Les sujets à surveiller, en un regard.
38 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 9 sujet(s) en rouge, 3 en orange.
Shopify
Recherche du sujet effectuée
La recherche ciblée n’a pas vérifié d’avis de sécurité Shopify ni de vulnérabilité nouvelle datée du 2026-10-24. Les candidats fournis concernent React Router ou LiquidJS et ne sont pas des avis sur Shopify; leurs modifications NVD sont de simples mises à jour de fiches, hors critères de nouveauté retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ou avis de sécurité ni aucun événement d’exploitation concernant Wix n’a été vérifié comme nouveau ou substantiellement modifié pendant la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. La recherche a relevé une vulnérabilité Wix publiée en février 2026, hors période, et des résultats homonymes ou sans lien établi avec Wix.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a fait ressortir aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifiable correspondant à la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Vérification incomplète
Niveau relevé : Élevée
Un avis de sécurité du projet Craft CMS et une publication NVD correspondent à la période : CVE-2026-115938, publiée le 24 octobre 2026 à 00:16:59+02:00. Les autres candidats fournis sont des fiches publiées en août dont la seule date pertinente fournie est une mise à jour NVD le 24 octobre ; aucune preuve consultée n’établit qu’il s’agissait d’un changement substantiel de sécurité durant la période. Le candidat indique une mise à jour de la fiche NVD le 2026-10-24, mais les éléments fournis ne précisent pas si cette modification est substantielle. Aucune nouvelle vulnérabilité ni aucun changement substantiel daté dans la période ne peut donc être confirmé à partir de ce lot.
Craft CMS : contournement du bac à sable Twig et exécution de fonctions PHP
Un utilisateur authentifié du panneau de contrôle peut contourner le bac à sable Twig via le filtre `column`, récupérer la clé de sécurité puis atteindre l’exécution de fonctions PHP arbitraires. Les versions concernées sont Craft CMS 4.x avant 4.18.9 et 5.x avant 5.11.2 ; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau Craft CMS vers 4.18.9 ou 5.11.2, selon la branche utilisée.
Ghost
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant le CMS Ghost pendant la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les modifications NVD signalées dans les candidats ne suffisent pas, à elles seules, à établir un événement de sécurité admissible daté de cette période. Les sept candidats concernent des vulnérabilités publiées en août 2026. Les données fournies indiquent une mise à jour des fiches NVD le 24 octobre, mais ne documentent aucun changement substantiel intervenu ce jour-là; ils ne sont donc pas retenus pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche web dédiée a relevé un avis Strapi sur CVE-2026-111497 publié le 2026-10-23 et une version Strapi 5.59.0 publiée le 2026-10-21. Ces événements précèdent la période demandée, du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu; aucun élément correspondant à cette période n’a été vérifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche web dédiée a relevé des avis Directus publiés avant la période demandée et une version Directus v12.5.1 publiée le 2026-10-23. Ces éléments sont hors de la période figée; aucun nouvel avis, correctif ou changement substantiel daté du 2026-10-24 n’a été vérifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, signalement d’exploitation ni changement substantiel propre à OpenCart daté dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Un article daté du 24 octobre évoque des vulnérabilités de PHP, mais ne constitue pas un avis de sécurité OpenCart.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée sur cPanel n’a pas identifié d’avis, de correctif ou d’événement de sécurité cPanel daté dans la période demandée (du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu). Les entrées pertinentes visibles dans les sources consultées datent notamment des 2026-10-21 et 2026-10-26, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité Ruby daté dans la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. Les correctifs Ruby liés aux CVE GitLab signalés par le projet ont été publiés le 2026-10-23, avant la période. Les candidats fournis correspondent à des modifications de fiches NVD; leurs dates de publication décrites sont antérieures et aucune information fournie ne montre un changement substantiel de sécurité dans la période. Les candidats fournis signalent des mises à jour de fiches NVD, mais les éléments disponibles ne montrent pas de changement substantiel daté de la période. Aucun nouvel événement de sécurité Ruby n’est retenu à partir de ce lot. Aucune vulnérabilité nouvelle ni aucun correctif ou avis de sécurité daté de la période n’est établi par les candidats fournis. Les mises à jour NVD datées du 24 octobre concernent des CVE publiées auparavant, et leur seule modification de fiche ne suffit pas à établir un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Vérification incomplète
Un avis de sécurité Bun publié le 2026-10-24 décrit un risque de déni de service par amplification QPACK sur HTTP/3, corrigé dans Bun 1.4.4. Aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Deno
Recherche du sujet effectuée
Les sources consultées n’ont pas établi de nouvelle vulnérabilité, d’avis ou correctif de sécurité, d’exploitation, ni de changement substantiel concernant Deno daté dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les avis et vulnérabilités Deno apparus dans les résultats de recherche étaient datés hors de cette période et ont donc été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
La recherche web dédiée sur Go (langage) n’a identifié aucun nouvel avis, correctif ou changement substantiel publié entre le 2026-10-24T00:00:00+02:00 et le 2026-10-25T00:00:00+02:00. Les résultats pertinents consultés indiquent que le correctif Go lié à CVE-2026-111943 et la version Go 1.27.3 datent du 19 octobre; l’avis Amazon Linux affichant une date de publication du 24 octobre concerne cette mise à jour de sécurité, mais son contenu a été modifié le 26 octobre, après la borne de fin, et ne permet pas d’établir un événement admissible dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kotlin
Recherche du sujet effectuée
La recherche dédiée n’a vérifié aucun avis ou événement Kotlin qualifiant pour la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. Les deux candidats sont des vulnérabilités publiées en juillet 2026; les mises à jour NVD signalées le 24 octobre ne suffisent pas à établir un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche des avis de sécurité Electron et des publications pertinentes n’a identifié aucun événement de sécurité Electron daté de la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. L’avis Electron sur les certificats intermédiaires eMudhra a été publié le 2026-10-22, hors période ; la fiche MongoDB Compass publiée le 2026-10-24 concerne Compass, et les autres candidats sont des mises à jour de fiches plus anciennes ou des produits distincts.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité jQuery et aux résultats associés n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel concernant jQuery daté de la période demandée. Les trois candidats portent sur AVideo ou D-Link DNS-320; la mention de jQuery dans leur description ou un chemin de fichier ne les rend pas vulnérabilités du projet jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Vérification incomplète
Une fiche CVE du NVD publiée le 2026-10-23 documente un contournement d’authentification de TokenGuard dans Laravel. L’avis Laravel associé avait été publié le 2026-10-19, avant la période; la publication de la fiche CVE est l’événement retenu dans cette fenêtre. Aucun candidat ne documente une vulnérabilité nouvelle, un correctif ou un changement substantiel daté de la période. Les fiches indiquent des publications antérieures et des mises à jour NVD, sans préciser la nature des modifications apportées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Svelte
Recherche du sujet effectuée
Les avis consultés pour Svelte et SvelteKit ne montrent pas de nouvel avis ni de changement substantiel daté du 24 octobre 2026. Les avis SvelteKit repérés dans la recherche ont été publiés avant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée a repéré des avis Symfony publiés le 15 octobre 2026, hors de la période demandée. Les huit candidats portent sur des CVE publiées antérieurement et signalent une mise à jour NVD le 24 octobre, mais les éléments consultés ne permettent pas d’établir qu’un changement substantiel de sécurité a eu lieu dans la période figée; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de vulnérabilité nouvelle, d’avis de sécurité, d’exploitation ni de changement substantiel concernant le projet Flask pendant la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les candidats portent sur des logiciels distincts qui utilisent Flask ou s’y intègrent, et les éléments consultés ne justifient pas de les retenir comme événements de sécurité du projet Flask dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée n’a vérifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant le projet Django pour la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les avis Django trouvés dans les sources du projet datent du 2026-10-06, hors période; les candidats restants concernent des projets tiers utilisant Django ou des fiches CVE publiées avant la période et seulement modifiées dans la fenêtre indiquée. Aucun événement admissible concernant Django n’est établi pour la période. La fiche CVE-2026-15920 concerne bien Django, mais sa publication précède la période et les données fournies ne montrent qu’une mise à jour NVD, sans changement substantiel documenté.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis de sécurité ni correctif propre au framework FastAPI n’a été vérifié comme publié dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les candidats fournis concernent d’autres produits qui utilisent FastAPI, et leurs mises à jour NVD du 24 octobre ne constituent pas, à elles seules, de nouveaux événements de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée n’a pas vérifié de vulnérabilité, de correctif ni d’avis de sécurité du projet Express daté de la période du 24 octobre 2026. Les candidats fournis concernent d’autres projets ou ne démontrent qu’une mise à jour de fiche NVD à cette date, sans preuve d’un changement substantiel alors publié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche ciblée a identifié un avis NestJS publié antérieurement, mais aucune nouveauté ou modification substantielle vérifiée dans la période du 2026-10-24 au 2026-10-25 (fuseau +02:00). Le candidat CVE-2026-46412 concerne des versions malveillantes publiées en mai 2026; sa mise à jour NVD du 2026-10-24 est administrative et ne constitue pas un nouvel événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Vérification incomplète
La recherche a trouvé l’avis Oracle/MySQL du 20 octobre 2026, antérieur à la période demandée (du 24 octobre 2026 à 00:00:00+02:00 inclus au 25 octobre 2026 à 00:00:00+02:00 exclu). Les candidats fournis indiquent des mises à jour NVD dans la période pour certains enregistrements, mais ne démontrent pas qu’un changement substantiel lié à MySQL ait eu lieu alors; plusieurs concernent en outre des produits tiers ou MariaDB, qui est distinct de MySQL. Le lot contient des fiches CVE MySQL publiées le 21 juillet 2026 et indiquées comme modifiées dans NVD le 24 octobre. Les éléments fournis n’établissent aucun changement substantiel dans la période demandée : aucune nouvelle vulnérabilité, aucun correctif ni avis de sécurité répondant aux critères n’est retenu.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PostgreSQL
Vérification incomplète
Recherche dédiée effectuée pour PostgreSQL. Les sources officielles consultées ne montrent pas de nouvel avis, correctif ou autre changement substantiel daté du 2026-10-24 dans le périmètre demandé. Les avis PostgreSQL repérés sont antérieurs à la période; les candidats fournis concernent des fiches NVD modifiées ce jour-là, mais décrivent des vulnérabilités d’autres produits ou des événements initialement publiés avant la période. Les candidats CVE-2026-50737 et CVE-2026-50738 concernent pglogical, et les CVE-2026-17346 à CVE-2026-17349 concernent pgAdmin. Les données fournies indiquent une mise à jour NVD dans la période, mais ne précisent pas quels changements ont été apportés à ces fiches ni s’ils sont substantiels; aucun item n’est donc confirmé pour cette période. Aucun élément vérifié ne permet de retenir une nouveauté ou un changement substantiel concernant PostgreSQL dans la période. Un candidat NVD relatif à un service PostgreSQL intégré à un appareil mobile a été mis à jour pendant la période, mais les informations fournies ne précisent pas la nature du changement.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Élevée
Un nouvel avis MongoDB concernant MongoDB Compass a été publié pendant la période : CVE-2026-115929. Les autres candidats portent sur des fiches publiées antérieurement et leur mise à jour NVD datée de la période n’est pas, sur les éléments vérifiés, un nouvel avis ou un changement substantiel établi. Aucun nouvel avis, correctif ou changement substantiel daté de la période n’est établi par les candidats fournis. Les dix candidats correspondent à des modifications de fiches NVD pour des CVE publiées le 2026-07-22 ; leur date de mise à jour, à elle seule, ne permet pas de conclure à un événement de sécurité substantiel le 2026-10-24. Aucun élément du lot ne démontre une nouvelle vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel concernant MongoDB daté de la période demandée. Les candidats indiquent une mise à jour NVD le 2026-10-24, mais leurs dates de publication sont antérieures et les données fournies ne précisent aucun changement substantiel effectué à cette date; les deux autres CVE concernent des produits distincts. Aucun élément fourni ne démontre une vulnérabilité nouvelle, un correctif ou un changement substantiel concernant MongoDB dans la période demandée. Les quatre candidats sont des fiches NVD publiées antérieurement et leur seule date indiquée dans la période est une mise à jour NVD, sans précision d’un changement substantiel.
