Les sujets à surveiller, en un regard.
115 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 11 sujet(s) en rouge, 6 en orange.
Shopify
Recherche du sujet effectuée
La recherche n’a identifié aucun avis de sécurité, correctif, exploitation ni changement substantiel concernant Shopify dont la date soit comprise dans la période demandée. La page d’état officielle de Shopify indique qu’aucun incident n’a été signalé le 27 octobre 2026; les éléments trouvés sur l’incident de détournement de checkout décrivent des événements antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Wix sur la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Aucune vulnérabilité, publication de correctif ou d’avis de sécurité, exploitation, ni mise à jour substantielle répondant aux critères n’a été identifiée dans les sources consultées; les éléments trouvés concernant Wix étaient antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté de la période du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
Les sources consultées ne montrent aucun nouvel avis, correctif ou autre événement de sécurité Craft CMS daté du 2026-10-27 00:00:00+02:00 au 2026-10-28 00:00:00+02:00. Le candidat CVE-2026-32270 concerne Craft Commerce et sa fiche indique une publication antérieure; la mise à jour NVD rapportée est datée du 2026-10-26, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis de sécurité Ghost publié pendant la période demandée concerne un contournement d’autorisation dans la fonctionnalité de réactions aux commentaires. Le correctif indiqué est Ghost 6.44.1.
Ghost — contournement d’autorisation dans les mentions « j’aime » des commentaires
Une validation incorrecte des entrées permettait à un membre de supprimer des mentions « j’aime » ou « je n’aime pas » sur des commentaires qu’il n’était pas autorisé à modifier. Ghost indique que la version 6.44.1 corrige le problème.
Action recommandée : Mettre à jour Ghost vers la version 6.44.1 ou ultérieure.
Strapi
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Trois CVE concernant Strapi ont été publiées pendant la période : un défaut de contrôle d’accès dans Review Workflows, un défaut d’autorisation sur les URL de prévisualisation du Content Manager et une SSRF liée aux redirections des webhooks. Les sources consultées établissent la publication et les descriptions ; elles ne permettent pas de confirmer l’exploitation active ni d’indiquer les versions corrigées pour deux des CVE.
Strapi Review Workflows : contrôle d’accès insuffisant lors de mises à jour
CVE-2026-118170 concerne un défaut de contrôle d’accès dans le package Strapi Review Workflows : des mises à jour de documents pourraient être effectuées sans vérifier les droits de modification de l’appelant. La fiche CVE indique Strapi 5.51.0 comme version affectée ; aucun correctif ni exploitation active n’est confirmé par les sources consultées.
Action recommandée : Vérifier si l’instance utilise Strapi 5.51.0 et suivre les avis ou notes de version Strapi pour le correctif applicable.
Strapi Content Manager : contrôle d’autorisation manquant sur les URL de prévisualisation
CVE-2026-118171 concerne l’absence d’autorisation liée au périmètre du contenu sur le point d’accès de prévisualisation du Content Manager. Selon la description publiée, des administrateurs à faibles privilèges pourraient générer des URL de prévisualisation sans connaître l’identifiant du document ni disposer des droits de lecture ; versions affectées et correctif non établis par les sources consultées.
Action recommandée : Consulter les avis et notes de version Strapi pour déterminer les versions corrigées avant de planifier la mise à jour.
Strapi : SSRF possible via le suivi des redirections des webhooks
CVE-2026-118172 concerne une SSRF via le mécanisme de webhooks de Strapi : le suivi de redirection ne revérifierait pas les adresses IP ni les limites réseau après redirection. La description signale également que des réponses non-2xx peuvent être renvoyées à l’appelant ; versions affectées et correctif non établis par les sources consultées.
Action recommandée : Vérifier les versions déployées et suivre les avis ou notes de version Strapi pour le correctif ; examiner l’exposition des webhooks aux URL externes et aux redirections.
Directus
Recherche du sujet effectuée
Recherche web effectuée sur Directus. Les avis de sécurité GitHub consultés affichent des avis publiés avant la période demandée; les résultats consultés ne montrent aucun avis, correctif de sécurité ou autre changement de sécurité substantiel daté du 2026-10-27. Aucun item ne répond donc aux critères de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis/correctif, exploitation ni mise à jour substantielle concernant OpenCart n’a été trouvée comme datée de la période demandée, du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les résultats consultés signalent notamment des vulnérabilités OpenCart antérieures, sans élément vérifié dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, exploitation ou changement substantiel propre à cPanel daté de la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les journaux cPanel consultés indiquent des changements de sécurité datés du 2026-10-26, donc antérieurs à la période et exclus. ([docs.cpanel.net](https://docs.cpanel.net/changelogs/136-change-log/?utm_source=openai))
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a relevé une nouvelle publication de sécurité concernant Ruby pendant la période: CVE-2026-116695, une vulnérabilité de Crass corrigée en version 1.0.8. Les avis Addressable et ERB des candidats portent sur des vulnérabilités publiées antérieurement, tandis que l’avis Bugsink décrit une faille de Bugsink, et non de Ruby.
