Les sujets à surveiller, en un regard.
80 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 9 sujet(s) en rouge, 4 en orange.
Shopify
Recherche du sujet effectuée
La recherche a fait ressortir plusieurs avis LiquidJS associés à des CVE, mais les éléments disponibles les datent de mai-juin 2026. LiquidJS est décrit comme compatible avec Shopify, ce qui ne suffit pas à établir qu’il s’agit d’un avis de sécurité concernant Shopify lui-même; aucun élément vérifié ne justifie donc un item pour la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche dédiée à Wix n’a identifié aucun avis de sécurité, correctif, exploitation ni changement substantiel attribuable à Wix et daté dans la période du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu. Le résultat concernant WiX v7.0.1 du 26 octobre concerne le projet FireGiant WiX Toolset, un homonyme distinct, et n’a donc pas été retenu. La page d’état Wix indique qu’aucun incident n’a été signalé le 26 octobre, mais cela ne constitue pas une preuve d’absence de vulnérabilité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée sur Solocal n’a fait ressortir aucun nouvel avis ou correctif de sécurité, événement d’exploitation ni changement substantiel vérifiable dans la période du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu. Les résultats identifiés ne documentent pas d’événement de sécurité Solocal dans cette période; notamment, la décision CNIL trouvée date de septembre 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité officiels de Craft CMS sur GitHub et des sources de sécurité pertinentes. Les avis Craft CMS repérés dans ces sources étaient datés des 22 et 23 octobre 2026, donc hors de la période demandée. Aucun des candidats NVD n’apporte, dans les éléments vérifiés, la preuve d’un nouvel avis, correctif, événement d’exploitation ou changement substantiel survenu pendant la période figée. Les candidats fournis ne documentent aucun nouvel événement Craft CMS daté de la période demandée. Les cinq premières fiches NVD ont été publiées en juin 2026 et leur dernière mise à jour indiquée précède la période; CVE-2026-115938 a été publiée le 23 octobre 2026, avant le début de la période, et sa mise à jour du 26 octobre ne suffit pas à établir un changement substantiel dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost n’a identifié aucun nouvel avis, correctif, cas d’exploitation ni changement substantiel daté du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu. La page des avis de sécurité GitHub de TryGhost consultée présente des avis publiés en septembre 2026, hors de la période demandée. Les candidats fournis concernent des CVE publiées en juin 2026; leurs dates de modification NVD indiquées sont antérieures au début de la période et ne constituent pas des événements admissibles pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Vérification incomplète
La recherche a consulté les avis de sécurité GitHub de Strapi et ses versions, ainsi que les fiches NVD indiquées par les candidats dans les requêtes. Les avis Strapi visibles dans les résultats ont été publiés le 13 mai 2026, hors de la période demandée. Les candidats signalent une mise à jour NVD le 26 octobre, mais les éléments consultés ne permettent pas de vérifier si cette modification était substantielle ou administrative; aucun item ne peut donc être confirmé pour la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Directus
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel de sécurité concernant Directus daté de la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Le candidat fourni concerne pixelsock directus-mcp, un projet distinct, et sa vulnérabilité a été publiée le 2026-05-04; la modification NVD du 2026-10-26 ne suffit pas à en faire un événement nouveau dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche web dédiée à OpenCart pour la période demandée n’a fait ressortir aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel propre à OpenCart daté du 2026-10-26. Les résultats portant sur PHP ou sur la sécurité générale des boutiques ne sont pas retenus comme événements OpenCart spécifiques.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Vérification incomplète
La recherche a relevé une réponse de cPanel datée du 26 octobre concernant deux vulnérabilités PHP, CVE-2026-109618 et CVE-2026-109619. Les cinq candidats fournis correspondent à des vulnérabilités publiées antérieurement; leurs dates de modification NVD du 26 octobre ne suffisent pas à établir un nouvel avis, correctif, événement d’exploitation ou changement substantiel sur cette date.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ruby
Recherche du sujet effectuée
La recherche dédiée à Ruby et à son écosystème n’a pas permis de vérifier de vulnérabilité, d’avis ou de correctif répondant aux critères de la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les informations de sécurité Ruby retrouvées dans les sources officielles consultées étaient datées d’avant cette période. Aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté dans la période n’est établi par les éléments fournis. Les candidats sont des vulnérabilités publiées antérieurement ; leur seule date de mise à jour NVD ne suffit pas à démontrer une nouveauté substantielle. Aucune nouveauté ni modification substantielle datée dans la période n’est établie par les éléments fournis. Les fiches NVD concernent des vulnérabilités publiées en juin et leurs seules dates de mise à jour ne démontrent pas un changement substantiel; pour l’avis GHSA, la date de mise à jour est dans la période, mais aucun détail ne permet d’établir ce qui a changé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
Les avis Bun trouvés pendant la recherche concernent des publications des 23 et 24 octobre 2026, hors de la période demandée. Aucun item Bun admissible n’a été établi pour la période figée du 26 octobre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche dédiée dans les avis de sécurité GitHub de Deno, les résultats NVD et les publications de versions du projet n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel concernant Deno daté du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu. Les candidats fournis concernent des fiches publiées avant cette période, dont certaines mises à jour NVD sont datées du 2026-10-25; les candidats i18next portent sur des composants distincts de Deno. Aucune nouveauté de sécurité datée de la période n’est établie par les éléments fournis. Les cinq CVE ont été publiées en juin 2026 ; leur seule date dans la période est une mise à jour NVD, sans preuve d’un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Vérification incomplète
Le 26 octobre 2026, l’équipe Go a publié un compte rendu de sa réponse à la compromission eMudhra. Les correctifs Go mentionnés dans ce compte rendu avaient été publiés le 19 octobre; aucun des dix candidats NVD fournis n’a été retenu comme nouveauté de la période, car leurs dates de publication sont antérieures et les dates fournies correspondent à des mises à jour de fiches NVD. Aucun événement de sécurité Go vérifié dans la période demandée parmi les candidats fournis : les modifications NVD concernent des CVE publiées antérieurement et les dates de mise à jour ne prouvent pas un changement substantiel daté de la période. L’avis Talos porte sur un composant Go, mais sa mise à jour du 26 octobre ne suffit pas, au vu des éléments fournis, à établir un changement substantiel de sécurité ce jour-là.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kotlin
Recherche du sujet effectuée
La recherche dédiée sur Kotlin n’a identifié aucun nouvel avis, correctif, cas d’exploitation ni changement substantiel daté du 26 octobre 2026 dans la période définie. Le CVE-2026-53914 avait été publié en juin 2026; l’historique NVD consulté ne montre pas de changement substantiel dans la période du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Vérification incomplète
La recherche dédiée a trouvé un avis de sécurité Electron publié le 2026-10-22, hors de la période demandée, et des versions Electron publiées le 2026-10-27, également hors période. Aucun nouvel avis, correctif ou événement de sécurité propre au projet Electron daté du 2026-10-26 n’a été vérifié. Les candidats fournis concernent des applications tierces utilisant Electron ou des fiches CVE publiées antérieurement, et non une vulnérabilité nouvelle du projet Electron dans la période. Aucune vulnérabilité nouvelle, aucun correctif ni avis de sécurité concernant le produit Electron n’est établi par les éléments fournis pour la période. Les fiches NVD de SiYuan sont décrites comme mises à jour, sans preuve d’un changement substantiel dans cette période; les autres CVE concernent MongoDB Compass et FFXIV Teamcraft, et non Electron lui-même.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
jQuery
Recherche du sujet effectuée
La recherche web dédiée n’a pas établi de nouvel avis, correctif, exploitation ou changement substantiel concernant le projet jQuery pendant la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les quatre candidats sont des vulnérabilités d’autres produits qui mentionnent jQuery ou jQuery UI; leurs mises à jour NVD datent de la période, mais leurs publications initiales sont antérieures et les éléments fournis ne démontrent pas de changement substantiel touchant jQuery.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche a relevé une mise à jour du billet officiel Laravel du 26 octobre au sujet de l’application des correctifs PHP sur Laravel Cloud. Elle concerne la réponse opérationnelle de Laravel Cloud à des vulnérabilités PHP, et non une nouvelle vulnérabilité ou un correctif du framework Laravel dans la période demandée. Les avis GitHub du framework repérés datent du 19 octobre, avant la période. Les candidats fournis portent sur des avis publiés en mars ou avril 2026 et leur mise à jour NVD du 26 octobre ne suffit pas à établir un changement de sécurité substantiel ce jour-là. Les candidats sont des fiches NVD publiées antérieurement et signalées comme mises à jour pendant la période. Les éléments fournis ne décrivent pas de changement substantiel daté dans la période; aucune vulnérabilité nouvelle, aucun correctif ni avis répondant aux critères n’a donc été vérifié. Aucune nouveauté de sécurité datée de la période n’est établie par les éléments fournis. Les fiches NVD indiquent des horodatages de mise à jour, mais ne précisent pas qu’un changement substantiel a eu lieu pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche web dédiée a trouvé les avis SvelteKit concernés, mais ils sont antérieurs à la période demandée : les avis GHSA associés ont été publiés le 9 avril 2026. Les seules dates dans la fenêtre pour les candidats sont des mises à jour de fiches NVD; aucune preuve consultée n’établit qu’elles correspondent à une nouvelle vulnérabilité, un correctif ou un changement substantiel daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée aux sources du projet Symfony, à ses avis GitHub et aux avis CERT-FR n’a identifié aucun avis, correctif ou événement de sécurité Symfony daté du 2026-10-26 dans la période demandée. Le candidat fourni concerne PhpWeasyPrint, pas Symfony, et sa mise à jour NVD indiquée date du 2026-10-25, avant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité du projet Flask n’a trouvé aucun avis, correctif ou événement de sécurité Flask daté de la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les candidats fournis ne documentent pas une vulnérabilité de Flask lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche ciblée dans les avis du projet Django, ses avis GitHub et les résultats NVD n’a pas identifié de nouvelle vulnérabilité ni d’avis de sécurité Django correspondant à la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les candidats Django fournis décrivent des failles publiées antérieurement; leur seule mise à jour NVD indiquée le 26 octobre ne démontre pas un changement substantiel. Les autres candidats concernent Weblate, Open edX ou django-s3file, et non le projet Django lui-même. Les candidats examinés concernent des vulnérabilités de RELATE ou de django CMS, et non du framework Django lui-même. Leurs dates de publication indiquées sont antérieures à la période demandée; les mises à jour NVD du 26 octobre ne constituent pas, d’après les données fournies, un événement substantiel daté dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche dédiée sur FastAPI n’a pas permis de vérifier de nouvel avis, correctif, événement d’exploitation ou changement substantiel daté de la période demandée. Les candidats fournis portent sur des avis antérieurs dont la seule mise à jour NVD ou GitHub pendant la période ne suffit pas à établir un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel concernant le framework Express pendant la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les candidats fournis concernent des fiches CVE publiées antérieurement ou des projets distincts, notamment @fastify/express et i18next-http-middleware; leurs mises à jour NVD ne constituent pas, à elles seules, un événement de sécurité Express dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Vérification incomplète
La recherche dédiée a consulté les avis de sécurité GitHub de NestJS et les publications de versions du projet. Les résultats consultés indiquent que les avis NestJS repérés ont été publiés avant la période demandée. Toutefois, les changements apportés aux fiches NVD des candidats et leur éventuel caractère substantiel pendant la période n’ont pas pu être vérifiés; aucun item ne peut donc être retenu ou exclu avec certitude.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MySQL
Vérification incomplète
La recherche a repéré l’avis MySQL Community Edition d’octobre, publié le 2026-10-20, ainsi qu’une révision 2 de l’avis Oracle d’octobre datée du 2026-10-26. Les éléments consultés ne permettent pas d’établir si cette révision a apporté, pendant la période demandée, un changement substantiel concernant MySQL; aucun item n’est donc retenu sur cette seule base. Aucun changement substantiel de sécurité n’est établi par les éléments fournis pour la période. Les candidats sont des mises à jour de fiches NVD déjà publiées en avril 2026, sans indication des champs modifiés ni preuve d’un nouvel avis, correctif ou changement de sécurité ; une date de modification seule ne suffit pas à les retenir. Aucun candidat ne documente une vulnérabilité nouvelle, un avis ou correctif de sécurité, une exploitation, ou un changement substantiel concernant MySQL daté de la période demandée. Les fiches NVD indiquées sont des mises à jour de vulnérabilités publiées antérieurement; les informations fournies ne démontrent pas de changement substantiel survenu dans la période. Les candidats hors produit MySQL sont exclus du sujet. Aucun élément du lot ne constitue une nouveauté vérifiée pour MySQL dans la période : les entrées MariaDB concernent un produit distinct, tandis que les deux entrées MySQL signalent uniquement une mise à jour NVD sans changement substantiel établi. Les dates de publication indiquées pour ces deux CVE sont antérieures à la période. Aucune nouveauté, aucun avis/correctif de sécurité ni changement substantiel concernant MySQL n’est établi pour la période à partir des éléments fournis. Les candidats sont des fiches publiées antérieurement dont la date de mise à jour NVD, à elle seule, ne démontre pas un changement substantiel dans la période. Aucun candidat ne permet d’éta…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PostgreSQL
Vérification incomplète
La recherche dédiée a consulté les informations de sécurité du projet PostgreSQL et son archive d’actualités. Les candidats fournis sont des fiches de vulnérabilités antérieures dont la date indiquée dans le lot correspond à une mise à jour NVD le 2026-10-26, sans élément vérifié établissant un nouvel avis, correctif, exploitation ou changement substantiel dans la période. L’avis PostgreSQL Anonymizer 3.3 repéré est daté du 2026-10-27, après la borne de fin du 2026-10-27T00:00:00+02:00, et est donc hors période. Aucun candidat ne démontre une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel concernant PostgreSQL pendant la période. Les dates fournies attestent des modifications de fiches NVD, mais pas de la nature substantielle de ces modifications. Aucun événement admissible n’est établi pour PostgreSQL dans ce lot pendant la période demandée. Les candidats datés du 26 octobre correspondent à des modifications de fiches NVD, sans élément fourni permettant de vérifier qu’elles reflètent un changement substantiel; les autres candidats sont hors sujet ou hors période. Aucun changement substantiel daté du 26 octobre n’est établi par les éléments fournis. Trois fiches NVD portent une date de mise à jour dans la période, mais le lot ne précise pas la nature de ces changements.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MongoDB
Vérification incomplète
Niveau relevé : Élevée
La recherche a identifié un avis MongoDB relatif à mongosh, publié dans la période : CVE-2026-115930, corrigée dans mongosh 2.14.0. Les autres candidats fournis sont des fiches publiées avant la période dont la mise à jour NVD signalée le 2026-10-26 ne constitue pas, d’après les éléments vérifiés, une nouveauté de sécurité substantielle datée de cette période. Aucun événement nouveau, correctif ou changement substantiel concernant MongoDB n’est établi par les candidats dans la période demandée. Les candidats modifiés dans NVD le 26 octobre ne documentent pas la nature d’un changement substantiel; les autres ont été modifiés avant la période. Deux vulnérabilités associées à des composants MongoDB ont été retenues pour la période : l’une concerne MongoDB Compass et Electron, l’autre mongosh et le magasin de certificats de Node.js. Les informations de correctif disponibles dans les fiches NVD fournies sont rapportées pour chacune.