MongoDB Compass : certificats intermédiaires eMudhra récupérables
MongoDB Compass s’appuie sur le magasin de certificats TLS d’Electron, qui contient des certificats d’autorités intermédiaires eMudhra récupérables. MongoDB a publié cet avis le 2026-10-24 et indique que la mise à niveau vers Compass 1.53.1 corrige le problème.
Action recommandée : Mettre à jour MongoDB Compass vers la version 1.53.1 ou ultérieure.
Redis
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Redis, aux avis GitHub et aux références CVE/NVD accessibles n’a pas identifié d’avis ou de correctif concernant le produit Redis dont la publication ou le changement substantiel soit établi dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les avis Redis trouvés sont antérieurs à cette période; aucun item n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis Debian LTS daté du 2026-10-24 annonce un correctif Caddy pour CVE-2026-52845. Le candidat CVE-2026-46415 concerne Caddy Defender et son avis est antérieur à la période; la modification NVD indiquée au 2026-10-24 ne suffit pas à établir une nouvelle faille, un nouveau correctif ou un changement substantiel sur cette date.
Debian DLA-4857-1 : correctifs de sécurité pour Caddy
Debian a publié DLA-4857-1 pour corriger plusieurs problèmes de sécurité dans Caddy, notamment des contournements de contrôles d’accès, l’exécution d’un fichier inattendu par un backend FastCGI, l’injection d’en-têtes d’identité, la reconfiguration non autorisée de l’API d’administration et une faille XSS. Pour CVE-2026-52845, le correctif rejette désormais les en-têtes de requête dont le nom contient un caractère de soulignement, ce qui peut nécessiter d’adapter les clients ou configurations qui en dépendent.
Action recommandée : Installer la mise à jour Debian pour Caddy et vérifier les intégrations qui transmettent des en-têtes contenant des soulignements.
SvelteKit
Recherche du sujet effectuée
La recherche ciblée n’a pas établi de nouvelle vulnérabilité, de nouvel avis/correctif ni d’autre changement de sécurité substantiel concernant SvelteKit entre le 2026-10-24T00:00:00+02:00 et le 2026-10-25T00:00:00+02:00. Le candidat fourni concerne CVE-2026-66062, publiée en août 2026 ; les sources consultées décrivent l’avis comme publié le 2026-07-29 et ne documentent pas de changement de sécurité substantiel durant la période demandée. La mise à jour NVD du 24 octobre, à elle seule, ne suffit donc pas à retenir un événement dans ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
Pour Babel, les sources consultées ne montrent aucun avis de sécurité, vulnérabilité nouvelle, exploitation signalée ou changement substantiel daté du 2026-10-24 dans la période demandée. Une version Babel publiée le 2026-10-23 apparaît dans l’historique des releases, donc hors de cette période; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucun avis, correctif, événement d’exploitation ni changement substantiel concernant Elasticsearch n’a été vérifié dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les candidats fournis indiquent des publications initiales en juillet 2026 ; leur mise à jour NVD du 24 octobre, à elle seule, ne démontre pas un nouvel événement de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée sur RabbitMQ n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-24 dans la période demandée. Les avis RabbitMQ repérés sont datés du 2026-10-25, hors période. Le candidat CVE-2026-59248 concerne Cowlib et décrit une vulnérabilité publiée en juillet ; la mise à jour NVD du 2026-10-24 ne suffit pas à établir un changement substantiel concernant RabbitMQ.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel concernant le projet Memcached dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Le candidat concerne le client memcached de la bibliothèque Apache Portable Runtime Utility (APR-util), et non le projet Memcached; les sources consultées datent la publication et les correctifs de cette vulnérabilité d’août ou septembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a identifié une publication GraphQL pertinente dans la fenêtre : CVE-2026-115887, publiée le 24 octobre 2026 à 00:16:58 +02:00. Les autres candidats sont des vulnérabilités antérieures dont les seules dates fournies dans la fenêtre correspondent à des mises à jour NVD; aucune nouveauté ou modification substantielle datée dans la fenêtre n’a été établie pour eux. Aucun événement substantiel daté de la période n’est établi par les éléments fournis. Les fiches CVE-2026-66009 et CVE-2026-67428 portent une date de mise à jour NVD dans la période, mais le lot ne précise pas la nature de ces changements; les autres mises à jour indiquées sont antérieures à la période. Aucun événement GraphQL admissible n’est établi dans ce lot pour la période demandée : les entrées NVD datées du 24 octobre indiquent une mise à jour de fiche, sans preuve fournie d’un changement substantiel; l’autre entrée a été mise à jour avant la période.
Déni de service par ReDoS dans GraphQLPhoneNumber de graphql-scalars
La bibliothèque graphql-scalars est vulnérable à un déni de service par retour arrière exponentiel de l’expression régulière du scalaire GraphQLPhoneNumber. Une requête peut bloquer la boucle d’événements Node.js lors du traitement d’entrée, avant l’autorisation dans les résolveurs; la version 2.0.1 corrige le problème.
Action recommandée : Mettre à niveau graphql-scalars vers la version 2.0.1 ou ultérieure.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux vulnérabilités publiées pendant la période ont été identifiées pour des extensions WooCommerce : CVE-2026-105199 dans Pixel Tag Manager for WooCommerce et CVE-2026-114191 dans Knit Pay UPI QR Code Payment Gateway for WooCommerce. Les autres candidats fournis sont des fiches publiées antérieurement; les seules dates de modification fournies ne démontrent pas un changement substantiel intervenu dans la période. Aucune vulnérabilité nouvelle, publication de correctif, exploitation ou modification substantielle datée de la période demandée n’est établie par les candidats. Ceux-ci signalent uniquement des mises à jour NVD le 24 octobre pour des CVE publiées en juillet; les éléments fournis ne décrivent pas de changement substantiel, et une simple modification administrative NVD est exclue. Aucun élément du lot ne démontre une vulnérabilité nouvelle, un correctif ou un changement substantiel daté de la période. Les candidats concernent des CVE publiées avant la période et signalent des mises à jour NVD, sans préciser de changement substantiel correspondant. Les candidats sont des CVE publiées avant la période, signalées ici à partir de dates de mise à jour NVD. Le lot ne fournit aucun détail établissant que ces modifications étaient substantielles plutôt qu’administratives ; aucune nouveauté admissible n’est donc retenue.
Knit Pay UPI QR Code Payment Gateway : autorisation manquante
Le module UPI QR Code Payment Gateway for WooCommerce de Knit Pay présente une vulnérabilité de contrôle d’accès signalée comme « Missing Authorization ». La fiche disponible indique que les versions jusqu’à 1.6.3 sont concernées, mais les éléments consultés ne permettent pas d’établir la version corrigée ni un impact technique plus précis.
Action recommandée : Vérifier l’exposition du module et appliquer une version corrigée dès que l’éditeur en confirme la disponibilité. Aucune version corrective n’a pu être vérifiée dans les sources consultées.
Modification non autorisée de la configuration de Pixel Tag Manager for WooCommerce
Le plugin Pixel Tag Manager for WooCommerce avant 2.2.3 permet à un utilisateur ayant un accès au tableau de bord, jusqu’au rôle Contributor, de modifier la configuration de suivi par une action AJAX insuffisamment protégée. La configuration peut alors provoquer l’exécution de JavaScript dans les navigateurs des visiteurs; mettre à niveau le plugin vers 2.2.3 ou ultérieur.