CVE-2026-116695 — Contournement d’assainisseur CSS dans Crass
Une erreur d’analyse de Crass peut faire conserver du CSS actif à l’intérieur d’un jeton d’URL invalide, ce qui peut contourner un assainisseur CSS qui retransmet le contenu sans rejeter cette URL. Le risque concerne notamment l’altération de l’interface, le chargement de ressources externes ou l’exfiltration de données via CSS; cette vulnérabilité ne permet pas l’exécution de scripts dans les navigateurs modernes.
Action recommandée : Mettre à niveau Crass vers la version 1.0.8 ou une version ultérieure; vérifier que les assainisseurs CSS rejettent les URL mal formées au lieu de retransmettre le CSS associé.
Bun
Vérification incomplète
Un événement pertinent a été vérifié dans la période : l’ajout, le 27 octobre 2026, de CVE-2026-111497 au catalogue KEV de la CISA. Le correctif Bun 1.4.4 et l’avis du projet précèdent la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Deno
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité de Deno, aux données CVE/NVD et aux publications du projet n’a pas identifié de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-10-27 dans la période demandée. Les résultats consultés concernant des vulnérabilités Deno étaient antérieurs à cette période; ils ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
Trois avis correspondant au sujet Go ont été retenus dans la période : Atlantis (CVE-2026-116676), Wails (CVE-2026-34157) et SiYuan (CVE-2026-60083). Les autres candidats ont été écartés car ils concernent un autre écosystème ou parce que leur date de publication est antérieure à la période et que la seule mise à jour signalée ne démontre pas un changement substantiel pendant celle-ci. Un avis de sécurité publié le 27 octobre concerne CVE-2026-116591 dans le décodeur zstd de klauspost/compress; les versions jusqu’à 1.20.1 sont affectées et la version 1.20.2 corrige le défaut. Les deux avis Vikunja du lot ont été exclus, car leurs dates de publication précèdent la période demandée; leurs mises à jour dans la période ne sont pas présentées comme des changements substantiels établis par les éléments fournis.
klauspost/compress : panic du décodeur zstd sur une trame à deux blocs
Une trame zstd spécialement construite en deux blocs peut provoquer un panic dans le décodeur plutôt qu’une erreur de décodage. Une application qui décompresse des entrées non fiables peut ainsi être arrêtée; la version corrigée est 1.20.2.
Action recommandée : Mettre à niveau `github.com/klauspost/compress` vers la version 1.20.2 ou ultérieure, en particulier dans les applications qui décompressent des données zstd non fiables.
Atlantis — injection de commandes via le nom d’espace de travail Terraform
Atlantis vulnérable pouvait exécuter des commandes arbitraires avec les privilèges du service lorsqu’un contributeur admissible soumettait un nom d’espace de travail contrôlé dans une demande de fusion traitée par un plan Terraform. Mettre à niveau vers la version 0.47.1 ou ultérieure et examiner l’exposition des secrets accessibles au processus Atlantis.
Action recommandée : Mettre à niveau vers Atlantis 0.47.1 ou une version ultérieure.
Wails — contournement du contrôle d’origine via les motifs joker
Une validation trop permissive des motifs avec astérisque dans Wails v2 pouvait accepter certaines origines non autorisées lorsqu’un motif comportait un joker final, permettant à ces origines d’appeler les méthodes Go exposées par l’application. Mettre à niveau vers Wails 2.13.0 ou ultérieur et vérifier les origines autorisées ainsi que les méthodes exposées.
Action recommandée : Mettre à niveau vers Wails 2.13.0 ou ultérieur; éviter les motifs joker finaux permissifs et limiter les méthodes backend accessibles.
SiYuan — accès MCP à des fichiers sensibles du workspace
L’outil MCP de fichiers de SiYuan n’appliquait pas plusieurs protections de chemins sensibles présentes dans l’API HTTP, ce qui pouvait permettre à un utilisateur autorisé de lire des fichiers du workspace, notamment les mots de passe de publication. Mettre à niveau vers la version corrigée et limiter l’accès aux outils MCP ainsi qu’aux données sensibles du workspace.
Action recommandée : Mettre à niveau vers la révision corrigée indiquée dans l’avis et restreindre l’accès aux outils MCP.
