible de l’extérieur. La version corrigée et les détails permettant de confirmer l’exposition ne sont pas établis par les éléments consultés.
Action recommandée : Vérifier la présence de ShopMagic et appliquer une version corrigée dès qu’elle est confirmée par l’éditeur.
ЮKassa pour WooCommerce : défaut d’autorisation
ЮKassa pour WooCommerce jusqu’à la version 2.17.3 incluse est affecté par un défaut d’autorisation. Les éléments consultés indiquent qu’un correctif est disponible, mais ne permettent pas d’établir ici sa version exacte.
Action recommandée : Mettre à jour ЮKassa pour WooCommerce vers une version corrigée.
Waitlist WooCommerce : vulnérabilité XSS stockée
Waitlist WooCommerce (Back in stock notifier) jusqu’à la version 2.9.1 incluse présente une vulnérabilité de type XSS stockée. La version corrigée et les conditions précises nécessaires à son déclenchement ne sont pas établies par les éléments consultés.
Action recommandée : Vérifier la présence de Waitlist WooCommerce et appliquer une version corrigée dès qu’elle est confirmée par l’éditeur.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée à Simple:Press n’a pas identifié de vulnérabilité, correctif ou avis de sécurité, exploitation, ni changement substantiel vérifiable daté du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. Les entrées consultées sur l’historique des vulnérabilités concernent des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
La recherche dédiée a identifié une mise à jour de sécurité Docker Desktop publiée le 22 octobre 2026 concernant la confiance accordée aux certificats eMudhra, ainsi qu’une annonce Docker du même jour sur la mise à jour de ses images PHP pour CVE-2026-109618 et CVE-2026-109619. Aucun candidat fourni ne porte sur une vulnérabilité, un avis ou un correctif Docker dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé trois vulnérabilités publiées le 22 octobre 2026 concernant le fournisseur Kubernetes Ingress NGINX de Traefik, ainsi qu’une publication CVE OpenBao touchant le renouvellement de jetons issus de l’authentification Kubernetes. Les mises à jour NVD de CVE-2026-86332 et CVE-2026-106487 ont été exclues : les éléments consultés indiquent des publications antérieures et ne démontrent pas de changement substantiel daté de la période.
Traefik : contournement de contrôles d’accès avec certains Ingress Kubernetes
Une erreur dans le fournisseur Kubernetes Ingress NGINX peut créer, pour certains Ingress annotés `ssl-passthrough`, un routeur HTTP qui n’applique pas les contrôles d’accès configurés. Un attaquant non authentifié pouvant atteindre ce point d’entrée peut alors accéder au backend protégé.
Action recommandée : Mettre à niveau Traefik vers 3.7.14.
Traefik : confusion de CA client dans le fournisseur Kubernetes Ingress NGINX
Dans le fournisseur Kubernetes Ingress NGINX de Traefik, des noms de secrets d’autorités de certification client qui deviennent identiques après normalisation peuvent entraîner une fusion de leurs CA. Un client disposant d’un certificat accepté par l’autre CA peut alors accéder à un hôte protégé par mTLS, tandis que des clients légitimes peuvent être refusés.
Action recommandée : Mettre à niveau Traefik vers 3.7.14.
Traefik : usurpation d’identité mTLS via des en-têtes HTTP
Le routeur HTTP en clair du fournisseur Kubernetes Ingress NGINX peut transmettre des en-têtes `Ssl-Client-*` fournis par le client. Lorsque les conditions de configuration décrites dans l’avis sont réunies, un attaquant non authentifié peut usurper des informations d’identité mTLS.
Action recommandée : Mettre à niveau Traefik vers 3.7.14.
OpenBao : renouvellement possible de jetons après révocation du compte de service Kubernetes
Lors du renouvellement d’un jeton émis par la méthode d’authentification Kubernetes, OpenBao ne revérifie pas que le jeton de compte de service ayant servi à l’authentification est toujours valide. Un utilisateur authentifié peut ainsi prolonger l’accès après la suppression de ce compte de service.
Action recommandée : Mettre à niveau vers OpenBao 2.6.4 ou 2.7.1, selon la branche utilisée.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche web dédiée a été réalisée. Pour les 11 candidats, les dates de publication fournies sont antérieures à la période ; seule une date de mise à jour NVD tombe dans la période, sans élément vérifiable établissant qu’elle correspond à un nouvel avis, un correctif, une exploitation ou un changement substantiel. Aucun item n’est donc retenu sur la base des éléments consultés. Aucune nouveauté admissible n’est établie pour Linux (noyau) dans ce lot : les candidats signalent des mises à jour NVD du 22 octobre pour des fiches publiées en juillet, sans preuve fournie d’un changement substantiel daté de la période. Conformément à la consigne, aucune recherche web n’a été effectuée. Les candidats correspondent à des fiches NVD publiées avant la période. Le lot indique une mise à jour de ces fiches le 2026-10-22, mais ne fournit pas de preuve qu’un changement substantiel — plutôt qu’une modification administrative — ait eu lieu pendant la période. Un avis Debian daté du 22 octobre 2026 annonce une mise à jour de sécurité de linux-6.12. Les éléments fournis ne précisent pas les CVE concernées.
Debian publie une mise à jour de sécurité pour linux-6.12
Debian a publié un avis de sécurité pour le paquet linux-6.12, signalant plusieurs vulnérabilités susceptibles d’entraîner une élévation de privilèges, un déni de service ou une fuite d’informations. L’avis fourni ne précise ni les CVE concernées ni les versions corrigées ; consultez DLA-4850-1 et appliquez les mises à jour Debian correspondantes.
Action recommandée : Installer les mises à jour Debian correspondant à DLA-4850-1.
Debian
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche web dédiée a repéré les avis Debian publiés le 22 octobre 2026 concernant AIDE, Chromium, une régression de webkit2gtk, Linux LTS et Expat. Les entrées détaillées ci-dessus couvrent les avis AIDE et les quatre CVE cités dans l’avis Expat; l’avis Chromium multi-CVE et la mise à jour de régression webkit2gtk sont exclus de cette sélection, faute d’éléments par CVE permettant de renseigner les fiches sans attribuer à chaque CVE des informations globales.
Debian publie une mise à jour de sécurité pour AIDE
Debian a publié une mise à jour de sécurité d’AIDE après la découverte de deux vulnérabilités pouvant permettre à un utilisateur local de contourner la détection de fichiers malveillants. Les versions concernées et les versions corrigées ne sont pas précisées dans les éléments consultés.
Action recommandée : Installer la mise à jour Debian applicable au paquet AIDE.
Debian LTS publie une mise à jour de sécurité pour AIDE
Debian a publié une mise à jour de sécurité pour AIDE concernant deux vulnérabilités susceptibles de permettre à un utilisateur local de contourner la détection de fichiers malveillants. L’avis LTS ne précise pas ici les identifiants CVE ni les versions corrigées.
Action recommandée : Installer la mise à jour Debian LTS applicable au paquet AIDE.
DLA-4849-1 corrige incomplètement traité dans Expat
L’avis Debian LTS indique que le correctif antérieur de cette vulnérabilité d’Expat était incomplet, car une partie du correctif n’était activée qu’avec XML_GE. La mise à jour signalée active cette option; les versions affectées et corrigées ne sont pas établies par les informations consultées.
Action recommandée : Appliquer la mise à jour Debian LTS d’Expat.
Dépassement de tampon sur le tas dans Expat
L’avis Debian LTS signale un dépassement de tampon sur le tas dans Expat, dans doProlog de xmlparse.c. Le défaut survient lors d’une réallocation du tableau de structures quand des analyseurs partagent des structures de données; les versions affectées et corrigées ne sont pas précisées ici.
Action recommandée : Appliquer la mise à jour Debian LTS d’Expat.
Lecture hors limites dans XML_ParseBuffer d’Expat
L’avis Debian LTS décrit une lecture hors limites dans le tas de XML_ParseBuffer, susceptible de révéler des pointeurs du tas, de fonctions libc et de code. L’avis indique que ces informations peuvent aider à contourner l’ASLR et à construire d’autres primitives d’exploitation; il ne donne pas ici les versions affectées ou corrigées.
Action recommandée : Appliquer la mise à jour Debian LTS d’Expat.
Dépassement d’entier dans expat_realloc() sur 32 bits
L’avis Debian LTS signale un dépassement d’entier dans expat_realloc() sur les systèmes 32 bits, lors du calcul des tailles d’allocation. Le défaut se trouve dans le code ajouté pour corriger CVE-2025-59375; les versions affectées et corrigées ne sont pas indiquées ici.
Action recommandée : Appliquer la mise à jour Debian LTS d’Expat, notamment sur les systèmes 32 bits.
Alpine Linux
Recherche du sujet effectuée
La recherche dédiée sur Alpine Linux n’a pas permis de vérifier de vulnérabilité, d’avis ou de correctif daté dans la période demandée. Le site du projet annonce des versions Alpine le 2026-10-21, hors de la période figée ; cette annonce n’est donc pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Vérification incomplète
La recherche a identifié un avis Red Hat publié le 22 octobre 2026 concernant CVE-2026-63045 dans Apache HTTP Server. Les sources consultées n’établissent pas d’autre événement Apache HTTP Server daté dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Recherche du sujet effectuée
Aucune vulnérabilité ou évolution de sécurité concernant le logiciel Nginx n’a été vérifiée pour la période demandée. Les candidats portent sur Traefik et son fournisseur Kubernetes Ingress NGINX : la mention « NGINX » désigne ici le type d’intégration, pas le produit Nginx.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
Niveau relevé : Critique
Deux failles de PHP (CVE-2026-109618 et CVE-2026-109619) ont fait l’objet d’un signalement de ciblage rapporté le 2026-10-22. Leur avis initial et les correctifs PHP datent du 2026-10-21, hors de la période figée; ils ne sont donc pas présentés comme de nouvelles publications de la période. Aucun candidat ne concerne le produit PHP lui-même : les fiches portent sur des vulnérabilités de produits tiers (CMS, extensions WordPress et autres applications), même lorsque leur code ou leurs chemins font référence à PHP. Aucun candidat ne concerne une vulnérabilité ou un avis de sécurité du langage ou de l’environnement d’exécution PHP. Les candidats décrivent des vulnérabilités dans des extensions, applications ou produits distincts, même lorsque leurs composants sont écrits en PHP. Aucune vulnérabilité nouvelle, publication d’avis, exploitation ou changement substantiel concernant PHP n’est établi dans les candidats fournis pour la période. Les CVE publiées pendant la période concernent PhpSpreadsheet, qui est une bibliothèque PHP, mais pas PHP lui-même; les autres candidats sont hors sujet ou correspondent à des modifications NVD de fiches anciennes sans preuve d’un changement substantiel. Aucune vulnérabilité PHP/PHP-FPM pertinente pour la période n’est établie par les candidats fournis. Les candidats qui concernent des produits PHP tiers ne documentent pas une vulnérabilité du langage PHP ou de PHP-FPM, et leurs dates de publication ne se situent pas dans la période demandée. Aucune information du lot ne répond aux critères de la période pour PHP : les autres candidats concernent des produits distincts, et la fiche sur php-archive indique une mise à jour NVD sans preuve d’un changement substantiel daté de la période. Aucun candidat ne concerne PHP lui-même : les produits…
PHP : exécution de code à distance affectant les sites WordPress — CVE-2026-109618
PHP a publié des correctifs pour CVE-2026-109618, une vulnérabilité critique pouvant permettre l’exécution de code à distance sans authentification sur un serveur PHP affecté. Les sites WordPress hébergés sur ces versions sont concernés au niveau de PHP, et non de WordPress ; mettez à jour PHP ou le paquet fourni par votre hébergeur, puis redémarrez les processus PHP ou redéployez les conteneurs.
Action recommandée : Mettre à jour PHP vers une version corrigée, ou installer le paquet corrigé indiqué par le fournisseur de la distribution ou l’hébergeur ; redémarrer PHP ou reconstruire et redéployer les conteneurs.
PHP : exécution de code à distance affectant les sites WordPress — CVE-2026-109619
PHP a publié des correctifs pour CVE-2026-109619, une vulnérabilité critique pouvant permettre l’exécution de code à distance sans authentification sur un serveur PHP affecté. Les sites WordPress hébergés sur ces versions sont concernés au niveau de PHP, et non de WordPress ; mettez à jour PHP ou le paquet fourni par votre hébergeur, puis redémarrez les processus PHP ou redéployez les conteneurs.
Action recommandée : Mettre à jour PHP vers une version corrigée, ou installer le paquet corrigé indiqué par le fournisseur de la distribution ou l’hébergeur ; redémarrer PHP ou reconstruire et redéployer les conteneurs.
WWBN AVideo : des comptes délégués peuvent affecter les comptes administrateurs
Une vérification d’autorisation incorrecte dans WWBN AVideo permet à des comptes délégués disposant du rôle Users Admin de modifier ou supprimer des comptes administrateurs. La source indique que les versions antérieures à 29.4.0 sont affectées.
Action recommandée : Mettre à niveau AVideo vers la version 29.4.0 ou une version ultérieure.
Roundcube Webmail : primitive d’injection d’objet dans la désérialisation de session
Une primitive d’injection d’objet PHP a été identifiée dans rcube_session::unserialize() de Roundcube Webmail. Les versions antérieures à 1.6.20 ainsi que les versions 1.7.x antérieures à 1.7.5 sont affectées.
Action recommandée : Mettre à niveau vers Roundcube 1.6.20 ou ultérieure, ou vers 1.7.5 ou ultérieure pour la branche 1.7.x.
php-travel-agency-system : injection SQL dans le gestionnaire d’insertion
Une injection SQL à distance a été signalée dans le gestionnaire d’insertion de php-travel-agency-system, via plusieurs paramètres de requête. La source indique que l’exploit est public, mais ne précise ni version affectée ni correctif disponible.
Action recommandée : Évaluer l’exposition de l’application et appliquer un correctif éditeur dès qu’il est disponible; la source ne signale pas de version corrigée.
Grav : exposition possible des identifiants HTTP Basic via le contenu Twig
Du contenu Twig fourni par un auteur de page peut exposer les identifiants HTTP Basic des visiteurs dans Grav. Les versions de 2.0.0 à celles antérieures à 2.2.5 sont indiquées comme affectées.
Action recommandée : Mettre à niveau Grav vers la version 2.2.5 ou une version ultérieure.
WordPress
Recherche du sujet effectuée
Niveau relevé : Critique
Les sources consultées et les candidats fournis signalent dix avis WordPress publiés par le NVD le 2026-10-22 dans la période demandée. Ils concernent des extensions et portent notamment sur divulgation de données, exécution de scripts, élévation de privilèges, modification de configuration, contrôle d’accès et suppression de médias. Six vulnérabilités affectant WordPress Core ou des extensions WordPress ont fait l’objet d’une publication NVD pendant la période : trois XSS stockées, un défaut permettant la modification de noms de comptes et deux défauts d’autorisation. Les informations disponibles indiquent des versions corrigées pour Link Library, MasterStudy LMS et WebP Express, mais pas pour les trois autres éléments. Une nouvelle vulnérabilité de JetBackup pour WordPress a été publiée par le NVD dans la période : elle permet à un administrateur authentifié d’écrire des fichiers hors du répertoire de restauration via un lien symbolique. La version corrective indiquée est 3.1.24.10. Aucun événement WordPress admissible n’est établi par ce lot pour la période. Les candidats sont des vulnérabilités publiées le 2026-08-19 ; leur mise à jour NVD du 2026-10-22 est signalée, mais les éléments fournis ne démontrent pas qu’elle correspond à un changement substantiel plutôt qu’à une modification administrative. Aucun élément fourni ne permet de confirmer une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté de la période. Les candidats sont des modifications de fiches NVD; les données fournies ne précisent pas la nature des changements apportés pendant cette période. Quatre nouvelles fiches CVE WordPress ont été publiées le 22 octobre 2026 dans le lot fourni : FluentCart (divulgation de données), WP Ultimate Review (…
PHP : exécution de code à distance affectant les sites WordPress — CVE-2026-109618
PHP a publié des correctifs pour CVE-2026-109618, une vulnérabilité critique pouvant permettre l’exécution de code à distance sans authentification sur un serveur PHP affecté. Les sites WordPress hébergés sur ces versions sont concernés au niveau de PHP, et non de WordPress ; mettez à jour PHP ou le paquet fourni par votre hébergeur, puis redémarrez les processus PHP ou redéployez les conteneurs.
Action recommandée : Mettre à jour PHP vers une version corrigée, ou installer le paquet corrigé indiqué par le fournisseur de la distribution ou l’hébergeur ; redémarrer PHP ou reconstruire et redéployer les conteneurs.
PHP : exécution de code à distance affectant les sites WordPress — CVE-2026-109619
PHP a publié des correctifs pour CVE-2026-109619, une vulnérabilité critique pouvant permettre l’exécution de code à distance sans authentification sur un serveur PHP affecté. Les sites WordPress hébergés sur ces versions sont concernés au niveau de PHP, et non de WordPress ; mettez à jour PHP ou le paquet fourni par votre hébergeur, puis redémarrez les processus PHP ou redéployez les conteneurs.
Action recommandée : Mettre à jour PHP vers une version corrigée, ou installer le paquet corrigé indiqué par le fournisseur de la distribution ou l’hébergeur ; redémarrer PHP ou reconstruire et redéployer les conteneurs.
XSS stockée dans WebP Express
WebP Express n’échappe pas certaines valeurs réémises dans des attributs d’éléments par son analyseur HTML intégré, lorsque le mode de diffusion d’image non standard est activé. Un utilisateur non authentifié peut ainsi soumettre du contenu qui provoque une XSS stockée chez les personnes consultant une page affectée ; les versions antérieures à 0.25.16 sont concernées.
Action recommandée : Mettre à jour WebP Express vers la version 0.25.16 ou ultérieure.
HIPAA Forms : élévation de privilèges par modification du rôle personnalisé
HIPAA Forms, avant la version 3.3.2, ne contrôle pas les permissions lors d’une requête qui reconstruit son rôle utilisateur personnalisé. Un utilisateur possédant déjà ce rôle peut lui accorder des capacités d’administrateur et élever ses privilèges.
Action recommandée : Mettre à jour HIPAA Forms vers une version corrigée; la version corrective n’est pas précisée dans les éléments fournis.
PixelYourSite : XSS stocké via cookie et cache pleine page
PixelYourSite avant 11.4.3 et PixelYourSite Pro avant 12.6.8 n’échappent pas correctement une valeur de cookie avant de l’insérer dans la page. Sur un site utilisant un cache pleine page, un attaquant non authentifié peut provoquer la mise en cache d’un contenu XSS servi ensuite à d’autres visiteurs.
Action recommandée : Mettre à jour PixelYourSite vers 11.4.3 ou ultérieure et PixelYourSite Pro vers 12.6.8 ou ultérieure.
Royal MCP : jeton de prévisualisation réutilisable comme authentification générale
Royal MCP avant la version 1.5.7 ne limite pas un jeton de prévisualisation à la prévisualisation pour laquelle il a été émis. Une personne qui obtient un jeton valide peut être authentifiée comme son propriétaire sur l’ensemble de l’API REST, ce qui peut conduire à une prise de contrôle du site.
Action recommandée : Mettre à jour Royal MCP vers la version 1.5.7 ou ultérieure.
JetBackup pour WordPress : écriture arbitraire de fichiers via un lien symbolique
CVE-2026-104068 concerne JetBackup pour WordPress : un administrateur authentifié pouvait exploiter un lien symbolique dans une archive de sauvegarde pour écrire des fichiers hors du répertoire de restauration prévu. Selon la destination accessible en écriture et la configuration du serveur, cela pouvait conduire à l’exécution de code ; mettre à jour JetBackup vers la version 3.1.24.10 ou ultérieure.
Action recommandée : Mettre à jour JetBackup vers la version 3.1.24.10 ou ultérieure.
XSS stockée dans WordPress Core via Quick Edit
Une vulnérabilité XSS stockée dans WordPress Core permet à un utilisateur authentifié ayant le rôle Contributor ou supérieur d’injecter du script via Quick Edit, qui peut s’exécuter lorsqu’un utilisateur privilégié visite les écrans d’administration concernés. Le problème concerne les sites comptant un grand nombre d’utilisateurs et les versions jusqu’à 7.0.2 incluse ; aucun correctif n’est indiqué dans les informations fournies.
Action recommandée : Surveiller la publication d’un correctif et limiter l’accès aux rôles Contributor et supérieurs ; vérifier les écrans d’administration sur les sites comptant de nombreux utilisateurs.