Action recommandée : Mettre à niveau vers la version 2.2.3 ou ultérieure et examiner la configuration de suivi pour détecter des modifications inattendues.
Simple:Press
Recherche du sujet effectuée
La recherche web dédiée à Simple:Press n’a relevé aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel publié dans la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. Les résultats consultés concernant les vulnérabilités et correctifs Simple:Press sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche sur les avis Docker et Moby a fait apparaître des avis Docker datés du 1er octobre 2026, hors de la période demandée. Un avis Amazon Linux 2 intitulé ALAS2DOCKER-2026-149 est daté du 24 octobre, mais les éléments consultés ne permettent pas d’établir qu’il concerne une vulnérabilité propre à Docker plutôt que des vulnérabilités de Go; il n’est donc pas retenu comme item Docker. Aucun candidat fourni ne correspond à un nouvel avis, correctif ou événement de sécurité Docker dans la période figée. Aucun événement vérifié concernant Docker n’est retenu pour la période. Les candidats fournis décrivent des vulnérabilités dans d’autres produits ; une mention de Docker comme environnement, image ou volume ne constitue pas une vulnérabilité de Docker. Aucun candidat fourni n’établit une vulnérabilité de Docker ni un avis ou correctif de sécurité propre à Docker daté de la période. Les mentions de Docker concernent l’environnement d’exécution ou l’intégration d’autres produits; les dates indiquées correspondent à des modifications de fiches NVD, sans preuve fournie d’un changement substantiel pertinent pour Docker. Aucun candidat fourni ne documente une vulnérabilité de Docker lui-même : les références à Docker concernent des produits tiers ou leur déploiement, leurs conteneurs ou leurs chemins de cache.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
Aucune nouveauté de sécurité Kubernetes datée du 2026-10-24 n’a été confirmée dans les sources consultées. Les candidats fournis sont des fiches publiées antérieurement dont la seule date indiquée dans la période est une mise à jour NVD; aucun élément consulté n’établit que cette mise à jour correspond à un changement substantiel de sécurité. Aucun candidat fourni n’établit une vulnérabilité Kubernetes nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté dans la période. Les CVE TimesTen concernent un produit Oracle distinct malgré la mention du composant « Kubernetes Operator », et les informations des autres candidats sont antérieures à la période; seule leur fiche NVD a été modifiée. Aucun élément du lot ne documente une vulnérabilité nouvelle, un correctif ou un changement substantiel daté de la période demandée. Les fiches CVE fournies ont été publiées avant cette période; les mises à jour indiquées sont soit antérieures au 24 octobre, soit une modification NVD sans preuve d’un changement substantiel. Les candidats fournis sont des fiches NVD publiées en août 2026 dont la date de mise à jour affichée tombe le 24 octobre. Les informations fournies n’établissent pas qu’une mise à jour substantielle, un correctif ou un nouvel avis lié à Kubernetes ait eu lieu pendant la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche dédiée sur Linux (noyau), y compris les avis du projet, les sources CVE/NVD, les avis CERT/CISA et les publications GitHub pertinentes, n’a pas permis de vérifier de nouvelle vulnérabilité, de correctif, d’avis de sécurité, d’exploitation ni de changement substantiel daté dans la période demandée. Les signalements de vulnérabilités du noyau repérés dans les résultats étaient antérieurs à la période, et la version de stable dont la date de publication repérée est le 26 octobre est postérieure à sa borne de fin. Aucune information vérifiée concernant le noyau Linux dans les candidats fournis. Les dix candidats portent sur IBM Langflow et ne relèvent pas du sujet demandé; leurs mises à jour NVD ne constituent pas, à elles seules, des événements concernant le noyau Linux. Aucun événement Linux (noyau) daté de la période demandée n’est établi par les candidats examinés. Les deux candidats concernant le noyau Linux décrivent des vulnérabilités publiées en juillet 2026 ; leur mise à jour NVD du 24 octobre, sans indication d’un changement substantiel survenu ce jour-là, ne suffit pas à les retenir. Les autres candidats ne concernent pas le noyau Linux. Aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant le noyau Linux n’est établi pour la période demandée à partir des candidats fournis. Les entrées Linux sont des fiches publiées en juillet dont la seule date de mise à jour indiquée est le 24 octobre; les données fournies ne montrent pas qu’un changement substantiel a eu lieu ce jour-là. Les autres candidats concernent des produits hors sujet. Aucune nouveauté admissible n’est établie pour Linux (noyau) dans ce lot pour la période demandée. Les candidats indiquent une publication antérieure au 24 octobre 2026 et une mise à jo…
Linux : dépassement de tampon dans le pilote ims-pcu
Une vérification de bornes manquante dans le pilote `ims-pcu` du noyau Linux peut provoquer un dépassement de tampon sur le tas lorsqu’un périphérique USB malveillant envoie un paquet trop volumineux. Le correctif rejette les paquets trop longs et réinitialise l’état de l’analyseur ; aucune version corrigée précise n’est indiquée dans les éléments fournis.
Action recommandée : Mettre à jour le noyau vers une version intégrant le correctif dès qu’elle est disponible ; en attendant, éviter l’utilisation de périphériques USB non fiables.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
Deux avis Debian datés du 24 octobre 2026 ont été repérés : DLA-4857-1 pour Caddy et DSA-6583-1 pour libheif. Les candidats fournis sont des mises à jour de fiches NVD pour des vulnérabilités publiées antérieurement; leur seule modification administrative ne constitue pas un nouvel événement de sécurité dans la période. Aucun événement répondant aux critères n’a été retenu pour Debian dans ce lot. Les candidats décrivent des modifications de fiches NVD, sans preuve fournie d’un changement substantiel daté dans la période. Deux avis de sécurité Debian datés du 2026-10-24 ont été retenus : DSA-6583-1 pour libheif et DLA-4857-1 pour Caddy. L’avis Caddy associe explicitement CVE-2026-52845 au rejet des en-têtes contenant des soulignements ; l’avis libheif ne fournit pas de CVE dans les données reçues.
Debian DLA-4857-1 : correctifs de sécurité pour Caddy
Debian a publié DLA-4857-1 pour corriger plusieurs problèmes de sécurité dans Caddy, notamment des contournements de contrôles d’accès, l’exécution d’un fichier inattendu par un backend FastCGI, l’injection d’en-têtes d’identité, la reconfiguration non autorisée de l’API d’administration et une faille XSS. Pour CVE-2026-52845, le correctif rejette désormais les en-têtes de requête dont le nom contient un caractère de soulignement, ce qui peut nécessiter d’adapter les clients ou configurations qui en dépendent.
Action recommandée : Installer la mise à jour Debian pour Caddy et vérifier les intégrations qui transmettent des en-têtes contenant des soulignements.
Debian DSA-6583-1 : mise à jour de sécurité de libheif
Debian a publié DSA-6583-1 pour corriger plusieurs problèmes de sécurité dans libheif. Le traitement d’images HEIF ou AVIF spécialement conçues pouvait provoquer un déni de service ou une divulgation de mémoire, et des problèmes de double libération et d’utilisation après libération affectant l’encodage sont également corrigés.
Action recommandée : Appliquer la mise à jour de sécurité libheif fournie par Debian.
Alpine Linux
Recherche du sujet effectuée
La recherche web dédiée à Alpine Linux n’a pas permis de vérifier de vulnérabilité, d’avis ou de correctif propre à Alpine publié dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les résultats consultés concernant d’autres distributions ou des dates hors période n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
La recherche web dédiée à Apache HTTP Server n’a pas identifié de vulnérabilité, correctif, avis de sécurité, exploitation confirmée ou changement substantiel daté du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. La page de sécurité du projet consultée indique que la version 2.4.69 et les vulnérabilités qu’elle corrige ont été publiées le 2026-10-01, hors de la période demandée. Les candidats fournis concernent des appareils Tenda, Mercusys, GL.iNet et TP-Link, pas Apache HTTP Server.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
Les sources consultées n’établissent aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle de Nginx daté de la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les candidats fournis portent sur des fiches publiées antérieurement et leurs dates de mise à jour NVD, à elles seules, ne démontrent pas un événement de sécurité nouveau dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
La recherche dédiée a repéré les avis PHP officiels du 20 et du 21 octobre 2026, antérieurs à la période demandée. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant PHP lui-même et daté du 24 octobre 2026 n’a été vérifié dans les sources consultées. Aucun nouvel événement vérifiable concernant PHP n’est établi par les candidats pour la période. Les fiches NVD fournies indiquent une mise à jour le 2026-10-24 à 00:10 (+02:00), mais ne documentent aucun changement substantiel à cette date. Les dix fiches NVD indiquent une mise à jour horodatée dans la période, mais leur publication initiale est antérieure. Les éléments fournis ne précisent pas si ces mises à jour sont substantielles ou seulement administratives; aucune nouveauté PHP ne peut donc être confirmée à partir de ce lot. Aucun candidat ne documente une nouveauté de sécurité concernant le produit PHP dans la période demandée. Les candidats mis à jour le 24 octobre concernent d’autres produits ; les mentions de fichiers .php ne les rattachent pas au sujet PHP. Aucune vulnérabilité nouvelle, aucun correctif ni avis de sécurité daté de la période demandée n’est établi par les candidats fournis. Les candidats concernent des produits tiers ou des modifications de fiches NVD publiées avant la période; ces changements administratifs ne suffisent pas à établir un événement de sécurité pertinent pour PHP. Aucun candidat ne documente une nouveauté, un correctif ou un changement substantiel touchant PHP ou php-fpm pendant la période. Les candidats portent sur d’autres produits; leurs seules dates dans la période sont des dates de mise à jour NVD, sans preuve fournie d’un changement substantiel. Symfony est un framework écrit en PHP, mais la vulnérabilité décrite concerne Symfony, pas…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WordPress
Recherche du sujet effectuée
Niveau relevé : Critique
Les fiches NVD fournies signalent dix vulnérabilités de plugins WordPress publiées le 2026-10-24, notamment des défauts d’autorisation, d’authentification, de désérialisation, de divulgation de données et de traitement de fichiers. Une recherche Web complémentaire a également fait ressortir d’autres entrées datées du 24 octobre, dont CVE-2026-110018 et CVE-2026-114178, mais les éléments consultés ne suffisaient pas à établir avec précision les détails et correctifs à intégrer comme fiches distinctes. Neuf fiches NVD relatives à des vulnérabilités de plugins WordPress ont été publiées le 2026-10-24. Elles concernent GeoDirectory, WPVR, Front End Users, News Kit Addons For Elementor et aBlocks; les données fournies ne signalent pas d’exploitation confirmée. Aucun élément du lot ne fournit la preuve d’une vulnérabilité nouvelle, d’un correctif, d’un avis de sécurité, d’une exploitation ou d’un changement substantiel pendant la période. Les candidats signalent des mises à jour de fiches NVD concernant des CVE antérieures, sans décrire la nature d’un changement substantiel. Aucune nouveauté de sécurité vérifiable pour WordPress dans ce lot : les candidats signalent des mises à jour de fiches NVD, sans élément fourni établissant un changement substantiel de sécurité pendant la période. Aucune recherche web n’a été effectuée, conformément à la demande. Aucun événement de sécurité WordPress vérifiable dans ce lot pour la période demandée. Les candidats NVD indiquent des dates de publication antérieures et une date de mise à jour le 2026-10-24, sans preuve fournie d’un changement substantiel; le candidat libheif concerne une bibliothèque distincte, WordPress n’étant cité que comme exemple de processeur d’images. Aucun élément fourni ne documente une vulnérabilité nouvelle, un c…
CVE-2026-115806 — Désérialisation non sécurisée dans Prime Mover
Prime Mover – Backup and Migration est vulnérable à une désérialisation d’entrée non fiable pouvant mener à une injection d’objets PHP. Les versions jusqu’à 2.2.1 inclus sont concernées; la fiche consultée ne précise pas de version corrigée.