Kotlin
Recherche du sujet effectuée
La recherche dédiée sur Kotlin n’a identifié aucun avis, correctif de sécurité, exploitation ni changement substantiel vérifié comme daté du 2026-10-27 dans la période demandée. La page GitHub Security consultée n’affiche aucun avis publié; les autres résultats trouvés ne constituent pas un événement de sécurité Kotlin daté de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée n’a pas vérifié de nouvelle vulnérabilité, d’avis de sécurité ni de changement substantiel concernant Electron pour la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Le candidat fourni concerne une vulnérabilité publiée antérieurement et déjà corrigée dans des versions antérieures à cette période ; sa mise à jour NVD seule ne suffit pas à établir un événement de sécurité admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche a identifié CVE-2026-116881, publiée le 2026-10-27, mais elle concerne Semantic MediaWiki : le code vulnérable décrit est celui de son autocomplétion de valeurs de propriétés, et non une vulnérabilité attribuée à jQuery lui-même. Aucun item n’est donc retenu pour le sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
Aucun avis Laravel vérifié comme nouveau ou substantiellement mis à jour entre le 2026-10-27T00:00:00+02:00 inclus et le 2026-10-28T00:00:00+02:00 exclu. Les avis Laravel visibles dans les résultats consultés sont datés d’avant cette période; l’article Laravel sur les vulnérabilités PHP indique une mise à jour au 2026-10-26, également antérieure à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte et SvelteKit n’a relevé aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel daté dans la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les avis SvelteKit visibles dans le dépôt GitHub consulté sont datés du 2026-10-05, et l’avis OSV concernant CVE-2026-114061 indique une publication le 2026-10-21 : ils sont hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun avis ou correctif de sécurité Symfony publié pendant la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les avis Symfony repérés dans les résultats étaient datés du 15 octobre ou du 29 octobre 2026, donc hors période; les informations publiées après la borne de fin n’ont pas été retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif, exploitation ni mise à jour substantielle de sécurité concernant Flask n’a été vérifiée pour la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Le candidat CVE-2026-34531 concerne Flask-HTTPAuth et ses informations de publication et de correctif sont antérieures à cette période; sa modification NVD du 2026-10-26 ne constitue pas un événement de sécurité daté de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée a consulté des sources du projet Django et GitHub ainsi que les fiches NVD fournies. Aucun avis, correctif, événement d’exploitation ou changement substantiel concernant Django dont la date retenue tombe dans la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Dans la période du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu, les sources consultées n’ont pas montré de nouvel avis de sécurité ni de correctif de sécurité attribuable au projet FastAPI. Le résultat concernant LlamaFarm décrit une configuration de son propre serveur FastAPI, et non une vulnérabilité du framework FastAPI; il n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Niveau relevé : Critique
Une nouvelle faille concernant le plugin @fastify/express a été publiée le 27 octobre 2026 : dans certaines configurations, des requêtes peuvent contourner des middlewares Express montés sur un chemin. Le correctif est disponible dans la version 4.0.9.
Contournement de middleware Express monté sur un chemin dans @fastify/express
Dans @fastify/express 4.0.5 à 4.0.8, une requête HTTP en forme absolue, combinée à l’option Fastify ignoreDuplicateSlashes, peut faire exécuter une route protégée sans que le middleware Express associé soit appelé. Un attaquant non authentifié peut ainsi contourner des contrôles d’authentification, d’autorisation ou de limitation de débit fondés sur ce middleware.
Action recommandée : Mettre à niveau @fastify/express vers la version 4.0.9 ou ultérieure. Si la mise à niveau n’est pas immédiate, désactiver ignoreDuplicateSlashes ou déplacer les contrôles d’accès vers un hook Fastify exécuté après la résolution de route.
NestJS
Vérification incomplète
Le dépôt NestJS indique une mise à jour de sécurité de `qs` vers 6.17.1 le 27 octobre 2026. Les résultats consultés ne permettent pas d’établir une CVE, les versions NestJS affectées ni l’impact technique détaillé.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MySQL
Recherche du sujet effectuée
La recherche a retrouvé l’avis de sécurité MySQL Community Edition du 20 octobre 2026, antérieur à la période demandée. Aucun élément vérifié ne correspond à une nouvelle vulnérabilité, à un correctif ou avis de sécurité, à une exploitation ou à un changement substantiel daté du 27 octobre 2026 dans la fenêtre indiquée. Aucun événement vérifié concernant le produit MySQL dans la période. Le candidat concerne Apache Airflow et son fournisseur MySQL, et ne documente pas de changement substantiel daté dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis, de correctif, d’exploitation ni de changement substantiel concernant le produit PostgreSQL daté dans la période demandée, du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu. Les candidats concernent des produits tiers qui utilisent PostgreSQL ou son pilote, et non une vulnérabilité du projet PostgreSQL lui-même.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis de sécurité PyMongo pertinent a été publié dans la période : CVE-2026-106435, corrigée dans PyMongo 4.18.3. Les autres candidats ont été examinés et écartés car ils ne documentent pas une nouvelle vulnérabilité MongoDB ni un changement substantiel pertinent daté de la période. Un avis Debian daté du 2026-10-27 signale plusieurs vulnérabilités du pilote PHP de MongoDB pouvant entraîner un déni de service; les CVE et versions concernées ne sont pas précisées dans les informations fournies.
PyMongo : lecture hors limites et arrêt du processus lors du décodage BSON d’un Regex malformé
Le décodeur BSON de l’extension C de PyMongo peut lire hors limites lors du décodage d’un élément Regex malformé depuis certains tampons sans sentinelle NUL, provoquant un arrêt du processus. Les versions de `3.9.0` à `4.18.2` sont indiquées comme affectées lorsque l’extension C est chargée ; la correction est disponible dans `4.18.3`.
Action recommandée : Mettre à jour PyMongo vers 4.18.3 ; en attendant, décoder le BSON non fiable uniquement depuis des tampons terminés par NUL ou en copier l’entrée `mmap`.
Debian : mise à jour de sécurité pour php-mongodb
Debian a publié un avis de sécurité pour le pilote MongoDB de PHP, signalant plusieurs vulnérabilités susceptibles de provoquer un déni de service. L’extrait fourni ne précise ni les CVE, ni les versions affectées, ni les versions corrigées ; consulter l’avis Debian pour les instructions applicables à la version installée.