XSS stockée dans le plugin Link Library
Le plugin Link Library ne nettoie ni n’échappe un champ de lien avant de l’insérer dans un attribut HTML de l’aperçu, ce qui permet une XSS stockée aux utilisateurs ayant le rôle Contributor ou supérieur. L’aperçu peut être généré sans authentification et avant approbation du lien ; les versions antérieures à 7.9.6 sont concernées.
Action recommandée : Mettre à jour Link Library vers la version 7.9.6 ou ultérieure.
Défaut d’autorisation dans Falcon – WordPress Optimizations & Tweaks
Le plugin Falcon – WordPress Optimizations & Tweaks présente une vulnérabilité d’autorisation manquante liée à une configuration incorrecte des contrôles d’accès. Les informations fournies indiquent que les versions jusqu’à 2.12.0 sont affectées, sans préciser les fonctions accessibles ni une version corrigée.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et limiter l’accès au plugin dans l’intervalle.
Défaut d’autorisation dans miniOrange Page Restriction
Le plugin miniOrange Page Restriction WordPress présente une vulnérabilité d’autorisation manquante due à des niveaux de contrôle d’accès mal configurés. Les versions jusqu’à 1.6.0 sont indiquées comme affectées ; les informations fournies ne précisent ni les fonctions concernées ni le correctif disponible.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et limiter l’accès au plugin dans l’intervalle.
FluentCart : exposition possible des adresses de clients
FluentCart, avant la version 2.2.0, ne vérifie pas que l’adresse client choisie lors du paiement appartient à la personne qui passe la commande. Un attaquant non authentifié peut ainsi exposer des adresses postales, numéros de téléphone et coordonnées d’entreprise d’autres clients.
Action recommandée : Mettre à jour FluentCart vers une version corrigée; la version corrective n’est pas précisée dans les éléments fournis.
WP Ultimate Review : exécution de shortcodes via les avis publics
WP Ultimate Review, avant la version 2.4.5, ne neutralise pas les shortcodes dans tous les champs du formulaire public d’avis. Si les avis et l’affichage du champ concerné sont activés, un visiteur non authentifié peut provoquer l’exécution de shortcodes lorsque l’avis est affiché.
Action recommandée : Mettre à jour vers une version corrigée; la version corrective n’est pas précisée dans les éléments fournis. En attendant, désactiver les avis publics ou l’affichage du champ concerné si possible.
MB Custom Post Types & Custom Taxonomies : migration relançable sans authentification
MB Custom Post Types & Custom Taxonomies avant la version 2.12.3 autorise une requête non authentifiée à relancer une migration de données historique sans contrôle de capacité. Sur les sites mis à niveau depuis une version antérieure à 2.0, cela peut rétablir d’anciennes définitions et exposer publiquement du contenu auparavant restreint.
Action recommandée : Mettre à jour le plugin vers la version 2.12.3 ou ultérieure.
Photo Engine : XSS stocké dans les noms de collections et de galeries
Photo Engine (Media Organizer & Lightroom) avant la version 6.5.8 ne nettoie ni n’échappe correctement les noms de collections et de galeries affichés dans le tableau de bord. Un utilisateur authentifié disposant du rôle Auteur ou supérieur peut ainsi provoquer une XSS stockée dans l’administration.
Action recommandée : Mettre à jour Photo Engine vers la version 6.5.8 ou ultérieure.
Photo Engine : suppression non autorisée de pièces jointes
Photo Engine (Media Organizer & Lightroom) avant la version 6.5.8 ne vérifie pas que l’utilisateur est autorisé à agir sur la pièce jointe ciblée. Des utilisateurs authentifiés ayant le rôle Auteur ou supérieur peuvent supprimer des médias appartenant à d’autres utilisateurs, y compris des administrateurs.
Action recommandée : Mettre à jour Photo Engine vers la version 6.5.8 ou ultérieure.
Modification non autorisée des noms de comptes dans MasterStudy LMS
Dans MasterStudy LMS, un utilisateur ayant le rôle Instructor peut modifier les prénom, nom et nom d’affichage de n’importe quel compte, y compris celui d’un administrateur, via la fonction d’inscription des étudiants. L’absence de vérification du lien entre l’instructeur et le compte ciblé expose les versions antérieures à 3.7.55 à des risques d’usurpation d’identité et d’hameçonnage.
Action recommandée : Mettre à jour MasterStudy LMS vers la version 3.7.55 ou ultérieure.
Infility Global : modification non autorisée d’une configuration de traduction
Infility Global, avant la version 2.16.25, expose une action AJAX sans vérification d’autorisation ni de nonce, accessible sans authentification. Un visiteur peut écraser une valeur de configuration de traduction automatique appartenant à un plugin Infility Global compagnon également antérieur à la version 2.16.25.
Action recommandée : Mettre à jour Infility Global et le plugin compagnon concerné vers une version corrigée; la version corrective n’est pas précisée dans les éléments fournis.
MB Custom Post Types & Custom Taxonomies : accès excessif à la fonction d’export
La fonction d’export de MB Custom Post Types & Custom Taxonomies avant la version 2.12.3 ne vérifie pas les capacités de l’utilisateur. Un utilisateur ayant un rôle aussi limité que Contributeur peut consulter des configurations réservées aux administrateurs et des informations relatives à des contenus non publics d’autres utilisateurs.
Action recommandée : Mettre à jour le plugin vers la version 2.12.3 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
La recherche dédiée à PrestaShop n’a vérifié aucun avis, correctif, exploitation ou incident de sécurité PrestaShop daté de la période demandée. Le candidat concerne des vulnérabilités du moteur PHP, et non du core, d’un module ou d’un thème PrestaShop ; il est donc exclu de cet inventaire à sujet unique.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit a relevé une publication du projet datée du 2026-10-22, mais les informations consultées ne la présentent pas comme un avis de sécurité ni comme un correctif de vulnérabilité. Les avis et CVE Cockpit repérés dans les résultats étaient datés d’autres jours ; aucun item répondant aux critères de la période n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée sur CloudPanel n’a pas permis de vérifier de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant CloudPanel daté de la période du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. Les résultats pertinents repérés concernent notamment une discussion CloudPanel ouverte le 2026-10-21, donc antérieure à la période, et des vulnérabilités PHP plutôt que des vulnérabilités propres à CloudPanel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité et aux publications du projet Uptime Kuma n’a identifié aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel daté du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. L’avis GHSA-wf2j-5mc7-5c4w, repéré dans les sources consultées, a été publié le 2026-10-09 et se situe hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée n’a pas mis en évidence d’avis, de correctif ou d’événement de sécurité MariaDB vérifiable dans la période demandée. Les résultats MariaDB repérés concernaient des avis antérieurs au 22 octobre ou une publication datée du 23 octobre, hors de la période; le candidat Laravel ne concerne pas MariaDB.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant phpMyAdmin daté de la période du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. La page officielle de sécurité consultée répertorie des avis jusqu’en 2025, sans avis de 2026 apparaissant dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Aucune nouveauté de sécurité pgAdmin datée du 2026-10-22 n’a été vérifiée dans les sources consultées. Les avis pgAdmin visibles dans les résultats consultés concernent d’autres dates; ils ne sont pas retenus pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée n’a vérifié aucun avis, correctif ou événement de sécurité propre à Virtualmin dans la période demandée. Les résultats faisant état de vulnérabilités PHP concernent PHP et ne constituent pas, à eux seuls, un avis de sécurité Virtualmin; les publications Virtualmin repérées ne documentent pas de changement de sécurité dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation signalée ou de changement substantiel daté dans la période demandée (du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu). Les pages officielles consultées recensent des avis antérieurs; le changelog indique Webmin 2.680 daté du 23 octobre, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a relevé trois avis Nuxt pertinents publiés ou intégrés à la GitHub Advisory Database le 22 octobre 2026 : CVE-2026-114130, CVE-2026-114131 et CVE-2026-114133. Nuxt étant un framework pour Vue.js, ces avis relèvent du sujet ; aucun des éléments consultés ne confirme une exploitation active.
Nuxt : des segments encodés peuvent contourner les règles de route et appMiddleware
Nuxt peut comparer les règles de route au chemin brut de la requête alors que le routeur décode les segments encodés, ce qui peut empêcher l’application de `appMiddleware` à une page protégée et exposer sa réponse SSR. La correction indiquée est Nuxt 3.21.4 ou 4.4.4, selon la branche ; mettre à niveau vers une version corrigée ou ultérieure.
Action recommandée : Mettre à niveau vers Nuxt 3.21.4 ou ultérieur, ou Nuxt 4.4.4 ou ultérieur, selon la branche utilisée.
Nuxt : entrée useHeadSafe insuffisamment filtrée dans les Server Islands
Dans certains composants ou pages Nuxt Server Island, l’entrée transmise à `useHeadSafe` peut être sérialisée sans conserver la marque indiquant qu’elle doit rester filtrée, puis insérée dans l’en-tête de page comme une entrée ordinaire. Si des données contrôlées par un attaquant sont fournies à cet appel, cela peut conduire à une XSS ; l’avis indique une correction dans Nuxt 4.6.2.
Action recommandée : Mettre à niveau vers Nuxt 4.6.2 ou une version ultérieure.
Nuxt : contournement de correction `javascript:` avec `pages` désactivé
Une correction antérieure de Nuxt pouvait être contournée lorsque l’application n’utilisait pas le système `pages` et que l’URL était préfixée d’un caractère de contrôle ASCII. La valeur pouvait être rendue dans un lien et, si un utilisateur cliquait dessus, être interprétée comme une URL `javascript:`.
Action recommandée : Mettre à niveau vers Nuxt 4.6.0; ne pas lier de données non fiables à `:to` sans validation.
Vite
Recherche du sujet effectuée
La recherche a repéré un avis Vite, GHSA-8g5g-mxqh-grgj, publié le 2026-10-21, donc avant la période demandée, qui commence le 2026-10-22 à 00:00 +02:00. Aucun avis ou changement substantiel relatif à Vite daté dans la période du 2026-10-22 à 00:00 +02:00 au 2026-10-23 à 00:00 +02:00 n’a été vérifié. Le candidat CVE-2026-114063 concerne SvelteKit et l’avis GitHub correspondant est daté du 2026-10-05 ; la mise à jour NVD signalée le 2026-10-22 ne suffit pas à établir une nouveauté substantielle sur Vite.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Vérification incomplète
Niveau relevé : Moyenne
La recherche dédiée a identifié quatre avis Nuxt publiés dans la période du 2026-10-22 : CVE-2026-114130, CVE-2026-114131, CVE-2026-114133 et CVE-2026-114132. Les fiches NVD fournies pour les trois premiers CVE portent une date de publication antérieure ; leur simple mise à jour du 22 octobre n’a pas été traitée comme un nouvel événement, mais les avis GitHub correspondants publiés pendant la période sont retenus.
Nuxt : les règles serveur peuvent être ignorées pour des chemins différant par la casse
Avec le routage insensible à la casse par défaut, Nuxt peut résoudre une page malgré une différence de casse dans l’URL, tandis que le moteur serveur ne trouve pas la règle de route correspondante. Des règles serveur de redirection, d’en-têtes, de proxy ou de rendu peuvent donc être omises pour ces chemins.
Action recommandée : Mettre à niveau vers Nuxt 4.6.2 ou une version ultérieure, ou rendre le routage sensible à la casse et vérifier les contrôles serveur des routes concernées.
Next.js
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié une nouvelle vulnérabilité Next.js publiée pendant la période : CVE-2026-94482, un déni de service affectant certaines applications App Router utilisant des Server Actions. Les versions corrigées indiquées sont 15.5.28 et 16.4.1. Les autres candidats ont été écartés car leur avis est daté hors période ou concerne un produit tiers.
Next.js : déni de service via l’App Router et les Server Actions
Une requête spécialement construite peut provoquer une consommation excessive de CPU et bloquer le traitement d’autres requêtes dans le même processus. Le problème concerne les applications utilisant l’App Router avec au moins une Server Action ; le Pages Router et l’App Router sans Server Actions ne sont pas concernés.
Action recommandée : Mettre à niveau vers Next.js 15.5.28 ou 16.4.1, selon la branche utilisée, ou vers une version corrigée ultérieure.
React
Recherche du sujet effectuée
La recherche a trouvé un avis Next.js relatif à un déni de service dans le traitement des Server Actions. Next.js étant un framework distinct, et non le projet React lui-même, cet avis est hors du sujet demandé; l’avis GitHub consulté indique une publication le 14 octobre 2026, avant la période figée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée sur Angular n’a pas identifié de nouvel avis, correctif, exploitation ni changement substantiel daté du 2026-10-22 dans les sources consultées. L’avis Angular GHSA-jfgx-762w-99vr a été publié le 2026-10-16, donc hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a identifié deux avis de sécurité Astro publiés pendant la période : une injection CSS dans les View Transitions (CVE-2026-114127) et une XSS dans certains contextes JSX/MDX (CVE-2026-114128). Les correctifs indiqués sont respectivement Astro 7.3.3 et Astro 7.3.2.
Astro : XSS via enfants dynamiques non échappés dans JSX/MDX
Dans le rendu JSX/MDX, des enfants chaîne dynamiques de `script` ou `style` pouvaient être émis sans échappement. Une application qui y transmet des données contrôlées par un attaquant pouvait subir une XSS réfléchie ou stockée.
Action recommandée : Mettre à niveau vers Astro 7.3.2 ou une version ultérieure et auditer les interpolations concernées.
Astro : injection CSS dans les View Transitions
Le générateur CSS serveur d’Astro ne confinait pas certaines valeurs de propriétés d’animation dans leur déclaration CSS. Une valeur contrôlée par un attaquant pouvait injecter du CSS dans la page rendue, sans pouvoir selon l’avis sortir de l’élément généré pour injecter du HTML ou du JavaScript.
Action recommandée : Mettre à niveau vers Astro 7.3.3 et ne pas fournir de valeurs d’animation non fiables avant la mise à jour.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Critique
Trois avis de sécurité pertinents pour des bibliothèques ou SDK TypeScript ont été publiés pendant la période : Better Auth, Amazon Strands Agents SDK et GraphQL Tools. La mise à jour NVD de CVE-2026-113787 concerne une vulnérabilité initialement publiée avant la période; aucune preuve d’un changement substantiel daté dans la fenêtre n’a été établie.
Better Auth — contournement de l’authentification Magic Link via l’état OAuth
Dans certaines configurations combinant Magic Link et OAuth, Better Auth pouvait accepter l’état OAuth comme jeton Magic Link, permettant à un attaquant non authentifié d’ouvrir une session au nom d’un utilisateur sans contrôler sa boîte mail. Le problème concerne les versions depuis 1.4.0-beta.18 jusqu’à 1.7.7 et a été corrigé en 1.7.7.
Action recommandée : Mettre à niveau Better Auth vers la version 1.7.7 ou ultérieure.
@graphql-tools/utils : pollution de prototype via des segments de chemin non primitifs
Une validation incomplète des segments de chemin dans `mergeIncrementalResult` permet à un segment non primitif de contourner le contrôle des clés dangereuses. Un chemin malveillant fourni dans une réponse incrémentale peut alors écrire des propriétés sur `Object.prototype` et affecter le comportement d’autres objets du processus.
Action recommandée : Mettre à niveau vers @graphql-tools/utils 12.0.2 ou ultérieur. Éviter de fusionner des résultats incrémentaux provenant de sources non fiables tant que la mise à niveau n’est pas effectuée.
Strands Agents SDK pour Python : défaut d’isolation des conversations A2A
Dans le composant serveur A2A de Strands Agents SDK pour Python avant 1.43.0, des appelants authentifiés peuvent accéder à l’historique de conversation d’autres tenants et y ajouter des instructions persistantes. Ces instructions peuvent modifier le comportement du modèle lors des appels ultérieurs d’autres utilisateurs.
Action recommandée : Mettre à niveau le paquet strands-agents vers la version 1.43.0 ou ultérieure.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche a relevé des publications NVD datées de la période portant sur des vulnérabilités impliquant JavaScript, notamment des XSS dans plusieurs applications et un déni de service via le logger JavaScript de Splunk Web. Pour les candidats anciens, les observations d’exploitation rapportées sont antérieures à la période ; elles ne démontrent pas une exploitation pendant celle-ci. Les informations postérieures à la borne de fin n’ont pas été utilisées comme événements de la période. Une fiche NVD publiée pendant la période décrit une XSS réfléchie dans LocalStack 4.9.2. Les candidats correspondant à des modifications de fiches déjà publiées n’apportent pas, dans les informations fournies, de preuve d’un changement substantiel survenu pendant la période. Les candidats concernent des logiciels JavaScript, mais les éléments fournis indiquent seulement une mise à jour de fiche NVD pendant la période. Ils ne précisent pas quels changements ont été apportés ni ne permettent de vérifier qu’un avis, un correctif ou une information substantielle a été publié dans la période. Les sources fournies indiquent huit fiches NVD publiées le 2026-10-22 concernant des vulnérabilités impliquant JavaScript, dont des XSS dans plusieurs produits. Les données transmises ne signalent pas de correctif pour toutes les vulnérabilités ; les événements d’exploitation historiques mentionnés sont antérieurs à la période. Le lot contient des avis datés du 22 octobre 2026 concernant des vulnérabilités et correctifs dans des bibliothèques JavaScript, dont des XSS, des contournements de contrôles, des injections CSS et des dénis de service. Un avis Keycloak publié antérieurement n’est retenu que pour une mise à jour administrative à la date de la période, sans preuve d’un changement substantiel lié à…
Code malveillant dans formatting-subtitles (npm)
L’avis GHSA-2cph-9873-fh57 signale du code malveillant dans le paquet npm formatting-subtitles@1.0.2. Son script preinstall exécute des commandes shell qui contactent un collecteur externe et téléchargent puis exécutent un script depuis un GitHub Gist, exposant la machine qui lance l’installation à l’exécution de code arbitraire et à une fuite de métadonnées.
Action recommandée : Éviter d’installer formatting-subtitles@1.0.2. Si ce paquet a été installé, isoler la machine concernée, enquêter sur l’exécution du script et rechercher d’éventuelles données ou secrets exposés.
Sentry JavaScript : contournement du middleware avec tunnelRoute et webpack
Avec tunnelRoute et une compilation webpack, l’exclusion du middleware peut couvrir des chemins plus larges que ceux réellement traités par la réécriture vers Sentry. Si une route de l’application correspond à ces chemins et que le middleware est son seul contrôle d’autorisation, une requête non authentifiée peut le contourner.
Action recommandée : Mettre à jour @sentry/nextjs vers une version corrigée et vérifier que les routes protégées ne reposent pas uniquement sur le middleware.
DOMPurify : expressions de template conservées dans les shadow roots
Dans certains modes de retour DOM, `SAFE_FOR_TEMPLATES` ne réexamine pas les expressions de template réunies dans le contenu d’un shadow root attaché après nettoyage. Si ce contenu est ensuite interprété par un moteur de templates, l’expression peut être évaluée; l’impact dépend de ce moteur et de la configuration de l’application.
Action recommandée : Mettre à niveau vers DOMPurify 3.4.17; éviter de transmettre à un moteur de templates le contenu de shadow roots nettoyé dans les configurations concernées.
Splunk Enterprise — déni de service via le logger JavaScript de Splunk Web
Une requête non authentifiée spécialement construite pouvait bloquer le traitement des requêtes par Splunk Web. Le service restait indisponible jusqu’au redémarrage de Splunk Enterprise.
Action recommandée : Mettre à niveau Splunk Enterprise vers la version corrigée correspondant à la branche utilisée.
XSS stockée dans OCO-Server
OCO-Server avant la version 1.2.1 présente une XSS stockée dans un nom d’hôte intégré à un gestionnaire JavaScript en ligne, qui peut s’exécuter lorsqu’un administrateur active un bouton de commande. Un attaquant doit notamment disposer de la clé d’enregistrement des agents et l’auto-inscription doit être activée ; la fiche NVD est datée du 2026-10-22.
Action recommandée : Mettre à niveau OCO-Server vers la version 1.2.1 ou une version ultérieure ; désactiver l’auto-inscription si elle n’est pas nécessaire.
Agent Zero — XSS dans l’interface Web
Agent Zero Web UI avant la version 1.15 ne nettoie pas correctement certaines entrées fournies par l’utilisateur dans les messages de discussion ou les téléversements de fichiers. Lorsque le contenu est reproduit dans l’interface, du JavaScript injecté peut s’exécuter dans la session authentifiée de la personne qui le consulte.