Certificats intermédiaires eMudhra récupérables dans le runtime Node.js livré avec mongosh
Le magasin de certificats racines TLS du runtime Node.js inclus dans MongoDB Shell contient des certificats intermédiaires eMudhra récupérables. Le problème concerne mongosh avant 2.14.0 ; mettre à niveau mongosh, ou mettre à jour séparément le runtime Node.js utilisé si mongosh est installé via npm.
Action recommandée : Mettre mongosh à niveau vers la version 2.14.0 ou ultérieure. Pour une installation npm, mettre à jour le runtime Node.js installé sur l’hôte séparément.
MongoDB Compass : vulnérabilité liée aux certificats TLS (CVE-2026-115929)
Une vulnérabilité liée au magasin de certificats racines TLS fourni par Electron expose MongoDB Compass à un problème de confiance dans la chaîne de certificats. Mettez à jour Compass vers la version 1.53.1, qui inclut Electron 44.9.1.
Action recommandée : Mettre à jour MongoDB Compass vers la version 1.53.1.
Redis
Recherche du sujet effectuée
La recherche dédiée n’a pas vérifié de nouvel avis, correctif, exploitation ni changement substantiel concernant Redis durant la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les sources consultées font apparaître des avis Redis antérieurs à cette période; les seules dates des candidats situées dans la fenêtre sont des mises à jour NVD, qui ne suffisent pas à établir un événement de sécurité substantiel. Les trois candidats concernent des vulnérabilités d’Apache bRPC liées au protocole Redis. Leurs fiches indiquent une publication le 2026-10-21 et une mise à jour NVD le 2026-10-26, mais les éléments fournis ne documentent aucun changement de sécurité substantiel effectué à cette dernière date.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy n’a pas identifié d’avis ou de correctif Caddy daté de la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Le candidat CVE-2026-77052 concerne boneIO Black; Caddy y est mentionné comme proxy, et non comme logiciel vulnérable. Les autres candidats concernent des publications ou mises à jour antérieures à la période, ou des produits différents.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Vérification incomplète
La recherche dédiée n’a pas établi de nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant SvelteKit pendant la période demandée. Les avis éditeur visibles pour CVE-2026-40073 et CVE-2026-40074 sont antérieurs à cette période; les horodatages de mise à jour NVD fournis ne suffisent pas à démontrer un changement de sécurité substantiel dans la fenêtre. Le troisième candidat concerne Immich, pas SvelteKit comme produit vulnérable.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Babel
Recherche du sujet effectuée
La recherche dédiée à Babel n’a identifié aucun avis, correctif de sécurité, événement d’exploitation ou changement substantiel concernant Babel daté dans la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Le candidat fourni concerne une vulnérabilité de Hugo; Babel n’y est mentionné que comme outil de pipeline d’actifs, et la date de modification NVD ne constitue pas en elle-même une nouvelle faille Babel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche dédiée n’a permis de vérifier aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant le produit Elasticsearch pendant la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les quatre candidats portent sur des intégrations ou produits distincts; leurs seules dates dans la fenêtre sont des modifications de fiches NVD, sans changement substantiel vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée a consulté la page de sécurité RabbitMQ, les avis GitHub du projet et les fiches CVE pertinentes. Aucun élément consulté ne confirme une nouvelle vulnérabilité, un correctif, un avis ou un changement substantiel RabbitMQ daté de la période demandée; les avis RabbitMQ repérés sur la page du projet étaient publiés le 2026-10-25, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée aux avis Memcached et au dépôt GitHub du projet n’a vérifié aucun avis ou correctif de sécurité Memcached daté de la période demandée (du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu). Le candidat fourni concerne Mercator : sa description évoque Memcached comme service interne potentiellement touché par un enchaînement SSRF, mais la vulnérabilité n’est pas dans Memcached; la mise à jour NVD signalée est par ailleurs antérieure à la période en heure +02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié de vulnérabilité GraphQL dont la première publication, le correctif, l’exploitation ou un changement substantiel soit vérifié dans la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les résultats consultés signalent des avis GraphQL antérieurs à cette période; les candidats fournis sont des fiches publiées plusieurs mois auparavant et simplement signalées comme modifiées, sans preuve d’un changement substantiel admissible pendant la période. Cette conclusion porte sur les éléments consultés, pas sur une affirmation d’exhaustivité de tout le Web. Les candidats fournis ne permettent pas d’établir une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté de la période demandée. Les horodatages de mise à jour NVD, à eux seuls, ne suffisent pas à retenir un événement.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Dix fiches CVE relatives à des extensions WooCommerce ont été publiées dans la fenêtre demandée. Elles concernent des passerelles de paiement, des contrôles d’autorisation manquants et une condition de compétition; les sources consultées ne permettent pas d’établir ici des versions corrigées ni une exploitation active confirmée. Une nouvelle fiche NVD publiée le 26 octobre pendant la période concerne une vulnérabilité de contrôle d’accès manquant dans le plugin Customer Coupons for WooCommerce. Les autres candidats sont des mises à jour de fiches NVD initialement publiées avant la période ; les éléments fournis ne documentent pas de changement substantiel. Aucun correctif, avis de sécurité, événement d’exploitation ou changement substantiel daté de la période n’est établi par les candidats fournis. Ceux-ci signalent uniquement des modifications de fiches NVD pour des CVE publiées en juin 2026, sans décrire la nature des modifications. Aucune vulnérabilité nouvelle, aucun correctif ni avis de sécurité ou changement substantiel concernant WooCommerce n’est établi par les éléments fournis pour la période. Les candidats correspondent à des mises à jour de fiches NVD, sans preuve d’un changement substantiel; ils sont donc exclus. Aucun changement substantiel de sécurité daté de la période n’est établi par les éléments fournis. Les candidats signalent des modifications de fiches NVD, sans préciser de changement de fond; ces seules modifications administratives ne sont pas retenues comme de nouvelles informations de sécurité. Quatre CVE concernant des passerelles de paiement WooCommerce ont été publiées le 26 octobre 2026. Les descriptions fournies signalent des défauts de vérification des notifications de paiement pouvant permettre la falsification de l’état des commandes ;…
CCAvenue Payment Gateway : falsification de confirmations de paiement
Le plugin CCAvenue Payment Gateway for WooCommerce ne vérifie pas suffisamment l’authenticité des confirmations de paiement. Un attaquant non authentifié pourrait ainsi faire marquer des commandes comme payées sans règlement réel.
Action recommandée : Mettre à jour vers une version corrigée dès que l’éditeur en fournit une; à défaut, désactiver le module et contrôler les commandes récemment marquées comme payées.
Eurobank WooCommerce Payment Gateway : confirmations de paiement falsifiables
Eurobank WooCommerce Payment Gateway n’authentifie pas correctement les confirmations de paiement et utilise par défaut un secret vide. Une personne non authentifiée pourrait marquer des commandes en attente comme payées, ou faire passer des commandes en échec.
Action recommandée : Désactiver le module ou le mettre à jour vers une version corrigée dès qu’elle est disponible; contrôler les statuts de commande.
OPay Payment Gateway : notifications de paiement falsifiables
OPay Payment Gateway for WooCommerce ne vérifie pas correctement l’origine des notifications de paiement, car le secret de validation est vide par défaut. Des notifications forgées peuvent modifier le statut de commandes, notamment les marquer payées, annulées ou échouées.
Action recommandée : Désactiver le module jusqu’à installation d’une version corrigée et examiner les changements récents de statut des commandes.
Mintpay for WooCommerce : callbacks non authentifiés
Mintpay for WooCommerce ne vérifie pas l’authenticité des callbacks de paiement. Des requêtes non authentifiées peuvent modifier les commandes et exposer des informations de commande, dont des coordonnées client.
Action recommandée : Désactiver le module ou installer une version corrigée dès qu’elle est publiée; vérifier les commandes et limiter l’accès aux données concernées.
CVE-2026-110377 — Bopo : défaut d’autorisation
Bopo – WooCommerce Product Bundle Builder jusqu’à la version 1.2.3 présente un défaut d’autorisation. Celui-ci peut permettre un accès non autorisé, mais les détails précis des actions accessibles ne sont pas fournis dans la fiche candidate.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter les accès aux fonctions concernées dans l’intervalle.
CVE-2026-115614 — Booking and Rental Manager : défaut d’autorisation
Booking and Rental Manager jusqu’à la version 2.8.2 présente un défaut d’autorisation. Les éléments fournis ne précisent pas quelles opérations ou données peuvent être atteintes par son exploitation.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter les accès aux fonctions concernées dans l’intervalle.
CVE-2026-115959 — APIExperts Square : défaut d’autorisation
APIExperts Square for WooCommerce jusqu’à la version 4.7.5 présente un défaut d’autorisation. La description candidate ne précise pas les opérations accessibles ni les données concernées.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter les accès aux fonctions concernées dans l’intervalle.
CVE-2026-115960 — APIExperts Square : défaut d’autorisation
APIExperts Square for WooCommerce jusqu’à la version 4.7.5 présente une seconde vulnérabilité de type défaut d’autorisation, distincte de CVE-2026-115959. Les éléments fournis ne détaillent pas les opérations accessibles ni les données concernées.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter les accès aux fonctions concernées dans l’intervalle.
CVE-2026-112839 — Customer Coupons for WooCommerce : défaut d’autorisation
Customer Coupons for WooCommerce jusqu’à la version 1.3.14 présente un défaut d’autorisation. La description candidate ne précise pas quelles actions ou données peuvent être atteintes.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter les accès aux fonctions concernées dans l’intervalle.
CVE-2026-111404 — Photo Reviews for WooCommerce : condition de concurrence
Photo Reviews for WooCommerce jusqu’à la version 1.2.31 présente une condition de concurrence. Les éléments fournis signalent l’exploitation possible de cette condition, sans préciser ses conséquences concrètes.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible.
Payment Gateway : authentification insuffisante des notifications de paiement
Le plugin Payment Gateway ne vérifie pas que le secret partagé est configuré avant de l’utiliser pour authentifier les notifications bancaires. Selon la description publiée, les notifications forgées peuvent marquer des commandes payées lorsque le secret est absent, et faire passer des commandes en attente à l’état échoué.
Action recommandée : Désactiver le module jusqu’à disponibilité d’un correctif et vérifier les changements de statut des commandes.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté entre le 2026-10-26T00:00:00+02:00 inclus et le 2026-10-27T00:00:00+02:00 exclu. Les vulnérabilités signalées dans les sources consultées sont antérieures à cette période et ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
Deux avis officiels Docker consultés signalent des correctifs Docker Desktop publiés le 26 octobre 2026 : exposition de secrets dans les journaux (CVE-2026-114409) et altération de la pile réseau de la machine virtuelle (CVE-2026-99999). Les candidats fournis concernent soit des projets tiers utilisant Docker, soit des fiches publiées avant la période et seulement modifiées dans NVD pendant celle-ci; aucun n’a été retenu comme nouveauté ou changement substantiel dans la fenêtre demandée. Aucun événement nouveau, correctif ou changement substantiel concernant le produit Docker n’est établi par les candidats fournis pour la période. Les fiches NVD indiquent des mises à jour le 26 octobre, mais les éléments fournis ne décrivent pas de changement substantiel daté ce jour-là; les vulnérabilités citées concernent d’autres produits, même lorsque Docker est mentionné comme contexte ou dans leur nom. Aucun événement Docker ne peut être confirmé comme nouveau ou substantiellement modifié pendant la période à partir des éléments fournis. Les deux candidats concernant Docker Sandboxes portent une date de mise à jour NVD dans la période, mais les données fournies ne précisent pas la nature du changement. Aucun élément du lot ne documente une vulnérabilité, un correctif ou un avis concernant le produit Docker lui-même. Les candidats portent sur d’autres produits utilisant ou mentionnant Docker; leurs mises à jour NVD ne suffisent pas à établir un événement substantiel pertinent pour le sujet demandé. Aucun candidat ne documente une vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel concernant Docker lui-même. Les mentions de Docker dans ce lot concernent des produits tiers ou un contexte d’utilisation.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Kubernetes
Vérification incomplète
Niveau relevé : Critique
Deux avis de sécurité concernant des logiciels opérés sur Kubernetes ont été publiés dans la période : Burrito (CVE-2026-102649) et consul-k8s (CVE-2026-110720). Aucun candidat NVD simplement marqué comme modifié n’a été retenu sans preuve d’un changement substantiel daté dans la période. Aucune nouveauté, aucun correctif ni changement substantiel concernant Kubernetes n’est établi pour la période demandée à partir des candidats fournis. Les dates du 26 octobre correspondent à des mises à jour de fiches NVD déjà publiées auparavant, sans preuve fournie d’un changement de sécurité substantiel à cette date. Aucun candidat ne démontre une vulnérabilité nouvelle, un correctif ou un avis de sécurité, une exploitation ou un changement substantiel daté dans la période. Les dates de publication fournies sont antérieures à la période ; les seules mises à jour du 26 octobre concernent des fiches NVD et ne suffisent pas à établir un changement substantiel. Une nouvelle vulnérabilité publiée pendant la période concerne le webhook de Burrito, un opérateur Kubernetes. Plusieurs autres candidats portent une date de mise à jour dans la période, mais les éléments fournis ne permettent pas d’établir si ces mises à jour correspondent à un changement substantiel.
Burrito : événements webhook non signés pouvant déclencher des plans Terraform non autorisés
Burrito acceptait des événements GitHub et GitLab non signés lorsque le secret webhook était absent ou vide, permettant de créer ou supprimer des ressources TerraformPullRequest et de déclencher des plans Terraform non autorisés. Selon les circonstances, ces plans pouvaient exposer des changements d’infrastructure dans le fil d’une vraie demande de fusion ; la faille est corrigée dans la version 0.13.0.
Action recommandée : Mettre à niveau Burrito vers la version 0.13.0 ou ultérieure.
consul-k8s : contournement d’autorisation inter-espaces de noms
Une vulnérabilité de contournement d’autorisation inter-espaces de noms dans les règles de liaison ACL de composants consul-k8s peut permettre d’obtenir des privilèges Consul élevés. Les versions correctives indiquées sont consul-k8s 2.1.0 et 1.8.18.