Action recommandée : Consulter l’avis Debian et appliquer la mise à jour de sécurité appropriée pour la version Debian utilisée.
Redis
Recherche du sujet effectuée
La recherche dédiée sur Redis n’a identifié aucun avis, correctif ou changement de sécurité daté dans la période demandée. Les correctifs de sécurité Redis 8.10.3, 8.8.4, 8.6.8 et 8.4.8 visibles dans les résultats GitHub sont datés du 26 octobre 2026, avant le début de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
Aucun nouvel avis de sécurité, correctif, cas d’exploitation ou changement substantiel propre à Caddy n’a été vérifié dans la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. L’avis Caddy GHSA-8qx7-j2v2-x6q5 affiché dans les résultats de recherche est daté du 2026-10-13, hors période; les références à des CVE de Go concernent le langage ou ses dépendances et ne constituent pas, sans preuve d’un avis ou correctif Caddy pendant cette période, une vulnérabilité propre à Caddy.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
Les avis SvelteKit repérés concernant GHSA-27mw-82g8-phjj et CVE-2026-114061 sont antérieurs à la période demandée : l’avis GitHub est daté du 5 octobre 2026 et la CVE du 21 octobre 2026. Aucun événement admissible daté du 2026-10-27 dans l’intervalle demandé n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Babel, aux CVE/NVD et aux publications du projet n’a relevé aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 27 octobre 2026 (période du 27 octobre à 00:00 au 28 octobre à 00:00, fuseau +02:00). Les avis de sécurité Babel trouvés et les versions récentes consultées sont antérieurs à cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucune vulnérabilité, mise à jour d’avis de sécurité, exploitation ni changement substantiel concernant Elasticsearch n’a été vérifié comme daté dans la période du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu. Les avis Elasticsearch repérés dans les résultats de recherche sont datés du 2026-10-06, donc hors période; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité RabbitMQ n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-27 dans la période demandée. Les avis RabbitMQ repérés étaient datés du 2026-10-25 ou d’une date antérieure et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif, d’exploitation ni de changement substantiel concernant Memcached daté de la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les informations repérées sur des vulnérabilités Memcached étaient datées d’avant cette période et n’ont pas été retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle GraphQL datée de la période demandée n’a pu être vérifié. Les trois candidats ont été examinés : les deux premiers indiquent une mise à jour NVD antérieure au début de la période; pour le troisième, l’élément fourni établit une mise à jour NVD le 27 octobre, mais pas un changement substantiel de sécurité à cette date. La date de mise à jour seule ne suffit donc pas à le retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Moyenne
Trois vulnérabilités de modules de paiement pour WooCommerce ont une publication NVD datée du 27 octobre 2026. Elles concernent l’authentification de notifications ou de webhooks de paiement; les informations consultées ne confirment pas de versions corrigées ni d’exploitation connue.
Payex Payment Gateway : validation insuffisante des notifications de paiement
Payex Payment Gateway for WooCommerce jusqu’à la version 1.2.10 ne valide pas correctement l’authenticité des notifications de paiement si le secret de validation est vide par défaut. Un attaquant non authentifié peut forger une confirmation et faire marquer une commande comme payée.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et vérifier le secret de validation.
PayDunya WooCommerce Payment Gateway : notifications falsifiables
PayDunya WooCommerce Payment Gateway jusqu’à la version 1.1.6 ne vérifie pas correctement l’authenticité des notifications de paiement lorsque la passerelle n’est pas configurée. Un attaquant non authentifié peut alors fabriquer une notification et faire marquer des commandes comme payées et terminées.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et vérifier la configuration de la passerelle.
TiendaCrypto para WooCommerce : vérification de webhook défectueuse
TiendaCrypto para WooCommerce jusqu’à la version 1.2.1 ne vérifie pas correctement la signature de son webhook de paiement, car la clé utilisée est toujours vide. Sous la condition technique décrite dans l’avis, un attaquant non authentifié peut falsifier des notifications et faire marquer des commandes comme payées.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et vérifier le traitement des webhooks.
Simple:Press
Recherche du sujet effectuée
La recherche web dédiée à Simple:Press n’a révélé aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu. Les résultats consultés décrivent des vulnérabilités ou mises à jour antérieures à cette période, qui ne sont donc pas retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Vérification incomplète
Niveau relevé : Moyenne
Un avis Docker de la période concerne CVE-2026-114409, une exposition en clair d’identifiants tiers dans les journaux et archives de diagnostic de Docker Desktop, corrigée en version 4.97.0. L’avis Docker indique que la version correctrice est sortie le 2026-10-26; l’événement retenu dans cette période est la publication de l’avis le 2026-10-27. Un avis de sécurité pertinent pour Docker a été publié dans la période : Docker Desktop corrige en version 4.97.0 l’exposition de secrets dans les journaux et diagnostics. Les autres candidats concernent des produits distincts ou une mise à jour NVD d’informations publiées antérieurement.
Docker Desktop : exposition de clés API et jetons OAuth dans les journaux
Docker Desktop pouvait enregistrer en clair des clés d’API tierces et des jetons d’accès OAuth dans les journaux locaux et les bundles de diagnostic. Docker indique que la version 4.97.0 corrige le problème et nettoie les journaux hôte et les dumps de plantage existants.