Action recommandée : Mettre à niveau Agent Zero vers la version 1.15 ou une version ultérieure.
toml : déni de service quadratique via des clés pointées ou chemins de table longs
`toml.parse()` recalcule le préfixe complet d’une clé à chaque segment pour plusieurs formes de clés et de chemins de table. Un document comportant un chemin pointé très long peut déclencher un coût quadratique, bloquer l’analyse et, avec des entrées suffisamment volumineuses, épuiser la mémoire du processus.
Action recommandée : Mettre à niveau vers toml 5.0.1 ou ultérieur. En attendant, limiter la taille des documents TOML non fiables et la longueur de leurs clés pointées.
XSS réfléchie dans QCubed
QCubed 2.2.0 à 3.1.1 présente une vulnérabilité XSS réfléchie exploitable sans authentification via le paramètre installation_path. La fiche NVD est datée du 2026-10-22, mais les éléments fournis ne donnent pas de version corrigée ni d’action de remédiation.
Action recommandée : Éviter d’exposer les versions concernées et vérifier auprès du projet si une version corrigée est disponible.
XSS réfléchie dans Discourse
Discourse 1.9.0.beta2 à une version antérieure à 1.9.0.beta13 présente une vulnérabilité XSS réfléchie dans la page de désinscription par courriel. La fiche NVD est datée du 2026-10-22 ; aucun correctif ni conseil d’action n’est fourni dans les éléments transmis.
Action recommandée : Mettre à niveau vers Discourse 1.9.0.beta13 ou une version ultérieure.
XSS réfléchie dans Sickbeard
Sickbeard jusqu’au build 507 présente une vulnérabilité XSS réfléchie dans le test de nommage du post-traitement. La fiche NVD est datée du 2026-10-22 ; les éléments fournis ne mentionnent pas de correctif, et les observations d’exploitation citées datent de 2023.
Action recommandée : Vérifier auprès du projet l’existence d’un correctif et éviter l’exposition des versions concernées.
XSS réfléchie dans WPML Multilingual CMS
Le plugin WPML Multilingual CMS pour WordPress avant la version 4.6.1 présente une XSS réfléchie liée au paramètre wp_lang. La fiche NVD est datée du 2026-10-22 ; les observations d’exploitation signalées sont antérieures à la période du bulletin.
Action recommandée : Mettre à niveau WPML Multilingual CMS vers la version 4.6.1 ou une version ultérieure.
XSS via le proxy d’images de Retool
Retool avant la version 3.88.0 présente une vulnérabilité XSS liée au proxy d’images, permettant de servir un SVG malveillant depuis l’origine Retool. La fiche NVD est datée du 2026-10-22 ; les éléments indiquent la version corrigée 3.88.0, mais l’exploitation signalée date de 2024.
Action recommandée : Mettre à niveau Retool vers la version 3.88.0 ou une version ultérieure.
Astro : XSS via enfants dynamiques non échappés dans JSX/MDX
Dans le rendu JSX/MDX, des enfants chaîne dynamiques de `script` ou `style` pouvaient être émis sans échappement. Une application qui y transmet des données contrôlées par un attaquant pouvait subir une XSS réfléchie ou stockée.
Action recommandée : Mettre à niveau vers Astro 7.3.2 ou une version ultérieure et auditer les interpolations concernées.
CVE-2026-84919 : XSS stockée dans PhotoSwipe
PhotoSwipe – Responsive JavaScript Modal Image Gallery est affecté par une vulnérabilité XSS stockée. Les versions jusqu’à 5.0.9 sont mentionnées comme concernées; la source ne fournit pas de version corrigée ni de contournement.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
XSS stockée dans OpenCATS
OpenCATS présente une XSS stockée avant la version 0.12.0 : des noms ou titres de fiches peuvent être affichés sans échappement dans le panneau de navigation « Recent ». La fiche NVD est datée du 2026-10-22 ; la version corrigée n’est pas précisée dans les éléments transmis.
Action recommandée : Mettre à niveau vers une version corrigée dès qu’elle est identifiée auprès du mainteneur.
ammonia : XSS conditionnelle via `annotation-xml` MathML
Une faille XSS basée sur une confusion de parsing entre HTML et MathML peut permettre l’injection de JavaScript si certaines balises sont autorisées. Le risque est limité aux configurations qui autorisent à la fois `math`, `annotation-xml` et une balise raw text, tout en supprimant l’attribut `encoding`.
Action recommandée : Mettre à niveau vers ammonia 3.3.2, 4.0.2 ou 4.1.3 selon la branche utilisée; à défaut, appliquer le contournement indiqué.
stream-json : déni de service CPU via les filtres de chemin de FlexAssembler
Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué est traité. Le problème concerne les configurations utilisant un filtre string ou RegExp ; les filtres fonctionnels et l’absence de règles ne sont pas concernés selon l’avis.
Action recommandée : Mettre à niveau vers stream-json 3.7.0 ou ultérieur. Si la mise à niveau n’est pas possible, éviter les filtres string ou RegExp sur FlexAssembler et limiter la profondeur des entrées.
Nuxt : contournement de correction `javascript:` avec `pages` désactivé
Une correction antérieure de Nuxt pouvait être contournée lorsque l’application n’utilisait pas le système `pages` et que l’URL était préfixée d’un caractère de contrôle ASCII. La valeur pouvait être rendue dans un lien et, si un utilisateur cliquait dessus, être interprétée comme une URL `javascript:`.
Action recommandée : Mettre à niveau vers Nuxt 4.6.0; ne pas lier de données non fiables à `:to` sans validation.
Astro : injection CSS dans les View Transitions
Le générateur CSS serveur d’Astro ne confinait pas certaines valeurs de propriétés d’animation dans leur déclaration CSS. Une valeur contrôlée par un attaquant pouvait injecter du CSS dans la page rendue, sans pouvoir selon l’avis sortir de l’élément généré pour injecter du HTML ou du JavaScript.
Action recommandée : Mettre à niveau vers Astro 7.3.3 et ne pas fournir de valeurs d’animation non fiables avant la mise à jour.
DOMPurify : garde SMIL `attributeName=href` contournée en mode XHTML
En mode XHTML, DOMPurify peut ne pas appliquer une protection sur `attributeName` lorsque la casse est préservée, dans une configuration non par défaut autorisant certains éléments SVG. Une animation SMIL malveillante peut alors modifier le lien après nettoyage et mener à l’exécution de script lors d’un clic.
Action recommandée : Mettre à niveau vers DOMPurify 3.4.17; examiner les configurations XHTML qui autorisent `animate` et `attributeName`.
CVE-2025-69723 : XSS réfléchie dans LocalStack 4.9.2
Une vulnérabilité XSS réfléchie dans LocalStack 4.9.2 permet l’exécution de JavaScript dans le navigateur d’un utilisateur au moyen d’une URL conçue à cet effet. La fiche NVD a été publiée pendant la période considérée ; les informations fournies ne précisent ni version corrigée ni mesure d’atténuation.
Action recommandée : Consulter les mises à jour et recommandations de l’éditeur concernant LocalStack ; aucune version corrigée n’est indiquée dans les informations fournies.
HTML5
Vérification incomplète
La recherche a relevé deux avis GitHub publiés le 2026-10-22 concernant DOMPurify et le traitement de contenu HTML/XHTML. Aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CSS3
Recherche du sujet effectuée
La recherche web dédiée à CSS3/CSS n’a pas permis de vérifier de vulnérabilité nouvelle, d’avis ou de correctif de sécurité, d’exploitation, ni de changement substantiel daté dans la période demandée. Les résultats pertinents repérés renvoyaient à des informations hors période ; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche a repéré un signalement daté du 22 octobre sur des paquets npm malveillants se présentant comme des plugins Tailwind CSS. Ces paquets tiers ne sont pas le projet Tailwind CSS lui-même; les avis GitHub trouvés pour cette campagne sont datés du 20 octobre, hors de la période demandée. Aucun avis de sécurité ou correctif attribuable au projet Tailwind CSS et daté de la période n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée à Bootstrap n’a identifié aucun avis de sécurité ou correctif daté dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. La page des avis de sécurité GitHub du projet twbs/bootstrap indique qu’aucun avis n’y est publié. Le candidat CVE-2026-103090 concerne Google OSS Agent Mesh (SAM), et non le projet Bootstrap; sa date de publication NVD précède la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
Niveau relevé : Critique
Trois avis de sécurité vérifiés dans la période concernent webpack-dev-server (deux CVE) et l’intégration webpack de @sentry/nextjs (une CVE). Les correctifs indiqués sont webpack-dev-server 5.2.7 ou 6.1.0, et les versions corrigées de @sentry/nextjs précisées dans l’avis.
Sentry JavaScript : contournement du middleware avec tunnelRoute et webpack
Avec tunnelRoute et une compilation webpack, l’exclusion du middleware peut couvrir des chemins plus larges que ceux réellement traités par la réécriture vers Sentry. Si une route de l’application correspond à ces chemins et que le middleware est son seul contrôle d’autorisation, une requête non authentifiée peut le contourner.
Action recommandée : Mettre à jour @sentry/nextjs vers une version corrigée et vérifier que les routes protégées ne reposent pas uniquement sur le middleware.
webpack-dev-server : validation insuffisante des WebSockets proxifiés
Lorsque le proxy de webpack-dev-server relaie les WebSockets, des mises à niveau WebSocket non-HMR peuvent atteindre la cible sans validation adéquate des en-têtes Host et Origin. Une page malveillante visitée par un développeur peut alors accéder au backend proxifié ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour webpack-dev-server vers 5.2.7 ou 6.1.0, ou une version ultérieure.
webpack-dev-server : divulgation de chemins locaux via open-editor
L’endpoint open-editor peut contourner la validation de Host lorsqu’une valeur malformée commence par file: ou un schéma d’extension. Une requête réseau peut provoquer une réponse HTTP 500 exposant une trace d’exception et des chemins locaux ; le serveur ne s’arrête pas.
Action recommandée : Mettre à jour webpack-dev-server vers 5.2.7 ou 6.1.0, ou une version ultérieure.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a relevé, dans les sources consultées, aucun avis de sécurité, correctif, signalement d’exploitation ni changement substantiel daté du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les avis de sécurité visibles sur le dépôt GitHub sont datés antérieurement à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche web dédiée à Parcel (bundler JavaScript) n’a fait ressortir aucune vulnérabilité, aucun avis de sécurité, correctif ou changement substantiel vérifiable dans la période du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. Un résultat concernant SmartyParcel a été écarté : il désigne un produit distinct et sa publication indiquée précède la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Niveau relevé : Élevée
Deux avis de sécurité publiés le 2026-10-22 concernent des composants de l’écosystème Node.js : body-parser (CVE-2026-111181) et multer (CVE-2026-113872). Les avis indiquent des correctifs respectivement dans body-parser 1.20.9/2.4.0 et multer 2.5.0. Deux vulnérabilités publiées le 2026-10-22 concernent des composants Node.js : body-parser et multer. Les correctifs indiqués sont respectivement body-parser 1.20.9 ou 2.4.0, et multer 2.5.0. Les avis fournis et datés du 2026-10-22 signalent des vulnérabilités dans des dépendances de l’écosystème Node.js (stream-json, Nodemailer, @graphql-tools/utils, toml et Fastify), ainsi qu’un avis général CERT-FR sur Node.js. Les actions correctives indiquées dans les avis de dépendances sont présentées par vulnérabilité ; l’extrait CERT-FR ne fournit pas les détails par CVE.
@graphql-tools/utils : pollution de prototype via des segments de chemin non primitifs
Une validation incomplète des segments de chemin dans `mergeIncrementalResult` permet à un segment non primitif de contourner le contrôle des clés dangereuses. Un chemin malveillant fourni dans une réponse incrémentale peut alors écrire des propriétés sur `Object.prototype` et affecter le comportement d’autres objets du processus.
Action recommandée : Mettre à niveau vers @graphql-tools/utils 12.0.2 ou ultérieur. Éviter de fusionner des résultats incrémentaux provenant de sources non fiables tant que la mise à niveau n’est pas effectuée.
toml : déni de service quadratique via des clés pointées ou chemins de table longs
`toml.parse()` recalcule le préfixe complet d’une clé à chaque segment pour plusieurs formes de clés et de chemins de table. Un document comportant un chemin pointé très long peut déclencher un coût quadratique, bloquer l’analyse et, avec des entrées suffisamment volumineuses, épuiser la mémoire du processus.
Action recommandée : Mettre à niveau vers toml 5.0.1 ou ultérieur. En attendant, limiter la taille des documents TOML non fiables et la longueur de leurs clés pointées.
body-parser : arrêt du processus par une erreur de décompression non interceptée
Une requête HTTP comportant un encodage compressé suivi d’octets résiduels peut provoquer une exception non interceptée et arrêter le processus Node.js utilisant body-parser. Les versions affectées sont antérieures à 1.20.9 dans la branche 1.x et de 2.0.0 à avant 2.4.0 dans la branche 2.x.
Action recommandée : Mettre à niveau vers body-parser 2.4.0, 1.20.9 ou une version ultérieure.
multer : arrêt du processus lors de l’abandon d’un téléversement
Avec un fileFilter asynchrone, l’abandon d’une requête pendant le traitement d’un fichier peut provoquer une erreur non interceptée et arrêter le processus Node.js. Le problème concerne les versions de multer à partir de 2.0.0 et antérieures à 2.5.0; les fileFilter synchrones ne sont pas concernés.
Action recommandée : Mettre à niveau vers multer 2.5.0 ou une version ultérieure.
toml : déni de service CPU via des littéraux entiers démesurément longs
`toml.parse()` convertit des entiers de longueur arbitraire en `BigInt` avant de vérifier leur plage, ce qui peut coûter beaucoup de CPU. Un littéral numérique très long dans une entrée TOML peut bloquer la boucle événementielle pendant plusieurs secondes.
Action recommandée : Mettre à niveau vers toml 5.0.1 ou ultérieur. Dans l’intervalle, limiter la taille des entrées TOML non fiables.
toml : déni de service quadratique via de nombreux tableaux de tables
Le compilateur TOML rescane des ensembles de chemins accumulés pour chaque en-tête de tableau de tables, donnant un coût quadratique lorsque de nombreux chemins distincts sont présents. Une entrée TOML de taille modeste peut bloquer la boucle événementielle pendant plusieurs secondes.
Action recommandée : Mettre à niveau vers toml 5.0.1 ou ultérieur. Dans l’intervalle, limiter le volume de documents TOML non fiables et le nombre d’en-têtes de tableaux de tables.
stream-json : déni de service CPU via les filtres de chemin de FlexAssembler
Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué est traité. Le problème concerne les configurations utilisant un filtre string ou RegExp ; les filtres fonctionnels et l’absence de règles ne sont pas concernés selon l’avis.
Action recommandée : Mettre à niveau vers stream-json 3.7.0 ou ultérieur. Si la mise à niveau n’est pas possible, éviter les filtres string ou RegExp sur FlexAssembler et limiter la profondeur des entrées.
Nodemailer : déni de service lors de la signature DKIM via des en-têtes pliés
Le parseur DKIM de Nodemailer traite les lignes de continuation d’en-tête avec une complexité quadratique. Un en-tête très long comportant de nombreuses lignes pliées peut ainsi bloquer la boucle événementielle pendant la signature, si l’application autorise ces données et que DKIM est activé.
Action recommandée : Mettre à niveau vers Nodemailer 10.0.10 ou ultérieur. En complément, limiter la taille des en-têtes et le nombre de destinataires contrôlables par les utilisateurs.
Fastify : contournement de validation d’en-têtes par différence de casse dans propertyNames
Fastify ne normalise pas les noms d’en-têtes contenus dans les `enum` et `const` d’un sous-schéma `propertyNames`. Une contrainte de liste de refus ou d’autorisation écrite avec la casse canonique peut donc ne pas correspondre aux noms d’en-têtes normalisés en minuscules et laisser passer un en-tête inattendu.
Action recommandée : Mettre à niveau vers Fastify 5.12.6 ou ultérieur. À défaut, écrire en minuscules les noms d’en-têtes des contraintes ou appliquer la validation dans un hook.
CERT-FR : multiples vulnérabilités dans Node.js
CERT-FR signale plusieurs vulnérabilités dans Node.js, dont certaines pourraient permettre une exécution de code à distance, un contournement de la politique de sécurité ou un impact non précisé par l’éditeur. L’extrait fourni ne donne ni les CVE ni les versions affectées ou correctives ; il ne permet donc pas de détailler ces vulnérabilités séparément.
Action recommandée : Consulter l’avis CERT-FR pour les détails et appliquer les mises à jour Node.js qu’il recommande.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
Neuf publications NVD concernant des projets Python ont été retenues pour la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. La publication de CVE-2026-114501 est antérieure à la période; sa mise à jour dans NVD pendant la période ne constitue pas, à elle seule, une nouvelle vulnérabilité ou un changement substantiel vérifié. Deux nouvelles vulnérabilités concernant des composants Python ont été publiées pendant la période : un contournement de contrôle TLS dans Authlib et un défaut d’isolation des conversations dans le serveur A2A de Strands Agents SDK. Les autres candidats sont des mises à jour NVD sans preuve fournie d’un changement substantiel pendant la période, ou sont hors période. Les candidats concernent des vulnérabilités de virtualenv publiées avant la période. Les fiches indiquent une mise à jour NVD le 2026-10-22, mais les éléments fournis ne permettent pas d’établir qu’un changement substantiel a eu lieu ce jour-là plutôt qu’une modification administrative; aucun item n’est donc retenu. Les candidats signalent des mises à jour de fiches NVD pendant la période, mais les éléments fournis ne documentent aucun changement substantiel intervenu à ces dates. Ils ne sont donc pas retenus comme nouveautés du bulletin. Aucune nouveauté admissible n’est établie pour Python à partir de ce lot : les candidats indiquent une publication le 2026-10-21, antérieure à la période, et une mise à jour NVD le 2026-10-22 sans preuve fournie d’un changement substantiel. Le lot contient des publications et mises à jour substantielles documentées pendant la période pour plusieurs bibliothèques Python, ainsi que deux avis GitHub publiés ce jour-là. Les événements retenus concernent notamment la corruption mémoire, la divulgation de données, l’injection de requêtes…
Pillow : corruption mémoire lors du chargement de certaines images multi-images
Pillow peut réutiliser un tampon natif d’une image précédente après un changement de mode dans certains chargeurs multi-images, entraînant une corruption mémoire native, un plantage et, dans un scénario MPO, une exécution de commandes a été démontrée. Les versions de Pillow à partir de 11.0.0 et antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0.
Django REST framework : amplification mémoire par le charset des requêtes JSON
Django REST framework peut utiliser un codec de compression indiqué par le client dans le paramètre charset d’une requête JSON, ce qui permet d’amplifier fortement la mémoire consommée au-delà de la limite portant sur le corps reçu. Les versions de djangorestframework à partir de 3.6.4 et antérieures à 3.18.2 sont affectées ; mettre à jour vers 3.18.2.
Action recommandée : Mettre à jour djangorestframework vers 3.18.2.
Django REST framework : déni de service CPU par en-tête Accept
La négociation de contenu de Django REST framework peut consommer beaucoup de CPU en analysant à plusieurs reprises des en-têtes Accept volumineux comportant de nombreux paramètres cités. Les versions de djangorestframework antérieures à 3.18.2 sont affectées ; mettre à jour vers 3.18.2.
Action recommandée : Mettre à jour djangorestframework vers 3.18.2.
Consommation excessive de CPU lors de la validation GraphQL dans GraphQL-core
La règle OverlappingFieldsCanBeMerged de GraphQL-core peut répéter des comparaisons coûteuses de champs et de fragments imbriqués pendant la validation d’une requête. Une requête spécialement construite peut monopoliser les processeurs de travail avant l’exécution des résolveurs; des versions corrigées sont indiquées en 3.2.12 et 3.3.0rc1.
Action recommandée : Mettre à niveau vers une version corrigée, 3.2.12 ou 3.3.0rc1 selon la branche.
GraphQL-core — épuisement mémoire par commentaires contournant max_tokens
GraphQL-core ne comptabilise pas les commentaires ignorés par l’analyse lexicale dans sa limite max_tokens, alors que leurs jetons restent alloués en mémoire. Un document GraphQL fortement rempli de commentaires peut ainsi épuiser la mémoire d’un service exposé; les versions correctrices indiquées sont 3.2.12 et 3.3.0rc1.
Action recommandée : Mettre à niveau vers GraphQL-core 3.2.12 ou 3.3.0rc1 selon la branche utilisée; appliquer également des limites de taille de requête côté service.
Strands Agents SDK pour Python : défaut d’isolation des conversations A2A
Dans le composant serveur A2A de Strands Agents SDK pour Python avant 1.43.0, des appelants authentifiés peuvent accéder à l’historique de conversation d’autres tenants et y ajouter des instructions persistantes. Ces instructions peuvent modifier le comportement du modèle lors des appels ultérieurs d’autres utilisateurs.