Action recommandée : Mettre à niveau vers consul-k8s 2.1.0 ou 1.8.18, selon la branche utilisée, et consulter l’avis HashiCorp pour confirmer l’applicabilité.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié dix nouvelles fiches CVE Linux publiées par le NVD le 26 octobre 2026 dans la période demandée. Elles concernent Open vSwitch, ASoC Samsung, AMDGPU, Bluetooth, RISC-V/BPF, la gestion mémoire, VC4, io_uring et TEE; les versions affectées précises, scores CVSS et niveaux de gravité ne sont pas établis par les éléments consultés. Deux fiches NVD publiées dans la période concernent des changements du noyau Linux : un correctif dm-integrity que la source ne qualifie pas de bug de sécurité, et une parade logicielle à l’erratum AMD TLBI nº 1718. Les données fournies ne précisent ni versions corrigées ni exploitation active. Les candidats fournis concernent des vulnérabilités de Google Chrome et non du noyau Linux. Leurs dates de publication sont antérieures à la période demandée; les modifications NVD signalées le 26 octobre ne constituent pas, à elles seules, un événement de sécurité Linux. Aucun candidat fourni ne concerne Linux (noyau) : ils portent sur Google Chrome, IBM Content Navigator ou .NET/Visual Studio. Aucun élément de ce lot n’est retenu pour le sujet demandé. Aucun candidat fourni ne concerne Linux (noyau) ni ne documente une nouveauté de sécurité du noyau Linux pendant la période indiquée. Les candidats portent sur des vulnérabilités de Google Chrome; leurs mises à jour NVD ne constituent pas des informations pertinentes pour le sujet demandé. Aucun candidat ne concerne le noyau Linux : les entrées portent sur Google Chrome, Esri Portal for ArcGIS ou des GPU, et signalent des modifications NVD de fiches publiées antérieurement. Aucun élément ne peut donc être retenu pour le sujet demandé. Aucune nouveauté, correction ou évolution substantielle du noyau Linux n’est établie par les candidats de ce lot pour la période demandée. Aucun cand…
Linux ksmbd : écriture hors limites dans l’authentification Kerberos
Une erreur de calcul de l’espace disponible dans les réponses SMB composées pouvait permettre à ksmbd d’écrire un jeton Kerberos au-delà du tampon et dans le tas du noyau. Le correctif tient compte du décalage des réponses précédentes lors du calcul de l’espace restant.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la version utilisée.
Linux Open vSwitch : en-tête de transport non initialisé sur des fragments IPv6
Lors d’une action Open vSwitch de réécriture d’adresse IPv6 sur un fragment non initial, le code pouvait lire un décalage d’en-tête de transport non initialisé et déclencher un avertissement noyau avec CONFIG_DEBUG_NET. Le correctif ignore ce calcul pour les fragments IPv6 concernés.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la version utilisée.
Linux ASoC Samsung I2S : état d’horloge incohérent avec runtime PM
Le pilote I2S Samsung pouvait déséquilibrer les références d’activation de l’horloge lors de la première suspension runtime, provoquant notamment un avertissement de désactivation d’horloge. Le correctif active op_clk pendant probe afin d’aligner son état sur celui attendu par la gestion runtime PM, puis la désactive lors de remove.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la version utilisée.
Linux — synchronisation des lectures vblank AMDGPU avec la réinitialisation du GPU
Le rappel du compteur vblank AMDGPU pouvait lire les registres d’affichage pendant une réinitialisation du GPU sans prendre le sémaphore de reset. Le correctif protège ces lectures et renvoie le compteur logiciel mis en cache si une réinitialisation est en cours.
Action recommandée : Appliquer le correctif du noyau correspondant à la distribution dès sa disponibilité.
Linux Bluetooth MGMT : statut incorrect pour des commandes en attente
Lors de la mise hors tension ou du retrait d’un périphérique Bluetooth, certaines commandes en attente pouvaient recevoir un statut erroné, notamment un succès au lieu de « Not Powered » ou « Invalid Index ». Le correctif transmet le statut défini par l’appelant au lieu d’interpréter à tort les données de la commande.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la version utilisée.
Linux RISC-V : échec du JIT BPF dans certaines configurations de protection mémoire
Sur RISC-V, le JIT BPF pouvait échouer à modifier du code exécutable alloué dans la zone vmalloc lorsque CONFIG_STRICT_MODULE_RWX était désactivé, car le code tentait d’écrire dans une adresse en lecture seule. Le correctif utilise CONFIG_EXECMEM pour gérer l’alias temporaire nécessaire à l’écriture.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour la configuration RISC-V utilisée.
Linux mm : panic possible avec le traceur de fonctions au démarrage
Un traçage de fonctions activé très tôt au démarrage pouvait provoquer un panic lorsque la libération différée de tables de pages tentait de planifier un travail avant l’initialisation des workqueues. Le correctif reporte la planification pendant le démarrage et programme ensuite la libération des éléments en attente.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible.
Linux Bluetooth Intel PCIe : vérification incorrecte des limites des descripteurs TX
Le pilote Bluetooth Intel PCIe vérifiait la limite de l’index de descripteur TX après avoir utilisé cet index pour accéder aux tableaux de descripteurs et de tampons. Le correctif rejette l’index égal au nombre d’entrées, qui se trouve déjà hors limites.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour le matériel concerné.
Linux DRM VC4 : travaux différés non drainés lors de la désassociation V3D
À la désassociation du V3D, le temporisateur hangcheck ou des travaux de fin de tâche pouvaient encore accéder à des ressources déjà désinstallées ou libérées. Le correctif arrête le temporisateur, annule et vide les travaux concernés avant la fin de la désassociation.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible pour le matériel concerné.
Linux io_uring : contournement des restrictions sur les rings désactivés
Une tâche soumise à des restrictions io_uring pouvait créer un ring désactivé et contourner temporairement les restrictions héritées sur les opérations d’enregistrement. Le correctif maintient ces contrôles sur les rings désactivés concernés et exige que l’opération d’activation soit autorisée.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible.
Linux TEE : allocation de mémoire partagée de taille nulle
Une allocation de mémoire partagée dynamique TEE de taille zéro pouvait transmettre un ordre de pages invalide à l’allocateur et déclencher un avertissement noyau. Sur un système configuré pour paniquer en cas d’avertissement, cette requête pouvait provoquer l’arrêt du démarrage.
Action recommandée : Appliquer le correctif Linux correspondant dès qu’il est disponible.
Linux : correction d’un dépassement de tampon dans dm-integrity
Le noyau Linux corrige un dépassement de tampon dans dm-integrity en mode inline lorsque la taille du tag dépasse HASH_MAX_DIGESTSIZE. La source précise que le dépassement ne peut être déclenché que par root et ne le qualifie donc pas de faille de sécurité.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible ; la source ne fournit pas de version corrigée.
Linux : parade à l’erratum AMD TLBI nº 1718
Linux ajoute une détection de l’erratum AMD TLBI nº 1718 et applique une parade logicielle si le microcode ne contient pas de correctif. L’erratum peut empêcher l’invalidation d’une entrée TLB lors d’une paire d’instructions INVLPGB/TLBSYNC ; la source ne précise pas d’impact de sécurité supplémentaire.
Action recommandée : Installer une version du noyau intégrant la détection et la parade ; vérifier également la disponibilité d’un correctif de microcode AMD.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
La liste officielle Debian LTS consultée recense six avis de sécurité datés du 26 octobre 2026 pour swupdate, Thunderbird, Inkscape, OpenJDK 17, OpenSSL et ImageMagick. Les informations consultées ne suffisent pas à préciser les CVE, les versions concernées, les correctifs détaillés ni les impacts propres à chaque avis; DLA-4860-1 concerne une mise à jour de base de fuseaux horaires et n’est pas retenu comme avis de sécurité. Aucun candidat ne documente une nouvelle vulnérabilité, un correctif ou un changement substantiel concernant Debian durant la période. Les avis boneIO concernent le micrologiciel d’un produit tiers basé sur Debian, et les autres entrées sont des modifications NVD de vulnérabilités antérieurement publiées, sans élément fourni attestant d’un changement substantiel pertinent pour Debian dans la période. Les avis Debian LTS fournis et datés du 2026-10-26 signalent des mises à jour de sécurité pour swupdate, Thunderbird, Inkscape, OpenJDK 17, OpenSSL et ImageMagick. L’avis OpenSSL énumère six CVE distinctes; les extraits ne précisent pas les versions corrigées et ne donnent pas de CVE pour plusieurs autres avis.
Debian corrige deux vulnérabilités dans swupdate
L’avis Debian DLA-4864-1 corrige deux vulnérabilités de swupdate, susceptibles d’entraîner une élévation de privilèges ou un contournement de la validation des signatures. Les CVE, versions concernées et versions corrigées ne sont pas précisées dans les éléments fournis.
Action recommandée : Appliquer la mise à jour Debian DLA-4864-1.
Debian publie une mise à jour de sécurité pour Thunderbird
L’avis Debian DLA-4863-1 corrige plusieurs problèmes de sécurité dans Thunderbird, pouvant permettre l’exécution de code arbitraire ou la divulgation d’informations. Debian indique également abandonner la série 140.x et suivre la série 153.x, mais les CVE et versions précises ne figurent pas dans les éléments fournis.
Action recommandée : Appliquer la mise à jour Debian DLA-4863-1.
Debian corrige une divulgation de fichiers locaux dans Inkscape
L’avis Debian DLA-4862-1 corrige une vulnérabilité de divulgation de fichiers locaux dans le traitement XInclude d’Inkscape. Un attaquant distant peut faire lire des fichiers locaux au moyen d’un fichier SVG conçu à cet effet; aucun CVE ni numéro de version n’est fourni dans l’extrait.
Action recommandée : Appliquer la mise à jour Debian DLA-4862-1.
Debian publie une mise à jour de sécurité pour OpenJDK 17
Debian a publié le 26 octobre 2026 un avis de mise à jour de sécurité pour OpenJDK 17, après la découverte de plusieurs vulnérabilités pouvant entraîner un déni de service, une divulgation d’informations, un accès non autorisé ou un contournement des restrictions du bac à sable. L’avis fourni ne précise ni les CVE concernées ni les versions correctives ; appliquez la mise à jour de sécurité Debian correspondante.
Action recommandée : Appliquer la mise à jour de sécurité Debian correspondant à DLA-4861-1.
OpenSSL : croissance disproportionnée du tas lors du traitement de certificats
L’avis Debian DLA-4859-1 traite CVE-2026-35189 dans OpenSSL : un certificat comportant de nombreux points de distribution CRL nameRelativeToCRLIssuer peut provoquer une croissance disproportionnée du tas lors de la mise en cache des extensions X.509. Les versions touchées et corrigées ne sont pas indiquées dans les éléments fournis; Debian recommande d’appliquer l’avis.
Action recommandée : Appliquer la mise à jour Debian DLA-4859-1.
OpenSSL : fuite temporelle d’informations sur le nonce des signatures
L’avis Debian DLA-4859-1 traite CVE-2026-54872, une fuite temporelle lors de la multiplication scalaire générique utilisée pour les opérations de signature ECDSA et SM2 sur certaines courbes. Cette fuite peut révéler des informations sur le nonce secret; l’extrait ne fournit pas les versions concernées ni corrigées.
Action recommandée : Appliquer la mise à jour Debian DLA-4859-1.
OpenSSL : arrêt anormal d’un client CMP lors du traitement d’une réponse de révocation
L’avis Debian DLA-4859-1 traite CVE-2026-75805 : un client CMP demandant une révocation de certificat à partir d’un CSR PKCS#10 peut déréférencer un pointeur NULL en traitant une réponse de révocation spécialement construite. Cela provoque l’arrêt anormal du processus; les versions touchées et corrigées ne sont pas précisées dans l’extrait.
Action recommandée : Appliquer la mise à jour Debian DLA-4859-1.
OpenSSL : terminaison possible d’une association DTLS 1.2
L’avis Debian DLA-4859-1 traite CVE-2026-75806, qui permet de terminer une association DTLS 1.2 établie utilisant une suite AEAD au moyen d’un seul datagramme non authentifié. Le datagramme déclenche le problème lorsque son fragment chiffré est plus court que la surcharge obligatoire de vecteur d’initialisation explicite et de tag d’authentification; les versions concernées et corrigées ne sont pas fournies.
Action recommandée : Appliquer la mise à jour Debian DLA-4859-1.
OpenSSL : fuite temporelle lors de la génération de signatures SM2
L’avis Debian DLA-4859-1 traite CVE-2026-77696 : la génération de signatures SM2 utilise une arithmétique non constante sur des valeurs secrètes. Cette méthode crée une fuite temporelle; les versions touchées et corrigées ne sont pas indiquées dans l’extrait.
Action recommandée : Appliquer la mise à jour Debian DLA-4859-1.
OpenSSL : défaut dans la retransmission DTLS des messages de poignée de main
L’avis Debian DLA-4859-1 traite CVE-2026-84782, un défaut de retransmission DTLS lorsque l’écriture d’un message de poignée de main est suspendue en cours de traitement. Une retransmission peut lire au-delà du tampon du message et écraser l’état interne nécessaire à la reprise correcte de l’écriture; les versions touchées et corrigées ne sont pas indiquées.
Action recommandée : Appliquer la mise à jour Debian DLA-4859-1.
Debian corrige plusieurs vulnérabilités dans ImageMagick
L’avis Debian DLA-4858-1 corrige plusieurs vulnérabilités d’ImageMagick, susceptibles d’entraîner un déni de service, une divulgation d’informations ou éventuellement l’exécution de code arbitraire lors du traitement d’images malformées. L’extrait ne fournit pas les CVE ni les versions concernées ou corrigées; il signale aussi la correction d’une régression de conversion SVG avec PNG intégré.
Action recommandée : Appliquer la mise à jour Debian DLA-4858-1.