Action recommandée : Mettre à jour Docker Desktop vers la version 4.97.0 ou ultérieure; vérifier et supprimer les journaux et dumps anciens si une version antérieure a été utilisée.
Kubernetes
Vérification incomplète
Un bulletin GKE relatif à CVE-2026-111943 a reçu une mise à jour substantielle le 2026-10-27, ajoutant des versions de correctif et une précision sur les composants corrigés. Aucun candidat fourni n’a été retenu : les candidats étaient des notifications de modification NVD anciennes et les éléments consultés ne confirment pas, pour eux, un nouvel événement ou changement substantiel dans la période. Les trois candidats concernent Kubernetes ou des composants associés et indiquent une mise à jour NVD pendant la période. Les éléments fournis ne précisent pas la nature des modifications ni ne permettent d’établir qu’elles sont substantielles; aucun item n’est donc retenu.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Linux (noyau)
Vérification incomplète
La recherche web dédiée n’a pas permis de vérifier de nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant le noyau Linux, daté du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les candidats Linux fournis portent sur des CVE publiées avant cette période et leurs dates de mise à jour NVD, seules, ne démontrent pas un événement admissible dans la fenêtre. Aucun événement de sécurité du noyau Linux daté de la période n’est établi par les éléments fournis. Les candidats sont des fiches NVD publiées avant la période; leur date de mise à jour, à elle seule, ne prouve pas un changement substantiel pendant celle-ci. Aucune nouveauté du noyau Linux datée de la période ne peut être confirmée à partir des éléments fournis : les candidats indiquent des mises à jour de fiches NVD, sans préciser quels changements substantiels, le cas échéant, ont été apportés pendant la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
Un correctif de régression Thunderbird daté du 27 octobre 2026 a été vérifié. Les autres candidats annoncent des mises à jour de sécurité, mais les éléments accessibles lors de cette recherche ne suffisent pas à établir les CVE et les détails par vulnérabilité requis pour produire des fiches séparées sans extrapolation.
Debian corrige une régression de Thunderbird affectant les courriels chiffrés par PGP
Debian a publié DSA-6585-2 pour corriger une régression introduite par la mise à jour précédente de Thunderbird, qui affectait la prise en charge des courriels chiffrés par PGP. L’avis recommande d’installer les paquets mis à jour ; les versions corrigées ne sont pas établies par les éléments consultés.
Action recommandée : Installer les paquets Thunderbird mis à jour fournis par Debian.
Alpine Linux
Recherche du sujet effectuée
La recherche dédiée a relevé sur l’index officiel Alpine une mise à niveau de sécurité de git-annex datée du 2026-10-27, mais les informations consultées ne permettent pas d’établir un avis ou identifiant de sécurité stable ni d’en préciser la vulnérabilité et le correctif. Aucun item répondant aux critères du bulletin n’est donc retenu sur la base des sources vérifiées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Vérification incomplète
La recherche dédiée a relevé un avis de sécurité Rocky Linux publié le 2026-10-27 qui mentionne onze CVE affectant Apache HTTP Server/httpd. Les trois candidats fournis portent sur le serveur httpd intégré aux routeurs Tenda, et non sur Apache HTTP Server; leurs fiches NVD indiquent en outre une mise à jour le 2026-10-26, hors de la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis/correctif, exploitation ni mise à jour substantielle concernant Nginx n’a été vérifiée comme étant datée de la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les avis nginx.org consultés portent sur des vulnérabilités publiées antérieurement; ils ne constituent pas un événement nouveau dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée n’a pas établi de nouvel avis, correctif ou changement substantiel concernant PHP lui-même pendant la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les avis PHP trouvés pour CVE-2026-109618 et CVE-2026-109619 sont datés du 21 octobre 2026, hors période. Les candidats fournis concernent des applications tierces écrites en PHP, et non PHP ou php-fpm. Les candidats fournis concernent des produits tiers et ne décrivent pas de vulnérabilité du langage PHP ni de PHP-FPM. Aucun candidat ne correspond donc au sujet demandé. Aucun candidat ne concerne le sujet demandé PHP (langage et runtime PHP/php-fpm) : les occurrences de « php » désignent des noms de fichiers ou l’application php-travel-agency-system. Les autres candidats portent sur des produits sans lien avec PHP; aucune information vérifiée de la période n’est retenue pour ce sujet. Aucune vulnérabilité PHP pertinente n’est établie par ce lot pour la période. Les candidats décrivent des vulnérabilités d’applications distinctes utilisant PHP; leurs seules dates dans la période sont des modifications de fiches NVD, sans preuve d’un changement substantiel lié à PHP. Aucun candidat ne documente une vulnérabilité, un correctif ou un avis concernant PHP lui-même. Les entrées portent sur des applications distinctes écrites en PHP ou sur des composants de ces applications ; les seules dates de mise à jour NVD indiquées ne suffisent pas à établir un changement de sécurité substantiel durant la période. Aucun candidat fourni ne documente une vulnérabilité, un correctif, un avis de sécurité, une exploitation ou un changement substantiel concernant PHP lui-même dans la période demandée. Les candidats portent sur d’autres produits; la mention de PHP dans CVE-2026-28039 décrit une vulnérabilité…
Dolibarr : injection SQL dans la mise à jour des tiers
Une injection SQL est présente dans la mise à jour des tiers de Dolibarr via les paramètres de taxe locale, exploitable par un utilisateur authentifié disposant du droit de créer ou modifier des tiers. Les versions jusqu’à 23.0.0 inclus sont indiquées comme affectées ; aucun correctif n’est précisé dans la source.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; la source ne précise pas de version corrigée.