Action recommandée : Mettre à niveau le paquet strands-agents vers la version 1.43.0 ou ultérieure.
Flexible GraphRAG — injection Cypher via le backend FalkorDB
Flexible GraphRAG permet une injection Cypher lorsque des contenus influencés par un attaquant sont ingérés avec le backend FalkorDB concerné. Selon l’usage de l’application, un attaquant peut modifier ou supprimer des données du graphe et, dans certains cas, en divulguer; la correction est indiquée en version 0.8.2.
Action recommandée : Mettre à niveau Flexible GraphRAG vers la version 0.8.2 ou ultérieure; vérifier les déploiements utilisant simultanément le backend LangChain et FalkorDB.
dnspython — consommation excessive de CPU par pointeurs DNS de compression
dnspython peut effectuer un nombre excessif de parcours de pointeurs de compression contrôlés par l’émetteur lors du décodage d’un nom DNS. Le traitement de messages DNS non fiables peut alors consommer beaucoup de CPU et dégrader ou interrompre le service; la correction est disponible en version 2.9.0.
Action recommandée : Mettre à niveau dnspython vers la version 2.9.0 ou ultérieure; éviter de traiter des messages DNS non fiables avec une version vulnérable.
Fuite mémoire lors du décodage de maps dans msgpack-python
L’extension C de msgpack-python peut ne pas libérer une valeur décodée lorsque le rejet d’une clé de map survient avec strict_map_key=True, valeur par défaut. Des entrées malformées répétées peuvent faire croître sans limite la mémoire du processus; le défaut est corrigé en version 1.2.3.
Action recommandée : Mettre à niveau msgpack-python vers la version 1.2.3 ou ultérieure.
Pillow : débordement de tampon dans l’encodeur JPEG
L’encodeur JPEG de Pillow peut écrire au-delà d’un tampon de tas lors de la réémission d’une image contenant un profil ICC volumineux et un commentaire. Les versions de Pillow à partir de 9.4.0 et antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0 ; examiner les traitements qui réenregistrent en JPEG des images non fiables en conservant leur profil ICC.
netlicensing-mcp — contournement d’authentification en mode HTTP
En mode HTTP, netlicensing-mcp laisse passer les requêtes sans clé client et peut alors utiliser la clé NetLicensing configurée côté serveur pour appeler l’API en amont. Un attaquant non authentifié peut ainsi invoquer des opérations sous l’identité du compte opérateur; la version corrigée indiquée est 0.1.6.
Action recommandée : Mettre à niveau netlicensing-mcp vers la version 0.1.6 ou ultérieure.
PyJWT — acceptation d’une clé HMAC vide provenant d’un JWK
PyJWT peut accepter la vérification d’un jeton HMAC signé avec une clé vide lorsque la clé est fournie par un JWK oct contenant une valeur k vide. Cela peut permettre la falsification de jetons sur les chemins de vérification PyJWK, PyJWKSet ou PyJWKClient; la version corrigée indiquée est 2.14.0.
Action recommandée : Mettre à niveau PyJWT vers la version 2.14.0 ou ultérieure; examiner les usages de PyJWK, PyJWKSet et PyJWKClient avec des JWKS non fiables.
Pillow : épuisement de ressources lors de l’ajout à un PDF malformé
Lors de l’ajout d’une image à un PDF existant, Pillow peut parcourir de façon répétée des références dupliquées dans un arbre de pages malformé et consommer beaucoup de temps processeur. Les versions affectées commencent à 5.1.0 et incluent les versions antérieures à 13.0.0 ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0 ; éviter d’ajouter des images à des PDF non fiables avec une version vulnérable.
Pillow : boucle infinie dans TarIO provoquée par une taille TAR négative
TarIO de Pillow peut boucler indéfiniment et consommer un processeur à pleine charge lorsqu’il rencontre un en-tête TAR dont la taille est négative. Les versions antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0 ; éviter de transmettre des archives non fiables à TarIO dans les versions vulnérables.
Pillow : déni de service par traitement quadratique de l’EXIF PNG
Le traitement EXIF d’un PNG contenant un grand nombre de marqueurs répétés peut prendre un temps quadratique et monopoliser le processeur. Les versions de Pillow à partir de 11.0.0 et antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0.
Pillow sous Windows : lecture hors limites lors du rendu WMF/EMF
Sur les versions Windows de Pillow, des dimensions WMF/EMF malformées peuvent faire lire au gestionnaire natif au-delà du tampon alloué, car les dimensions utilisées pour l’allocation sont tronquées à 16 bits tandis que la copie utilise les valeurs complètes. Les versions antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0, en particulier sur les systèmes Windows qui traitent des fichiers WMF ou EMF non fiables.
OpenTelemetry Python — déni de service par analyse coûteuse de tracestate
OpenTelemetry Python peut subir une forte consommation CPU lors de l’analyse d’un en-tête tracestate W3C malformé contenant une longue séquence d’espaces ou de tabulations. Un en-tête suffisamment grand peut retarder ou bloquer le traitement de requêtes; le correctif est disponible en version 1.45.1.
Action recommandée : Mettre à niveau opentelemetry-api vers la version 1.45.1 ou ultérieure; limiter la taille des en-têtes entrants si la mise à niveau n’est pas immédiate.
Pylint — exécution de code via un cache de statistiques pickle modifiable
Pylint peut charger avec pickle des fichiers de statistiques stockés dans un répertoire de cache prévisible. Un attaquant capable d’écrire dans un tel répertoire peut y placer un fichier malveillant qui exécutera du code avec les privilèges du prochain utilisateur lançant Pylint; le correctif est inclus en version 4.0.9.
Action recommandée : Mettre à niveau Pylint vers la version 4.0.9 ou ultérieure; ne pas utiliser de répertoire PYLINT_HOME partagé ou modifiable par des utilisateurs non fiables.
Requêtes réseau et tentatives d’accès local via le chargement d’images de fpdf2
fpdf2 peut récupérer des URL HTTP(S) ou tenter d’ouvrir des chemins locaux contrôlés par l’utilisateur lors de l’insertion d’images, de HTML, de SVG ou d’images de modèle. Cela peut entraîner des requêtes vers des services internes ou externes et, dans certaines conditions, l’accès à des fichiers locaux compatibles; la correction est disponible en version 2.8.8.
Action recommandée : Mettre à niveau fpdf2 vers la version 2.8.8 ou ultérieure.
Consommation exponentielle de ressources par des références SVG dans fpdf2
Le traitement de références SVG imbriquées dans fpdf2 peut dupliquer de manière exponentielle l’arbre graphique en mémoire. Un SVG de petite taille peut ainsi provoquer une consommation excessive de CPU et de mémoire et faire échouer la génération des PDF; le défaut est corrigé en version 2.8.8.
Action recommandée : Mettre à niveau fpdf2 vers la version 2.8.8 ou ultérieure.
Pillow — divulgation de mémoire lors de l’export Arrow
L’export Arrow de Pillow peut inclure des octets non initialisés ou issus de mémoire résiduelle lorsque l’alignement des lignes ajoute du remplissage ou un décalage avant la première ligne. Dans les applications concernées, cela peut divulguer des pixels ou d’autres données du processus; le correctif est inclus dans Pillow 13.0.0.
Action recommandée : Mettre à niveau Pillow vers la version 13.0.0 ou ultérieure, en particulier si l’application configure PILLOW_ALIGNMENT et exporte des images au format Arrow.
Pillow — contournement de la protection contre les images démesurées dans MPO et DCX
Pillow ne réapplique pas la protection contre les images démesurées lors du changement d’image dans les formats MPO et DCX. Un fichier dont la première image est petite mais une image suivante surdimensionnée peut contourner la vérification et provoquer une forte consommation mémoire ou un épuisement de mémoire; la correction est indiquée en version 13.0.0.
Action recommandée : Mettre à niveau Pillow vers la version 13.0.0 ou ultérieure; traiter avec prudence les fichiers MPO et DCX non fiables tant que la mise à niveau n’est pas faite.
Pillow : déni de service par amplification mémoire dans le décodage BMP RLE
Le décodeur BMP RLE de Pillow peut allouer une quantité de mémoire disproportionnée à partir d’un fichier BMP malveillant, provoquant un déni de service. Les versions jusqu’à 12.x sont affectées ; mettre Pillow à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0.
Pillow : dépassement d’entier signé lors du calcul de largeur PILfont
Une somme d’avances de glyphes PILfont négatives peut provoquer un dépassement signé indéfini dans Pillow et fausser fortement la largeur renvoyée par getlength(). Les versions antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.0.
Action recommandée : Mettre à jour Pillow vers 13.0.0.
Authlib : contournement possible de l’exigence TLS lors de contrôles d’URL
Dans Authlib de 0.13 à avant 1.8.0, une comparaison textuelle incorrecte peut faire accepter comme sécurisé un URL HTTP dont l’hôte réel n’est pas une adresse de bouclage. Cela peut contourner une vérification imposant TLS pour certaines URL fournies par un utilisateur, notamment lors de la validation de métadonnées OIDC.
Action recommandée : Mettre à niveau Authlib vers la version 1.8.0 ou ultérieure.
Java
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un nouvel avis concernant une bibliothèque Java d’analyse JSON a été publié dans la période : CVE-2026-110974. Les autres candidats ont été exclus car ils sont hors période, concernent un produit distinct de Java, ou ne présentent dans les éléments consultés qu’une mise à jour NVD antérieure à la période sans preuve d’un changement de sécurité substantiel. Les candidats fournis sont des fiches NVD dont la date de mise à jour tombe dans la période, mais les éléments transmis n’établissent pas la nature ni le contenu des changements effectués à ces dates. Aucun nouvel avis, correctif ou changement substantiel concernant Java dans la période ne peut donc être confirmé à partir de ce lot. Une vulnérabilité de déni de service par JSON profondément imbriqué a été publiée le 2026-10-22 pour com.vaadin.external.google:android-json 0.0.20131108.vaadin1. Aucun correctif n’est prévu ; le remplacement de la dépendance est recommandé.
Un JSON profondément imbriqué peut faire échouer le parseur android-json
Une entrée JSON profondément imbriquée peut provoquer un StackOverflowError lors de son analyse et faire échouer le thread qui la traite. La version affectée est com.vaadin.external.google:android-json 0.0.20131108.vaadin1 ; aucun correctif n’est prévu, et le remplacement conseillé est org.json:json 20231013 ou une version ultérieure.
Action recommandée : Remplacer la dépendance vulnérable par une implémentation qui limite la profondeur d’imbrication ; aucun correctif n’est prévu pour l’artefact concerné.
TYPO3
Vérification incomplète
La recherche a relevé la publication, le 22 octobre 2026, de TYPO3 14.3.10 avec des mises à jour de dépendances signalées comme répondant à des avis de sécurité. Les sources consultées ne donnent pas assez d’éléments pour établir des CVE, des versions affectées ou un impact précis.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Drupal
Recherche du sujet effectuée
Niveau relevé : Critique
Les fiches NVD fournies indiquent dix vulnérabilités touchant des modules Drupal, publiées le 22 octobre 2026. Les versions affectées et scores ci-dessus reprennent les fiches NVD; les correctifs et l’exploitation active n’ont pas été confirmés. La date de l’avis Drupal lié à CVE-2026-84916 reste à vérifier. Les candidats fournis signalent dix fiches NVD publiées le 2026-10-22 pour des vulnérabilités touchant des modules Drupal. Les données du lot décrivent des injections SQL, des XSS, des défauts d’autorisation, un contournement d’authentification, une falsification de signature et une redirection ouverte; elles ne précisent généralement pas les versions corrigées ni l’exploitation active. Les fiches NVD fournies signalent dix vulnérabilités publiées le 22 octobre 2026 dans Drupal Key auth, Patreon, SafeDelete et SAML SSO – Service Provider. Les données disponibles ne précisent pas de versions corrigées ni d’exploitation confirmée. Les fiches NVD fournies signalent dix vulnérabilités publiées le 22 octobre 2026 dans des modules Drupal contribués : SAML SSO – Service Provider, Taxonomy Term Glossary, Ultimate Table Field et Webform. Les informations fournies ne précisent pas de correctifs, de contournements ni d’exploitation connue. Les dix candidats fournis sont des fiches NVD publiées le 22 octobre 2026 concernant des vulnérabilités de Drupal Webform. Les informations transmises indiquent des versions affectées jusqu’à 6.2.12 et de 6.3.0 à 6.3.1 ; elles ne fournissent pas de versions correctives ni d’éléments confirmant une exploitation active. Les candidats fournis signalent dix fiches NVD publiées le 2026-10-22 concernant Drupal, Drupal Webform et des modules associés. Les versions affectées et scores indiqués sont repris des résumés fournis ; aucun correctif ni ét…
Injection de code dans Drupal Webform
CVE-2026-96355 concerne une neutralisation incorrecte d’éléments spéciaux dans un moteur de templates de Drupal Webform, pouvant conduire à une injection de code. La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
CVE-2026-96365 : allocation excessive de ressources dans Drupal Webform
Une vulnérabilité d’allocation de ressources sans limites ni limitation affecte Drupal Webform et peut provoquer une allocation excessive. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif n’est indiqué dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; consulter l’avis éditeur pour les mesures correctives.
CVE-2026-84919 : XSS stockée dans PhotoSwipe
PhotoSwipe – Responsive JavaScript Modal Image Gallery est affecté par une vulnérabilité XSS stockée. Les versions jusqu’à 5.0.9 sont mentionnées comme concernées; la source ne fournit pas de version corrigée ni de contournement.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
Drupal Media Library Importer : traversée de chemin
La fiche NVD signale une traversée de chemin dans Drupal Media Library Importer. Les versions 0.0.0 à 2.1.6 sont indiquées comme affectées; les informations consultées ne confirment ni version corrigée ni mesure compensatoire.
Action recommandée : Vérifier si le module est installé et consulter l’avis du projet pour identifier la version corrigée avant de le mettre à jour.
Drupal Advanced Search : défaut d’autorisation
La fiche NVD signale un défaut d’autorisation dans Drupal Advanced Search, permettant un accès par navigation forcée. Les versions 0.0.0 à 2.4.5 sont indiquées comme affectées; la version corrigée n’est pas établie dans les éléments consultés.
Action recommandée : Vérifier l’utilisation du module et rechercher l’avis éditeur pour déterminer et appliquer la mise à jour corrective.
Drupal AI : défaut d’autorisation
La fiche NVD signale une autorisation manquante dans Drupal AI (Artificial Intelligence), permettant un accès par navigation forcée. Les versions 0.0.0 à 1.3.13 et 1.4.0 à 1.4.8 sont indiquées comme affectées; aucun correctif n’est établi dans les éléments consultés.
Action recommandée : Vérifier l’utilisation du module et consulter l’avis éditeur pour identifier la mise à jour corrective.
Drupal AI Translate : défaut d’autorisation
La fiche NVD signale une autorisation manquante dans Drupal AI Translate, permettant un accès par navigation forcée. Les versions 0.0.0 à 1.3.2 et 1.4.0 à 1.4.1 sont indiquées comme affectées; la version corrigée n’est pas établie dans les éléments consultés.
Action recommandée : Vérifier l’utilisation du module et consulter l’avis éditeur pour identifier et appliquer la mise à jour corrective.
Drupal Calculate Working Days : défaut d’autorisation
La fiche NVD signale une autorisation manquante dans Drupal Calculate Working Days, permettant un accès par navigation forcée. Les versions 0.0.0 à 2.0.3 sont indiquées comme affectées; les éléments consultés ne précisent pas de version corrigée.
Action recommandée : Vérifier si le module est installé et consulter son avis éditeur pour déterminer la mise à jour corrective.
Drupal Component blocks : XSS stockée
La fiche NVD signale une vulnérabilité XSS stockée dans Drupal Component blocks. Les versions 0.0.0 à 1.2.7 sont indiquées comme affectées; la version corrigée et les mesures compensatoires ne sont pas précisées dans les éléments consultés.
Action recommandée : Vérifier l’utilisation du module et consulter l’avis éditeur pour déterminer et appliquer le correctif.
CVE-2026-84917 : défaut d’autorisation dans Jsonapi Role Access
Un défaut d’autorisation dans Jsonapi Role Access permet la navigation forcée. Les versions jusqu’à 2.0.2 sont indiquées comme concernées; la source fournie ne précise ni version corrigée ni contournement.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-84920 : défaut d’autorisation dans Unpublished Node Permissions
Un défaut d’autorisation dans Unpublished Node Permissions permet la navigation forcée. La fiche indique que les versions jusqu’à 1.8.0 sont concernées; elle ne donne pas de correctif ni de contournement.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-84921 : défaut d’autorisation dans Webform Submissions Delete
Webform Submissions Delete présente un défaut d’autorisation permettant la navigation forcée. Les versions jusqu’à 1.2.0 sont indiquées comme concernées; aucun correctif ni contournement n’est précisé dans la source.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-84923 : contournement d’authentification dans le module de vérification
Le module Email Verification / SMS Verification / OTP Verification est affecté par un contournement d’authentification. La fiche indique les versions jusqu’à 2.4.0 comme concernées; aucun correctif ni contournement n’est fourni dans la source.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-84924 : XSS réfléchie dans le module de vérification
Email Verification / SMS Verification / OTP Verification présente une vulnérabilité XSS réfléchie. Les versions jusqu’à 2.4.0 sont indiquées comme affectées; la source ne précise pas de correctif ni de contournement.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-87936 : injection SQL dans amazee.ai Private AI Provider
Une injection SQL affecte amazee.ai Private AI Provider. La fiche mentionne les versions 0.0.0 à 1.3.7 et 1.4.0 à 1.4.3 comme concernées; aucune version corrigée ni mesure de contournement n’est indiquée.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-87937 : redirection ouverte dans CAS Server
CAS Server présente une redirection ouverte susceptible de permettre la falsification de la source des données. Les versions 0.0.0 à 2.0.4 et 2.1.0 à 2.1.3 sont mentionnées comme affectées; la source ne fournit pas de correctif ni de contournement.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
Drupal Feed Block : XSS stockée
Une faille XSS stockée affecte le module Drupal Feed Block. Les versions affectées indiquées sont 0.0.0 à 2.0.2 et 3.0.0 à 3.0.2; la source fournie ne précise ni version corrigée ni contournement.
Action recommandée : Vérifier l’utilisation du module et appliquer une mise à jour corrective dès qu’elle est disponible; aucune version corrigée n’est mentionnée dans la source fournie.
Drupal Key auth : informations sensibles dans le cache du navigateur
Une vulnérabilité de cache du navigateur peut exposer des informations sensibles dans Drupal Key auth. Les versions 0.0.0 à 2.2.4 sont concernées ; aucun correctif ni contournement n’est précisé dans les informations fournies.
Action recommandée : Évaluer l’exposition des installations de Key auth et appliquer un correctif éditeur dès qu’il est disponible ; aucune version corrigée n’est indiquée dans les données fournies.
Drupal SafeDelete : vulnérabilité XSS stockée
Drupal SafeDelete présente une vulnérabilité XSS stockée. Les versions 0.0.0 à 1.0.88 sont concernées ; les données fournies ne précisent pas la version corrigée ni de contournement.
Action recommandée : Mettre à jour SafeDelete vers une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est indiquée dans les données fournies.
Drupal SAML SSO – Service Provider : contrôle d’autorisation manquant
Une absence de contrôle d’autorisation dans Drupal SAML SSO – Service Provider permet le contournement de restrictions par accès direct à des ressources. Les versions 0.0.0 à 3.2.0 sont concernées ; aucune version corrigée n’est indiquée dans les données fournies.
Action recommandée : Vérifier les accès aux ressources et appliquer la version corrigée du module lorsqu’elle sera publiée ; aucune version corrigée n’est mentionnée dans les données fournies.
Drupal SAML SSO – Service Provider : validation incorrecte des certificats
Drupal SAML SSO – Service Provider présente une validation incorrecte des certificats, susceptible de faciliter une attaque de type adversary-in-the-middle. Les versions 0.0.0 à 3.2.0 sont concernées ; les données fournies ne donnent pas de correctif.
Action recommandée : Évaluer l’exposition des connexions SAML et appliquer un correctif éditeur dès qu’il est disponible ; aucune version corrigée n’est indiquée dans les données fournies.
Drupal SAML SSO – Service Provider : redirection ouverte
Une redirection ouverte dans Drupal SAML SSO – Service Provider peut renvoyer les utilisateurs vers un site non fiable. Les versions 0.0.0 à 3.2.0 sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée.