Alpine Linux
Vérification incomplète
Le journal de développement Alpine Linux consulté signale, le 2026-10-26, une mise à niveau de sécurité du paquet Ruby vers 3.4.12. La source ne fournit pas d’identifiant CVE ni d’autres détails techniques pour cette entrée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée à Apache HTTP Server n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel vérifié dans la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. La page de sécurité officielle consultée indique une version 2.4.69 publiée le 2026-10-01; un avis Red Hat daté du 2026-10-27 est postérieur à la période et n’est donc pas retenu. Les candidats fournis concernent le serveur HTTP intégré à des routeurs Tenda, pas Apache HTTP Server. Aucun candidat ne concerne Apache HTTP Server. Les fiches décrivent des vulnérabilités dans le composant httpd d’un routeur Tenda F456, et non dans Apache HTTP Server; leurs mises à jour NVD ne sont donc pas retenues pour le sujet demandé. Aucun événement répondant aux critères n’est vérifié dans ce lot pour Apache HTTP Server. Les candidats concernant Apache sont des modifications de fiches NVD datées du 2026-10-26, mais les éléments fournis ne démontrent pas un changement substantiel; leurs dates de publication indiquées sont antérieures à la période. Les autres candidats concernent des produits Tenda ou D-Link, et non Apache HTTP Server. Aucun élément du lot ne permet d'établir une vulnérabilité nouvelle, un correctif ou un changement substantiel daté de la période. Les candidats concernés sont des fiches de vulnérabilités publiées antérieurement, et les données fournies ne décrivent pas de changement substantiel apporté pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Vérification incomplète
Un avis Ubuntu daté du 2026-10-26 concerne trois CVE nginx : CVE-2026-15176, CVE-2026-93479 et CVE-2026-95101. Les autres candidats fournis sont des produits distincts ou des modifications de fiches NVD dont la date ne suffit pas à établir un nouvel événement de sécurité dans la période. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Nginx n’est établi par les éléments fournis pour cette période. Les candidats NVD pertinents pour Nginx indiquent une mise à jour de fiche le 26 octobre, mais ne documentent pas de changement substantiel intervenu ce jour-là. Les deux candidats concernent des vulnérabilités publiées en juin 2026. Le lot indique une mise à jour de leurs fiches NVD le 26 octobre, mais ne fournit aucun élément établissant un changement substantiel pendant la période ; aucun item n’est donc retenu.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PHP
Vérification incomplète
Niveau relevé : Exploitation active
La recherche dédiée a relevé une mise à jour de statut, datée du 2026-10-26, dans le suivi NCSC-NL des paquets PHP rétroportés pour CentOS 7/EL7, concernant les deux vulnérabilités PHP2Shell déjà avisées le 2026-10-21. Les candidats fournis concernent des produits écrits en PHP ou des extensions WordPress, et non le langage ou le runtime PHP; ils sont donc hors sujet. Aucun candidat fourni ne concerne le sujet demandé, PHP (y compris php-fpm) : les produits et composants décrits sont d’autres logiciels. Aucun item PHP ne peut donc être établi à partir de ce lot. Aucun candidat fourni ne concerne PHP ou php-fpm en tant que produit : les deux publications NVD portent sur des applications distinctes, et les autres entrées sont des mises à jour de fiches de vulnérabilités antérieures. Aucun item correspondant au sujet n’est retenu pour la période. Aucun candidat ne correspond à une vulnérabilité du langage ou de l’environnement d’exécution PHP datée de la période demandée. Les candidats concernent des applications distinctes développées en PHP et des modifications de fiches NVD pour des vulnérabilités publiées antérieurement; CVE-2026-0643 porte une date de modification antérieure à la période. Aucun candidat ne concerne une vulnérabilité du langage PHP ou de ses composants php/php-fpm : les éléments fournis portent sur des applications distinctes. Aucun élément du lot n’est retenu pour le sujet demandé. Dans ce lot, les candidats concernent des applications ou bibliothèques tierces, et non PHP lui-même. Les dates indiquées correspondent à des mises à jour NVD de fiches initialement publiées hors de la période ; les éléments fournis n’établissent pas de changement substantiel pertinent pour le sujet demandé. Aucune vulnérabilité, aucun correctif ni avis concernant le produ…
CVE-2026-109618 — vulnérabilité PHP ajoutée au catalogue CISA KEV
CISA a ajouté CVE-2026-109618 à son catalogue KEV le 2026-10-26 et signale une corruption mémoire par épuisement de mémoire dans PHP, exploitable à distance sans authentification pour exécuter du code. Les versions affectées, le correctif et une mesure de mitigation précise ne sont pas indiqués dans la source fournie ; appliquer les instructions du fournisseur et les consignes CISA applicables.
Action recommandée : Appliquer les mesures indiquées par le fournisseur et les recommandations CISA applicables ; évaluer l’exposition des actifs.
CVE-2026-109619 — vulnérabilité PHP ajoutée au catalogue CISA KEV
CISA a ajouté CVE-2026-109619 à son catalogue KEV le 2026-10-26 et signale un état interne de requête périmé dans PHP, exploitable à distance sans authentification pour exécuter du code. La source fournie ne précise ni versions affectées ni correctif ; appliquer les instructions du fournisseur et les consignes CISA applicables.
Action recommandée : Appliquer les mesures indiquées par le fournisseur et les recommandations CISA applicables ; évaluer l’exposition des actifs.
Mautic : désérialisation non sécurisée pouvant conduire à l’exécution de code
Mautic présente une désérialisation non sécurisée de données de filtres de segments et de propriétés de champs personnalisés, pouvant permettre l’instanciation d’objets PHP arbitraires. L’exploitation nécessite des privilèges élevés ou la capacité d’écrire dans les données concernées, et peut mener à l’exécution de code ou à une atteinte aux données et à la disponibilité.
WordPress
Vérification incomplète
Niveau relevé : Moyenne
Neuf CVE WordPress ont été publiées dans la période demandée parmi les candidats fournis : une vulnérabilité Datafeedr Product Sets, des défauts de passerelles de paiement WooCommerce, une vulnérabilité GiveWP et un XSS stocké dans Advanced Post Block. Le candidat CVE-2026-0674 correspond à une fiche initialement publiée en janvier 2026; la seule mise à jour NVD datée du 26 octobre ne suffit pas à établir un changement de sécurité substantiel pendant la période. Aucune nouveauté WordPress répondant aux critères n’est établie par les candidats fournis pour la période. Les fiches NVD citées portent sur des vulnérabilités publiées avant cette période; leur seule date de mise à jour le 26 octobre ne démontre pas un changement substantiel daté de la période. Aucun événement de sécurité WordPress vérifiable dans ce lot comme nouveau, correctif, exploitation ou changement substantiel pendant la période demandée. Les candidats sont des fiches NVD publiées avant la période et indiquent seulement une date de mise à jour dans celle-ci, sans preuve fournie d’un changement substantiel. Les candidats sont des fiches NVD initialement publiées entre mai et juin 2026. Les dates de mise à jour indiquées pour la période ne sont accompagnées d’aucune preuve d’un changement substantiel; elles ne suffisent donc pas à établir un événement admissible au bulletin. Aucun événement de sécurité nouveau ou changement substantiel daté dans la période n’est établi par les informations fournies : celles-ci indiquent des modifications de fiches NVD, sans préciser de changement substantiel. Les candidats concernent des CVE publiées avant la période. Leur date de mise à jour NVD tombe dans la période, mais les éléments fournis ne précisent pas si le changement était substantiel ou seulement administrati…
CCAvenue Payment Gateway : falsification de confirmations de paiement
Le plugin CCAvenue Payment Gateway for WooCommerce ne vérifie pas suffisamment l’authenticité des confirmations de paiement. Un attaquant non authentifié pourrait ainsi faire marquer des commandes comme payées sans règlement réel.
Action recommandée : Mettre à jour vers une version corrigée dès que l’éditeur en fournit une; à défaut, désactiver le module et contrôler les commandes récemment marquées comme payées.
Eurobank WooCommerce Payment Gateway : confirmations de paiement falsifiables
Eurobank WooCommerce Payment Gateway n’authentifie pas correctement les confirmations de paiement et utilise par défaut un secret vide. Une personne non authentifiée pourrait marquer des commandes en attente comme payées, ou faire passer des commandes en échec.
Action recommandée : Désactiver le module ou le mettre à jour vers une version corrigée dès qu’elle est disponible; contrôler les statuts de commande.
OPay Payment Gateway : notifications de paiement falsifiables
OPay Payment Gateway for WooCommerce ne vérifie pas correctement l’origine des notifications de paiement, car le secret de validation est vide par défaut. Des notifications forgées peuvent modifier le statut de commandes, notamment les marquer payées, annulées ou échouées.
Action recommandée : Désactiver le module jusqu’à installation d’une version corrigée et examiner les changements récents de statut des commandes.
Mintpay for WooCommerce : callbacks non authentifiés
Mintpay for WooCommerce ne vérifie pas l’authenticité des callbacks de paiement. Des requêtes non authentifiées peuvent modifier les commandes et exposer des informations de commande, dont des coordonnées client.
Action recommandée : Désactiver le module ou installer une version corrigée dès qu’elle est publiée; vérifier les commandes et limiter l’accès aux données concernées.
iK Pay Gateway : authentification insuffisante des callbacks
Online Payments with iK Pay Gateway ne vérifie pas correctement l’authenticité des rappels de paiement sur une installation par défaut. Un attaquant non authentifié peut falsifier une confirmation et modifier l’état de commandes non traitées.
Action recommandée : Mettre à jour vers la version 3.0.4 ou ultérieure.
GiveWP : contournement des limites de montant des dons
GiveWP ne limite pas la devise d’un don à celle acceptée par le site ou le formulaire et compare les limites de montant sans tenir compte de la devise. Cela peut permettre à des utilisateurs non authentifiés de soumettre un don inférieur au minimum ou au montant fixe configuré.
Action recommandée : Mettre à jour vers GiveWP 4.19.0.1 ou une version ultérieure.
Advanced Post Block : vulnérabilité XSS stockée
Advanced Post Block – Post Grid for WordPress block editor présente une vulnérabilité de type XSS stockée. Les informations disponibles indiquent que les versions jusqu’à 2.5.1 sont concernées, sans préciser ici la version corrigée ni les conditions d’exploitation.
Action recommandée : Mettre à jour dès qu’une version corrigée est disponible; en attendant, désactiver le bloc si son usage n’est pas indispensable.
Datafeedr Product Sets Plugin : contrôle d’autorisation manquant
CVE-2026-116107 concerne Datafeedr Product Sets Plugin jusqu’à la version 1.3.24 : un défaut d’autorisation dans la suppression de recherches enregistrées peut être déclenché à distance. La fiche NVD indique que la mise à niveau vers la version 1.3.25 corrige le problème et que l’exploit est public.
Action recommandée : Mettre à niveau Datafeedr Product Sets Plugin vers la version 1.3.25 ou ultérieure.
Payment Gateway : authentification insuffisante des notifications de paiement
Le plugin Payment Gateway ne vérifie pas que le secret partagé est configuré avant de l’utiliser pour authentifier les notifications bancaires. Selon la description publiée, les notifications forgées peuvent marquer des commandes payées lorsque le secret est absent, et faire passer des commandes en attente à l’état échoué.
Action recommandée : Désactiver le module jusqu’à disponibilité d’un correctif et vérifier les changements de statut des commandes.
PrestaShop
Recherche du sujet effectuée
La recherche web ciblée sur PrestaShop n’a fait apparaître, dans les résultats consultés, aucun avis, correctif ou incident daté de la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les avis du dépôt PrestaShop et les publications du projet remontés par la recherche sont datés d’autres jours; l’alerte PrestaShop sur un skimmer consultée est datée du 2026-02-17 et ne constitue pas un événement nouveau dans la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
Aucune nouveauté de sécurité pour le projet Cockpit n’a pu être vérifiée comme publiée ou substantiellement mise à jour pendant la période demandée. Les candidats sont des fiches CVE antérieures dont la seule date pertinente fournie est une modification NVD, sans preuve consultée d’un changement substantiel dans la période; l’avis SAP concerne un produit distinct.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée à CloudPanel n’a pas permis de vérifier de nouvelle vulnérabilité, d’avis ou de correctif daté dans la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les résultats trouvés sur les vulnérabilités PHP2Shell et les échanges CloudPanel associés sont antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Vérification incomplète
Les notes de version officielles d’Uptime Kuma publiées le 2026-10-26 signalent un correctif de sécurité pour une RCE réservée aux administrateurs, référencée GHSA-v2p3-6f5h-6hhf. Les éléments consultés ne permettent pas de préciser les versions affectées ni le score de gravité.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MariaDB
Vérification incomplète
L’avis Amazon Linux ALAS2-2026-4028, publié le 24 octobre puis mis à jour le 26 octobre 2026, décrit notamment CVE-2026-107814 et fournit des versions correctives. Les autres candidats fournis sont des fiches CVE publiées avant la période; leur seule modification NVD datée du 26 octobre ne suffit pas à établir une nouvelle faille ou un changement substantiel dans cette période. Le candidat concerne CVE-2026-47847, publiée avant la période. Bien que la fiche NVD affiche une mise à jour pendant la période, les éléments fournis ne démontrent pas qu’un changement substantiel a alors été apporté.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité propre à phpMyAdmin daté de la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Le candidat fourni concerne une configuration Vvveb et une fiche CVE publiée en mai 2026, non une vulnérabilité nouvelle de phpMyAdmin dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Vérification incomplète
Aucune nouveauté de sécurité pgAdmin datée et vérifiable dans la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les avis consultés pour les CVE indiquées sont antérieurs à cette période; les horodatages de mise à jour NVD fournis ne suffisent pas, à eux seuls, à établir un changement substantiel de sécurité pendant la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin n’a pas mis en évidence d’avis, correctif ou autre événement de sécurité Virtualmin daté du 2026-10-26 dans les résultats consultés. Un avis PHP discuté dans la communauté Virtualmin était daté du 21 octobre 2026, donc antérieur à la période demandée; il n’est pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les avis Webmin trouvés dans les sources consultées sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun nouvel avis ou événement de sécurité concernant Vue.js daté de la période demandée. Le candidat fourni concerne une vulnérabilité de Quark Drive, publiée en mai 2026; sa mise à jour NVD du 26 octobre est administrative et ne constitue pas, d’après les éléments consultés, un changement substantiel. Cette faille n’est pas une vulnérabilité de Vue.js.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée a trouvé un avis de sécurité Vite publié le 2026-10-21, hors de la période demandée. Aucun élément vérifié ne répond aux critères de nouveauté ou de changement substantiel entre le 2026-10-26T00:00:00+02:00 et le 2026-10-27T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée a relevé plusieurs avis Nuxt publiés le 27 octobre 2026, après la borne de fin du bulletin, et donc exclus. Aucun élément vérifié ne répond aux critères de la période du 26 octobre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée n’a établi aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant Next.js daté du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les avis Next.js repérés dans les résultats de recherche sont datés du 14 octobre 2026, donc hors période ; les candidats NVD portent des dates de modification dans la période, mais les éléments disponibles ne démontrent pas que ces modifications constituent un événement de sécurité substantiel. Les cinq candidats sont des mises à jour de fiches NVD datées du 2026-10-26, mais les éléments fournis ne décrivent aucun changement substantiel apporté aux avis ou aux vulnérabilités. Ils ne sont donc pas retenus pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a consulté les avis de sécurité du projet React et ses informations officielles. Les avis React repérés dans ces sources datent du 14 octobre 2026, hors de la période demandée. Aucun nouvel avis ou changement substantiel daté du 26 octobre n’a été vérifié; le candidat CVE-2026-23870 ne fournit qu’une date de modification NVD, sans élément établissant un changement substantiel. Aucun événement répondant aux critères n’est établi pour React dans ce lot : les candidats sont des vulnérabilités publiées antérieurement, et leur seule date dans la période est une mise à jour NVD dont aucun changement substantiel n’est documenté dans les éléments fournis. Deux avis GitHub relatifs à des paquets npm associés à React ou React Native signalent un logiciel malveillant : react-dropzone-v4 et react-native-bright-sdk. Le premier avis a été publié pendant la période; le second a fait l’objet d’une mise à jour substantielle pendant celle-ci.
Logiciel malveillant dans react-dropzone-v4
L’avis signale le paquet npm `react-dropzone-v4` comme contenant un logiciel malveillant et indique que toute machine sur laquelle il a été installé ou exécuté doit être considérée comme compromise. Il recommande de supprimer le paquet et de renouveler immédiatement, depuis une autre machine, les secrets et clés qui y étaient stockés.
Action recommandée : Supprimer le paquet; renouveler depuis une machine distincte tous les secrets et clés stockés sur les systèmes où il a été installé ou exécuté.