Action recommandée : Vérifier l’utilisation du plugin et appliquer une version corrigée dès que l’éditeur en publie une; en attendant, envisager de le désactiver.
CVE-2026-110956 — Contournement de l’authentification dans asVereinbase
asVereinbase peut authentifier un utilisateur sans mot de passe valide ni second facteur réel, notamment lorsque la valeur stockée est vide. Les versions antérieures à 1.1.8 sont concernées.
Action recommandée : Mettre à jour vers la version 1.1.8 ou ultérieure.
CVE-2026-115807 — Élévation de privilèges dans User Profile Builder
User Profile Builder présente une élévation limitée de privilèges liée au rôle attribué lors de l’inscription via un bloc Gutenberg. Les versions jusqu’à 4.0.3 inclus sont concernées; la fiche consultée ne donne pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le parcours d’inscription ou le bloc concerné.
aBlocks : élévation de privilèges via le endpoint REST d’inscription
Le plugin aBlocks jusqu’à 2.17.0 inclus présente une élévation de privilèges par son endpoint REST d’inscription. Un utilisateur authentifié ayant au minimum le rôle Contributor peut obtenir un rôle WordPress non administrateur plus élevé, notamment Editor, et une session authentifiée à ce niveau.
XSS déclenchée par un lien dans Download Monitor
Download Monitor avant 5.3.4 ne vérifie pas correctement que le lien cliqué appartient au site avant d’en récupérer et d’afficher une partie de la réponse côté client. Un attaquant non authentifié peut exploiter ce comportement en incitant un utilisateur à cliquer sur un lien conçu à cet effet; mettre à niveau vers 5.3.4 ou ultérieur.
Action recommandée : Mettre à niveau Download Monitor vers 5.3.4 ou ultérieur.
GeoDirectory : exécution de code via un fichier PHP généré
GeoDirectory avant 2.8.194 échappe insuffisamment du texte défini par l’administrateur avant de l’écrire dans un fichier PHP généré. Un utilisateur privilégié, notamment un administrateur de sous-site multisite ne pouvant autrement exécuter du code, peut provoquer une exécution de code à distance déclenchable par un visiteur non authentifié.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.194 ou ultérieure.
Modification non autorisée de la configuration de Pixel Tag Manager for WooCommerce
Le plugin Pixel Tag Manager for WooCommerce avant 2.2.3 permet à un utilisateur ayant un accès au tableau de bord, jusqu’au rôle Contributor, de modifier la configuration de suivi par une action AJAX insuffisamment protégée. La configuration peut alors provoquer l’exécution de JavaScript dans les navigateurs des visiteurs; mettre à niveau le plugin vers 2.2.3 ou ultérieur.
Action recommandée : Mettre à niveau vers la version 2.2.3 ou ultérieure et examiner la configuration de suivi pour détecter des modifications inattendues.
CVE-2026-107887 — Absence de contrôle d’accès dans Advanced Twenty Seventeen
Advanced Twenty Seventeen ne vérifie ni les capacités ni le nonce lors de l’action qui crée et active son thème enfant intégré. Les versions jusqu’à 1.3.1 inclus sont concernées; aucun correctif n’est établi par la fiche consultée.
Action recommandée : Désactiver ou mettre à jour le plugin dès qu’un correctif est disponible.
CVE-2026-107907 — Suppression non autorisée de contenu par MAS Videos
MAS Videos ne vérifie pas suffisamment les droits ni la propriété des éléments lors des demandes de suppression de vidéos et de listes de lecture depuis l’interface publique. Les versions jusqu’à 1.3.4 inclus sont concernées.
Action recommandée : Désactiver le plugin ou limiter les fonctions concernées jusqu’à l’installation d’une version corrigée.
CVE-2026-113489 — Contrôle de propriété insuffisant dans GeoDirectory
GeoDirectory ne vérifie pas qu’une pièce jointe référencée appartient à la fiche en cours d’enregistrement. Les versions antérieures à 2.8.194 sont concernées.
Action recommandée : Mettre à jour vers la version 2.8.194 ou ultérieure.
CVE-2026-113490 — Divulgation de données de fiches non publiques dans GeoDirectory
GeoDirectory expose certaines informations de fiches non publiques via une route REST de détail sans vérifier leur statut ni leur propriété. Les versions antérieures à 2.8.194 sont concernées.
Action recommandée : Mettre à jour vers la version 2.8.194 ou ultérieure.
CVE-2026-113491 — Lecture et suppression de fichiers via GeoDirectory
GeoDirectory utilise une URL d’image fournie par l’utilisateur comme chemin de fichier local sans validation suffisante. Les versions antérieures à 2.8.194 sont concernées.
Action recommandée : Mettre à jour vers la version 2.8.194 ou ultérieure.
GeoDirectory : divulgation d’annonces non publiques
GeoDirectory avant 2.8.194 ne vérifie pas le statut, la propriété ni le mot de passe de certaines annonces chargées par une action AJAX sans authentification. Un attaquant non authentifié peut ainsi consulter des annonces non publiques en fournissant leurs identifiants.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.194 ou ultérieure.
GeoDirectory : XSS stockée dans les attributs de carte
GeoDirectory avant 2.8.194 n’échappe pas correctement certains attributs de shortcodes de carte avant leur insertion dans un attribut de style. Un utilisateur ayant le rôle Contributor ou supérieur peut provoquer une XSS stockée, exécutée dans le navigateur des personnes consultant le contenu concerné.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.194 ou ultérieure.
WPVR : XSS stockée dans les points d’intérêt de visites virtuelles
WPVR avant 9.0.3 ne nettoie ni n’échappe correctement certains contenus de points d’intérêt de visite virtuelle avant leur stockage et leur affichage. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi créer une XSS stockée exécutée dans le navigateur des personnes consultant la visite affectée.
Action recommandée : Mettre à jour WPVR vers la version 9.0.3 ou ultérieure.
Front End Users : contournement des contrôles d’inscription et d’adhésion
Front End Users jusqu’à la version 3.2.35 ne limite pas les attributs de compte qu’un visiteur peut définir lors de son inscription par les formulaires frontaux. Un utilisateur non authentifié peut s’attribuer un niveau d’adhésion arbitraire et marquer son compte comme approuvé, confirmé et payé, contournant les restrictions de contenu et les conditions d’inscription du plugin.
News Kit Addons For Elementor : installation d’extension sans contrôle de capacité
News Kit Addons For Elementor avant 1.4.9 ne contrôle pas les capacités requises dans l’une de ses actions AJAX. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut installer et activer une extension spécifique depuis le dépôt WordPress.org.
Action recommandée : Mettre à jour News Kit Addons For Elementor vers la version 1.4.9 ou ultérieure.
News Kit Addons For Elementor : modification non autorisée des métadonnées de publications
News Kit Addons For Elementor jusqu’à 1.4.7 inclus ne vérifie ni les capacités ni la propriété des publications avant de modifier leurs métadonnées via une action AJAX authentifiée. Des utilisateurs ayant au minimum le rôle Subscriber peuvent écrire des métadonnées arbitraires sur n’importe quelle publication, y compris celles d’autres utilisateurs.
GeoDirectory : modification non autorisée d’annonces d’invités
GeoDirectory avant 2.8.194 vérifie incorrectement la propriété des annonces soumises par des utilisateurs déconnectés avant d’en autoriser la modification. Si la soumission d’annonces par des invités est activée, un attaquant non authentifié peut modifier, dépublier, illustrer ou réattribuer toute annonce soumise par un invité.
Action recommandée : Mettre à jour GeoDirectory vers la version 2.8.194 ou ultérieure; si nécessaire, désactiver les soumissions par des invités jusqu’à la mise à jour.