Action recommandée : Vérifier les redirections liées à l’authentification et appliquer le correctif éditeur dès qu’il est disponible ; aucune version corrigée n’est indiquée dans les données fournies.
Drupal SAML SSO – Service Provider : fuite temporelle facilitant la force brute
Une différence de temps observable dans Drupal SAML SSO – Service Provider peut faciliter une attaque par force brute. Les versions 0.0.0 à 3.2.0 sont concernées ; aucun correctif n’est identifié dans les informations fournies.
Action recommandée : Appliquer un correctif éditeur dès qu’il est disponible et examiner les protections contre les tentatives répétées ; aucune version corrigée n’est indiquée dans les données fournies.
Drupal SAML SSO – Service Provider : vérification de signature insuffisante
Drupal SAML SSO – Service Provider ne vérifie pas correctement une signature cryptographique, ce qui peut permettre l’usurpation d’une signature. Les versions 0.0.0 à 3.2.0 sont concernées ; les informations fournies ne précisent pas de version corrigée.
Action recommandée : Vérifier l’exposition des intégrations SAML et mettre à jour vers un correctif éditeur dès qu’il est disponible ; aucune version corrigée n’est indiquée dans les données fournies.
Identifiants codés en dur dans Drupal SAML SSO – Service Provider
CVE-2026-87950 concerne des identifiants codés en dur dans le module Drupal SAML SSO – Service Provider, pouvant permettre de récupérer des données sensibles intégrées. La fiche NVD indique que les versions jusqu’à 3.2.0 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Vérification d’autorisation manquante dans Taxonomy Term Glossary
CVE-2026-87954 est une absence de vérification d’autorisation dans le module Drupal Taxonomy Term Glossary, permettant la consultation par accès direct (« forceful browsing »). La fiche NVD indique que les versions jusqu’à 4.6.0 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Vérification d’autorisation manquante dans Ultimate Table Field
CVE-2026-87955 est une absence de vérification d’autorisation dans le module Drupal Ultimate Table Field, permettant la consultation par accès direct (« forceful browsing »). La fiche NVD indique que les versions 0.0.0 à 1.1.1 et 2.0.0 à 2.0.1 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Autorisation incorrecte dans Drupal Webform
CVE-2026-96356 est une vulnérabilité d’autorisation incorrecte dans Drupal Webform, permettant l’accès à des ressources par navigation directe (« forceful browsing »). La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
XSS stocké dans Drupal Webform
CVE-2026-96357 concerne une neutralisation incorrecte des entrées lors de la génération de pages Webform, entraînant un XSS stocké. La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
XSS dans Drupal Webform
CVE-2026-96358 est une vulnérabilité de neutralisation incorrecte d’entrée lors de la génération de pages Drupal Webform, permettant un XSS. La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
CVE-2026-96359 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; vérifier l’avis éditeur pour connaître la version corrective.
CVE-2026-96361 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; vérifier l’avis éditeur pour connaître la version corrective.
CVE-2026-96362 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; vérifier l’avis éditeur pour connaître la version corrective.
CVE-2026-96364 : contrôle de fréquence insuffisant dans Drupal Webform
Une vulnérabilité de contrôle inadéquat de la fréquence des interactions affecte Drupal Webform et permet un mauvais usage de fonctionnalités. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; la source ne précise aucun correctif ni contournement.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; vérifier l’avis éditeur pour connaître la mesure corrective.
CVE-2026-96366 : autorisation incorrecte dans Drupal Webform
Une vulnérabilité d’autorisation incorrecte dans Drupal Webform permet le parcours forcé. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni score n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; vérifier l’avis éditeur pour connaître le correctif.
CVE-2026-96367 : XSS persistante dans Drupal Webform
Une vulnérabilité liée à des privilèges définis au moyen d’actions non sûres permet une XSS persistante dans Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; consulter l’avis éditeur pour les détails du correctif.
CVE-2026-96368 : XSS persistante dans Drupal Webform
Une vulnérabilité XSS persistante affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; vérifier l’avis éditeur pour connaître la version corrective.
Drupal Webform — SSRF par autorisation incorrecte
Drupal Webform présente une vulnérabilité d’autorisation permettant une falsification de requête côté serveur (SSRF). Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; la source fournie ne précise ni version corrigée ni mesure de contournement.
Action recommandée : Mettre à jour Drupal Webform vers une version corrigée dès sa publication.
Drupal Webform — XSS stockée via des actions non sûres
Drupal Webform présente une vulnérabilité liée à des privilèges définis avec des actions non sûres, pouvant conduire à une XSS stockée. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Drupal Webform vers une version corrigée dès sa publication.
Drupal Webform — navigation forcée par contrôle d’accès insuffisant
Drupal Webform présente une granularité insuffisante du contrôle d’accès permettant le contournement de restrictions par navigation forcée. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; aucune version corrigée n’est mentionnée dans la source fournie.
Action recommandée : Mettre à jour Drupal Webform vers une version corrigée dès sa publication.
Drupal Project Browser — vulnérabilité CSRF
Drupal Project Browser présente une vulnérabilité de falsification de requête intersite (CSRF). Les versions affectées indiquées sont 0.0.0 à 2.0.3 et 2.1.0 à 2.1.5 ; aucun correctif ni contournement n’est indiqué dans la source fournie.
Action recommandée : Mettre à jour Project Browser vers une version corrigée dès sa publication.
Drupal Cloud — validation incorrecte des certificats
Drupal Cloud présente une validation incorrecte des certificats, susceptible de permettre une attaque de type adversary-in-the-middle. La version affectée indiquée est 0.0.0 à 7.0.1 ; la source fournie ne précise pas de version corrigée ni de mesure de contournement.
Action recommandée : Mettre à jour Drupal Cloud vers une version corrigée dès sa publication.
Drupal Cloud — injection de commandes système
Drupal Cloud présente une vulnérabilité d’injection de commandes système. La version affectée indiquée est 0.0.0 à 7.0.1 ; la fiche NVD fournie a été publiée dans la période, mais sa mise à jour est datée du 2026-10-23T04:18:24.073Z, après la borne de fin, et n’est pas retenue comme événement de cette période.
Action recommandée : Mettre à jour Drupal Cloud vers une version corrigée dès sa publication.
Combined image style — allocation excessive de ressources
Le module Drupal Combined image style présente une allocation de ressources sans limite ni limitation de débit. Les versions affectées indiquées vont de 0.0.0 à 1.0.7 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Combined image style vers une version corrigée dès sa publication.
Commerce Decoupled Checkout — injection d’objet
Drupal Commerce Decoupled Checkout présente une modification insuffisamment contrôlée d’attributs d’objets déterminés dynamiquement, pouvant conduire à une injection d’objet. Les versions affectées indiquées vont de 1.0.0 à 1.8.0 ; la source fournie ne précise ni correctif ni contournement.
Action recommandée : Mettre à jour Commerce Decoupled Checkout vers une version corrigée dès sa publication.
Drupal CSS Usage Analyzer : défaut d’autorisation (CVE-2026-96380)
CVE-2026-96380 concerne un défaut d’autorisation dans Drupal CSS Usage Analyzer, susceptible de permettre l’accès à des fonctions par navigation forcée. Les versions indiquées comme affectées vont de 1.0.0 à 1.0.2; aucun correctif n’est précisé.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Drupal Diba carousel slider : XSS stockée (CVE-2026-96382)
CVE-2026-96382 concerne une XSS stockée dans Drupal Diba carousel slider. Les versions indiquées comme affectées vont de 0.0.0 à 3.0.2; les données fournies ne précisent pas de version corrigée.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Drupal REST & JSON API Authentication : contournement d’authentification (CVE-2026-96385)
CVE-2026-96385 concerne un contournement d’authentification dans Drupal REST & JSON API Authentication for Drupal. Les versions indiquées comme affectées vont de 0.0.0 à 3.2.0; les données fournies ne donnent ni version corrigée ni détail du chemin de contournement.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Drupal Smart Content : défaut d’autorisation (CVE-2026-96386)
CVE-2026-96386 concerne un défaut d’autorisation dans Drupal Smart Content, susceptible de permettre la navigation forcée. Les versions indiquées comme affectées vont de 0.0.0 à 3.2.1; aucun correctif n’est précisé.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Drupal Tawk.to – Live chat application : CSRF (CVE-2026-96388)
CVE-2026-96388 concerne une vulnérabilité CSRF dans Drupal Tawk.to – Live chat application. Les versions indiquées comme affectées vont de 0.0.0 à 3.0.4; la source fournie ne précise ni correctif ni actions exploitables pour réduire le risque.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Drupal Editoria11y Accessibility Checker : élévation de privilèges (CVE-2026-96390)
CVE-2026-96390 concerne une attribution de privilèges dangereuse dans Drupal Editoria11y Accessibility Checker, avec un risque d’élévation de privilèges. Les versions indiquées comme affectées sont 0.0.0 à 2.2.23 et 3.0.0 à 3.0.9; aucun correctif n’est précisé.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
CVE-2026-96398 — Contournement d’autorisation dans Drupal Webform
Une faille d’autorisation dans Webform permet le contournement des contrôles d’accès par navigation forcée. Les versions concernées sont celles jusqu’à 6.2.12 et de 6.3.0 à 6.3.1 ; appliquez un correctif du fournisseur lorsqu’il est disponible.
Action recommandée : Mettre à jour Webform vers une version corrigée dès que le fournisseur en publie une.
Drupal Mailer Plus Log : informations sensibles dans les journaux
La fiche NVD signale une insertion d’informations sensibles dans les journaux de Drupal Mailer Plus Log, exploitable avec des identifiants volés. Elle indique comme affectées les versions 0.0.0 à 1.2.7; le correctif et la version corrigée ne sont pas établis par les éléments consultés.
Action recommandée : Vérifier l’utilisation du module et consulter son avis éditeur pour déterminer la mise à jour corrective; ne pas inscrire d’identifiants sensibles dans les journaux.
Drupal AI : XSS stockée
La fiche NVD signale une vulnérabilité XSS stockée dans Drupal AI (Artificial Intelligence). Elle indique comme affectées les versions 0.0.0 à 1.3.13 et 1.4.0 à 1.4.8; le correctif n’est pas précisé dans les éléments consultés.
Action recommandée : Vérifier l’utilisation du module et consulter l’avis éditeur pour identifier la mise à jour corrective.
CVE-2026-84916 : défaut d’autorisation dans Islandora
Une vulnérabilité d’autorisation dans Islandora permet la navigation forcée. La fiche indique que les versions jusqu’à 2.19.0 sont concernées; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
CVE-2026-84918 : vérification de signature défectueuse dans Monobank payment API
Monobank payment API présente un défaut de vérification de signature pouvant permettre une falsification de signature. La fiche indique les versions jusqu’à 1.0.3 comme concernées, sans préciser de correctif ni de contournement.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer un correctif éditeur lorsqu’il est disponible.
Drupal SAML SSO – Service Provider : vulnérabilité XSS
Drupal SAML SSO – Service Provider présente une vulnérabilité XSS due à une neutralisation incorrecte des entrées lors de la génération de pages. Les versions 0.0.0 à 3.2.0 sont concernées ; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Appliquer un correctif éditeur dès qu’il est disponible ; aucune version corrigée n’est indiquée dans les données fournies.
Drupal SAML SSO – Service Provider : seconde vulnérabilité XSS
Une seconde vulnérabilité XSS est signalée dans Drupal SAML SSO – Service Provider. Les versions 0.0.0 à 3.2.0 sont concernées ; la description fournie ne détaille pas le vecteur ni la version corrigée.
Action recommandée : Appliquer un correctif éditeur dès qu’il est disponible ; aucune version corrigée n’est indiquée dans les données fournies.
Stockage non sécurisé d’informations dans Drupal SAML SSO – Service Provider
CVE-2026-87951 porte sur le stockage non sécurisé d’informations sensibles dans Drupal SAML SSO – Service Provider, avec récupération possible de données sensibles intégrées. La fiche NVD indique que les versions jusqu’à 3.2.0 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
Contournement d’authentification dans Drupal SAML SSO – Service Provider
CVE-2026-87952 concerne un contournement de l’authentification par capture-rejeu dans Drupal SAML SSO – Service Provider, permettant l’accès à des services distants avec des identifiants volés. La fiche NVD indique que les versions jusqu’à 3.2.0 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
SSRF dans Drupal SAML SSO – Service Provider
CVE-2026-87953 est une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans Drupal SAML SSO – Service Provider. La fiche NVD indique que les versions jusqu’à 3.2.0 sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.
CVE-2026-96360 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; vérifier l’avis éditeur pour connaître la version corrective.
Drupal Webform — informations sensibles dans le cache du navigateur
Drupal Webform présente une vulnérabilité de mise en cache du navigateur pouvant laisser des informations sensibles accessibles, avec un contrôle d’accès mal configuré. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Vérifier l’exposition des formulaires concernés et appliquer le correctif éditeur dès qu’il est disponible.
Drupal Webform — navigation forcée par autorisation incorrecte
Drupal Webform présente une vulnérabilité d’autorisation pouvant permettre une navigation forcée. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; la source fournie ne donne pas de version corrigée ni de contournement.
Action recommandée : Mettre à jour Drupal Webform vers une version corrigée dès sa publication.
Drupal Mermaid Diagram Field : défaut d’autorisation (CVE-2026-96384)
CVE-2026-96384 concerne un défaut d’autorisation dans Drupal Mermaid Diagram Field, susceptible de permettre la navigation forcée vers des ressources protégées. Les versions indiquées comme affectées vont de 1.0.4 à 1.0.9; aucun correctif n’est précisé.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Drupal Stop administrator login : contournement d’authentification (CVE-2026-96387)
CVE-2026-96387 concerne un contournement d’authentification dans Drupal Stop administrator login. Les versions indiquées comme affectées vont de 1.0 à 1.6; aucun correctif ni détail supplémentaire sur le mécanisme n’est fourni.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
CVE-2026-96392 — Injection de code dans Drupal AI CKEditor
Une faille d’injection de code dans AI CKEditor concerne les versions 0.0.0 à 1.4.3. Vérifiez si le module est installé et appliquez un correctif du fournisseur lorsqu’il est disponible.
Action recommandée : Mettre à jour AI CKEditor vers une version corrigée dès que le fournisseur en publie une.
Drupal CSP log : injection SQL
Une injection SQL affecte le module Drupal CSP log dans les versions de 0.0.0 à 1.0.2. La fiche fournie ne donne ni score CVSS, ni version corrigée, ni mesure de contournement.
Action recommandée : Vérifier l’utilisation du module et appliquer un correctif dès sa disponibilité; la source fournie ne précise pas de version corrigée.
Drupal Patreon : vulnérabilité dans la branche 7.x
Une vulnérabilité a été signalée dans le module Drupal Patreon, affectant la branche 7.x. La description fournie ne précise ni le mécanisme, ni l’impact, ni une version corrigée ; il convient de consulter l’avis éditeur avant toute mesure spécifique.
Action recommandée : Vérifier l’avis du mainteneur et l’état des correctifs pour la branche 7.x ; aucune version corrigée n’est mentionnée dans les données fournies.
CVE-2026-96363 : XSS persistante dans Drupal Webform
Une vulnérabilité liée à des privilèges définis au moyen d’actions non sûres permet une XSS persistante dans Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; la source ne précise ni score ni correctif.
Action recommandée : Mettre à jour Webform vers une version corrigée dès qu’elle est identifiée ; consulter l’avis éditeur pour le correctif.
Drupal CookieCuttr : XSS stockée (CVE-2026-96379)
CVE-2026-96379 concerne une XSS stockée dans Drupal CookieCuttr. Les versions indiquées comme affectées vont de 2.0.0 à 2.0.3; aucun correctif ni mesure d’atténuation n’est précisé dans les données fournies.
Action recommandée : Évaluer l’exposition de CookieCuttr et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Drupal Webform REST : défaut d’autorisation (CVE-2026-96391)
CVE-2026-96391 concerne un défaut d’autorisation dans Drupal Webform REST, susceptible de permettre la navigation forcée. Les versions indiquées comme affectées vont de 0.0.0 à 4.2.1; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Évaluer l’exposition du module et suivre les consignes du mainteneur pour obtenir une version corrigée; aucune version corrigée n’est indiquée dans les données fournies.
Joomla
Recherche du sujet effectuée
Niveau relevé : Critique
Une nouvelle vulnérabilité critique de YOOtheme Pro, extension Joomla, a été publiée dans la période. Les versions 5.0.0 à 5.0.52 sont concernées; le changelog de l’éditeur mentionne le correctif.
Exécution de code à distance dans YOOtheme Pro pour Joomla
Une faiblesse du gestionnaire public de transformation d’images de YOOtheme Pro permet une exécution de code à distance sans authentification. Les versions 5.0.0 à 5.0.52 sont concernées; mettre à jour vers la version 5.0.53.
Action recommandée : Mettre à jour YOOtheme Pro vers la version 5.0.53 ou ultérieure.
Magento
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif ou changement substantiel concernant Magento daté de la période du 2026-10-22T00:00:00+02:00 inclus au 2026-10-23T00:00:00+02:00 exclu. Les sources consultées indiquent notamment que le bulletin Adobe APSB26-153 date du 2026-10-13 et que la mise à jour du correctif isolé concerné date du 2026-10-16, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Vérification incomplète
Un avis Check Point publié le 22 octobre 2026 signale CVE-2026-103849, une injection de modèle côté serveur touchant notamment Adobe Commerce. Aucun candidat n’ayant été fourni, aucune décision d’examen de candidat n’est requise.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
fooocus
Recherche du sujet effectuée
La recherche dédiée sur Fooocus n’a identifié aucun avis, correctif, exploitation ni changement substantiel dont la date vérifiée se situe dans la période du 2026-10-22T00:00:00+02:00 au 2026-10-23T00:00:00+02:00. Les vulnérabilités repérées dans les résultats sont antérieures à cette période et ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
31 alerte(s)Code malveillant dans formatting-subtitles (npm)
L’avis GHSA-2cph-9873-fh57 signale du code malveillant dans le paquet npm formatting-subtitles@1.0.2. Son script preinstall exécute des commandes shell qui contactent un collecteur externe et téléchargent puis exécutent un script depuis un…
Source : GHSA-2cph-9873-fh57 — Malicious code in formatting-subtitles (npm)
Better Auth — contournement de l’authentification Magic Link via l’état OAuth
Dans certaines configurations combinant Magic Link et OAuth, Better Auth pouvait accepter l’état OAuth comme jeton Magic Link, permettant à un attaquant non authentifié d’ouvrir une session au nom d’un utilisateur sans contrôler sa boîte m…
Source : NVD — CVE-2026-114607
Sentry JavaScript : contournement du middleware avec tunnelRoute et webpack
Avec tunnelRoute et une compilation webpack, l’exclusion du middleware peut couvrir des chemins plus larges que ceux réellement traités par la réécriture vers Sentry. Si une route de l’application correspond à ces chemins et que le middlew…
DOMPurify : expressions de template conservées dans les shadow roots
Dans certains modes de retour DOM, `SAFE_FOR_TEMPLATES` ne réexamine pas les expressions de template réunies dans le contenu d’un shadow root attaché après nettoyage. Si ce contenu est ensuite interprété par un moteur de templates, l’expre…
Source : GHSA-cg2g-xh64-v4q7 — DOMPurify
Next.js : déni de service via l’App Router et les Server Actions
Une requête spécialement construite peut provoquer une consommation excessive de CPU et bloquer le traitement d’autres requêtes dans le même processus. Le problème concerne les applications utilisant l’App Router avec au moins une Server A…
Splunk Enterprise — déni de service via le logger JavaScript de Splunk Web
Une requête non authentifiée spécialement construite pouvait bloquer le traitement des requêtes par Splunk Web. Le service restait indisponible jusqu’au redémarrage de Splunk Enterprise.