Code malveillant dans react-native-bright-sdk
L’avis signale du code malveillant dans le paquet npm `react-native-bright-sdk`, version 9000.0.0. Son script de préinstallation transmet automatiquement le nom de l’hôte et l’heure d’installation à un point de terminaison ngrok; l’avis recommande de traiter le paquet comme malveillant et de vérifier les systèmes concernés.
Action recommandée : Éviter d’installer ou d’exécuter la version concernée; si elle l’a été, examiner les systèmes affectés et les informations potentiellement exposées.
Angular
Recherche du sujet effectuée
La recherche ciblée sur Angular n’a pas identifié de nouvel avis ou de correctif publié pendant la période demandée. Les deux candidats correspondent à des fiches NVD publiées en mai 2026 et mises à jour le 26 octobre; ces seules modifications de fiches ne constituent pas un nouvel événement de sécurité daté de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche n’a identifié aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel concernant Astro dans la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les avis Astro trouvés dans les résultats de recherche étaient datés du 2026-10-12, hors période. Les mises à jour NVD des candidats ne suffisent pas à établir un événement de sécurité substantiel dans la fenêtre demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité Mem0 affectant notamment son SDK TypeScript a été publiée pendant la période : une collision de portée de session peut exposer ou perturber l’historique de conversation entre tenants. Les autres candidats fournis concernaient des fiches publiées antérieurement ; leur mise à jour NVD n’apporte pas, d’après les éléments consultés, de preuve d’un changement substantiel pendant la période. Aucun événement admissible n’est vérifié dans ce lot pour la période demandée. Les candidats fournis indiquent des publications en juin 2026 et des mises à jour NVD le 25 octobre 2026 à 23:10 UTC, avant le début de la période au 26 octobre à 00:00 +02:00; aucune modification substantielle datée dans la période n’est établie. Aucune nouveauté TypeScript vérifiée dans la période demandée parmi les candidats. Les fiches fournies décrivent des vulnérabilités d’autres produits; leurs seules dates dans la période sont des mises à jour NVD, sans preuve d’un changement substantiel pertinent pour TypeScript.
Mem0 : collision de portée de session entre tenants
Mem0 construit une clé de portée de session à partir d’identifiants contrôlés par l’appelant sans échapper les séparateurs utilisés. Des périmètres de tenants distincts peuvent ainsi produire la même clé, ce qui expose ou perturbe l’historique de conversations; les correctifs sont indiqués pour les SDK Python 2.0.18 et TypeScript 3.1.6.
Action recommandée : Mettre à niveau les SDK concernés vers les versions corrigées.
JavaScript
Vérification incomplète
Niveau relevé : Élevée
La recherche web dédiée a repéré trois avis de sécurité Seroval publiés le 26 octobre 2026, concernant respectivement la désérialisation, un déni de service et l’échappement de RegExp sérialisées. Les dix candidats fournis correspondent à des vulnérabilités publiées durant la période, d’après leurs horodatages NVD fournis; les détails de versions et de correctifs non établis sont laissés vides ou signalés comme non déterminés. Deux nouvelles fiches NVD publiées le 26 octobre dans la période concernent Seroval : une injection de JavaScript lors de la sérialisation de tableaux typés (CVE-2026-116583) et un déni de service lors du décodage (CVE-2026-116584). Les autres candidats sont des fiches publiées antérieurement dont la date fournie correspond à une modification NVD ; le lot ne fournit pas de preuve d’un changement substantiel pendant la période. Les candidats décrivent des vulnérabilités JavaScript/XSS dont les dates de publication indiquées sont antérieures à la période. Ils ne fournissent aucun détail établissant qu’une modification substantielle a eu lieu pendant la période ; les seules dates de cette période sont des horodatages de mise à jour NVD, insuffisants pour retenir une nouveauté. Aucune nouveauté JavaScript n’est établie par les éléments fournis pour cette période. Les candidats sont des fiches NVD publiées antérieurement dont la date de mise à jour tombe dans la période, mais les éléments fournis ne documentent aucun changement substantiel permettant de les retenir comme nouvel avis ou événement de sécurité. Les candidats fournis sont des fiches NVD publiées avant la période. Leur seule date dans la période est une mise à jour NVD, sans preuve fournie d’un changement substantiel lié à JavaScript ; ils ne sont donc pas retenus. Les candidats concernent…
CreditNirvana Agentic AI Call Centre : clé API exposée dans le JavaScript client
L’application CreditNirvana Agentic AI Call Centre embarque une clé API statique dans son bundle JavaScript côté client. Un attaquant distant non authentifié peut récupérer cette clé et effectuer des appels API susceptibles de donner accès aux transcriptions et enregistrements d’appels.
Action recommandée : Consulter les informations de l’éditeur, remplacer la clé exposée et appliquer un correctif dès qu’il est disponible.
Seroval : validation insuffisante de valeurs lors de la désérialisation
Seroval présente une validation incomplète lors de la désérialisation de données non fiables : avec un plugin applicatif exposant une valeur appelable ou une méthode `on`, une entrée construite peut déclencher cette valeur et compromettre la confidentialité, l’intégrité ou la disponibilité selon le plugin. Les versions antérieures à 1.6.8 sont concernées ; mettre à niveau vers Seroval 1.6.8 ou ultérieur.
Action recommandée : Mettre à niveau Seroval vers la version 1.6.8 ou ultérieure et éviter de désérialiser des entrées non fiables sans contrôle.
Seroval : déni de service par index `done` non validé
Seroval ne valide pas correctement l’index `done` d’un nœud de séquence dans ses fonctions de désérialisation, ce qui permet de construire un itérateur qui ne termine pas. Si un service consomme jusqu’au bout une entrée non fiable ainsi désérialisée, une requête non authentifiée peut bloquer la boucle d’événements, épuiser la mémoire ou rendre le service indisponible ; mettre à niveau vers la version 1.6.8.
Action recommandée : Mettre à niveau Seroval vers la version 1.6.8 ou ultérieure et ne pas traiter d’entrées non fiables avec les fonctions de désérialisation vulnérables.
Seroval : déni de service par nœud de tableau mal validé
Les désérialiseurs de Seroval n’exigent pas qu’un nœud de tableau contienne une véritable liste de valeurs ; une entrée spécialement construite peut imposer des allocations mémoire et des itérations disproportionnées par rapport à sa taille. Les versions de 1.4.1 à 1.6.7 sont concernées ; mettre à niveau vers la version 1.6.8, qui corrige ce contournement résiduel d’un correctif antérieur.
Action recommandée : Mettre à niveau Seroval vers la version 1.6.8 ou ultérieure et éviter de désérialiser des données non fiables avec les versions concernées.
n8n : absence d’authentification sur le transport HTTP de MCP Browser
Une vulnérabilité dans le transport HTTP de @n8n/mcp-browser permettait à un client non authentifié d’ouvrir une session MCP et d’appeler des outils de contrôle du navigateur. Le risque pouvait inclure la navigation, l’exécution de JavaScript et l’accès aux cookies et au stockage du profil connecté, lorsque l’extension n8n AI Browser Bridge était installée et active.
Action recommandée : Mettre à niveau vers 2.25.7 ou 2.26.2 ou une version ultérieure. Si la mise à niveau n’est pas possible, éviter d’exposer le transport HTTP de MCP Browser à des clients non fiables.
OPNsense : vulnérabilités XSS
Des vulnérabilités XSS dans OPNsense 26.7.1_1 et les versions antérieures peuvent permettre à un utilisateur peu privilégié d’exécuter du JavaScript dans le contexte d’un autre utilisateur. La fiche NVD ne précise pas de version corrective ni de mesure de contournement.
Action recommandée : Consulter les avis de l’éditeur et appliquer une version corrective dès qu’elle est disponible.
Vidéothèque du Parlement régional de Castille-La Manche : XSS réfléchie
Une XSS réfléchie affecte l’application Web de la vidéothèque du Parlement régional de Castille-La Manche, qui rend du contenu fourni par l’utilisateur sans l’assainir correctement. Un attaquant distant peut ainsi faire exécuter du JavaScript dans le navigateur d’une victime qui interagit avec le contenu préparé.
Action recommandée : Consulter les informations de l’éditeur et appliquer un correctif dès qu’il est disponible.
IsMyGym : XSS réfléchie dans le point de terminaison de réservation
Une XSS réfléchie affecte le point de terminaison de réservation du logiciel de gestion de salles de sport IsMyGym, où le paramètre « ret » est renvoyé dans la réponse HTTP sans assainissement adéquat. Cela peut permettre l’exécution de JavaScript dans le navigateur d’une victime.
Action recommandée : Consulter les informations de l’éditeur et appliquer un correctif dès qu’il est disponible.
Webasyst Framework : XSS persistante dans l’application Photos
Dans Webasyst Framework jusqu’à la version 4.4.0, un utilisateur authentifié disposant de droits de modification d’album peut injecter du JavaScript dans l’application Photos par le paramètre d’URL de l’album. Le code peut ensuite s’exécuter dans les sessions d’administration.
Action recommandée : Consulter les informations de l’éditeur et appliquer une version corrective dès qu’elle est disponible.
Esri Portal for ArcGIS — XSS réfléchie (CVE-2026-33520)
Une XSS réfléchie dans Esri Portal for ArcGIS peut permettre à un attaquant distant non authentifié de faire exécuter du JavaScript lorsqu’une victime clique sur un lien spécialement conçu. Le candidat indique que les versions 12.1 et antérieures sont concernées, mais ne fournit pas les détails de version du correctif pour cette CVE isolément.
Action recommandée : Vérifier l’avis Esri pour la branche installée et appliquer le correctif correspondant ou mettre à niveau.
Esri Portal for ArcGIS — XSS réfléchie (CVE-2026-50096)
Une XSS réfléchie dans Esri Portal for ArcGIS peut permettre à un attaquant distant non authentifié d’exécuter du JavaScript dans le navigateur d’une victime qui clique sur un lien spécialement conçu. Les détails de versions corrigées propres à cette CVE ne sont pas établis par les éléments consultés.
Action recommandée : Vérifier l’avis Esri pour la branche installée et appliquer le correctif correspondant ou mettre à niveau.
Seroval : XSS possible lors de l’intégration de RegExp sérialisées dans HTML
Les API de sortie JavaScript de Seroval n’échappent pas correctement le caractère inférieur à dans certaines sources de RegExp sérialisées, ce qui peut permettre de sortir d’un élément HTML `script` et d’exécuter du script dans la page d’un autre utilisateur. Le scénario exige notamment une RegExp construite à partir d’une entrée non fiable puis intégrée dans un élément `script` ; les versions antérieures à 1.0.0 et de 1.5.5 à 1.6.9 sont concernées, et le correctif est disponible en 1.6.10.
Action recommandée : Mettre à niveau Seroval vers la version 1.6.10 ou ultérieure ; éviter d’intégrer dans un élément `script` des sorties sérialisées dérivées d’entrées non fiables.
Seroval : injection de JavaScript dans la sérialisation de tableaux typés
Dans Seroval, les API qui produisent du JavaScript peuvent incorporer comme code exécutable le nom de constructeur contrôlé d’un tableau typé, si l’application copie des propriétés non fiables sur ce tableau avant sérialisation. Une exploitation peut entraîner l’exécution de JavaScript dans la page qui reçoit le résultat ; mettre à niveau vers la version 1.6.11 ou ultérieure et éviter de sérialiser de cette façon des tableaux typés ainsi modifiés.
Action recommandée : Mettre à niveau Seroval vers 1.6.11 ou ultérieure. Ne pas transmettre aux API concernées des tableaux typés portant des propriétés copiées depuis une source non fiable.
HTML5
Recherche du sujet effectuée
Les recherches effectuées n’ont pas établi de vulnérabilité, d’avis de sécurité ou de correctif concernant HTML5 comme sujet dans la période demandée. Les deux candidats portent sur des bibliothèques distinctes ; leurs fiches NVD mentionnent des modifications, mais les éléments consultés ne permettent pas d’établir qu’il s’agissait de changements substantiels pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche dédiée à CSS3 pour la période demandée n’a identifié aucun avis ou événement de sécurité pertinent daté de cette période. Les résultats obtenus ne fournissaient pas de preuve d’une nouveauté concernant CSS3.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de nouvel avis ou correctif de sécurité attribuable au projet Tailwind CSS dans la période du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu. Des alertes datées du 2026-10-26 concernent des paquets npm tiers se présentant comme des outils Tailwind CSS, et non le projet Tailwind CSS lui-même ; elles ne sont donc pas retenues pour ce sujet unique.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche ciblée sur Bootstrap (framework twbs) n’a identifié aucun avis, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-10-26 dans la période demandée. L’avis Drupal « Bootstrap » repéré concerne un thème Drupal et est daté du 2026-10-21, hors période; les autres résultats examinés portent sur des produits distincts ou emploient « bootstrap » dans un autre sens.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Vérification incomplète
La recherche a relevé un avis associé à webpack-dev-server et à CVE-2026-114348, rapporté dans la période. Les détails techniques et les versions concernées n’ont pas été vérifiés.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
esbuild
Recherche du sujet effectuée
La recherche n’a pas identifié de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant esbuild pendant la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Le candidat fourni concerne CVE-2026-44594, une vulnérabilité d’esm.sh déjà publiée antérieurement ; sa mise à jour NVD du 26 octobre ne suffit pas à établir un événement de sécurité nouveau ou substantiel dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
Recherche dédiée effectuée pour Parcel (le projet Parcel). Aucun nouvel avis, correctif ou changement substantiel concernant ce projet n’a été vérifié pour la période du 2026-10-26T00:00:00+02:00 au 2026-10-27T00:00:00+02:00. Les candidats fournis ne documentent pas un événement admissible dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux vulnérabilités liées à l’écosystème Node.js ont été publiées pendant la période : un problème de certificats dans le runtime Node.js embarqué par mongosh et une injection PowerShell dans la bibliothèque systeminformation. Les autres candidats fournis correspondent à des mises à jour NVD de vulnérabilités publiées antérieurement, sans élément fourni établissant un changement substantiel pendant la période, ou concernent des projets distincts de Node.js. Aucun élément du lot n’est retenu pour ce bulletin Node.js : les candidats décrivent des avis publiés en avril 2026 ou une mise à jour NVD antérieure à la période, et aucun ne fournit de preuve d’un événement substantiel daté du 26 octobre 2026 concernant Node.js. Aucun candidat fourni ne documente une vulnérabilité nouvelle, un correctif ou un avis de sécurité daté de la période demandée. Les dates de publication indiquées sont antérieures à la période; les mises à jour NVD datées du 26 octobre ne suffisent pas, à elles seules, à établir un changement de sécurité substantiel. Aucun élément du lot ne documente une vulnérabilité nouvelle, un correctif ou un avis de sécurité, une exploitation, ni un changement substantiel daté de la période demandée. Les fiches indiquent des publications antérieures à la période et, pour la plupart, une mise à jour NVD le 26 octobre sans préciser de changement substantiel; l’entrée Paperclip indique une mise à jour le 25 octobre. Aucun événement de sécurité Node.js admissible pour la période n’est établi par ce lot : les fiches NVD concernées indiquent des publications antérieures et le lot ne documente pas de changement substantiel daté du 26 octobre 2026. CVE-2026-24120 porte une date de mise à jour antérieure à la période. Aucun élément n’est retenu : les candidats sont des fiches…
Certificats intermédiaires eMudhra récupérables dans le runtime Node.js livré avec mongosh
Le magasin de certificats racines TLS du runtime Node.js inclus dans MongoDB Shell contient des certificats intermédiaires eMudhra récupérables. Le problème concerne mongosh avant 2.14.0 ; mettre à niveau mongosh, ou mettre à jour séparément le runtime Node.js utilisé si mongosh est installé via npm.