PhpSpreadsheet : contournement du scanner XML pouvant mener à une XXE et à un déni de service
Un contournement du contrôle XML dans le lecteur SpreadsheetML de PhpSpreadsheet peut permettre l’expansion d’entités XML, entraînant un déni de service et, dans certaines configurations, des lectures de fichiers ou des requêtes SSRF. Les branches et versions affectées ainsi que les correctifs correspondants sont indiqués dans l’avis ; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers PhpSpreadsheet 5.10.0 ou 3.10.8 selon la branche utilisée.
PhpSpreadsheet : contournement du scanner XML par séquences ISO-2022
Le scanner XML de PhpSpreadsheet ne détecte pas certains contenus XML dissimulés à l’aide de séquences d’échappement ISO-2022, ce qui permet une expansion d’entités et un déni de service. L’avis donne les versions corrigées pour les branches concernées ; les applications qui chargent des fichiers XLSX non fiables doivent mettre à niveau PhpSpreadsheet.
Action recommandée : Mettre à niveau vers la version corrigée correspondant à la branche utilisée.
PhpSpreadsheet : épuisement des ressources via les répétitions de lignes ODS
Le lecteur ODS de PhpSpreadsheet accepte sans limite l’attribut de répétition des lignes et peut matérialiser un très grand nombre de cellules lors du chargement d’un fichier. Un fichier spécialement conçu peut ainsi épuiser le processeur et la mémoire ; mettre à niveau vers la version corrigée de la branche utilisée.
Action recommandée : Mettre à niveau vers la version corrigée correspondant à la branche utilisée et éviter de charger des fichiers ODS non fiables avec des versions vulnérables.
Debian : mise à jour de sécurité pour php-mongodb
Debian a publié un avis de sécurité pour le pilote MongoDB de PHP, signalant plusieurs vulnérabilités susceptibles de provoquer un déni de service. L’extrait fourni ne précise ni les CVE, ni les versions affectées, ni les versions corrigées ; consulter l’avis Debian pour les instructions applicables à la version installée.
Action recommandée : Consulter l’avis Debian et appliquer la mise à jour de sécurité appropriée pour la version Debian utilisée.
WordPress
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a relevé dix avis CVE WordPress publiés le 2026-10-27 dans la période fixée : cinq concernent la falsification ou la validation de notifications de paiement, et les autres portent sur des XSS, une injection d’objet PHP avec élévation de privilèges, un contournement d’authentification et une suppression non autorisée de médias. Les versions corrigées ne sont pas établies par les informations vérifiées, sauf une indication de recherche pour CVE-2026-10752 qui n’est pas retenue ici comme version officiellement confirmée. Une nouvelle vulnérabilité du plugin MembershipWorks pour WordPress a été publiée pendant la période : les requêtes à l’API REST peuvent exposer du contenu réservé aux membres; la version 6.17 corrige le problème. Les autres candidats correspondent à des fiches NVD préexistantes dont les seules informations fournies ne démontrent pas un changement substantiel dans la période. Une vulnérabilité critique de Qode Membership, publiée dans la période, peut permettre la prise de contrôle de comptes WordPress. La source fournie ne précise pas de version corrigée.
Qode Membership : contournement d’authentification et prise de compte
Qode Membership jusqu’à la version 2.0.6.2 incluse présente un contournement d’authentification pouvant mener à la prise de contrôle de compte. L’avis indique qu’un attaquant non authentifié peut viser un compte existant, y compris administrateur, via l’action AJAX de connexion Facebook lorsque le nonce requis est accessible sur une page publique utilisant les shortcodes concernés.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et limiter l’exposition des fonctionnalités de connexion sociale.
Analytics Insights : XSS stocké via le titre de page
Analytics Insights – Google Analytics Dashboard for WordPress est vulnérable à un XSS stocké via le titre de page dans les versions jusqu’à 6.3.12 inclus. Un attaquant non authentifié peut injecter du script qui s’exécute lorsqu’un visiteur consulte une page affectée.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité.
Kirki : injection d’objet PHP et élévation de privilèges
Le plugin Kirki jusqu’à la version 6.2.5 inclus présente une injection d’objet PHP via la désérialisation d’une entrée non fiable, sans contrôle de capacité adéquat. Un attaquant authentifié disposant au minimum d’un rôle Subscriber peut, en présence de la chaîne POP décrite, viser une élévation de privilèges jusqu’à l’accès administrateur.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité.
Advanced Views : XSS stocké via les commentaires
Advanced Views – Display Framework for Gutenberg & Elementor jusqu’à la version 3.9.6 incluse présente un XSS stocké via le paramètre « comment ». L’avis décrit une exploitation possible sans authentification, y compris au moyen de commentaires en attente ou non approuvés, lorsque le commentaire est affiché dans une mise en page concernée.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et vérifier les mises en page affichant des commentaires.