PrestaShop
Recherche du sujet effectuée
La recherche dédiée a permis de consulter des sources du projet PrestaShop, Friends Of Presta et GitHub Advisory Database. Aucun avis, correctif, incident d’exploitation ni changement substantiel attribuable à la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00 n’a pu être confirmé. Les horodatages de modification NVD des candidats ne suffisent pas à établir une nouvelle faille ou une mise à jour substantielle.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée sur Cockpit n’a pas établi d’événement de sécurité substantiel daté de la période. Le candidat CVE-2026-72557 renvoie à une vulnérabilité publiée en août ; sa mise à jour NVD du 24 octobre est signalée, mais les sources consultées ne permettent pas de confirmer qu’elle correspond à un changement substantiel plutôt qu’administratif.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée sur CloudPanel n’a pas établi de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période demandée (2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu). Les éléments de sécurité trouvés concernant CloudPanel et les vulnérabilités PHP mentionnées dans une discussion GitHub sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée sur Uptime Kuma n’a pas fait ressortir de nouvel avis, correctif de sécurité, exploitation ou changement substantiel daté du 2026-10-24 dans la période demandée. Les éléments repérés sont datés hors période : la version 2.5.7 du 23 octobre et un avis publié le 27 octobre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
Aucune nouveauté MariaDB n’a pu être confirmée comme répondant aux critères de la période figée. Les résultats de recherche font apparaître des avis Amazon Linux indiquant une publication le 2026-10-24, mais également une mise à jour le 2026-10-26; sans pouvoir vérifier quels éléments figuraient dans l’avis au moment de la borne de fin, ils ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche web dédiée a porté sur les avis de sécurité et actualités de phpMyAdmin ainsi que sur GitHub et les résultats liés à NVD. Aucun événement de sécurité propre à phpMyAdmin, daté dans la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu, n’a pu être vérifié. Les alertes PHP générales trouvées ne sont pas attribuées à phpMyAdmin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
Aucun événement de sécurité pgAdmin répondant aux critères de la période n’a été vérifié. Les sept CVE candidates sont annoncées dans les informations consultées comme corrigées avec pgAdmin 4 v9.17, publiée en juillet 2026, donc avant la période demandée. Les dates de modification NVD fournies tombent dans la période, mais elles ne suffisent pas à établir qu’un changement substantiel a eu lieu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche web dédiée a relevé des publications Virtualmin autour de la période, mais aucune preuve consultée n’établit un nouvel avis, correctif, événement d’exploitation ou changement substantiel de sécurité daté du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les avis PHP évoqués dans le forum sont datés du 2026-10-23 ou antérieurs à la période retenue; les vulnérabilités Virtualmin trouvées dans NVD sont historiques.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel concernant Webmin daté de la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. Les résultats consultés renvoient à des avis et vulnérabilités publiés hors de cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche ciblée a confirmé que les deux vulnérabilités candidates étaient publiées avant la période demandée : CVE-2026-71319 le 5 août 2026 et CVE-2026-73647 le 13 août 2026. Les éléments consultés ne confirment pas de nouvel avis, correctif, exploitation ni changement substantiel pour ces vulnérabilités entre le 24 octobre 2026 à 00:00 et le 25 octobre 2026 à 00:00 (+02:00) ; une modification administrative de fiche NVD ne suffit pas à les retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
Aucune nouveauté de sécurité Vite répondant aux critères n’a été vérifiée pour la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. Les avis Vite repérés sur GitHub sont datés du 2026-10-21, hors période. Les fiches CVE-2026-47428, CVE-2026-47429, CVE-2026-53633 et CVE-2026-71319 concernent des vulnérabilités publiées antérieurement; leur mise à jour NVD du 2026-10-24, à elle seule, ne constitue pas un nouvel événement admissible. La dernière concerne Nuxt, et non le projet Vite.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche a identifié CVE-2026-71319, mais l’avis GitHub associé date du 2026-08-05 et indique un correctif dans @nuxt/devtools 3.3.1. Le candidat ne documente qu’une mise à jour NVD du 2026-10-24, sans élément établissant qu’elle correspond à un changement substantiel pendant la période demandée; aucun item n’est donc retenu pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée sur Next.js n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté entre le 2026-10-24T00:00:00+02:00 et le 2026-10-25T00:00:00+02:00. Les candidats Next.js fournis sont des fiches CVE publiées en juillet 2026 ; leur seule date dans la période est une mise à jour NVD du 24 octobre, sans preuve d’un changement substantiel. Le candidat NextCRM concerne un autre produit, et non le framework Next.js.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Les sources officielles React consultées ne montrent pas de nouvel avis ou correctif de sécurité daté du 24 octobre 2026. Les candidats fournis concernent D-Tale ou Next.js, et leurs dates de publication sont antérieures à la période; la mise à jour NVD du 24 octobre pour les CVE Next.js ne suffit pas à établir un changement substantiel dans cette fenêtre. Aucun événement admissible concernant React (le projet React) n’est établi dans les candidats pour la période demandée. Les cinq fiches React Router ont été modifiées pendant la période, mais les éléments fournis n’établissent pas de changement substantiel daté : leurs publications et correctifs sont antérieurs. Les deux autres candidats ne concernent pas React.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée sur Angular n’a pas identifié de nouvel avis, correctif de sécurité, exploitation signalée ou mise à jour substantielle daté du 2026-10-24 dans la période demandée. Les avis Angular visibles dans les sources consultées sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Vérification incomplète
Les sources consultées montrent que les avis correspondant à certains candidats Astro ont été publiés avant la période demandée. La recherche n’a pas permis d’établir si les modifications NVD datées du 2026-10-24 correspondaient à des changements substantiels survenus dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
TypeScript
Recherche du sujet effectuée
Recherche web effectuée pour la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Aucun avis ou correctif vérifié durant cette période ne concerne TypeScript lui-même (langage, compilateur ou projet). Les résultats trouvés pour d’autres projets TypeScript étaient antérieurs à la période ou concernaient des produits distincts. Aucun événement de sécurité substantiel daté de la période n’est établi par les éléments fournis. Pour les fiches mises à jour le 24 octobre, la date de mise à jour seule ne permet pas de confirmer un changement substantiel; les autres mises à jour sont antérieures à la période. Aucun événement admissible n’est vérifié pour TypeScript dans ce lot : les trois vulnérabilités ont été publiées en août 2026, et les éléments fournis ne montrent pour le 24 octobre qu’une date de mise à jour NVD, sans changement substantiel documenté.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Vérification incomplète
Niveau relevé : Critique
Quatre avis de vulnérabilité JavaScript ont été vérifiés comme publiés pendant la période demandée : deux avis concernant des paquets JavaScript et deux concernant des extensions WordPress. Les autres candidats sont des fiches anciennes dont les modifications NVD signalées ne fournissent pas de preuve d’un changement substantiel dans la période. Aucun événement répondant aux critères n’est établi dans ce lot pour la période demandée : les candidats sont des fiches NVD publiées avant la période, et le lot ne documente que leur modification, sans préciser de changement substantiel. Aucune vulnérabilité JavaScript du lot n’est retenue pour la période demandée : les fiches fournies indiquent des publications antérieures au 24 octobre 2026 et une mise à jour NVD le 24 octobre, sans preuve d’un changement substantiel survenu ce jour-là. Les éléments décrivent des vulnérabilités préexistantes ; une simple modification administrative de fiche NVD ne constitue pas un événement admissible. Aucun événement admissible n’est établi pour la période à partir de ce lot : les candidats indiquent une publication antérieure et une mise à jour NVD le 24 octobre, sans preuve fournie d’un changement substantiel à cette date. Aucun candidat ne documente une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel intervenu dans la période. Les dates indiquées correspondent à des mises à jour de fiches NVD, sans preuve fournie d’un changement de contenu substantiel à ces dates. Les candidats fournis indiquent des fiches NVD publiées en juillet 2026 et modifiées le 24 octobre 2026. Les éléments fournis ne documentent pas de changement substantiel daté de la période; aucune vulnérabilité ou mise à jour admissible n’est retenue. Aucun élément du lo…
Flowise : exécution de commandes à distance via CSVAgent
Une validation insuffisante de l’entrée `csvFile` dans Flowise permettait d’injecter du code exécuté par Pyodide, puis d’atteindre l’exécution de commandes sur l’hôte. Un utilisateur autorisé à créer ou modifier des workflows pouvait préparer un chatflow exploitable ensuite par une requête non authentifiée; la vulnérabilité est corrigée dans Flowise 3.1.3.
Action recommandée : Mettre à jour Flowise vers la version 3.1.3 ou ultérieure.
Flowise : contournement Unicode du filtre de code Python
Une validation Python de Flowise pouvait être contournée avec des caractères Unicode ressemblant à des caractères ASCII, permettant l’exécution de code Python dans Pyodide et des commandes système sur l’hôte. Les versions antérieures à 3.1.3 sont concernées; Flowise indique que la faille est corrigée dans la version 3.1.3.
Action recommandée : Mettre à jour Flowise vers la version 3.1.3 ou ultérieure.
XSS déclenchée par un lien dans Download Monitor
Download Monitor avant 5.3.4 ne vérifie pas correctement que le lien cliqué appartient au site avant d’en récupérer et d’afficher une partie de la réponse côté client. Un attaquant non authentifié peut exploiter ce comportement en incitant un utilisateur à cliquer sur un lien conçu à cet effet; mettre à niveau vers 5.3.4 ou ultérieur.
Action recommandée : Mettre à niveau Download Monitor vers 5.3.4 ou ultérieur.
Injection de code dans le compilateur ESM de Happy DOM
Happy DOM versions 17.0.0 à 21.0.3 peuvent permettre une injection de code dans le processus Node.js lorsque l’évaluation JavaScript est activée et qu’un import ESM malveillant est traité. Mettre à niveau vers 21.0.4 ou une version ultérieure.
Action recommandée : Mettre à niveau happy-dom vers 21.0.4 ou ultérieur; vérifier si l’évaluation JavaScript est activée et si des sources de modules non fiables peuvent être traitées.