Source : NVD — CVE-2026-76288
XSS stockée dans OCO-Server
OCO-Server avant la version 1.2.1 présente une XSS stockée dans un nom d’hôte intégré à un gestionnaire JavaScript en ligne, qui peut s’exécuter lorsqu’un administrateur active un bouton de commande. Un attaquant doit notamment disposer de…
Source : NVD — CVE-2026-61791
Agent Zero — XSS dans l’interface Web
Agent Zero Web UI avant la version 1.15 ne nettoie pas correctement certaines entrées fournies par l’utilisateur dans les messages de discussion ou les téléversements de fichiers. Lorsque le contenu est reproduit dans l’interface, du JavaS…
Source : NVD — CVE-2026-97635
webpack-dev-server : validation insuffisante des WebSockets proxifiés
Lorsque le proxy de webpack-dev-server relaie les WebSockets, des mises à niveau WebSocket non-HMR peuvent atteindre la cible sans validation adéquate des en-têtes Host et Origin. Une page malveillante visitée par un développeur peut alors…
Source : NVD — CVE-2026-112085
XSS réfléchie dans QCubed
QCubed 2.2.0 à 3.1.1 présente une vulnérabilité XSS réfléchie exploitable sans authentification via le paramètre installation_path. La fiche NVD est datée du 2026-10-22, mais les éléments fournis ne donnent pas de version corrigée ni d’act…
Source : NVD — CVE-2017-20288
XSS réfléchie dans Discourse
Discourse 1.9.0.beta2 à une version antérieure à 1.9.0.beta13 présente une vulnérabilité XSS réfléchie dans la page de désinscription par courriel. La fiche NVD est datée du 2026-10-22 ; aucun correctif ni conseil d’action n’est fourni dan…
Source : NVD — CVE-2017-20290
XSS réfléchie dans Sickbeard
Sickbeard jusqu’au build 507 présente une vulnérabilité XSS réfléchie dans le test de nommage du post-traitement. La fiche NVD est datée du 2026-10-22 ; les éléments fournis ne mentionnent pas de correctif, et les observations d’exploitati…
Source : NVD — CVE-2020-37284
XSS réfléchie dans WPML Multilingual CMS
Le plugin WPML Multilingual CMS pour WordPress avant la version 4.6.1 présente une XSS réfléchie liée au paramètre wp_lang. La fiche NVD est datée du 2026-10-22 ; les observations d’exploitation signalées sont antérieures à la période du b…
Source : NVD — CVE-2023-54413
XSS via le proxy d’images de Retool
Retool avant la version 3.88.0 présente une vulnérabilité XSS liée au proxy d’images, permettant de servir un SVG malveillant depuis l’origine Retool. La fiche NVD est datée du 2026-10-22 ; les éléments indiquent la version corrigée 3.88.0…
Source : NVD — CVE-2024-58394
Electron : attribution incorrecte des demandes `openExternal`
Electron pouvait attribuer à un document de confiance une demande d’ouverture de protocole externe initiée par un contenu non fiable, ce qui pouvait permettre le lancement d’une application enregistrée par le système. Le défaut concerne le…
Electron : attribution erronée des demandes `pointerLock` d’iframes
Pour certaines demandes de permission `pointerLock` provenant d’iframes inter-origines, Electron transmettait à `session.setPermissionRequestHandler` l’URL et l’indicateur de frame principale au lieu de ceux de la frame demandeuse. Les app…
Electron : restrictions SameSite omises pour des fenêtres ouvertes depuis des liens
Les fenêtres ouvertes depuis des liens étaient traitées comme si la navigation provenait de l’application plutôt que de la page contenant le lien, ce qui pouvait faire considérer la requête comme same-site. Du contenu non fiable autorisé à…
Nuxt : des segments encodés peuvent contourner les règles de route et appMiddleware
Nuxt peut comparer les règles de route au chemin brut de la requête alors que le routeur décode les segments encodés, ce qui peut empêcher l’application de `appMiddleware` à une page protégée et exposer sa réponse SSR. La correction indiqu…
Source : Fiche NVD CVE-2026-114131
Nuxt : entrée useHeadSafe insuffisamment filtrée dans les Server Islands
Dans certains composants ou pages Nuxt Server Island, l’entrée transmise à `useHeadSafe` peut être sérialisée sans conserver la marque indiquant qu’elle doit rester filtrée, puis insérée dans l’en-tête de page comme une entrée ordinaire. S…
Source : Fiche NVD CVE-2026-114133
Nuxt : les règles serveur peuvent être ignorées pour des chemins différant par la casse
Avec le routage insensible à la casse par défaut, Nuxt peut résoudre une page malgré une différence de casse dans l’URL, tandis que le moteur serveur ne trouve pas la règle de route correspondante. Des règles serveur de redirection, d’en-t…
Source : Fiche GitHub Advisory Database
Astro : XSS via enfants dynamiques non échappés dans JSX/MDX
Dans le rendu JSX/MDX, des enfants chaîne dynamiques de `script` ou `style` pouvaient être émis sans échappement. Une application qui y transmet des données contrôlées par un attaquant pouvait subir une XSS réfléchie ou stockée.
Source : GHSA-98hj-9722-w3j8 — Astro
XSS stockée dans OpenCATS
OpenCATS présente une XSS stockée avant la version 0.12.0 : des noms ou titres de fiches peuvent être affichés sans échappement dans le panneau de navigation « Recent ». La fiche NVD est datée du 2026-10-22 ; la version corrigée n’est pas…
Source : NVD — CVE-2026-115513
ammonia : XSS conditionnelle via `annotation-xml` MathML
Une faille XSS basée sur une confusion de parsing entre HTML et MathML peut permettre l’injection de JavaScript si certaines balises sont autorisées. Le risque est limité aux configurations qui autorisent à la fois `math`, `annotation-xml`…
Source : GHSA-9jh8-v38h-cvhr — ammonia
webpack-dev-server : divulgation de chemins locaux via open-editor
L’endpoint open-editor peut contourner la validation de Host lorsqu’une valeur malformée commence par file: ou un schéma d’extension. Une requête réseau peut provoquer une réponse HTTP 500 exposant une trace d’exception et des chemins loca…
Source : NVD — CVE-2026-114348
Electron : lecture mémoire hors limites en rendu hors écran sur macOS
En mode de rendu hors écran sur macOS, des données de trame du processus GPU insuffisamment validées pouvaient conduire le processus principal à lire hors limites lors de la production des images des événements `paint`. Une compromission p…
Source : GHSA-h3v5-h239-pg29 — Electron: Off-screen rendering on macOS trusts GPU-supplied frame geometry
Electron : validation insuffisante des trames de `beginFrameSubscription`
Les données de trame utilisées par `webContents.beginFrameSubscription` n’étaient pas entièrement validées par le processus principal ; un processus GPU compromis pouvait ainsi provoquer une lecture mémoire hors limites pendant la capture.…
Source : GHSA-3qxv-5xgr-q7w9 — Electron: Frame subscription trusts GPU-supplied frame geometry
Electron : fuite des URL et titres d’onglets aux extensions
La méthode `chrome.tabs.query()` pouvait renvoyer les URL et titres des onglets à une extension sans permission `tabs` ni permission d’hôte correspondante. Le risque concerne les applications Electron qui chargent des extensions non fiable…
Nuxt : contournement de correction `javascript:` avec `pages` désactivé
Une correction antérieure de Nuxt pouvait être contournée lorsque l’application n’utilisait pas le système `pages` et que l’URL était préfixée d’un caractère de contrôle ASCII. La valeur pouvait être rendue dans un lien et, si un utilisate…
Source : GHSA-jjm6-p2m9-9w4x — Nuxt
Astro : injection CSS dans les View Transitions
Le générateur CSS serveur d’Astro ne confinait pas certaines valeurs de propriétés d’animation dans leur déclaration CSS. Une valeur contrôlée par un attaquant pouvait injecter du CSS dans la page rendue, sans pouvoir selon l’avis sortir d…
Source : GHSA-mpr7-6m5w-76rw — Astro
DOMPurify : garde SMIL `attributeName=href` contournée en mode XHTML
En mode XHTML, DOMPurify peut ne pas appliquer une protection sur `attributeName` lorsque la casse est préservée, dans une configuration non par défaut autorisant certains éléments SVG. Une animation SMIL malveillante peut alors modifier l…
Source : GHSA-c6gr-qvv4-5v3f — DOMPurify
CVE-2025-69723 : XSS réfléchie dans LocalStack 4.9.2
Une vulnérabilité XSS réfléchie dans LocalStack 4.9.2 permet l’exécution de JavaScript dans le navigateur d’un utilisateur au moyen d’une URL conçue à cet effet. La fiche NVD a été publiée pendant la période considérée ; les informations f…
Source : NVD — CVE-2025-69723
Backend & données
58 alerte(s)Laravel TokenGuard : contournement d’authentification
Un identifiant d’authentification non textuel spécialement construit peut contourner l’authentification de TokenGuard sur certaines configurations MySQL ou MariaDB, et permettre une prise de contrôle de compte sans authentification. Un avi…
Source : Fiche NVD — CVE-2026-114509
PHP : exécution de code à distance affectant les sites WordPress — CVE-2026-109618
PHP a publié des correctifs pour CVE-2026-109618, une vulnérabilité critique pouvant permettre l’exécution de code à distance sans authentification sur un serveur PHP affecté. Les sites WordPress hébergés sur ces versions sont concernés au…
PHP : exécution de code à distance affectant les sites WordPress — CVE-2026-109619
PHP a publié des correctifs pour CVE-2026-109619, une vulnérabilité critique pouvant permettre l’exécution de code à distance sans authentification sur un serveur PHP affecté. Les sites WordPress hébergés sur ces versions sont concernés au…
Pillow : corruption mémoire lors du chargement de certaines images multi-images
Pillow peut réutiliser un tampon natif d’une image précédente après un changement de mode dans certains chargeurs multi-images, entraînant une corruption mémoire native, un plantage et, dans un scénario MPO, une exécution de commandes a ét…
Source : GHSA-v9pv-5gc8-w2m6 — Pillow
MongoDB C# Driver : des champs prévus pour le chiffrement côté client peuvent rester en clair
Un composant de construction de schéma de chiffrement côté client du pilote MongoDB C# peut traiter des identifiants de champs fournis par l’appelant comme des expressions de motif sans les normaliser ni les valider. Le chiffrement prévu p…
Source : NVD — CVE-2026-114653
Django REST framework : amplification mémoire par le charset des requêtes JSON
Django REST framework peut utiliser un codec de compression indiqué par le client dans le paramètre charset d’une requête JSON, ce qui permet d’amplifier fortement la mémoire consommée au-delà de la limite portant sur le corps reçu. Les ve…
Django REST framework : déni de service CPU par en-tête Accept
La négociation de contenu de Django REST framework peut consommer beaucoup de CPU en analysant à plusieurs reprises des en-têtes Accept volumineux comportant de nombreux paramètres cités. Les versions de djangorestframework antérieures à 3…
Django REST framework : suppression de TokenProxy sans révocation effective du jeton
Dans Django REST framework, appeler delete() sur une instance TokenProxy peut ne supprimer aucun jeton tout en donnant l’impression que l’opération a réussi. Le jeton reste alors valide et peut continuer à authentifier son détenteur.
Source : Avis GitHub GHSA-xw6w-gcfp-cf8m
Consommation mémoire non bornée lors de la désérialisation BSON
La désérialisation BSON dans le pilote MongoDB C# peut conserver sans limite des données dérivées d’une entrée, entraînant une croissance mémoire incontrôlée. Une entrée non fiable peut ainsi provoquer l’épuisement mémoire et un déni de se…
Source : NVD — CVE-2026-114644
Neutralisation insuffisante des caractères point et dollar dans les chemins LINQ
Le pilote MongoDB C# transmet certains caractères `.` et `$` dans des noms de clés et chemins de champs issus de requêtes LINQ sans les neutraliser. Une entrée utilisateur peut ainsi rediriger des requêtes ou mises à jour vers d’autres cha…
Source : NVD — CVE-2026-114648
Comparaison incomplète des certificats TLS dans le cache de connexions
Le pilote MongoDB C# compare les certificats TLS clients à partir de l’émetteur et du numéro de série seulement lors du partage de connexions en cache. Dans une application construisant des clients à partir de certificats fournis par diffé…
Source : NVD — CVE-2026-114649
Neutralisation insuffisante de valeurs dans la construction des mises à jour
Une faiblesse dans la construction de certaines instructions de mise à jour du pilote C# peut faire interpréter des valeurs fournies par l’application comme de la logique de requête plutôt que comme des données littérales. Un utilisateur p…
Source : NVD — CVE-2026-114652
Consommation excessive de CPU lors de la validation GraphQL dans GraphQL-core
La règle OverlappingFieldsCanBeMerged de GraphQL-core peut répéter des comparaisons coûteuses de champs et de fragments imbriqués pendant la validation d’une requête. Une requête spécialement construite peut monopoliser les processeurs de…
Source : Avis GitHub GHSA-vj8h-fx38-h3vc
GraphQL-core — épuisement mémoire par commentaires contournant max_tokens
GraphQL-core ne comptabilise pas les commentaires ignorés par l’analyse lexicale dans sa limite max_tokens, alors que leurs jetons restent alloués en mémoire. Un document GraphQL fortement rempli de commentaires peut ainsi épuiser la mémoi…
Source : Avis GitHub GHSA-r77w-qph3-7vf8
@graphql-tools/utils : pollution de prototype via des segments de chemin non primitifs
Une validation incomplète des segments de chemin dans `mergeIncrementalResult` permet à un segment non primitif de contourner le contrôle des clés dangereuses. Un chemin malveillant fourni dans une réponse incrémentale peut alors écrire de…
Source : GHSA-c4qx-w738-7hr3 — GraphQL Tools
WWBN AVideo : des comptes délégués peuvent affecter les comptes administrateurs
Une vérification d’autorisation incorrecte dans WWBN AVideo permet à des comptes délégués disposant du rôle Users Admin de modifier ou supprimer des comptes administrateurs. La source indique que les versions antérieures à 29.4.0 sont affe…
Source : NVD — CVE-2026-114633
Roundcube Webmail : primitive d’injection d’objet dans la désérialisation de session
Une primitive d’injection d’objet PHP a été identifiée dans rcube_session::unserialize() de Roundcube Webmail. Les versions antérieures à 1.6.20 ainsi que les versions 1.7.x antérieures à 1.7.5 sont affectées.
Source : NVD — CVE-2026-114724
Strands Agents SDK pour Python : défaut d’isolation des conversations A2A
Dans le composant serveur A2A de Strands Agents SDK pour Python avant 1.43.0, des appelants authentifiés peuvent accéder à l’historique de conversation d’autres tenants et y ajouter des instructions persistantes. Ces instructions peuvent m…
Source : CVE-2026-115419 — NVD
toml : déni de service quadratique via des clés pointées ou chemins de table longs
`toml.parse()` recalcule le préfixe complet d’une clé à chaque segment pour plusieurs formes de clés et de chemins de table. Un document comportant un chemin pointé très long peut déclencher un coût quadratique, bloquer l’analyse et, avec…
Source : GHSA-9j65-hcg3-gc64 — toml-node
body-parser : arrêt du processus par une erreur de décompression non interceptée
Une requête HTTP comportant un encodage compressé suivi d’octets résiduels peut provoquer une exception non interceptée et arrêter le processus Node.js utilisant body-parser. Les versions affectées sont antérieures à 1.20.9 dans la branche…
Source : NVD — CVE-2026-111181
multer : arrêt du processus lors de l’abandon d’un téléversement
Avec un fileFilter asynchrone, l’abandon d’une requête pendant le traitement d’un fichier peut provoquer une erreur non interceptée et arrêter le processus Node.js. Le problème concerne les versions de multer à partir de 2.0.0 et antérieur…
Source : NVD — CVE-2026-113872
toml : déni de service CPU via des littéraux entiers démesurément longs
`toml.parse()` convertit des entiers de longueur arbitraire en `BigInt` avant de vérifier leur plage, ce qui peut coûter beaucoup de CPU. Un littéral numérique très long dans une entrée TOML peut bloquer la boucle événementielle pendant pl…
Source : GHSA-9qmh-m7c6-f92p — toml-node
toml : déni de service quadratique via de nombreux tableaux de tables
Le compilateur TOML rescane des ensembles de chemins accumulés pour chaque en-tête de tableau de tables, donnant un coût quadratique lorsque de nombreux chemins distincts sont présents. Une entrée TOML de taille modeste peut bloquer la bou…
Source : GHSA-4qx8-w7c3-pj3p — toml-node
Flexible GraphRAG — injection Cypher via le backend FalkorDB
Flexible GraphRAG permet une injection Cypher lorsque des contenus influencés par un attaquant sont ingérés avec le backend FalkorDB concerné. Selon l’usage de l’application, un attaquant peut modifier ou supprimer des données du graphe et…
Source : NVD — CVE-2026-114510
dnspython — consommation excessive de CPU par pointeurs DNS de compression
dnspython peut effectuer un nombre excessif de parcours de pointeurs de compression contrôlés par l’émetteur lors du décodage d’un nom DNS. Le traitement de messages DNS non fiables peut alors consommer beaucoup de CPU et dégrader ou inter…
Source : NVD — CVE-2026-114605
Fuite mémoire lors du décodage de maps dans msgpack-python
L’extension C de msgpack-python peut ne pas libérer une valeur décodée lorsque le rejet d’une clé de map survient avec strict_map_key=True, valeur par défaut. Des entrées malformées répétées peuvent faire croître sans limite la mémoire du…
Source : NVD — CVE-2026-114613
Pillow : débordement de tampon dans l’encodeur JPEG
L’encodeur JPEG de Pillow peut écrire au-delà d’un tampon de tas lors de la réémission d’une image contenant un profil ICC volumineux et un commentaire. Les versions de Pillow à partir de 9.4.0 et antérieures à 13.0.0 sont affectées ; mett…
Source : GHSA-g7cr-3p24-7wf7 — Pillow
netlicensing-mcp — contournement d’authentification en mode HTTP
En mode HTTP, netlicensing-mcp laisse passer les requêtes sans clé client et peut alors utiliser la clé NetLicensing configurée côté serveur pour appeler l’API en amont. Un attaquant non authentifié peut ainsi invoquer des opérations sous…
Source : GitHub Advisory GHSA-x9vc-9ffq-p3gj
PyJWT — acceptation d’une clé HMAC vide provenant d’un JWK
PyJWT peut accepter la vérification d’un jeton HMAC signé avec une clé vide lorsque la clé est fournie par un JWK oct contenant une valeur k vide. Cela peut permettre la falsification de jetons sur les chemins de vérification PyJWK, PyJWKS…
Source : GitHub Advisory GHSA-pxh4-856f-4h89
Pillow : épuisement de ressources lors de l’ajout à un PDF malformé
Lors de l’ajout d’une image à un PDF existant, Pillow peut parcourir de façon répétée des références dupliquées dans un arbre de pages malformé et consommer beaucoup de temps processeur. Les versions affectées commencent à 5.1.0 et incluen…
Source : GHSA-mrfp-p49p-3hf2 — Pillow
Pillow : boucle infinie dans TarIO provoquée par une taille TAR négative
TarIO de Pillow peut boucler indéfiniment et consommer un processeur à pleine charge lorsqu’il rencontre un en-tête TAR dont la taille est négative. Les versions antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.0.