MembershipWorks pour WordPress : exposition de contenu réservé via l’API REST
Une vulnérabilité du plugin MembershipWorks pour WordPress permet à des attaquants non authentifiés d’accéder à du contenu réservé aux membres via l’API REST WordPress. Le filtre qui masque ce contenu n’étant pas appliqué aux requêtes REST, il faut mettre à jour le plugin vers la version 6.17 ou ultérieure.
Action recommandée : Mettre à jour MembershipWorks vers la version 6.17 ou ultérieure.
Payex Payment Gateway : validation insuffisante des notifications de paiement
Payex Payment Gateway for WooCommerce jusqu’à la version 1.2.10 ne valide pas correctement l’authenticité des notifications de paiement si le secret de validation est vide par défaut. Un attaquant non authentifié peut forger une confirmation et faire marquer une commande comme payée.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et vérifier le secret de validation.
PayDunya WooCommerce Payment Gateway : notifications falsifiables
PayDunya WooCommerce Payment Gateway jusqu’à la version 1.1.6 ne vérifie pas correctement l’authenticité des notifications de paiement lorsque la passerelle n’est pas configurée. Un attaquant non authentifié peut alors fabriquer une notification et faire marquer des commandes comme payées et terminées.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et vérifier la configuration de la passerelle.
Payment Integration Wompi : falsification de notifications de paiement
Le plugin Payment Integration Wompi jusqu’à la version 4.0.1 ne vérifie pas correctement l’authenticité de certaines notifications de paiement lorsque le secret marchand n’a pas été configuré. Un attaquant non authentifié peut alors falsifier une notification et faire marquer une commande comme payée.
Action recommandée : Vérifier la configuration du secret marchand et appliquer une version corrigée dès sa disponibilité.
Jupiter X Core : XSS stocké via forget_password_link
Jupiter X Core jusqu’à la version 4.61.0 inclus est vulnérable à un XSS stocké via le paramètre « forget_password_link ». Un attaquant authentifié disposant au minimum du rôle Contributor peut injecter un script exécuté lors de la consultation d’une page affectée.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité.
ACF Extended : suppression non autorisée de pièces jointes
Advanced Custom Fields: Extended jusqu’à la version 0.9.2.6 incluse ne vérifie pas correctement les autorisations pour une action de suppression de médias. Un attaquant non authentifié peut supprimer des pièces jointes si le site possède un formulaire public configuré avec les conditions particulières décrites dans l’avis.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et vérifier les formulaires publics ACFE et leurs options de suppression.
TiendaCrypto para WooCommerce : vérification de webhook défectueuse
TiendaCrypto para WooCommerce jusqu’à la version 1.2.1 ne vérifie pas correctement la signature de son webhook de paiement, car la clé utilisée est toujours vide. Sous la condition technique décrite dans l’avis, un attaquant non authentifié peut falsifier des notifications et faire marquer des commandes comme payées.
Action recommandée : Appliquer une version corrigée dès sa disponibilité et vérifier le traitement des webhooks.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité du dépôt PrestaShop, les pages de sécurité du projet, Friends Of Presta et le Help Center. Aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel lié à PrestaShop n’a été vérifié comme daté dans la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les résultats pertinents trouvés concernaient des publications antérieures ou PHP lui-même, et non une vulnérabilité PrestaShop.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche dédiée au projet Cockpit n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu. Les résultats repérés concernant Cockpit sont antérieurs à cette période; aucun n’est retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche a repéré dans le dépôt GitHub de CloudPanel un ticket intitulé « 0Day Vulnerability », ouvert le 2026-10-27. Les éléments consultés ne fournissent pas de détails vérifiables sur la faille ni d’avis ou de correctif daté de la période demandée ; aucun item ne peut donc être constitué à partir de ces éléments. Les informations consultées sur les correctifs PHP CloudPanel concernent des dates antérieures à la période figée et sont exclues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Vérification incomplète
Un avis de sécurité Uptime Kuma publié le 2026-10-27 signale une élévation de privilèges affectant l’image Docker rootless jusqu’à la version 2.5.5 et corrigée en 2.5.6. Aucun candidat n’était fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
MariaDB
Recherche du sujet effectuée
La recherche dédiée sur MariaDB n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant MariaDB daté de la période demandée (du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu). Les avis visibles dans les résultats de recherche étaient antérieurs à cette fenêtre; les deux candidats fournis concernent d’autres produits.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche n’a pas permis de vérifier, pour phpMyAdmin, un avis de sécurité, un correctif ou une vulnérabilité confirmée daté de la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Une source secondaire rapporte une publication de chercheur le 27 octobre au sujet d’un possible contournement de WebAuthn, mais les éléments consultés ne fournissent ni avis éditeur confirmé ni identifiant stable permettant de constituer une fiche de vulnérabilité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La page de sécurité officielle de pgAdmin et les résultats consultés n’établissent aucun avis, correctif ou autre changement de sécurité pgAdmin daté de la période demandée (du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00). La version pgAdmin 4 v9.19 est annoncée le 2026-10-29, donc après la borne de fin, et n’est pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