Action recommandée : Mettre mongosh à niveau vers la version 2.14.0 ou ultérieure. Pour une installation npm, mettre à jour le runtime Node.js installé sur l’hôte séparément.
Injection de commandes PowerShell dans systeminformation sous Windows
Dans systeminformation avant 5.33.16, la fonction services() permet, sous Windows, d’injecter une expression PowerShell à partir d’un nom de service contrôlé par l’appelant. L’expression s’exécute avec les permissions du processus Node.js ; mettre à jour vers la version 5.33.16 ou ultérieure, et vérifier si une application transmet à cette fonction des données non fiables.
Action recommandée : Mettre systeminformation à niveau vers la version 5.33.16 ou ultérieure. Examiner les appels à services() et getDynamicData() qui pourraient recevoir des entrées contrôlées par un utilisateur.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche web dédiée a été réalisée pour Python. Les candidats fournis correspondent à des publications NVD datées du 2026-10-26 dans la période demandée; les mises à jour NVD datées du 2026-10-27 ou du 2026-10-28 n’ont pas été retenues comme événements de cette période. Les candidats fournis signalent des mises à jour de fiches NVD dans la période, mais aucun n’établit qu’un changement substantiel lié à une vulnérabilité a eu lieu à ces dates. Les dates de publication des vulnérabilités indiquées sont antérieures à la période. Les candidats fournis signalent des mises à jour de fiches NVD le 2026-10-26, mais ne documentent aucun changement substantiel de sécurité daté de la période. Ils décrivent des vulnérabilités publiées antérieurement; aucune n’est retenue sur la seule base d’une modification administrative NVD. Les candidats fournis concernent des CVE publiées avant la période. Leurs fiches NVD affichent une mise à jour le 26 octobre, mais les éléments fournis ne montrent pas de changement substantiel daté de cette journée ; une mise à jour administrative seule ne constitue pas un événement à retenir. Aucun événement nouveau ou changement substantiel daté de la période n’est établi par les candidats fournis. Les fiches signalent une mise à jour NVD le 2026-10-26, mais n’indiquent pas la nature d’un changement de sécurité intervenu ce jour-là; leurs dates de publication sont antérieures à la période. Aucune nouveauté Python admissible n’est établie par les éléments fournis pour la période. Les candidats sont des fiches NVD publiées antérieurement ; leur seule information datée du 26 octobre est une mise à jour de fiche, sans changement substantiel précisé dans le lot. Aucune vulnérabilité nouvelle, aucun correctif/avis de sécurité, aucune exploitation ni change…
Certifi : clés intermédiaires emSign compromises et risque d’interception TLS
Certifi publie un avis concernant des clés compromises de certificats intermédiaires emSign pouvant permettre l’émission de certificats TLS frauduleux. L’avis recommande de mettre à niveau certifi vers 2026.10.19 ou une version ultérieure et de reconstruire les images qui embarquent le paquet.
Action recommandée : Mettre à niveau certifi vers 2026.10.19 ou ultérieure et reconstruire les images conteneur qui embarquent le paquet.
Code malveillant dans le paquet PyPI claudeopusenifile
Le paquet PyPI `claudeopusenifile` version 0.1.3 contient un code malveillant qui, à l’installation, récupère et exécute un voleur d’informations dissimulé dans une image. Celui-ci collecte des données sensibles et les exfiltre vers un serveur de commande et contrôle dont l’adresse est obtenue via l’historique de transactions Polygon.
Action recommandée : Ne pas installer cette version. Si elle a été installée, supprimer le paquet et traiter le système comme potentiellement compromis, notamment en renouvelant les secrets accessibles depuis celui-ci.
Code malveillant dans le paquet PyPI claudeopusfile
Les versions 0.1.1 et 0.1.2 du paquet PyPI `claudeopusfile` contiennent un code malveillant qui récupère, à l’installation, un voleur d’informations dissimulé dans une image. Le logiciel malveillant collecte des données sensibles et les exfiltre vers un serveur de commande et contrôle obtenu via l’historique de transactions Polygon.
Action recommandée : Ne pas installer ces versions. Si l’une d’elles a été installée, supprimer le paquet et traiter le système comme potentiellement compromis, notamment en renouvelant les secrets accessibles depuis celui-ci.
Code malveillant dans le paquet PyPI claudeopuseni
Les versions 0.1.0 et 0.1.1 du paquet PyPI `claudeopuseni` contiennent un code malveillant qui récupère, à l’installation, un voleur d’informations dissimulé dans une image. Ce logiciel malveillant collecte des données sensibles et les exfiltre vers un serveur de commande et contrôle dont l’adresse est obtenue via l’historique de transactions Polygon.
Action recommandée : Ne pas installer ces versions. Si l’une d’elles a été installée, supprimer le paquet et traiter le système comme potentiellement compromis, notamment en renouvelant les secrets accessibles depuis celui-ci.
vLLM : désérialisation pickle non sûre via le cache multimodal partagé
Dans certains déploiements vLLM à plusieurs nœuds avec cache multimodal en mémoire partagée, un appelant authentifié peut fournir des métadonnées falsifiées entraînant une désérialisation pickle non sûre. Cela peut permettre l’exécution de code Python; la version 0.32.0 corrige le problème.
Action recommandée : Mettre à niveau vers la version 0.32.0 ou ultérieure.
Mem0 : collision de portée de session entre tenants
Mem0 construit une clé de portée de session à partir d’identifiants contrôlés par l’appelant sans échapper les séparateurs utilisés. Des périmètres de tenants distincts peuvent ainsi produire la même clé, ce qui expose ou perturbe l’historique de conversations; les correctifs sont indiqués pour les SDK Python 2.0.18 et TypeScript 3.1.6.
Action recommandée : Mettre à niveau les SDK concernés vers les versions corrigées.
Python Social Auth : contournement de la liaison du nonce OpenID Connect
Avant la version 6.2.0, Python Social Auth ne lie pas correctement le nonce OpenID Connect à la session du navigateur et à l’état OAuth ayant initié la connexion. Si un attaquant obtient un code d’autorisation inutilisé de la victime, il peut, dans la configuration décrite, détourner la connexion et être authentifié à sa place.
Action recommandée : Mettre à niveau vers Python Social Auth 6.2.0 ou une version ultérieure.
Tornado : déni de service par traitement des fragments HTTP chunked
Tornado peut traiter les fragments d’un corps HTTP chunked sans céder la main à la boucle d’événements, ce qui permet à un pair distant non authentifié de bloquer les autres connexions. La version 6.6.0 corrige ce déni de service; le client HTTP asynchrone est également concerné lors de la lecture d’une réponse malveillante.
Action recommandée : Mettre à niveau vers Tornado 6.6.0 ou ultérieur.
Tornado : déni de service par pliage obsolète des en-têtes HTTP
Avant Tornado 6.6, l’analyseur HTTP accepte le pliage obsolète des en-têtes et concatène de façon répétée de courtes lignes de continuation, ce qui peut entraîner une consommation quadratique du processeur. Un client non authentifié peut ainsi bloquer la boucle d’événements et dégrader la disponibilité des autres connexions du processus.
Action recommandée : Mettre à niveau Tornado vers la version 6.6 ou ultérieure.
Autobahn Python : déni de service par décompression Brotli sans limite
Autobahn Python ne limitait pas la sortie du décompresseur Brotli avant de vérifier la taille maximale du message. Un client WebSocket non authentifié pouvait provoquer une forte consommation mémoire et un déni de service lorsque l’extension permessage-brotli était activée; la version 26.10.1 corrige le problème.
Action recommandée : Mettre à niveau vers Autobahn Python 26.10.1 ou ultérieur; désactiver permessage-brotli si la mise à niveau n’est pas possible.
Sony Neural Network Libraries : injection de code dans le traitement des paramètres texte
Sony Neural Network Libraries contient une injection de code dans le traitement des paramètres texte par `load_param_in_txt`. La faille concerne des versions jusqu’à 1.39.0 d’un produit qui n’est plus maintenu; aucun correctif n’est indiqué dans les informations fournies.
Action recommandée : Évaluer l’exposition des installations concernées et éviter de traiter des entrées non fiables; aucun correctif fourni n’est mentionné.
Sony Neural Network Libraries : injection de code dans le convertisseur NNP
Sony Neural Network Libraries présente une injection de code dans la fonction `func_set_nnabla_version_decorate` du convertisseur NNP. Les versions concernées vont jusqu’à 1.39.0 et le produit est indiqué comme n’étant plus maintenu; aucun correctif n’est mentionné dans les éléments fournis.
Action recommandée : Évaluer l’exposition des installations concernées et éviter de traiter des entrées non fiables; aucun correctif fourni n’est mentionné.
Tornado : redirection ouverte via les substitutions de RedirectHandler
Avant Tornado 6.6, certains modèles d’URL de `RedirectHandler` permettent à des substitutions de captures d’expression régulière de modifier le schéma ou l’hôte de la redirection à partir d’un chemin fourni par l’utilisateur. Un attaquant peut exploiter ces redirections ouvertes pour envoyer les utilisateurs vers une destination contrôlée et faciliter l’hameçonnage.
Action recommandée : Mettre à niveau Tornado vers la version 6.6 ou ultérieure; vérifier les modèles de redirection configurés si la mise à niveau est différée.
LeRobot : instanciation dynamique non sûre de classes
Le chargement de certaines configurations de processeur dans LeRobot peut instancier dynamiquement des classes Python définies par la configuration. Cette résolution dynamique est signalée comme permettant une exécution de code; les versions concernées et la version corrigée ne sont pas établies dans les éléments disponibles.
Java
Recherche du sujet effectuée
Niveau relevé : Exploitation active
Trois nouvelles fiches NVD publiées le 26 octobre 2026 concernent des vulnérabilités dans des projets Java : Halo, iFlytek astron-agent et a2a-java. Les entrées NVD simplement modifiées ce jour-là pour des vulnérabilités antérieures ne sont pas retenues comme nouvelles failles ou changements substantiels établis ; la révision Oracle du 26 octobre consultée concerne notamment des modifications de crédits et ne constitue pas, sur les éléments vérifiés, un nouvel avis Java. Aucun élément du lot ne fournit de preuve d’une nouvelle vulnérabilité, d’un avis/correctif de sécurité, d’une exploitation ou d’un changement substantiel daté dans la période. Les candidats indiquent une mise à jour NVD le 2026-10-26, mais leurs descriptions ne précisent pas la nature de cette modification; conformément aux critères, une simple mise à jour administrative ne suffit pas à retenir un événement. Aucune nouveauté Java vérifiable pour la période : les candidats fournis signalent des mises à jour de fiches NVD, sans préciser de changement substantiel daté dans la période. Aucun événement de sécurité nouveau ou changement substantiel daté de la période n’est établi par les candidats fournis. Les dates indiquées correspondent à des mises à jour de fiches NVD pour des vulnérabilités publiées antérieurement, sans détail permettant de confirmer une modification substantielle. Aucune vulnérabilité nouvelle, aucun correctif/avis de sécurité ni changement substantiel daté de la période demandée n’est établi par ces candidats. Les notices concernées ont été publiées entre mai 2026 et la période demandée; leur seule mise à jour NVD du 26 octobre ne suffit pas à établir un changement substantiel. Aucun candidat ne documente suffisamment un changement substantiel intervenu pendant la période. Les élémen…
AhsayCBS : correctif initial insuffisant pour CVE-2026-105133
La fiche CVE a été mise à jour pour préciser que le correctif initial d’AhsayCBS ne réglait pas correctement la vulnérabilité d’authentification dans `checkSysPwd`. La version corrigée indiquée est 9.15.2.70 ou 10.3.4.45 ; il est recommandé de mettre à niveau les installations concernées.
Action recommandée : Mettre à niveau AhsayCBS vers la version 9.15.2.70 ou 10.3.4.45.
Halo : traversée de chemin dans le résolveur de vues
La fiche NVD publiée le 26 octobre décrit un traversée de chemin dans le résolveur de noms de vues de Halo, exploitable à distance selon la description. Les versions concernées vont jusqu’à 2.27.0-beta.1 inclus ; aucun correctif n’est précisé dans les éléments vérifiés.
Action recommandée : Vérifier les versions déployées et appliquer un correctif éditeur dès qu’il est disponible.
a2a-java : exposition d’informations dans les erreurs JSON-RPC
La fiche NVD publiée le 26 octobre décrit une exposition d’informations via les messages d’erreur du gestionnaire JSON-RPC d’a2a-java. Les versions jusqu’à 1.2.0.Final sont concernées et la mise à niveau vers 1.3.0.Final corrige le problème.
Action recommandée : Mettre à niveau vers a2a-java 1.3.0.Final ou une version ultérieure corrigée.
astron-agent : contournement d’autorisation dans la liste des connaissances
La fiche NVD publiée le 26 octobre signale un contournement d’autorisation dans l’endpoint de liste des connaissances d’astron-agent. La description indique que la manipulation de space-id peut permettre un accès distant non autorisé ; aucun correctif n’est indiqué dans les éléments vérifiés.
Action recommandée : Vérifier les versions déployées et appliquer un correctif éditeur dès qu’il est disponible.
Debian publie une mise à jour de sécurité pour OpenJDK 17
Debian a publié le 26 octobre 2026 un avis de mise à jour de sécurité pour OpenJDK 17, après la découverte de plusieurs vulnérabilités pouvant entraîner un déni de service, une divulgation d’informations, un accès non autorisé ou un contournement des restrictions du bac à sable. L’avis fourni ne précise ni les CVE concernées ni les versions correctives ; appliquez la mise à jour de sécurité Debian correspondante.
Action recommandée : Appliquer la mise à jour de sécurité Debian correspondant à DLA-4861-1.