Modification non autorisée de la configuration de Pixel Tag Manager for WooCommerce
Le plugin Pixel Tag Manager for WooCommerce avant 2.2.3 permet à un utilisateur ayant un accès au tableau de bord, jusqu’au rôle Contributor, de modifier la configuration de suivi par une action AJAX insuffisamment protégée. La configuration peut alors provoquer l’exécution de JavaScript dans les navigateurs des visiteurs; mettre à niveau le plugin vers 2.2.3 ou ultérieur.
Action recommandée : Mettre à niveau vers la version 2.2.3 ou ultérieure et examiner la configuration de suivi pour détecter des modifications inattendues.
Contournement de l’échappement HTML dans serialize-javascript
Dans serialize-javascript avant 7.1.3, une fonction sérialisée dont le texte source est contrôlé peut contourner l’échappement et fermer prématurément un élément script dans certaines sorties HTML. Mettre à niveau vers 7.1.3 ou une version ultérieure, en particulier si des données sérialisées sont intégrées dans une page.
Action recommandée : Mettre à niveau serialize-javascript vers 7.1.3 ou ultérieur; éviter d’insérer dans du HTML des données sérialisées provenant de sources non fiables.
HTML5
Vérification incomplète
Les six candidats concernent des vulnérabilités HTML5 déjà publiées en août 2026. Les informations consultées ne permettent pas de confirmer qu’une modification substantielle de leur contenu a eu lieu pendant la période du 24 octobre 2026; aucune nouvelle vulnérabilité ou mise à jour répondant aux critères de la période n’est donc vérifiée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CSS3
Recherche du sujet effectuée
La recherche web dédiée au sujet CSS3 n’a fait ressortir aucun avis de sécurité ou correctif vérifiable portant sur CSS3 et daté de la période demandée. Les résultats trouvés qui mentionnaient CSS concernaient d’autres dates ou n’établissaient pas un événement pertinent dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Recherche web dédiée effectuée sur Tailwind CSS et les avis de sécurité pertinents. Aucun événement vérifiable répondant aux critères de la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00 n’a été identifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif ou événement d’exploitation Bootstrap daté du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. L’avis repéré pour le thème Drupal nommé Bootstrap est daté du 2026-10-21, donc hors période; les avis de sécurité publiés du dépôt twbs/bootstrap consultés n’en affichent aucun.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant Webpack dont la date de publication ou de mise à jour vérifiée tombe dans la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. Les avis webpack-dev-server trouvés portent des dates antérieures ou postérieures à cette fenêtre et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Aucune vulnérabilité, correction ou annonce de sécurité concernant esbuild datée de la période demandée n’a été identifiée dans les sources consultées. Les avis de sécurité visibles sur GitHub sont antérieurs à cette période; les autres résultats trouvés ne documentent pas un événement esbuild correspondant à la fenêtre du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée à Parcel n’a identifié aucun avis, correctif, vulnérabilité nouvellement publiée ni changement substantiel dont la date vérifiée tombe dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Les résultats pertinents repérés concernaient des publications antérieures à cette période et ont donc été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Niveau relevé : Élevée
Un avis de sécurité Amazon Linux 2023 daté du 2026-10-24 référence des vulnérabilités concernant Node.js. La publication de sécurité du projet Node.js consultée est datée du 2026-10-21, hors de la période demandée; elle n’est donc pas retenue comme nouvel événement de cette période. Aucun candidat fourni ne concerne Node.js : tous portent sur OpenClaw. Ils ne sont donc pas retenus pour ce bulletin. Aucun événement admissible concernant Node.js n’est établi pour la période demandée à partir des candidats fournis. Les candidats sont des modifications de fiches NVD pour des vulnérabilités publiées antérieurement; le lot ne fournit pas de preuve d’un changement substantiel daté de cette période. Plusieurs entrées concernent par ailleurs des produits distincts de Node.js lui-même. Aucune information du lot ne concerne Node.js. Les candidats décrivent des vulnérabilités d’OpenClaw; leurs dates de publication sont antérieures à la période demandée, et les seules dates de mise à jour indiquées correspondent à des modifications de fiches NVD, sans preuve d’un changement substantiel lié à Node.js. Aucun candidat de ce lot ne documente une vulnérabilité ou un correctif du runtime Node.js. Les candidats concernent OpenClaw ou clawvet; leurs mises à jour NVD ne constituent pas, à elles seules, un événement de sécurité Node.js pertinent pour la période. Aucun événement Node.js admissible n’est établi pour la période demandée à partir de ce lot. Les candidats sont des fiches NVD publiées en juillet 2026 dont la seule date dans la période est une mise à jour NVD; le lot ne fournit pas de preuve d’un changement substantiel à cette date. Aucun candidat du lot ne concerne Node.js ; les fiches portent sur n8n. Aucun élément pertinent pour le sujet demandé n’est retenu. Aucune information…
CVE-2026-113872 — Déni de service dans multer avec un fileFilter asynchrone
Une requête non authentifiée peut faire tomber le processus Node.js lorsqu’une application utilise multer avec un `fileFilter` asynchrone et qu’une requête est interrompue alors qu’un filtre est encore en attente. Le correctif est disponible dans multer 2.5.0 ; à défaut, utiliser un `fileFilter` synchrone.
Action recommandée : Mettre à niveau vers multer 2.5.0 ou une version ultérieure ; sinon, utiliser un `fileFilter` synchrone.
CVE-2026-109869 — Déni de service dans undici via une erreur non gérée
Un serveur distant malveillant peut faire tomber le processus Node.js via `fetch()` en envoyant une réponse comportant plus de cinq codages de contenu, puis en fermant la connexion avant l’envoi du corps. Les versions correctives sont undici 6.29.1, 7.30.1 et 8.12.2 selon la branche ; aucun contournement n’est indiqué.
Action recommandée : Mettre à niveau vers la version corrective correspondant à la branche utilisée : 6.29.1, 7.30.1 ou 8.12.2.
CVE-2026-109461 — Divulgation d’informations dans MSAL Node
Une erreur de validation d’origine dans le flux `auth_code` de MSAL Node peut permettre à un attaquant non autorisé de divulguer des informations sur le réseau. La version corrective est @azure/msal-node 7.1.0 ; le conseil indique aussi de ne transmettre que le code d’autorisation à `acquireTokenByCode`.
Action recommandée : Mettre à niveau vers @azure/msal-node 7.1.0 ou une version ultérieure ; comme mesure de contournement, ne transmettre que le code d’autorisation à `acquireTokenByCode`.
Python
Vérification incomplète
Niveau relevé : Critique
Un avis de sécurité Python publié pendant la période a été vérifié : CVE-2026-115557, concernant le rejet de certificats intermédiaires compromis dans le module `ssl`. Les candidats restants ont été examinés et exclus car leurs publications ou modifications indiquées précèdent la période, ou parce qu’aucun changement substantiel daté de cette période n’est établi. Les candidats fournis sont des fiches NVD publiées en juillet 2026 dont la date de mise à jour est le 24 octobre 2026. Le lot ne documente aucun changement substantiel survenu ce jour-là : une mise à jour NVD seule ne suffit pas à retenir ces vulnérabilités dans le bulletin. Aucun changement substantiel de sécurité daté de la période n’est établi par les éléments fournis. Les dix candidats correspondent à des mises à jour de fiches NVD, mais aucun détail ne permet de distinguer une modification de fond d’une mise à jour administrative; leurs dates de publication sont antérieures à la période. Aucun avis, correctif ou changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats indiquent une mise à jour NVD le 24 octobre, mais ne précisent pas de changement substantiel effectué ce jour-là; leur publication antérieure ne permet pas de les retenir comme nouveautés de la période. Aucun candidat ne documente une nouveauté Python datée de la période demandée. Les fiches NVD fournies indiquent des publications antérieures à cette période et une mise à jour au 2026-10-24, mais elles ne donnent pas d’élément attestant que cette modification est substantielle plutôt qu’administrative; ces changements NVD seuls ne justifient donc pas de retenir un item. Aucune nouveauté Python vérifiable ne peut être retenue pour la période. Les candidats fournis signalent des modifications de fiches NV…
Python corrige le traitement de certificats intermédiaires compromis (CVE-2026-115557)
Le 24 octobre, Python a publié CVE-2026-115557 à la suite de la compromission de certificats intermédiaires eMudhra/emSign. Le module `ssl` rejette désormais les certificats concernés, même lorsque la révocation n’est pas configurée; les versions correctives figurent dans les versions de sécurité publiées par Python.
Action recommandée : Mettre à jour Python vers une version corrective de la branche utilisée; vérifier également les magasins de certificats et les composants TLS de l’environnement.
MLflow : SSRF via l’invocation de scorers tiers
Une désérialisation de scorer MLflow peut permettre, sans authentification, des requêtes HTTP sortantes vers une destination contrôlée par l’attaquant, sous certaines dépendances optionnelles. Le correctif est disponible dans MLflow 3.17.0 ; mettez à niveau et, si vous ne pouvez pas le faire immédiatement, désactivez l’accès non authentifié au serveur et retirez les dépendances optionnelles concernées.
Action recommandée : Mettre à niveau MLflow vers 3.17.0 ou une version ultérieure. Restreindre l’accès au serveur et examiner la présence des dépendances optionnelles trulens et trulens-providers-litellm.
virtualenv : injection de paramètres lors de la relecture de configuration
Avec le créateur venv de virtualenv, un chemin de destination contenant un séparateur de ligne reconnu peut être réinterprété lors de la relecture de pyvenv.cfg et modifier des paramètres de l’environnement. Le correctif est disponible dans virtualenv 21.14.9 ; évitez de transmettre des chemins non fiables à ce créateur et mettez à niveau.
Action recommandée : Mettre à niveau virtualenv vers 21.14.9 ou une version ultérieure. Ne pas laisser un appelant non fiable contrôler le chemin de destination transmis au créateur venv.