Source : GHSA-3j72-p6qg-6xp7 — Pillow
Pillow : déni de service par traitement quadratique de l’EXIF PNG
Le traitement EXIF d’un PNG contenant un grand nombre de marqueurs répétés peut prendre un temps quadratique et monopoliser le processeur. Les versions de Pillow à partir de 11.0.0 et antérieures à 13.0.0 sont affectées ; mettre à jour ver…
Source : GHSA-g4qv-2jxx-769h — Pillow
Pillow sous Windows : lecture hors limites lors du rendu WMF/EMF
Sur les versions Windows de Pillow, des dimensions WMF/EMF malformées peuvent faire lire au gestionnaire natif au-delà du tampon alloué, car les dimensions utilisées pour l’allocation sont tronquées à 16 bits tandis que la copie utilise le…
Source : GHSA-9v9v-9qvf-h2hj — Pillow
Laravel : opération destructive possible via une inclusion de relation
Une inclusion de relation construite spécialement sur certains points d’accès en lecture peut déclencher une opération destructive sur une table liée, alors que la requête devrait seulement lire des données. Un utilisateur disposant unique…
Source : Fiche NVD — CVE-2026-114508
MongoDB C# Driver : contournement des contrôles d’intégrité BSON par conversion numérique
Une conversion numérique incorrecte dans le traitement BSON du pilote MongoDB C# permet à une valeur de sous-type binaire hors plage, issue d’un texte non fiable, de contourner des contrôles d’intégrité. Les données binaires mal formées qu…
Source : NVD — CVE-2026-114654
Collision de champs réservés dans les membres GeoJSON du pilote C#
Le pilote MongoDB C# n’empêche pas des membres GeoJSON supplémentaires d’entrer en collision avec des champs réservés, comme `type` ou `coordinates`. Des données mal formées peuvent alors être enregistrées et devenir illisibles par le pilo…
Source : NVD — CVE-2026-114643
Écriture mémoire hors limites dans l’authentification Windows du pilote C
Le pilote MongoDB C pour Windows peut subir un débordement d’entier dans le traitement d’authentification Kerberos/SSPI, conduisant à une allocation mémoire insuffisante puis à une écriture hors limites. Le risque concerne les builds clien…
Source : NVD — CVE-2026-114645
Validation insuffisante de BSON brut dans le pilote C#
Le pilote MongoDB C# ne vérifie pas que la taille déclarée dans un document BSON brut ou différé correspond aux octets effectivement fournis, et transmet les données sans validation. Si une application accepte une telle entrée externe, des…
Source : NVD — CVE-2026-114646
Noms de champs commençant par `$` non rejetés dans FindOneAndReplace
Dans `FindOneAndReplace`, le pilote C# ne rejette pas certains documents de remplacement dont les noms de champs de premier niveau commencent par `$`, contrairement à d’autres opérations de remplacement. Si ces noms sont fournis par un uti…
Source : NVD — CVE-2026-114647
Écriture possible en clair de champs destinés au chiffrement côté client
Une conversion interne de noms sous certaines configurations d’encodage de texte peut empêcher le pilote .NET/C# d’appliquer les règles configurées de chiffrement de champs côté client. Des données destinées à être chiffrées peuvent alors…
Source : NVD — CVE-2026-114650
Divulgation possible d’octets résiduels pendant la désérialisation BSON
Le composant de désérialisation BSON du pilote MongoDB C# peut renvoyer des octets résiduels d’un contenu antérieur lors du traitement d’une entrée spécialement construite. Dans certaines applications désérialisant des collections primitiv…
Source : NVD — CVE-2026-114651
GitLab : contournement de restrictions de portée via un champ GraphQL
Une application insuffisante des permissions à un champ GraphQL pouvait permettre à un utilisateur authentifié doté d’un jeton `read_api` de récupérer l’adresse e-mail entrante d’un projet et de créer des work items, au-delà des droits du…
Source : NVD — CVE-2026-12664
php-travel-agency-system : injection SQL dans le gestionnaire d’insertion
Une injection SQL à distance a été signalée dans le gestionnaire d’insertion de php-travel-agency-system, via plusieurs paramètres de requête. La source indique que l’exploit est public, mais ne précise ni version affectée ni correctif dis…
Source : NVD — CVE-2026-114577
Grav : exposition possible des identifiants HTTP Basic via le contenu Twig
Du contenu Twig fourni par un auteur de page peut exposer les identifiants HTTP Basic des visiteurs dans Grav. Les versions de 2.0.0 à celles antérieures à 2.2.5 sont indiquées comme affectées.
Source : NVD — CVE-2026-114657
stream-json : déni de service CPU via les filtres de chemin de FlexAssembler
Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué est traité. Le problème concerne les configurations utilisant un filtre string ou…
Source : GHSA-jj87-hc4r-jwfw — stream-json
Nodemailer : déni de service lors de la signature DKIM via des en-têtes pliés
Le parseur DKIM de Nodemailer traite les lignes de continuation d’en-tête avec une complexité quadratique. Un en-tête très long comportant de nombreuses lignes pliées peut ainsi bloquer la boucle événementielle pendant la signature, si l’a…
Source : GHSA-39m8-27wv-hr27 — Nodemailer
OpenTelemetry Python — déni de service par analyse coûteuse de tracestate
OpenTelemetry Python peut subir une forte consommation CPU lors de l’analyse d’un en-tête tracestate W3C malformé contenant une longue séquence d’espaces ou de tabulations. Un en-tête suffisamment grand peut retarder ou bloquer le traiteme…
Source : NVD — CVE-2026-114603
Pylint — exécution de code via un cache de statistiques pickle modifiable
Pylint peut charger avec pickle des fichiers de statistiques stockés dans un répertoire de cache prévisible. Un attaquant capable d’écrire dans un tel répertoire peut y placer un fichier malveillant qui exécutera du code avec les privilège…
Source : NVD — CVE-2026-114608
Requêtes réseau et tentatives d’accès local via le chargement d’images de fpdf2
fpdf2 peut récupérer des URL HTTP(S) ou tenter d’ouvrir des chemins locaux contrôlés par l’utilisateur lors de l’insertion d’images, de HTML, de SVG ou d’images de modèle. Cela peut entraîner des requêtes vers des services internes ou exte…
Source : NVD — CVE-2026-114609
Consommation exponentielle de ressources par des références SVG dans fpdf2
Le traitement de références SVG imbriquées dans fpdf2 peut dupliquer de manière exponentielle l’arbre graphique en mémoire. Un SVG de petite taille peut ainsi provoquer une consommation excessive de CPU et de mémoire et faire échouer la gé…
Source : NVD — CVE-2026-114610
Pillow — divulgation de mémoire lors de l’export Arrow
L’export Arrow de Pillow peut inclure des octets non initialisés ou issus de mémoire résiduelle lorsque l’alignement des lignes ajoute du remplissage ou un décalage avant la première ligne. Dans les applications concernées, cela peut divul…
Source : NVD — CVE-2026-114501
Pillow — contournement de la protection contre les images démesurées dans MPO et DCX
Pillow ne réapplique pas la protection contre les images démesurées lors du changement d’image dans les formats MPO et DCX. Un fichier dont la première image est petite mais une image suivante surdimensionnée peut contourner la vérificatio…
Source : GitHub Advisory GHSA-p8hx-v2p6-rp84
Pillow : déni de service par amplification mémoire dans le décodage BMP RLE
Le décodeur BMP RLE de Pillow peut allouer une quantité de mémoire disproportionnée à partir d’un fichier BMP malveillant, provoquant un déni de service. Les versions jusqu’à 12.x sont affectées ; mettre Pillow à jour vers 13.0.0.
Source : GHSA-24rc-8hj2-v98c — Pillow
Pillow : dépassement d’entier signé lors du calcul de largeur PILfont
Une somme d’avances de glyphes PILfont négatives peut provoquer un dépassement signé indéfini dans Pillow et fausser fortement la largeur renvoyée par getlength(). Les versions antérieures à 13.0.0 sont affectées ; mettre à jour vers 13.0.…
Source : GHSA-4rm8-3hmm-39fg — Pillow
Un JSON profondément imbriqué peut faire échouer le parseur android-json
Une entrée JSON profondément imbriquée peut provoquer un StackOverflowError lors de son analyse et faire échouer le thread qui la traite. La version affectée est com.vaadin.external.google:android-json 0.0.20131108.vaadin1 ; aucun correcti…
Source : NVD — CVE-2026-110974
Fastify : contournement de validation d’en-têtes par différence de casse dans propertyNames
Fastify ne normalise pas les noms d’en-têtes contenus dans les `enum` et `const` d’un sous-schéma `propertyNames`. Une contrainte de liste de refus ou d’autorisation écrite avec la casse canonique peut donc ne pas correspondre aux noms d’e…
Source : GHSA-389g-gv7q-r4x8 — Fastify
Authlib : contournement possible de l’exigence TLS lors de contrôles d’URL
Dans Authlib de 0.13 à avant 1.8.0, une comparaison textuelle incorrecte peut faire accepter comme sécurisé un URL HTTP dont l’hôte réel n’est pas une adresse de bouclage. Cela peut contourner une vérification imposant TLS pour certaines U…
Source : CVE-2026-114614 — NVD
CERT-FR : multiples vulnérabilités dans Node.js
CERT-FR signale plusieurs vulnérabilités dans Node.js, dont certaines pourraient permettre une exécution de code à distance, un contournement de la politique de sécurité ou un impact non précisé par l’éditeur. L’extrait fourni ne donne ni…
Source : Multiples vulnérabilités dans Node (22 octobre 2026)
CMS & e-commerce
94 alerte(s)Injection de code dans Drupal Webform
CVE-2026-96355 concerne une neutralisation incorrecte d’éléments spéciaux dans un moteur de templates de Drupal Webform, pouvant conduire à une injection de code. La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.3.0 à…
Source : NVD — CVE-2026-96355
Exécution de code à distance dans YOOtheme Pro pour Joomla
Une faiblesse du gestionnaire public de transformation d’images de YOOtheme Pro permet une exécution de code à distance sans authentification. Les versions 5.0.0 à 5.0.52 sont concernées; mettre à jour vers la version 5.0.53.
Source : NVD — CVE-2026-102785
CVE-2026-96365 : allocation excessive de ressources dans Drupal Webform
Une vulnérabilité d’allocation de ressources sans limites ni limitation affecte Drupal Webform et peut provoquer une allocation excessive. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun corr…
Source : NVD — CVE-2026-96365
XSS stockée dans WebP Express
WebP Express n’échappe pas certaines valeurs réémises dans des attributs d’éléments par son analyseur HTML intégré, lorsque le mode de diffusion d’image non standard est activé. Un utilisateur non authentifié peut ainsi soumettre du conten…
Source : NVD — CVE-2026-97328
HIPAA Forms : élévation de privilèges par modification du rôle personnalisé
HIPAA Forms, avant la version 3.3.2, ne contrôle pas les permissions lors d’une requête qui reconstruit son rôle utilisateur personnalisé. Un utilisateur possédant déjà ce rôle peut lui accorder des capacités d’administrateur et élever ses…
Source : NVD — CVE-2026-109927
PixelYourSite : XSS stocké via cookie et cache pleine page
PixelYourSite avant 11.4.3 et PixelYourSite Pro avant 12.6.8 n’échappent pas correctement une valeur de cookie avant de l’insérer dans la page. Sur un site utilisant un cache pleine page, un attaquant non authentifié peut provoquer la mise…
Source : NVD — CVE-2026-109987
Royal MCP : jeton de prévisualisation réutilisable comme authentification générale
Royal MCP avant la version 1.5.7 ne limite pas un jeton de prévisualisation à la prévisualisation pour laquelle il a été émis. Une personne qui obtient un jeton valide peut être authentifiée comme son propriétaire sur l’ensemble de l’API R…
Source : NVD — CVE-2026-111958
JetBackup pour WordPress : écriture arbitraire de fichiers via un lien symbolique
CVE-2026-104068 concerne JetBackup pour WordPress : un administrateur authentifié pouvait exploiter un lien symbolique dans une archive de sauvegarde pour écrire des fichiers hors du répertoire de restauration prévu. Selon la destination a…
Source : NVD — CVE-2026-104068
MarketKing pour WooCommerce : défaut d’autorisation
Une vulnérabilité de contrôle d’accès manquant touche MarketKing pour WooCommerce jusqu’à la version 2.1.72 incluse. Le défaut peut permettre un accès non autorisé ; la version corrigée et les modalités précises d’exploitation ne sont pas…
Source : NVD — CVE-2026-111847
ShopMagic pour WooCommerce : risque d’exposition de données sensibles
ShopMagic pour WooCommerce jusqu’à la version 4.9.1 incluse présente un risque d’exposition de données sensibles dans un fichier ou répertoire accessible de l’extérieur. La version corrigée et les détails permettant de confirmer l’expositi…
Source : NVD — CVE-2026-114195
ЮKassa pour WooCommerce : défaut d’autorisation
ЮKassa pour WooCommerce jusqu’à la version 2.17.3 incluse est affecté par un défaut d’autorisation. Les éléments consultés indiquent qu’un correctif est disponible, mais ne permettent pas d’établir ici sa version exacte.
Source : NVD — CVE-2026-114699
Waitlist WooCommerce : vulnérabilité XSS stockée
Waitlist WooCommerce (Back in stock notifier) jusqu’à la version 2.9.1 incluse présente une vulnérabilité de type XSS stockée. La version corrigée et les conditions précises nécessaires à son déclenchement ne sont pas établies par les élém…
Source : NVD — CVE-2026-114701
XSS stockée dans WordPress Core via Quick Edit
Une vulnérabilité XSS stockée dans WordPress Core permet à un utilisateur authentifié ayant le rôle Contributor ou supérieur d’injecter du script via Quick Edit, qui peut s’exécuter lorsqu’un utilisateur privilégié visite les écrans d’admi…
Source : NVD — CVE-2026-114570
XSS stockée dans le plugin Link Library
Le plugin Link Library ne nettoie ni n’échappe un champ de lien avant de l’insérer dans un attribut HTML de l’aperçu, ce qui permet une XSS stockée aux utilisateurs ayant le rôle Contributor ou supérieur. L’aperçu peut être généré sans aut…
Source : NVD — CVE-2026-78392
Défaut d’autorisation dans Falcon – WordPress Optimizations & Tweaks
Le plugin Falcon – WordPress Optimizations & Tweaks présente une vulnérabilité d’autorisation manquante liée à une configuration incorrecte des contrôles d’accès. Les informations fournies indiquent que les versions jusqu’à 2.12.0 sont aff…
Source : NVD — CVE-2026-112826
Défaut d’autorisation dans miniOrange Page Restriction
Le plugin miniOrange Page Restriction WordPress présente une vulnérabilité d’autorisation manquante due à des niveaux de contrôle d’accès mal configurés. Les versions jusqu’à 1.6.0 sont indiquées comme affectées ; les informations fournies…
Source : NVD — CVE-2026-114696
FluentCart : exposition possible des adresses de clients
FluentCart, avant la version 2.2.0, ne vérifie pas que l’adresse client choisie lors du paiement appartient à la personne qui passe la commande. Un attaquant non authentifié peut ainsi exposer des adresses postales, numéros de téléphone et…
Source : NVD — CVE-2026-100142
WP Ultimate Review : exécution de shortcodes via les avis publics
WP Ultimate Review, avant la version 2.4.5, ne neutralise pas les shortcodes dans tous les champs du formulaire public d’avis. Si les avis et l’affichage du champ concerné sont activés, un visiteur non authentifié peut provoquer l’exécutio…
Source : NVD — CVE-2026-103234
MB Custom Post Types & Custom Taxonomies : migration relançable sans authentification
MB Custom Post Types & Custom Taxonomies avant la version 2.12.3 autorise une requête non authentifiée à relancer une migration de données historique sans contrôle de capacité. Sur les sites mis à niveau depuis une version antérieure à 2.0…
Source : NVD — CVE-2026-110010
Photo Engine : XSS stocké dans les noms de collections et de galeries
Photo Engine (Media Organizer & Lightroom) avant la version 6.5.8 ne nettoie ni n’échappe correctement les noms de collections et de galeries affichés dans le tableau de bord. Un utilisateur authentifié disposant du rôle Auteur ou supérieu…
Source : NVD — CVE-2026-111971
Photo Engine : suppression non autorisée de pièces jointes
Photo Engine (Media Organizer & Lightroom) avant la version 6.5.8 ne vérifie pas que l’utilisateur est autorisé à agir sur la pièce jointe ciblée. Des utilisateurs authentifiés ayant le rôle Auteur ou supérieur peuvent supprimer des médias…
Source : NVD — CVE-2026-111972
CVE-2026-84919 : XSS stockée dans PhotoSwipe
PhotoSwipe – Responsive JavaScript Modal Image Gallery est affecté par une vulnérabilité XSS stockée. Les versions jusqu’à 5.0.9 sont mentionnées comme concernées; la source ne fournit pas de version corrigée ni de contournement.
Source : NVD — CVE-2026-84919
Drupal Media Library Importer : traversée de chemin
La fiche NVD signale une traversée de chemin dans Drupal Media Library Importer. Les versions 0.0.0 à 2.1.6 sont indiquées comme affectées; les informations consultées ne confirment ni version corrigée ni mesure compensatoire.
Source : NVD — CVE-2026-81163
Drupal Advanced Search : défaut d’autorisation
La fiche NVD signale un défaut d’autorisation dans Drupal Advanced Search, permettant un accès par navigation forcée. Les versions 0.0.0 à 2.4.5 sont indiquées comme affectées; la version corrigée n’est pas établie dans les éléments consul…
Source : NVD — CVE-2026-84910
Drupal AI : défaut d’autorisation
La fiche NVD signale une autorisation manquante dans Drupal AI (Artificial Intelligence), permettant un accès par navigation forcée. Les versions 0.0.0 à 1.3.13 et 1.4.0 à 1.4.8 sont indiquées comme affectées; aucun correctif n’est établi…
Source : NVD — CVE-2026-84912
Drupal AI Translate : défaut d’autorisation
La fiche NVD signale une autorisation manquante dans Drupal AI Translate, permettant un accès par navigation forcée. Les versions 0.0.0 à 1.3.2 et 1.4.0 à 1.4.1 sont indiquées comme affectées; la version corrigée n’est pas établie dans les…
Source : NVD — CVE-2026-84913
Drupal Calculate Working Days : défaut d’autorisation
La fiche NVD signale une autorisation manquante dans Drupal Calculate Working Days, permettant un accès par navigation forcée. Les versions 0.0.0 à 2.0.3 sont indiquées comme affectées; les éléments consultés ne précisent pas de version co…
Source : NVD — CVE-2026-84914
Drupal Component blocks : XSS stockée
La fiche NVD signale une vulnérabilité XSS stockée dans Drupal Component blocks. Les versions 0.0.0 à 1.2.7 sont indiquées comme affectées; la version corrigée et les mesures compensatoires ne sont pas précisées dans les éléments consultés.
Source : NVD — CVE-2026-84915
CVE-2026-84917 : défaut d’autorisation dans Jsonapi Role Access
Un défaut d’autorisation dans Jsonapi Role Access permet la navigation forcée. Les versions jusqu’à 2.0.2 sont indiquées comme concernées; la source fournie ne précise ni version corrigée ni contournement.
Source : NVD — CVE-2026-84917
CVE-2026-84920 : défaut d’autorisation dans Unpublished Node Permissions
Un défaut d’autorisation dans Unpublished Node Permissions permet la navigation forcée. La fiche indique que les versions jusqu’à 1.8.0 sont concernées; elle ne donne pas de correctif ni de contournement.
Source : NVD — CVE-2026-84920
CVE-2026-84921 : défaut d’autorisation dans Webform Submissions Delete
Webform Submissions Delete présente un défaut d’autorisation permettant la navigation forcée. Les versions jusqu’à 1.2.0 sont indiquées comme concernées; aucun correctif ni contournement n’est précisé dans la source.
Source : NVD — CVE-2026-84921
CVE-2026-84923 : contournement d’authentification dans le module de vérification
Le module Email Verification / SMS Verification / OTP Verification est affecté par un contournement d’authentification. La fiche indique les versions jusqu’à 2.4.0 comme concernées; aucun correctif ni contournement n’est fourni dans la sou…
Source : NVD — CVE-2026-84923
CVE-2026-84924 : XSS réfléchie dans le module de vérification
Email Verification / SMS Verification / OTP Verification présente une vulnérabilité XSS réfléchie. Les versions jusqu’à 2.4.0 sont indiquées comme affectées; la source ne précise pas de correctif ni de contournement.
Source : NVD — CVE-2026-84924
CVE-2026-87936 : injection SQL dans amazee.ai Private AI Provider
Une injection SQL affecte amazee.ai Private AI Provider. La fiche mentionne les versions 0.0.0 à 1.3.7 et 1.4.0 à 1.4.3 comme concernées; aucune version corrigée ni mesure de contournement n’est indiquée.
Source : NVD — CVE-2026-87936
CVE-2026-87937 : redirection ouverte dans CAS Server
CAS Server présente une redirection ouverte susceptible de permettre la falsification de la source des données. Les versions 0.0.0 à 2.0.4 et 2.1.0 à 2.1.3 sont mentionnées comme affectées; la source ne fournit pas de correctif ni de conto…
Source : NVD — CVE-2026-87937
Drupal Feed Block : XSS stockée
Une faille XSS stockée affecte le module Drupal Feed Block. Les versions affectées indiquées sont 0.0.0 à 2.0.2 et 3.0.0 à 3.0.2; la source fournie ne précise ni version corrigée ni contournement.
Source : CVE-2026-87939 — NVD
Drupal Key auth : informations sensibles dans le cache du navigateur
Une vulnérabilité de cache du navigateur peut exposer des informations sensibles dans Drupal Key auth. Les versions 0.0.0 à 2.2.4 sont concernées ; aucun correctif ni contournement n’est précisé dans les informations fournies.
Source : NVD — CVE-2026-87940
Drupal SafeDelete : vulnérabilité XSS stockée
Drupal SafeDelete présente une vulnérabilité XSS stockée. Les versions 0.0.0 à 1.0.88 sont concernées ; les données fournies ne précisent pas la version corrigée ni de contournement.