TYPO3
Recherche du sujet effectuée
La recherche ciblée n’a pas établi de nouvel avis, correctif, exploitation ni changement substantiel TYPO3 daté de la période du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu. Les quatre candidats fournis sont des modifications de fiches NVD; les éléments consultés ne permettent pas de confirmer qu’elles correspondent à un changement substantiel de sécurité dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité Drupal. Les avis Drupal visibles dans les sources consultées sont datés du 21 ou du 28 octobre 2026, et aucun élément daté dans la période demandée — du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu — n’a été identifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Vérification incomplète
La recherche a repéré des avis Joomla antérieurs à la période pour certaines CVE candidates. Les candidats signalent toutefois des mises à jour NVD datées dans la période, et les éléments consultés ne permettent pas d’établir si ces modifications étaient substantielles ou seulement administratives; aucun item n’est donc retenu sans vérification suffisante. Aucun nouvel avis ni changement substantiel daté de la période n’est établi par les candidats. Les cinq entrées signalent des mises à jour NVD, mais ne fournissent aucune preuve d’un changement substantiel au-delà de la modification des fiches.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Recherche du sujet effectuée
Les candidats fournis décrivent des vulnérabilités publiées avant la période demandée. La seule fiche NVD de ces candidats effectivement vérifiable dans les résultats consultés, CVE-2026-25524, indique une publication le 20 avril 2026 et une dernière modification le 17 juin 2026 ; aucune preuve consultée n’établit un nouvel avis, correctif, événement d’exploitation ou changement substantiel entre le 26 et le 27 octobre 2026. Les autres mises à jour NVD signalées par les candidats ne suffisent pas, à elles seules, à établir un événement de sécurité admissible pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
Recherche dédiée effectuée pour Adobe Commerce. Aucun avis, correctif ou changement substantiel daté du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu n’a été vérifié pour les candidats. Le bulletin Adobe APSB26-153 consulté est daté du 2026-10-13, hors période ; les seules dates indiquées dans les candidats pour le 26 octobre sont des mises à jour de fiches NVD, insuffisantes à elles seules pour établir un événement de sécurité nouveau ou substantiel. Les candidats fournis sont des modifications de fiches NVD de vulnérabilités publiées avant la période. Les éléments transmis ne documentent aucun changement substantiel daté du 26 octobre 2026; une modification administrative NVD seule ne constitue pas un nouvel événement à retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche web dédiée sur Fooocus n’a identifié aucun avis, correctif, signal d’exploitation ou changement substantiel vérifiable daté de la période demandée (du 2026-10-26T00:00:00+02:00 inclus au 2026-10-27T00:00:00+02:00 exclu). Les résultats Fooocus repérés concernent des informations antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
15 alerte(s)Logiciel malveillant dans react-dropzone-v4
L’avis signale le paquet npm `react-dropzone-v4` comme contenant un logiciel malveillant et indique que toute machine sur laquelle il a été installé ou exécuté doit être considérée comme compromise. Il recommande de supprimer le paquet et…
Code malveillant dans react-native-bright-sdk
L’avis signale du code malveillant dans le paquet npm `react-native-bright-sdk`, version 9000.0.0. Son script de préinstallation transmet automatiquement le nom de l’hôte et l’heure d’installation à un point de terminaison ngrok; l’avis re…
Source : GHSA-fjcx-639f-h39g — Malicious code in react-native-bright-sdk (npm)
CreditNirvana Agentic AI Call Centre : clé API exposée dans le JavaScript client
L’application CreditNirvana Agentic AI Call Centre embarque une clé API statique dans son bundle JavaScript côté client. Un attaquant distant non authentifié peut récupérer cette clé et effectuer des appels API susceptibles de donner accès…
Source : NVD — CVE-2026-110474
Seroval : validation insuffisante de valeurs lors de la désérialisation
Seroval présente une validation incomplète lors de la désérialisation de données non fiables : avec un plugin applicatif exposant une valeur appelable ou une méthode `on`, une entrée construite peut déclencher cette valeur et compromettre…
Source : NVD — CVE-2026-116580
Seroval : déni de service par index `done` non validé
Seroval ne valide pas correctement l’index `done` d’un nœud de séquence dans ses fonctions de désérialisation, ce qui permet de construire un itérateur qui ne termine pas. Si un service consomme jusqu’au bout une entrée non fiable ainsi dé…
Source : NVD — CVE-2026-116581
Seroval : déni de service par nœud de tableau mal validé
Les désérialiseurs de Seroval n’exigent pas qu’un nœud de tableau contienne une véritable liste de valeurs ; une entrée spécialement construite peut imposer des allocations mémoire et des itérations disproportionnées par rapport à sa taill…
Source : NVD — CVE-2026-116584
n8n : absence d’authentification sur le transport HTTP de MCP Browser
Une vulnérabilité dans le transport HTTP de @n8n/mcp-browser permettait à un client non authentifié d’ouvrir une session MCP et d’appeler des outils de contrôle du navigateur. Le risque pouvait inclure la navigation, l’exécution de JavaScr…
Source : NVD — CVE-2026-54309
OPNsense : vulnérabilités XSS
Des vulnérabilités XSS dans OPNsense 26.7.1_1 et les versions antérieures peuvent permettre à un utilisateur peu privilégié d’exécuter du JavaScript dans le contexte d’un autre utilisateur. La fiche NVD ne précise pas de version corrective…
Source : NVD — CVE-2026-115425
Vidéothèque du Parlement régional de Castille-La Manche : XSS réfléchie
Une XSS réfléchie affecte l’application Web de la vidéothèque du Parlement régional de Castille-La Manche, qui rend du contenu fourni par l’utilisateur sans l’assainir correctement. Un attaquant distant peut ainsi faire exécuter du JavaScr…
Source : NVD — CVE-2026-103377
IsMyGym : XSS réfléchie dans le point de terminaison de réservation
Une XSS réfléchie affecte le point de terminaison de réservation du logiciel de gestion de salles de sport IsMyGym, où le paramètre « ret » est renvoyé dans la réponse HTTP sans assainissement adéquat. Cela peut permettre l’exécution de Ja…
Source : NVD — CVE-2026-4316
Webasyst Framework : XSS persistante dans l’application Photos
Dans Webasyst Framework jusqu’à la version 4.4.0, un utilisateur authentifié disposant de droits de modification d’album peut injecter du JavaScript dans l’application Photos par le paramètre d’URL de l’album. Le code peut ensuite s’exécut…
Source : NVD — CVE-2026-116212
Esri Portal for ArcGIS — XSS réfléchie (CVE-2026-33520)
Une XSS réfléchie dans Esri Portal for ArcGIS peut permettre à un attaquant distant non authentifié de faire exécuter du JavaScript lorsqu’une victime clique sur un lien spécialement conçu. Le candidat indique que les versions 12.1 et anté…
Source : NVD — CVE-2026-33520
Esri Portal for ArcGIS — XSS réfléchie (CVE-2026-50096)
Une XSS réfléchie dans Esri Portal for ArcGIS peut permettre à un attaquant distant non authentifié d’exécuter du JavaScript dans le navigateur d’une victime qui clique sur un lien spécialement conçu. Les détails de versions corrigées prop…
Source : NVD — CVE-2026-50096
Seroval : XSS possible lors de l’intégration de RegExp sérialisées dans HTML
Les API de sortie JavaScript de Seroval n’échappent pas correctement le caractère inférieur à dans certaines sources de RegExp sérialisées, ce qui peut permettre de sortir d’un élément HTML `script` et d’exécuter du script dans la page d’u…
Source : NVD — CVE-2026-116582
Seroval : injection de JavaScript dans la sérialisation de tableaux typés
Dans Seroval, les API qui produisent du JavaScript peuvent incorporer comme code exécutable le nom de constructeur contrôlé d’un tableau typé, si l’application copie des propriétés non fiables sur ce tableau avant sérialisation. Une exploi…
Source : NVD — CVE-2026-116583
Backend & données
25 alerte(s)AhsayCBS : correctif initial insuffisant pour CVE-2026-105133
La fiche CVE a été mise à jour pour préciser que le correctif initial d’AhsayCBS ne réglait pas correctement la vulnérabilité d’authentification dans `checkSysPwd`. La version corrigée indiquée est 9.15.2.70 ou 10.3.4.45 ; il est recommand…
Source : NVD — CVE-2026-105133
CVE-2026-109618 — vulnérabilité PHP ajoutée au catalogue CISA KEV
CISA a ajouté CVE-2026-109618 à son catalogue KEV le 2026-10-26 et signale une corruption mémoire par épuisement de mémoire dans PHP, exploitable à distance sans authentification pour exécuter du code. Les versions affectées, le correctif…
Source : CISA KEV
CVE-2026-109619 — vulnérabilité PHP ajoutée au catalogue CISA KEV
CISA a ajouté CVE-2026-109619 à son catalogue KEV le 2026-10-26 et signale un état interne de requête périmé dans PHP, exploitable à distance sans authentification pour exécuter du code. La source fournie ne précise ni versions affectées n…
Source : CISA KEV
Certifi : clés intermédiaires emSign compromises et risque d’interception TLS
Certifi publie un avis concernant des clés compromises de certificats intermédiaires emSign pouvant permettre l’émission de certificats TLS frauduleux. L’avis recommande de mettre à niveau certifi vers 2026.10.19 ou une version ultérieure…
Source : GHSA-6q48-6c7w-9gw2 — certifi bundles emSign root CAs with compromised intermediate CA keys
Code malveillant dans le paquet PyPI claudeopusenifile
Le paquet PyPI `claudeopusenifile` version 0.1.3 contient un code malveillant qui, à l’installation, récupère et exécute un voleur d’informations dissimulé dans une image. Celui-ci collecte des données sensibles et les exfiltre vers un ser…
Source : GHSA-8whx-wfhh-6vh5 — Malicious code in claudeopusenifile (PyPI)
Code malveillant dans le paquet PyPI claudeopusfile
Les versions 0.1.1 et 0.1.2 du paquet PyPI `claudeopusfile` contiennent un code malveillant qui récupère, à l’installation, un voleur d’informations dissimulé dans une image. Le logiciel malveillant collecte des données sensibles et les ex…
Source : GHSA-jgm6-7jxr-97gx — Malicious code in claudeopusfile (PyPI)
Code malveillant dans le paquet PyPI claudeopuseni
Les versions 0.1.0 et 0.1.1 du paquet PyPI `claudeopuseni` contiennent un code malveillant qui récupère, à l’installation, un voleur d’informations dissimulé dans une image. Ce logiciel malveillant collecte des données sensibles et les exf…
Source : GHSA-6m96-8rw5-4rhw — Malicious code in claudeopuseni (PyPI)
Mautic : désérialisation non sécurisée pouvant conduire à l’exécution de code
Mautic présente une désérialisation non sécurisée de données de filtres de segments et de propriétés de champs personnalisés, pouvant permettre l’instanciation d’objets PHP arbitraires. L’exploitation nécessite des privilèges élevés ou la…
Source : NVD — CVE-2026-115190
Certificats intermédiaires eMudhra récupérables dans le runtime Node.js livré avec mongosh
Le magasin de certificats racines TLS du runtime Node.js inclus dans MongoDB Shell contient des certificats intermédiaires eMudhra récupérables. Le problème concerne mongosh avant 2.14.0 ; mettre à niveau mongosh, ou mettre à jour séparéme…
Source : CVE-2026-115930 — NVD
MongoDB Compass : vulnérabilité liée aux certificats TLS (CVE-2026-115929)
Une vulnérabilité liée au magasin de certificats racines TLS fourni par Electron expose MongoDB Compass à un problème de confiance dans la chaîne de certificats. Mettez à jour Compass vers la version 1.53.1, qui inclut Electron 44.9.1.
Source : NVD — CVE-2026-115929
Injection de commandes PowerShell dans systeminformation sous Windows
Dans systeminformation avant 5.33.16, la fonction services() permet, sous Windows, d’injecter une expression PowerShell à partir d’un nom de service contrôlé par l’appelant. L’expression s’exécute avec les permissions du processus Node.js…
Source : CVE-2026-116576 — NVD
vLLM : désérialisation pickle non sûre via le cache multimodal partagé
Dans certains déploiements vLLM à plusieurs nœuds avec cache multimodal en mémoire partagée, un appelant authentifié peut fournir des métadonnées falsifiées entraînant une désérialisation pickle non sûre. Cela peut permettre l’exécution de…
Source : NVD — CVE-2026-115912
Mem0 : collision de portée de session entre tenants
Mem0 construit une clé de portée de session à partir d’identifiants contrôlés par l’appelant sans échapper les séparateurs utilisés. Des périmètres de tenants distincts peuvent ainsi produire la même clé, ce qui expose ou perturbe l’histor…
Source : NVD — CVE-2026-116575
Python Social Auth : contournement de la liaison du nonce OpenID Connect
Avant la version 6.2.0, Python Social Auth ne lie pas correctement le nonce OpenID Connect à la session du navigateur et à l’état OAuth ayant initié la connexion. Si un attaquant obtient un code d’autorisation inutilisé de la victime, il p…
Source : NVD — CVE-2026-115910
Tornado : déni de service par traitement des fragments HTTP chunked
Tornado peut traiter les fragments d’un corps HTTP chunked sans céder la main à la boucle d’événements, ce qui permet à un pair distant non authentifié de bloquer les autres connexions. La version 6.6.0 corrige ce déni de service; le clien…
Source : NVD — CVE-2026-115927
Tornado : déni de service par pliage obsolète des en-têtes HTTP
Avant Tornado 6.6, l’analyseur HTTP accepte le pliage obsolète des en-têtes et concatène de façon répétée de courtes lignes de continuation, ce qui peut entraîner une consommation quadratique du processeur. Un client non authentifié peut a…
Source : NVD — CVE-2026-116577
Autobahn Python : déni de service par décompression Brotli sans limite
Autobahn Python ne limitait pas la sortie du décompresseur Brotli avant de vérifier la taille maximale du message. Un client WebSocket non authentifié pouvait provoquer une forte consommation mémoire et un déni de service lorsque l’extensi…
Source : NVD — CVE-2026-116579
Halo : traversée de chemin dans le résolveur de vues
La fiche NVD publiée le 26 octobre décrit un traversée de chemin dans le résolveur de noms de vues de Halo, exploitable à distance selon la description. Les versions concernées vont jusqu’à 2.27.0-beta.1 inclus ; aucun correctif n’est préc…
Source : NVD — CVE-2026-116117
a2a-java : exposition d’informations dans les erreurs JSON-RPC
La fiche NVD publiée le 26 octobre décrit une exposition d’informations via les messages d’erreur du gestionnaire JSON-RPC d’a2a-java. Les versions jusqu’à 1.2.0.Final sont concernées et la mise à niveau vers 1.3.0.Final corrige le problèm…
Source : NVD — CVE-2026-116479
Sony Neural Network Libraries : injection de code dans le traitement des paramètres texte
Sony Neural Network Libraries contient une injection de code dans le traitement des paramètres texte par `load_param_in_txt`. La faille concerne des versions jusqu’à 1.39.0 d’un produit qui n’est plus maintenu; aucun correctif n’est indiqu…
Source : NVD — CVE-2026-116103
Sony Neural Network Libraries : injection de code dans le convertisseur NNP
Sony Neural Network Libraries présente une injection de code dans la fonction `func_set_nnabla_version_decorate` du convertisseur NNP. Les versions concernées vont jusqu’à 1.39.0 et le produit est indiqué comme n’étant plus maintenu; aucun…
Source : NVD — CVE-2026-116104
Tornado : redirection ouverte via les substitutions de RedirectHandler
Avant Tornado 6.6, certains modèles d’URL de `RedirectHandler` permettent à des substitutions de captures d’expression régulière de modifier le schéma ou l’hôte de la redirection à partir d’un chemin fourni par l’utilisateur. Un attaquant…
Source : NVD — CVE-2026-116578
astron-agent : contournement d’autorisation dans la liste des connaissances
La fiche NVD publiée le 26 octobre signale un contournement d’autorisation dans l’endpoint de liste des connaissances d’astron-agent. La description indique que la manipulation de space-id peut permettre un accès distant non autorisé ; auc…
Source : NVD — CVE-2026-116340
Debian publie une mise à jour de sécurité pour OpenJDK 17
Debian a publié le 26 octobre 2026 un avis de mise à jour de sécurité pour OpenJDK 17, après la découverte de plusieurs vulnérabilités pouvant entraîner un déni de service, une divulgation d’informations, un accès non autorisé ou un contou…
LeRobot : instanciation dynamique non sûre de classes
Le chargement de certaines configurations de processeur dans LeRobot peut instancier dynamiquement des classes Python définies par la configuration. Cette résolution dynamique est signalée comme permettant une exécution de code; les versio…
Source : NVD — CVE-2026-115533
CMS & e-commerce
15 alerte(s)CCAvenue Payment Gateway : falsification de confirmations de paiement
Le plugin CCAvenue Payment Gateway for WooCommerce ne vérifie pas suffisamment l’authenticité des confirmations de paiement. Un attaquant non authentifié pourrait ainsi faire marquer des commandes comme payées sans règlement réel.