Java
Vérification incomplète
Niveau relevé : Critique
Deux événements nouveaux liés à des logiciels Java sont vérifiés pour le 2026-10-24 : une publication NVD concernant Scada-LTS 2.8.0 et une alerte Oracle pour CVE-2026-114820 dans JSSE. Les modifications NVD des autres CVE candidates ne constituent pas, d’après les dates et éléments fournis, de nouveaux événements de sécurité dans la période. Aucune nouveauté Java datée de la période n’est établie par les candidats fournis. Les dates de publication des vulnérabilités listées sont antérieures à la période ; leurs mises à jour NVD du 24 octobre sont administratives et ne constituent pas, d’après les éléments fournis, un changement substantiel. Aucun événement Java admissible n’est établi par les éléments fournis pour cette période : les candidats sont des fiches NVD publiées antérieurement, dont seule une mise à jour administrative datée du 24 octobre est indiquée, sans preuve d’un changement substantiel. Les candidats sont des fiches NVD publiées en juillet 2026 et marquées comme mises à jour le 24 octobre 2026. Les éléments fournis ne décrivent aucun changement substantiel survenu ce jour-là; une modification de fiche NVD, à elle seule, ne suffit pas à établir une nouveauté de sécurité pour la période. Les candidats fournis sont des modifications de fiches NVD datées du 24 octobre 2026, mais aucun élément fourni n’établit qu’il s’agit d’un changement substantiel survenu pendant la période plutôt que d’une mise à jour administrative. Ils ne sont donc pas retenus comme nouveautés du bulletin. Aucun événement admissible n’est établi pour Java dans ce lot : les candidats sont des vulnérabilités publiées antérieurement à la période, et les seules mises à jour NVD datées du 24 octobre ne sont pas accompagnées d’éléments permettant de vérifier un changement substantiel. Cette…
Oracle Java et GraalVM : alerte de sécurité critique dans JSSE
Oracle a publié une alerte de sécurité pour CVE-2026-114820, qui concerne le composant JSSE d’Oracle Java SE et des éditions Oracle GraalVM. La vulnérabilité, exploitable à distance sans authentification selon Oracle, peut compromettre la confidentialité et l’intégrité des données accessibles; appliquer les correctifs Oracle correspondant aux versions concernées.
Action recommandée : Installer sans délai le correctif Oracle correspondant à chaque version concernée.
Scada-LTS : contournement d’autorisation dans l’API AmCharts
Scada-LTS 2.8.0 présente un contournement d’autorisation dans l’API de données AmCharts, lié au traitement du paramètre `ids` dans `AmChartValuesAPI.java`. L’avis NVD indique qu’une exploitation à distance est possible et qu’un exploit a été publié; le correctif n’était pas annoncé comme disponible dans les informations vérifiées.
Action recommandée : Limiter l’exposition de l’instance et surveiller les annonces du fournisseur pour appliquer la version corrigée dès sa publication.
TYPO3
Recherche du sujet effectuée
Aucune nouveauté TYPO3 vérifiée pour la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. Le candidat CVE-2026-15305 décrit une vulnérabilité publiée antérieurement; son horodatage de mise à jour NVD du 24 octobre, à lui seul, ne prouve ni nouvelle faille ni changement substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche web dédiée à Drupal n’a identifié aucun avis de sécurité, correctif, signalement d’exploitation ou changement substantiel dont la date de publication ou de l’événement tombe dans la période du 2026-10-24T00:00:00+02:00 inclus au 2026-10-25T00:00:00+02:00 exclu. Les avis Drupal repérés dans les sources consultées sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Vérification incomplète
La recherche dédiée n’a pas permis de vérifier de nouvel avis, correctif, événement d’exploitation ou changement substantiel Joomla daté de la période demandée. Les candidats fournis concernent des vulnérabilités publiées antérieurement ; leur mise à jour NVD seule ne suffit pas à établir un événement de sécurité admissible pour cette période. Aucune nouveauté Joomla vérifiable dans ce lot pour la période demandée. Les candidats sont des CVE publiées en juillet 2026 ; les horodatages de mise à jour NVD fournis ne démontrent pas, à eux seuls, un changement substantiel daté de la période. Aucun élément du lot ne fournit la preuve d’un changement substantiel daté dans la période. Les entrées concernent des fiches NVD publiées en juillet et signalent seulement leur mise à jour; une modification administrative NVD seule ne constitue pas un nouvel événement de sécurité retenu. Les candidats signalent des mises à jour de fiches NVD le 2026-10-24, pour des vulnérabilités publiées le 2026-07-22. Les éléments fournis ne précisent pas la nature des changements apportés aux fiches; il est donc impossible de déterminer s’ils sont substantiels et admissibles pour cette période. Les dix candidats sont des modifications de fiches NVD datées du 2026-10-24, mais leur contenu fourni ne démontre aucun changement substantiel survenu pendant la période. Ils ne sont donc pas retenus comme nouveautés de ce bulletin. Aucune vulnérabilité nouvelle, aucun avis/correctif de sécurité ni changement substantiel daté du 2026-10-24 n’est établi par les éléments fournis. Les candidats sont des fiches NVD publiées en juillet, dont seule la date de mise à jour du 24 octobre est indiquée, sans description d’un changement substantiel. Aucune nouveauté admissible n’est établie par les éléments fournis pour…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Recherche du sujet effectuée
La recherche dédiée n’a trouvé aucun avis, correctif, exploitation ou changement substantiel Magento daté du 2026-10-24 dans la période demandée. Les éléments repérés concernent des dates antérieures : APSB26-153 a été publié le 2026-10-13 et le correctif isolé a été mis à jour le 2026-10-16; ils sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche dédiée a consulté les bulletins Adobe et des résultats de recherche ciblant Adobe Commerce, les CVE/NVD et CISA pour la période demandée. Les sources consultées indiquent APSB26-153 comme bulletin Adobe Commerce publié le 2026-10-13; aucune nouveauté répondant aux critères et datée du 2026-10-24 au 2026-10-25T00:00:00+02:00 n’a été identifiée dans ces sources.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche dédiée sur Fooocus n’a pas fait ressortir de vulnérabilité, d’avis de sécurité, de correctif ou d’événement d’exploitation daté dans la période du 2026-10-24T00:00:00+02:00 au 2026-10-25T00:00:00+02:00. L’avis GitHub Security Lab relatif à CVE-2025-31114 trouvé pendant la recherche est daté du 2026-07-24, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
4 alerte(s)Flowise : exécution de commandes à distance via CSVAgent
Une validation insuffisante de l’entrée `csvFile` dans Flowise permettait d’injecter du code exécuté par Pyodide, puis d’atteindre l’exécution de commandes sur l’hôte. Un utilisateur autorisé à créer ou modifier des workflows pouvait prépa…
Source : NVD — CVE-2026-69264
Flowise : contournement Unicode du filtre de code Python
Une validation Python de Flowise pouvait être contournée avec des caractères Unicode ressemblant à des caractères ASCII, permettant l’exécution de code Python dans Pyodide et des commandes système sur l’hôte. Les versions antérieures à 3.1…
Source : NVD — CVE-2026-70470
Injection de code dans le compilateur ESM de Happy DOM
Happy DOM versions 17.0.0 à 21.0.3 peuvent permettre une injection de code dans le processus Node.js lorsque l’évaluation JavaScript est activée et qu’un import ESM malveillant est traité. Mettre à niveau vers 21.0.4 ou une version ultérie…
Source : GHSA-834v-8h66-3h79 — Happy DOM
Contournement de l’échappement HTML dans serialize-javascript
Dans serialize-javascript avant 7.1.3, une fonction sérialisée dont le texte source est contrôlé peut contourner l’échappement et fermer prématurément un élément script dans certaines sorties HTML. Mettre à niveau vers 7.1.3 ou une version…
Backend & données
11 alerte(s)Oracle Java et GraalVM : alerte de sécurité critique dans JSSE
Oracle a publié une alerte de sécurité pour CVE-2026-114820, qui concerne le composant JSSE d’Oracle Java SE et des éditions Oracle GraalVM. La vulnérabilité, exploitable à distance sans authentification selon Oracle, peut compromettre la…
Source : NVD — CVE-2026-114820
Python corrige le traitement de certificats intermédiaires compromis (CVE-2026-115557)
Le 24 octobre, Python a publié CVE-2026-115557 à la suite de la compromission de certificats intermédiaires eMudhra/emSign. Le module `ssl` rejette désormais les certificats concernés, même lorsque la révocation n’est pas configurée; les v…
Source : CVE-2026-115557 — NVD
MongoDB Compass : certificats intermédiaires eMudhra récupérables
MongoDB Compass s’appuie sur le magasin de certificats TLS d’Electron, qui contient des certificats d’autorités intermédiaires eMudhra récupérables. MongoDB a publié cet avis le 2026-10-24 et indique que la mise à niveau vers Compass 1.53.…
Source : NVD — CVE-2026-115929
Déni de service par ReDoS dans GraphQLPhoneNumber de graphql-scalars
La bibliothèque graphql-scalars est vulnérable à un déni de service par retour arrière exponentiel de l’expression régulière du scalaire GraphQLPhoneNumber. Une requête peut bloquer la boucle d’événements Node.js lors du traitement d’entré…
Source : NVD — CVE-2026-115887
CVE-2026-113872 — Déni de service dans multer avec un fileFilter asynchrone
Une requête non authentifiée peut faire tomber le processus Node.js lorsqu’une application utilise multer avec un `fileFilter` asynchrone et qu’une requête est interrompue alors qu’un filtre est encore en attente. Le correctif est disponib…
CVE-2026-109869 — Déni de service dans undici via une erreur non gérée
Un serveur distant malveillant peut faire tomber le processus Node.js via `fetch()` en envoyant une réponse comportant plus de cinq codages de contenu, puis en fermant la connexion avant l’envoi du corps. Les versions correctives sont undi…
CVE-2026-109461 — Divulgation d’informations dans MSAL Node
Une erreur de validation d’origine dans le flux `auth_code` de MSAL Node peut permettre à un attaquant non autorisé de divulguer des informations sur le réseau. La version corrective est @azure/msal-node 7.1.0 ; le conseil indique aussi de…
Scada-LTS : contournement d’autorisation dans l’API AmCharts
Scada-LTS 2.8.0 présente un contournement d’autorisation dans l’API de données AmCharts, lié au traitement du paramètre `ids` dans `AmChartValuesAPI.java`. L’avis NVD indique qu’une exploitation à distance est possible et qu’un exploit a é…
Source : NVD — CVE-2026-115803
MLflow : SSRF via l’invocation de scorers tiers
Une désérialisation de scorer MLflow peut permettre, sans authentification, des requêtes HTTP sortantes vers une destination contrôlée par l’attaquant, sous certaines dépendances optionnelles. Le correctif est disponible dans MLflow 3.17.0…
Source : GHSA-2wqp-q3c6-ccj5 — MLflow
virtualenv : injection de paramètres lors de la relecture de configuration
Avec le créateur venv de virtualenv, un chemin de destination contenant un séparateur de ligne reconnu peut être réinterprété lors de la relecture de pyvenv.cfg et modifier des paramètres de l’environnement. Le correctif est disponible dan…
Source : GHSA-qmx5-4p3x-wvqf — virtualenv
Debian DLA-4857-1 : correctifs de sécurité pour Caddy
Debian a publié DLA-4857-1 pour corriger plusieurs problèmes de sécurité dans Caddy, notamment des contournements de contrôles d’accès, l’exécution d’un fichier inattendu par un backend FastCGI, l’injection d’en-têtes d’identité, la reconf…
Source : DLA-4857-1 caddy – security update
CMS & e-commerce
21 alerte(s)CVE-2026-115806 — Désérialisation non sécurisée dans Prime Mover
Prime Mover – Backup and Migration est vulnérable à une désérialisation d’entrée non fiable pouvant mener à une injection d’objets PHP. Les versions jusqu’à 2.2.1 inclus sont concernées; la fiche consultée ne précise pas de version corrigé…
Source : NVD — CVE-2026-115806
CVE-2026-110956 — Contournement de l’authentification dans asVereinbase
asVereinbase peut authentifier un utilisateur sans mot de passe valide ni second facteur réel, notamment lorsque la valeur stockée est vide. Les versions antérieures à 1.1.8 sont concernées.