Source : NVD — CVE-2026-87942
Drupal SAML SSO – Service Provider : contrôle d’autorisation manquant
Une absence de contrôle d’autorisation dans Drupal SAML SSO – Service Provider permet le contournement de restrictions par accès direct à des ressources. Les versions 0.0.0 à 3.2.0 sont concernées ; aucune version corrigée n’est indiquée d…
Source : NVD — CVE-2026-87943
Drupal SAML SSO – Service Provider : validation incorrecte des certificats
Drupal SAML SSO – Service Provider présente une validation incorrecte des certificats, susceptible de faciliter une attaque de type adversary-in-the-middle. Les versions 0.0.0 à 3.2.0 sont concernées ; les données fournies ne donnent pas d…
Source : NVD — CVE-2026-87944
Drupal SAML SSO – Service Provider : redirection ouverte
Une redirection ouverte dans Drupal SAML SSO – Service Provider peut renvoyer les utilisateurs vers un site non fiable. Les versions 0.0.0 à 3.2.0 sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée.
Source : NVD — CVE-2026-87945
Drupal SAML SSO – Service Provider : fuite temporelle facilitant la force brute
Une différence de temps observable dans Drupal SAML SSO – Service Provider peut faciliter une attaque par force brute. Les versions 0.0.0 à 3.2.0 sont concernées ; aucun correctif n’est identifié dans les informations fournies.
Source : NVD — CVE-2026-87946
Drupal SAML SSO – Service Provider : vérification de signature insuffisante
Drupal SAML SSO – Service Provider ne vérifie pas correctement une signature cryptographique, ce qui peut permettre l’usurpation d’une signature. Les versions 0.0.0 à 3.2.0 sont concernées ; les informations fournies ne précisent pas de ve…
Source : NVD — CVE-2026-87947
Identifiants codés en dur dans Drupal SAML SSO – Service Provider
CVE-2026-87950 concerne des identifiants codés en dur dans le module Drupal SAML SSO – Service Provider, pouvant permettre de récupérer des données sensibles intégrées. La fiche NVD indique que les versions jusqu’à 3.2.0 sont concernées ;…
Source : NVD — CVE-2026-87950
Vérification d’autorisation manquante dans Taxonomy Term Glossary
CVE-2026-87954 est une absence de vérification d’autorisation dans le module Drupal Taxonomy Term Glossary, permettant la consultation par accès direct (« forceful browsing »). La fiche NVD indique que les versions jusqu’à 4.6.0 sont conce…
Source : NVD — CVE-2026-87954
Vérification d’autorisation manquante dans Ultimate Table Field
CVE-2026-87955 est une absence de vérification d’autorisation dans le module Drupal Ultimate Table Field, permettant la consultation par accès direct (« forceful browsing »). La fiche NVD indique que les versions 0.0.0 à 1.1.1 et 2.0.0 à 2…
Source : NVD — CVE-2026-87955
Autorisation incorrecte dans Drupal Webform
CVE-2026-96356 est une vulnérabilité d’autorisation incorrecte dans Drupal Webform, permettant l’accès à des ressources par navigation directe (« forceful browsing »). La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.…
Source : NVD — CVE-2026-96356
XSS stocké dans Drupal Webform
CVE-2026-96357 concerne une neutralisation incorrecte des entrées lors de la génération de pages Webform, entraînant un XSS stocké. La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 sont concernées ; aucun…
Source : NVD — CVE-2026-96357
XSS dans Drupal Webform
CVE-2026-96358 est une vulnérabilité de neutralisation incorrecte d’entrée lors de la génération de pages Drupal Webform, permettant un XSS. La fiche NVD indique que les versions jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 sont concernées…
Source : NVD — CVE-2026-96358
CVE-2026-96359 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-96359
CVE-2026-96361 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-96361
CVE-2026-96362 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-96362
CVE-2026-96364 : contrôle de fréquence insuffisant dans Drupal Webform
Une vulnérabilité de contrôle inadéquat de la fréquence des interactions affecte Drupal Webform et permet un mauvais usage de fonctionnalités. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; la sou…
Source : NVD — CVE-2026-96364
CVE-2026-96366 : autorisation incorrecte dans Drupal Webform
Une vulnérabilité d’autorisation incorrecte dans Drupal Webform permet le parcours forcé. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni score n’est précisé dans la source fourn…
Source : NVD — CVE-2026-96366
CVE-2026-96367 : XSS persistante dans Drupal Webform
Une vulnérabilité liée à des privilèges définis au moyen d’actions non sûres permet une XSS persistante dans Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif n’est pr…
Source : NVD — CVE-2026-96367
CVE-2026-96368 : XSS persistante dans Drupal Webform
Une vulnérabilité XSS persistante affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-96368
Drupal Webform — SSRF par autorisation incorrecte
Drupal Webform présente une vulnérabilité d’autorisation permettant une falsification de requête côté serveur (SSRF). Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; la source fournie ne précise ni version corrigée…
Source : NVD — CVE-2026-96370
Drupal Webform — XSS stockée via des actions non sûres
Drupal Webform présente une vulnérabilité liée à des privilèges définis avec des actions non sûres, pouvant conduire à une XSS stockée. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; aucun correctif n’est précisé d…
Source : NVD — CVE-2026-96371
Drupal Webform — navigation forcée par contrôle d’accès insuffisant
Drupal Webform présente une granularité insuffisante du contrôle d’accès permettant le contournement de restrictions par navigation forcée. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; aucune version corrigée n’e…
Source : NVD — CVE-2026-96372
Drupal Project Browser — vulnérabilité CSRF
Drupal Project Browser présente une vulnérabilité de falsification de requête intersite (CSRF). Les versions affectées indiquées sont 0.0.0 à 2.0.3 et 2.1.0 à 2.1.5 ; aucun correctif ni contournement n’est indiqué dans la source fournie.
Source : NVD — CVE-2026-96374
Drupal Cloud — validation incorrecte des certificats
Drupal Cloud présente une validation incorrecte des certificats, susceptible de permettre une attaque de type adversary-in-the-middle. La version affectée indiquée est 0.0.0 à 7.0.1 ; la source fournie ne précise pas de version corrigée ni…
Source : NVD — CVE-2026-96375
Drupal Cloud — injection de commandes système
Drupal Cloud présente une vulnérabilité d’injection de commandes système. La version affectée indiquée est 0.0.0 à 7.0.1 ; la fiche NVD fournie a été publiée dans la période, mais sa mise à jour est datée du 2026-10-23T04:18:24.073Z, après…
Source : NVD — CVE-2026-96376
Combined image style — allocation excessive de ressources
Le module Drupal Combined image style présente une allocation de ressources sans limite ni limitation de débit. Les versions affectées indiquées vont de 0.0.0 à 1.0.7 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-96377
Commerce Decoupled Checkout — injection d’objet
Drupal Commerce Decoupled Checkout présente une modification insuffisamment contrôlée d’attributs d’objets déterminés dynamiquement, pouvant conduire à une injection d’objet. Les versions affectées indiquées vont de 1.0.0 à 1.8.0 ; la sour…
Source : NVD — CVE-2026-96378
Drupal CSS Usage Analyzer : défaut d’autorisation (CVE-2026-96380)
CVE-2026-96380 concerne un défaut d’autorisation dans Drupal CSS Usage Analyzer, susceptible de permettre l’accès à des fonctions par navigation forcée. Les versions indiquées comme affectées vont de 1.0.0 à 1.0.2; aucun correctif n’est pr…
Source : NVD — CVE-2026-96380
Drupal Diba carousel slider : XSS stockée (CVE-2026-96382)
CVE-2026-96382 concerne une XSS stockée dans Drupal Diba carousel slider. Les versions indiquées comme affectées vont de 0.0.0 à 3.0.2; les données fournies ne précisent pas de version corrigée.
Source : NVD — CVE-2026-96382
Drupal REST & JSON API Authentication : contournement d’authentification (CVE-2026-96385)
CVE-2026-96385 concerne un contournement d’authentification dans Drupal REST & JSON API Authentication for Drupal. Les versions indiquées comme affectées vont de 0.0.0 à 3.2.0; les données fournies ne donnent ni version corrigée ni détail…
Source : NVD — CVE-2026-96385
Drupal Smart Content : défaut d’autorisation (CVE-2026-96386)
CVE-2026-96386 concerne un défaut d’autorisation dans Drupal Smart Content, susceptible de permettre la navigation forcée. Les versions indiquées comme affectées vont de 0.0.0 à 3.2.1; aucun correctif n’est précisé.
Source : NVD — CVE-2026-96386
Drupal Tawk.to – Live chat application : CSRF (CVE-2026-96388)
CVE-2026-96388 concerne une vulnérabilité CSRF dans Drupal Tawk.to – Live chat application. Les versions indiquées comme affectées vont de 0.0.0 à 3.0.4; la source fournie ne précise ni correctif ni actions exploitables pour réduire le ris…
Source : NVD — CVE-2026-96388
Drupal Editoria11y Accessibility Checker : élévation de privilèges (CVE-2026-96390)
CVE-2026-96390 concerne une attribution de privilèges dangereuse dans Drupal Editoria11y Accessibility Checker, avec un risque d’élévation de privilèges. Les versions indiquées comme affectées sont 0.0.0 à 2.2.23 et 3.0.0 à 3.0.9; aucun co…
Source : NVD — CVE-2026-96390
CVE-2026-96398 — Contournement d’autorisation dans Drupal Webform
Une faille d’autorisation dans Webform permet le contournement des contrôles d’accès par navigation forcée. Les versions concernées sont celles jusqu’à 6.2.12 et de 6.3.0 à 6.3.1 ; appliquez un correctif du fournisseur lorsqu’il est dispon…
Source : NVD — CVE-2026-96398
Modification non autorisée des noms de comptes dans MasterStudy LMS
Dans MasterStudy LMS, un utilisateur ayant le rôle Instructor peut modifier les prénom, nom et nom d’affichage de n’importe quel compte, y compris celui d’un administrateur, via la fonction d’inscription des étudiants. L’absence de vérific…
Source : NVD — CVE-2026-88849
Infility Global : modification non autorisée d’une configuration de traduction
Infility Global, avant la version 2.16.25, expose une action AJAX sans vérification d’autorisation ni de nonce, accessible sans authentification. Un visiteur peut écraser une valeur de configuration de traduction automatique appartenant à…
Source : NVD — CVE-2026-109931
MB Custom Post Types & Custom Taxonomies : accès excessif à la fonction d’export
La fonction d’export de MB Custom Post Types & Custom Taxonomies avant la version 2.12.3 ne vérifie pas les capacités de l’utilisateur. Un utilisateur ayant un rôle aussi limité que Contributeur peut consulter des configurations réservées…
Source : NVD — CVE-2026-110011
Drupal Mailer Plus Log : informations sensibles dans les journaux
La fiche NVD signale une insertion d’informations sensibles dans les journaux de Drupal Mailer Plus Log, exploitable avec des identifiants volés. Elle indique comme affectées les versions 0.0.0 à 1.2.7; le correctif et la version corrigée…
Source : NVD — CVE-2026-16648
Drupal AI : XSS stockée
La fiche NVD signale une vulnérabilité XSS stockée dans Drupal AI (Artificial Intelligence). Elle indique comme affectées les versions 0.0.0 à 1.3.13 et 1.4.0 à 1.4.8; le correctif n’est pas précisé dans les éléments consultés.
Source : NVD — CVE-2026-84911
CVE-2026-84916 : défaut d’autorisation dans Islandora
Une vulnérabilité d’autorisation dans Islandora permet la navigation forcée. La fiche indique que les versions jusqu’à 2.19.0 sont concernées; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-84916
CVE-2026-84918 : vérification de signature défectueuse dans Monobank payment API
Monobank payment API présente un défaut de vérification de signature pouvant permettre une falsification de signature. La fiche indique les versions jusqu’à 1.0.3 comme concernées, sans préciser de correctif ni de contournement.
Source : NVD — CVE-2026-84918
Drupal SAML SSO – Service Provider : vulnérabilité XSS
Drupal SAML SSO – Service Provider présente une vulnérabilité XSS due à une neutralisation incorrecte des entrées lors de la génération de pages. Les versions 0.0.0 à 3.2.0 sont concernées ; aucune version corrigée n’est précisée dans les…
Source : NVD — CVE-2026-87948
Drupal SAML SSO – Service Provider : seconde vulnérabilité XSS
Une seconde vulnérabilité XSS est signalée dans Drupal SAML SSO – Service Provider. Les versions 0.0.0 à 3.2.0 sont concernées ; la description fournie ne détaille pas le vecteur ni la version corrigée.
Source : NVD — CVE-2026-87949
Stockage non sécurisé d’informations dans Drupal SAML SSO – Service Provider
CVE-2026-87951 porte sur le stockage non sécurisé d’informations sensibles dans Drupal SAML SSO – Service Provider, avec récupération possible de données sensibles intégrées. La fiche NVD indique que les versions jusqu’à 3.2.0 sont concern…
Source : NVD — CVE-2026-87951
Contournement d’authentification dans Drupal SAML SSO – Service Provider
CVE-2026-87952 concerne un contournement de l’authentification par capture-rejeu dans Drupal SAML SSO – Service Provider, permettant l’accès à des services distants avec des identifiants volés. La fiche NVD indique que les versions jusqu’à…
Source : NVD — CVE-2026-87952
SSRF dans Drupal SAML SSO – Service Provider
CVE-2026-87953 est une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans Drupal SAML SSO – Service Provider. La fiche NVD indique que les versions jusqu’à 3.2.0 sont concernées ; aucun correctif ni contournement n’est pré…
Source : NVD — CVE-2026-87953
CVE-2026-96360 : XSS dans Drupal Webform
Une vulnérabilité XSS affecte Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; aucun correctif ni contournement n’est précisé dans la source fournie.
Source : NVD — CVE-2026-96360
Drupal Webform — informations sensibles dans le cache du navigateur
Drupal Webform présente une vulnérabilité de mise en cache du navigateur pouvant laisser des informations sensibles accessibles, avec un contrôle d’accès mal configuré. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1…
Source : NVD — CVE-2026-96369
Drupal Webform — navigation forcée par autorisation incorrecte
Drupal Webform présente une vulnérabilité d’autorisation pouvant permettre une navigation forcée. Les versions affectées indiquées sont 0.0.0 à 6.2.12 et 6.3.0 à 6.3.1 ; la source fournie ne donne pas de version corrigée ni de contournemen…
Source : NVD — CVE-2026-96373
Drupal Mermaid Diagram Field : défaut d’autorisation (CVE-2026-96384)
CVE-2026-96384 concerne un défaut d’autorisation dans Drupal Mermaid Diagram Field, susceptible de permettre la navigation forcée vers des ressources protégées. Les versions indiquées comme affectées vont de 1.0.4 à 1.0.9; aucun correctif…
Source : NVD — CVE-2026-96384
Drupal Stop administrator login : contournement d’authentification (CVE-2026-96387)
CVE-2026-96387 concerne un contournement d’authentification dans Drupal Stop administrator login. Les versions indiquées comme affectées vont de 1.0 à 1.6; aucun correctif ni détail supplémentaire sur le mécanisme n’est fourni.
Source : NVD — CVE-2026-96387
CVE-2026-96392 — Injection de code dans Drupal AI CKEditor
Une faille d’injection de code dans AI CKEditor concerne les versions 0.0.0 à 1.4.3. Vérifiez si le module est installé et appliquez un correctif du fournisseur lorsqu’il est disponible.
Source : NVD — CVE-2026-96392
Drupal CSP log : injection SQL
Une injection SQL affecte le module Drupal CSP log dans les versions de 0.0.0 à 1.0.2. La fiche fournie ne donne ni score CVSS, ni version corrigée, ni mesure de contournement.
Source : CVE-2026-87938 — NVD
Drupal Patreon : vulnérabilité dans la branche 7.x
Une vulnérabilité a été signalée dans le module Drupal Patreon, affectant la branche 7.x. La description fournie ne précise ni le mécanisme, ni l’impact, ni une version corrigée ; il convient de consulter l’avis éditeur avant toute mesure…
Source : NVD — CVE-2026-87941
CVE-2026-96363 : XSS persistante dans Drupal Webform
Une vulnérabilité liée à des privilèges définis au moyen d’actions non sûres permet une XSS persistante dans Drupal Webform. Les versions concernées sont celles allant jusqu’à 6.2.12 et les versions 6.3.0 à 6.3.1 ; la source ne précise ni…
Source : NVD — CVE-2026-96363
Drupal CookieCuttr : XSS stockée (CVE-2026-96379)
CVE-2026-96379 concerne une XSS stockée dans Drupal CookieCuttr. Les versions indiquées comme affectées vont de 2.0.0 à 2.0.3; aucun correctif ni mesure d’atténuation n’est précisé dans les données fournies.
Source : NVD — CVE-2026-96379
Drupal Webform REST : défaut d’autorisation (CVE-2026-96391)
CVE-2026-96391 concerne un défaut d’autorisation dans Drupal Webform REST, susceptible de permettre la navigation forcée. Les versions indiquées comme affectées vont de 0.0.0 à 4.2.1; aucun correctif n’est indiqué dans les données fournies.
Source : NVD — CVE-2026-96391
Systèmes & serveurs
7 alerte(s)Debian publie une mise à jour de sécurité pour linux-6.12
Debian a publié un avis de sécurité pour le paquet linux-6.12, signalant plusieurs vulnérabilités susceptibles d’entraîner une élévation de privilèges, un déni de service ou une fuite d’informations. L’avis fourni ne précise ni les CVE con…
Debian publie une mise à jour de sécurité pour AIDE
Debian a publié une mise à jour de sécurité d’AIDE après la découverte de deux vulnérabilités pouvant permettre à un utilisateur local de contourner la détection de fichiers malveillants. Les versions concernées et les versions corrigées n…
Source : DSA-6578-1 aide — security update
Debian LTS publie une mise à jour de sécurité pour AIDE
Debian a publié une mise à jour de sécurité pour AIDE concernant deux vulnérabilités susceptibles de permettre à un utilisateur local de contourner la détection de fichiers malveillants. L’avis LTS ne précise pas ici les identifiants CVE n…
Source : DLA-4851-1 aide — security update
DLA-4849-1 corrige incomplètement traité dans Expat
L’avis Debian LTS indique que le correctif antérieur de cette vulnérabilité d’Expat était incomplet, car une partie du correctif n’était activée qu’avec XML_GE. La mise à jour signalée active cette option; les versions affectées et corrigé…
Source : DLA-4849-1 expat — security update
Dépassement de tampon sur le tas dans Expat
L’avis Debian LTS signale un dépassement de tampon sur le tas dans Expat, dans doProlog de xmlparse.c. Le défaut survient lors d’une réallocation du tableau de structures quand des analyseurs partagent des structures de données; les versio…
Source : DLA-4849-1 expat — security update
Lecture hors limites dans XML_ParseBuffer d’Expat
L’avis Debian LTS décrit une lecture hors limites dans le tas de XML_ParseBuffer, susceptible de révéler des pointeurs du tas, de fonctions libc et de code. L’avis indique que ces informations peuvent aider à contourner l’ASLR et à constru…
Source : DLA-4849-1 expat — security update
Dépassement d’entier dans expat_realloc() sur 32 bits
L’avis Debian LTS signale un dépassement d’entier dans expat_realloc() sur les systèmes 32 bits, lors du calcul des tailles d’allocation. Le défaut se trouve dans le code ajouté pour corriger CVE-2025-59375; les versions affectées et corri…
Source : DLA-4849-1 expat — security update
Cloud & DevOps
4 alerte(s)Traefik : contournement de contrôles d’accès avec certains Ingress Kubernetes
Une erreur dans le fournisseur Kubernetes Ingress NGINX peut créer, pour certains Ingress annotés `ssl-passthrough`, un routeur HTTP qui n’applique pas les contrôles d’accès configurés. Un attaquant non authentifié pouvant atteindre ce poi…
Source : NVD — CVE-2026-114636
Traefik : confusion de CA client dans le fournisseur Kubernetes Ingress NGINX
Dans le fournisseur Kubernetes Ingress NGINX de Traefik, des noms de secrets d’autorités de certification client qui deviennent identiques après normalisation peuvent entraîner une fusion de leurs CA. Un client disposant d’un certificat ac…
Source : NVD — CVE-2026-114638
Traefik : usurpation d’identité mTLS via des en-têtes HTTP
Le routeur HTTP en clair du fournisseur Kubernetes Ingress NGINX peut transmettre des en-têtes `Ssl-Client-*` fournis par le client. Lorsque les conditions de configuration décrites dans l’avis sont réunies, un attaquant non authentifié pe…
Source : NVD — CVE-2026-114640
OpenBao : renouvellement possible de jetons après révocation du compte de service Kubernetes
Lors du renouvellement d’un jeton émis par la méthode d’authentification Kubernetes, OpenBao ne revérifie pas que le jeton de compte de service ayant servi à l’authentification est toujours valide. Un utilisateur authentifié peut ainsi pro…
Source : NVD — CVE-2026-115356