Source : NVD — CVE-2026-103298
Eurobank WooCommerce Payment Gateway : confirmations de paiement falsifiables
Eurobank WooCommerce Payment Gateway n’authentifie pas correctement les confirmations de paiement et utilise par défaut un secret vide. Une personne non authentifiée pourrait marquer des commandes en attente comme payées, ou faire passer d…
Source : NVD — CVE-2026-103300
OPay Payment Gateway : notifications de paiement falsifiables
OPay Payment Gateway for WooCommerce ne vérifie pas correctement l’origine des notifications de paiement, car le secret de validation est vide par défaut. Des notifications forgées peuvent modifier le statut de commandes, notamment les mar…
Source : NVD — CVE-2026-103319
Mintpay for WooCommerce : callbacks non authentifiés
Mintpay for WooCommerce ne vérifie pas l’authenticité des callbacks de paiement. Des requêtes non authentifiées peuvent modifier les commandes et exposer des informations de commande, dont des coordonnées client.
Source : NVD — CVE-2026-103381
CVE-2026-110377 — Bopo : défaut d’autorisation
Bopo – WooCommerce Product Bundle Builder jusqu’à la version 1.2.3 présente un défaut d’autorisation. Celui-ci peut permettre un accès non autorisé, mais les détails précis des actions accessibles ne sont pas fournis dans la fiche candidat…
Source : NVD — CVE-2026-110377
CVE-2026-115614 — Booking and Rental Manager : défaut d’autorisation
Booking and Rental Manager jusqu’à la version 2.8.2 présente un défaut d’autorisation. Les éléments fournis ne précisent pas quelles opérations ou données peuvent être atteintes par son exploitation.
Source : NVD — CVE-2026-115614
CVE-2026-115959 — APIExperts Square : défaut d’autorisation
APIExperts Square for WooCommerce jusqu’à la version 4.7.5 présente un défaut d’autorisation. La description candidate ne précise pas les opérations accessibles ni les données concernées.
Source : NVD — CVE-2026-115959
CVE-2026-115960 — APIExperts Square : défaut d’autorisation
APIExperts Square for WooCommerce jusqu’à la version 4.7.5 présente une seconde vulnérabilité de type défaut d’autorisation, distincte de CVE-2026-115959. Les éléments fournis ne détaillent pas les opérations accessibles ni les données con…
Source : NVD — CVE-2026-115960
CVE-2026-112839 — Customer Coupons for WooCommerce : défaut d’autorisation
Customer Coupons for WooCommerce jusqu’à la version 1.3.14 présente un défaut d’autorisation. La description candidate ne précise pas quelles actions ou données peuvent être atteintes.
Source : NVD — CVE-2026-112839
iK Pay Gateway : authentification insuffisante des callbacks
Online Payments with iK Pay Gateway ne vérifie pas correctement l’authenticité des rappels de paiement sur une installation par défaut. Un attaquant non authentifié peut falsifier une confirmation et modifier l’état de commandes non traité…
Source : NVD — CVE-2026-103306
GiveWP : contournement des limites de montant des dons
GiveWP ne limite pas la devise d’un don à celle acceptée par le site ou le formulaire et compare les limites de montant sans tenir compte de la devise. Cela peut permettre à des utilisateurs non authentifiés de soumettre un don inférieur a…
Source : NVD — CVE-2026-111974
Advanced Post Block : vulnérabilité XSS stockée
Advanced Post Block – Post Grid for WordPress block editor présente une vulnérabilité de type XSS stockée. Les informations disponibles indiquent que les versions jusqu’à 2.5.1 sont concernées, sans préciser ici la version corrigée ni les…
Source : NVD — CVE-2026-115955
CVE-2026-111404 — Photo Reviews for WooCommerce : condition de concurrence
Photo Reviews for WooCommerce jusqu’à la version 1.2.31 présente une condition de concurrence. Les éléments fournis signalent l’exploitation possible de cette condition, sans préciser ses conséquences concrètes.
Source : NVD — CVE-2026-111404
Datafeedr Product Sets Plugin : contrôle d’autorisation manquant
CVE-2026-116107 concerne Datafeedr Product Sets Plugin jusqu’à la version 1.3.24 : un défaut d’autorisation dans la suppression de recherches enregistrées peut être déclenché à distance. La fiche NVD indique que la mise à niveau vers la ve…
Source : NVD — CVE-2026-116107
Payment Gateway : authentification insuffisante des notifications de paiement
Le plugin Payment Gateway ne vérifie pas que le secret partagé est configuré avant de l’utiliser pour authentifier les notifications bancaires. Selon la description publiée, les notifications forgées peuvent marquer des commandes payées lo…
Source : NVD — CVE-2026-103299
Systèmes & serveurs
23 alerte(s)Linux ksmbd : écriture hors limites dans l’authentification Kerberos
Une erreur de calcul de l’espace disponible dans les réponses SMB composées pouvait permettre à ksmbd d’écrire un jeton Kerberos au-delà du tampon et dans le tas du noyau. Le correctif tient compte du décalage des réponses précédentes lors…
Source : NVD — CVE-2026-99083
Linux Open vSwitch : en-tête de transport non initialisé sur des fragments IPv6
Lors d’une action Open vSwitch de réécriture d’adresse IPv6 sur un fragment non initial, le code pouvait lire un décalage d’en-tête de transport non initialisé et déclencher un avertissement noyau avec CONFIG_DEBUG_NET. Le correctif ignore…
Source : NVD — CVE-2026-99088
Linux ASoC Samsung I2S : état d’horloge incohérent avec runtime PM
Le pilote I2S Samsung pouvait déséquilibrer les références d’activation de l’horloge lors de la première suspension runtime, provoquant notamment un avertissement de désactivation d’horloge. Le correctif active op_clk pendant probe afin d’…
Source : NVD — CVE-2026-99089
Linux — synchronisation des lectures vblank AMDGPU avec la réinitialisation du GPU
Le rappel du compteur vblank AMDGPU pouvait lire les registres d’affichage pendant une réinitialisation du GPU sans prendre le sémaphore de reset. Le correctif protège ces lectures et renvoie le compteur logiciel mis en cache si une réinit…
Source : NVD — CVE-2026-99090
Linux Bluetooth MGMT : statut incorrect pour des commandes en attente
Lors de la mise hors tension ou du retrait d’un périphérique Bluetooth, certaines commandes en attente pouvaient recevoir un statut erroné, notamment un succès au lieu de « Not Powered » ou « Invalid Index ». Le correctif transmet le statu…
Source : NVD — CVE-2026-99091
Linux RISC-V : échec du JIT BPF dans certaines configurations de protection mémoire
Sur RISC-V, le JIT BPF pouvait échouer à modifier du code exécutable alloué dans la zone vmalloc lorsque CONFIG_STRICT_MODULE_RWX était désactivé, car le code tentait d’écrire dans une adresse en lecture seule. Le correctif utilise CONFIG_…
Source : NVD — CVE-2026-99092
Linux mm : panic possible avec le traceur de fonctions au démarrage
Un traçage de fonctions activé très tôt au démarrage pouvait provoquer un panic lorsque la libération différée de tables de pages tentait de planifier un travail avant l’initialisation des workqueues. Le correctif reporte la planification…
Source : NVD — CVE-2026-99093
Linux Bluetooth Intel PCIe : vérification incorrecte des limites des descripteurs TX
Le pilote Bluetooth Intel PCIe vérifiait la limite de l’index de descripteur TX après avoir utilisé cet index pour accéder aux tableaux de descripteurs et de tampons. Le correctif rejette l’index égal au nombre d’entrées, qui se trouve déj…
Source : NVD — CVE-2026-99094
Linux DRM VC4 : travaux différés non drainés lors de la désassociation V3D
À la désassociation du V3D, le temporisateur hangcheck ou des travaux de fin de tâche pouvaient encore accéder à des ressources déjà désinstallées ou libérées. Le correctif arrête le temporisateur, annule et vide les travaux concernés avan…
Source : NVD — CVE-2026-99095
Linux io_uring : contournement des restrictions sur les rings désactivés
Une tâche soumise à des restrictions io_uring pouvait créer un ring désactivé et contourner temporairement les restrictions héritées sur les opérations d’enregistrement. Le correctif maintient ces contrôles sur les rings désactivés concern…
Source : NVD — CVE-2026-99096
Linux TEE : allocation de mémoire partagée de taille nulle
Une allocation de mémoire partagée dynamique TEE de taille zéro pouvait transmettre un ordre de pages invalide à l’allocateur et déclencher un avertissement noyau. Sur un système configuré pour paniquer en cas d’avertissement, cette requêt…
Source : NVD — CVE-2026-99097
Linux : correction d’un dépassement de tampon dans dm-integrity
Le noyau Linux corrige un dépassement de tampon dans dm-integrity en mode inline lorsque la taille du tag dépasse HASH_MAX_DIGESTSIZE. La source précise que le dépassement ne peut être déclenché que par root et ne le qualifie donc pas de f…
Source : NVD — CVE-2026-99098
Linux : parade à l’erratum AMD TLBI nº 1718
Linux ajoute une détection de l’erratum AMD TLBI nº 1718 et applique une parade logicielle si le microcode ne contient pas de correctif. L’erratum peut empêcher l’invalidation d’une entrée TLB lors d’une paire d’instructions INVLPGB/TLBSYN…
Source : NVD — CVE-2026-99099
Debian corrige deux vulnérabilités dans swupdate
L’avis Debian DLA-4864-1 corrige deux vulnérabilités de swupdate, susceptibles d’entraîner une élévation de privilèges ou un contournement de la validation des signatures. Les CVE, versions concernées et versions corrigées ne sont pas préc…
Debian publie une mise à jour de sécurité pour Thunderbird
L’avis Debian DLA-4863-1 corrige plusieurs problèmes de sécurité dans Thunderbird, pouvant permettre l’exécution de code arbitraire ou la divulgation d’informations. Debian indique également abandonner la série 140.x et suivre la série 153…
Debian corrige une divulgation de fichiers locaux dans Inkscape
L’avis Debian DLA-4862-1 corrige une vulnérabilité de divulgation de fichiers locaux dans le traitement XInclude d’Inkscape. Un attaquant distant peut faire lire des fichiers locaux au moyen d’un fichier SVG conçu à cet effet; aucun CVE ni…
OpenSSL : croissance disproportionnée du tas lors du traitement de certificats
L’avis Debian DLA-4859-1 traite CVE-2026-35189 dans OpenSSL : un certificat comportant de nombreux points de distribution CRL nameRelativeToCRLIssuer peut provoquer une croissance disproportionnée du tas lors de la mise en cache des extens…
Source : DLA-4859-1 openssl – security update
OpenSSL : fuite temporelle d’informations sur le nonce des signatures
L’avis Debian DLA-4859-1 traite CVE-2026-54872, une fuite temporelle lors de la multiplication scalaire générique utilisée pour les opérations de signature ECDSA et SM2 sur certaines courbes. Cette fuite peut révéler des informations sur l…
Source : DLA-4859-1 openssl – security update
OpenSSL : arrêt anormal d’un client CMP lors du traitement d’une réponse de révocation
L’avis Debian DLA-4859-1 traite CVE-2026-75805 : un client CMP demandant une révocation de certificat à partir d’un CSR PKCS#10 peut déréférencer un pointeur NULL en traitant une réponse de révocation spécialement construite. Cela provoque…
Source : DLA-4859-1 openssl – security update
OpenSSL : terminaison possible d’une association DTLS 1.2
L’avis Debian DLA-4859-1 traite CVE-2026-75806, qui permet de terminer une association DTLS 1.2 établie utilisant une suite AEAD au moyen d’un seul datagramme non authentifié. Le datagramme déclenche le problème lorsque son fragment chiffr…
Source : DLA-4859-1 openssl – security update
OpenSSL : fuite temporelle lors de la génération de signatures SM2
L’avis Debian DLA-4859-1 traite CVE-2026-77696 : la génération de signatures SM2 utilise une arithmétique non constante sur des valeurs secrètes. Cette méthode crée une fuite temporelle; les versions touchées et corrigées ne sont pas indiq…
Source : DLA-4859-1 openssl – security update
OpenSSL : défaut dans la retransmission DTLS des messages de poignée de main
L’avis Debian DLA-4859-1 traite CVE-2026-84782, un défaut de retransmission DTLS lorsque l’écriture d’un message de poignée de main est suspendue en cours de traitement. Une retransmission peut lire au-delà du tampon du message et écraser…
Source : DLA-4859-1 openssl – security update
Debian corrige plusieurs vulnérabilités dans ImageMagick
L’avis Debian DLA-4858-1 corrige plusieurs vulnérabilités d’ImageMagick, susceptibles d’entraîner un déni de service, une divulgation d’informations ou éventuellement l’exécution de code arbitraire lors du traitement d’images malformées. L…
Cloud & DevOps
2 alerte(s)Burrito : événements webhook non signés pouvant déclencher des plans Terraform non autorisés
Burrito acceptait des événements GitHub et GitLab non signés lorsque le secret webhook était absent ou vide, permettant de créer ou supprimer des ressources TerraformPullRequest et de déclencher des plans Terraform non autorisés. Selon les…
Source : CVE-2026-102649 — NVD
consul-k8s : contournement d’autorisation inter-espaces de noms
Une vulnérabilité de contournement d’autorisation inter-espaces de noms dans les règles de liaison ACL de composants consul-k8s peut permettre d’obtenir des privilèges Consul élevés. Les versions correctives indiquées sont consul-k8s 2.1.0…
Source : NVD — CVE-2026-110720