Source : NVD — CVE-2026-110956
Knit Pay UPI QR Code Payment Gateway : autorisation manquante
Le module UPI QR Code Payment Gateway for WooCommerce de Knit Pay présente une vulnérabilité de contrôle d’accès signalée comme « Missing Authorization ». La fiche disponible indique que les versions jusqu’à 1.6.3 sont concernées, mais les…
Source : NVD — CVE-2026-114191
CVE-2026-115807 — Élévation de privilèges dans User Profile Builder
User Profile Builder présente une élévation limitée de privilèges liée au rôle attribué lors de l’inscription via un bloc Gutenberg. Les versions jusqu’à 4.0.3 inclus sont concernées; la fiche consultée ne donne pas de version corrigée.
Source : NVD — CVE-2026-115807
aBlocks : élévation de privilèges via le endpoint REST d’inscription
Le plugin aBlocks jusqu’à 2.17.0 inclus présente une élévation de privilèges par son endpoint REST d’inscription. Un utilisateur authentifié ayant au minimum le rôle Contributor peut obtenir un rôle WordPress non administrateur plus élevé,…
Source : NVD — CVE-2026-110018
Craft CMS : contournement du bac à sable Twig et exécution de fonctions PHP
Un utilisateur authentifié du panneau de contrôle peut contourner le bac à sable Twig via le filtre `column`, récupérer la clé de sécurité puis atteindre l’exécution de fonctions PHP arbitraires. Les versions concernées sont Craft CMS 4.x…
Source : Fiche NVD CVE-2026-115938
XSS déclenchée par un lien dans Download Monitor
Download Monitor avant 5.3.4 ne vérifie pas correctement que le lien cliqué appartient au site avant d’en récupérer et d’afficher une partie de la réponse côté client. Un attaquant non authentifié peut exploiter ce comportement en incitant…
Source : NVD — CVE-2026-112207
GeoDirectory : exécution de code via un fichier PHP généré
GeoDirectory avant 2.8.194 échappe insuffisamment du texte défini par l’administrateur avant de l’écrire dans un fichier PHP généré. Un utilisateur privilégié, notamment un administrateur de sous-site multisite ne pouvant autrement exécute…
Source : NVD — CVE-2026-113673
Modification non autorisée de la configuration de Pixel Tag Manager for WooCommerce
Le plugin Pixel Tag Manager for WooCommerce avant 2.2.3 permet à un utilisateur ayant un accès au tableau de bord, jusqu’au rôle Contributor, de modifier la configuration de suivi par une action AJAX insuffisamment protégée. La configurati…
Source : NVD — CVE-2026-105199
CVE-2026-107887 — Absence de contrôle d’accès dans Advanced Twenty Seventeen
Advanced Twenty Seventeen ne vérifie ni les capacités ni le nonce lors de l’action qui crée et active son thème enfant intégré. Les versions jusqu’à 1.3.1 inclus sont concernées; aucun correctif n’est établi par la fiche consultée.
Source : NVD — CVE-2026-107887
CVE-2026-107907 — Suppression non autorisée de contenu par MAS Videos
MAS Videos ne vérifie pas suffisamment les droits ni la propriété des éléments lors des demandes de suppression de vidéos et de listes de lecture depuis l’interface publique. Les versions jusqu’à 1.3.4 inclus sont concernées.
Source : NVD — CVE-2026-107907
CVE-2026-113489 — Contrôle de propriété insuffisant dans GeoDirectory
GeoDirectory ne vérifie pas qu’une pièce jointe référencée appartient à la fiche en cours d’enregistrement. Les versions antérieures à 2.8.194 sont concernées.
Source : NVD — CVE-2026-113489
CVE-2026-113490 — Divulgation de données de fiches non publiques dans GeoDirectory
GeoDirectory expose certaines informations de fiches non publiques via une route REST de détail sans vérifier leur statut ni leur propriété. Les versions antérieures à 2.8.194 sont concernées.
Source : NVD — CVE-2026-113490
CVE-2026-113491 — Lecture et suppression de fichiers via GeoDirectory
GeoDirectory utilise une URL d’image fournie par l’utilisateur comme chemin de fichier local sans validation suffisante. Les versions antérieures à 2.8.194 sont concernées.
Source : NVD — CVE-2026-113491
GeoDirectory : divulgation d’annonces non publiques
GeoDirectory avant 2.8.194 ne vérifie pas le statut, la propriété ni le mot de passe de certaines annonces chargées par une action AJAX sans authentification. Un attaquant non authentifié peut ainsi consulter des annonces non publiques en…
Source : NVD — CVE-2026-113492
GeoDirectory : XSS stockée dans les attributs de carte
GeoDirectory avant 2.8.194 n’échappe pas correctement certains attributs de shortcodes de carte avant leur insertion dans un attribut de style. Un utilisateur ayant le rôle Contributor ou supérieur peut provoquer une XSS stockée, exécutée…
Source : NVD — CVE-2026-113493
WPVR : XSS stockée dans les points d’intérêt de visites virtuelles
WPVR avant 9.0.3 ne nettoie ni n’échappe correctement certains contenus de points d’intérêt de visite virtuelle avant leur stockage et leur affichage. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi créer une XSS stockée e…
Source : NVD — CVE-2026-114429
Front End Users : contournement des contrôles d’inscription et d’adhésion
Front End Users jusqu’à la version 3.2.35 ne limite pas les attributs de compte qu’un visiteur peut définir lors de son inscription par les formulaires frontaux. Un utilisateur non authentifié peut s’attribuer un niveau d’adhésion arbitrai…
Source : NVD — CVE-2026-87835
News Kit Addons For Elementor : installation d’extension sans contrôle de capacité
News Kit Addons For Elementor avant 1.4.9 ne contrôle pas les capacités requises dans l’une de ses actions AJAX. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut installer et activer une extension spécifique depuis l…
Source : NVD — CVE-2026-97352
News Kit Addons For Elementor : modification non autorisée des métadonnées de publications
News Kit Addons For Elementor jusqu’à 1.4.7 inclus ne vérifie ni les capacités ni la propriété des publications avant de modifier leurs métadonnées via une action AJAX authentifiée. Des utilisateurs ayant au minimum le rôle Subscriber peuv…
Source : NVD — CVE-2026-97353
GeoDirectory : modification non autorisée d’annonces d’invités
GeoDirectory avant 2.8.194 vérifie incorrectement la propriété des annonces soumises par des utilisateurs déconnectés avant d’en autoriser la modification. Si la soumission d’annonces par des invités est activée, un attaquant non authentif…
Source : NVD — CVE-2026-113674
Systèmes & serveurs
2 alerte(s)Linux : dépassement de tampon dans le pilote ims-pcu
Une vérification de bornes manquante dans le pilote `ims-pcu` du noyau Linux peut provoquer un dépassement de tampon sur le tas lorsqu’un périphérique USB malveillant envoie un paquet trop volumineux. Le correctif rejette les paquets trop…
Source : NVD — CVE-2026-64565
Debian DSA-6583-1 : mise à jour de sécurité de libheif
Debian a publié DSA-6583-1 pour corriger plusieurs problèmes de sécurité dans libheif. Le traitement d’images HEIF ou AVIF spécialement conçues pouvait provoquer un déni de service ou une divulgation de mémoire, et des problèmes de double…
Source : DSA-6583-1 libheif – security update