Les sources consultées ne montrent pas de nouveauté Virtualmin répondant à la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les résultats pertinents repérés concernent soit des éléments antérieurs à cette période, soit une publication datée du 2026-10-28, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a identifié, dans les sources consultées, aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu. Les avis visibles dans les pages consultées portent sur d’autres dates et ne sont pas retenus pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel concernant Vue.js daté du 2026-10-27 dans la période demandée. Les résultats Vue.js trouvés étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée sur Vite n’a pas permis d’établir de vulnérabilité nouvelle, de correctif, d’exploitation ni de changement substantiel admissible dans la période du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. L’avis GHSA-fx2h-pf6j-xcff concerne une vulnérabilité publiée antérieurement; les éléments consultés ne démontrent pas que sa mise à jour du 27 octobre correspond à un changement substantiel. CVE-2026-34456 concerne Reviactyl, et non une vulnérabilité de Vite.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Vérification incomplète
La page des avis de sécurité Nuxt consultée répertorie cinq avis publiés le 27 octobre 2026 : quatre de gravité modérée et un de gravité faible. Les détails sur les versions affectées, correctifs et CVE ne sont pas établis dans les éléments consultés.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Next.js
Recherche du sujet effectuée
La recherche dédiée sur Next.js n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ni changement substantiel vérifié comme daté du 2026-10-27 dans la période demandée. Les avis Next.js repérés dans les résultats de recherche sont antérieurs à cette période; leur simple présence ou mise à jour ultérieure ne suffit pas à les retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub du projet React et recherché les publications datées du 27 octobre 2026. Les résultats consultés ne montrent pas d’avis React publié pendant la période ; le candidat CVE-2026-118132 concerne NextChat, et non une vulnérabilité du projet React.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche web dédiée aux avis Angular, aux avis GitHub et aux CVE/NVD n’a fait apparaître aucun avis, correctif, exploitation ni changement substantiel Angular daté du 2026-10-27 dans la période demandée. Les avis Angular visibles dans les résultats consultés sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée sur Astro n’a vérifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-10-27 dans la période demandée. Les avis Astro datés du 2026-10-28 sont postérieurs à la borne de fin et ont été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Vérification incomplète
La recherche a identifié trois candidats. Deux décrivent des vulnérabilités publiées antérieurement et dont la mise à jour NVD connue est antérieure à la période demandée; pour le troisième, les éléments consultés ne permettent pas d’établir si la modification du 27 octobre est substantielle.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
JavaScript
Vérification incomplète
Niveau relevé : Élevée
Un correctif pertinent pour la bibliothèque JavaScript DOMPurify a été identifié dans la période : CVE-2026-116802, corrigée en 3.4.17. Les candidats portant sur Go JOSE, YesWiki, des produits BloX/assistant et SemanticMediaWiki ont été écartés car ils ne décrivent pas une vulnérabilité du sujet JavaScript comme langage ou écosystème ; les trois premiers candidats Go JOSE concernent le langage Go. Les candidats fournis signalent des XSS dans SemanticMediaWiki, REDAXO et PowerShell Universal, ainsi que trois utilisations après libération touchant des composants JavaScript de Mozilla. Les fiches NVD citées ont été publiées le 27 octobre 2026, pendant la période demandée. Dix fiches NVD publiées le 27 octobre 2026 décrivent des vulnérabilités du moteur JavaScript de Firefox et Thunderbird et indiquent des versions correctives. Les extraits fournis ne précisent pas les versions affectées, les impacts détaillés ni l’exploitation connue. Les candidats datés de la période comprennent sept vulnérabilités des composants JavaScript de Firefox et Thunderbird, ainsi que trois vulnérabilités XSS dans tia Viewer, Kerio Connect et NextChat. Les mises à jour de fiches postérieures au 2026-10-27 ne sont pas utilisées pour établir de nouveaux événements ou des faits supplémentaires. Trois vulnérabilités JavaScript ont été publiées dans la période : deux concernant CKEditor 5 et une concernant follow-redirects. Les fiches NVD indiquent des correctifs; leurs mises à jour du 28 octobre sont hors de la période retenue. Aucune vulnérabilité nouvelle, aucun avis/correctif de sécurité ni changement substantiel pertinent pour JavaScript n’est établi dans la période à partir des candidats fournis. Les seules mises à jour datées du 27 octobre concernent des fiches NVD publiées antérieurement; les…
XSS stockée dans les widgets BloX
BloX permet une XSS stockée dans les widgets : le contenu HTML ou JavaScript reçu dans les paramètres desc et text de l’API peut s’exécuter lors de l’affichage du widget. La fiche fournie ne précise ni les versions touchées ni la version corrective ; consulter l’avis du mainteneur et appliquer son correctif dès disponibilité.
Action recommandée : Vérifier auprès du mainteneur les versions corrigées et appliquer le correctif dès sa disponibilité.
XSS via des images SVG dans l’API de sessions IA
Le traitement d’images SVG soumises à l’API /api/v2/ai/sessions peut permettre l’exécution de scripts intégrés lorsque le contenu est affiché dans la fenêtre de l’assistant. Les versions touchées et le correctif ne sont pas précisés dans les éléments fournis ; vérifier l’avis du mainteneur et appliquer sa mise à jour corrective.
Action recommandée : Vérifier auprès du mainteneur les versions corrigées et appliquer le correctif dès sa disponibilité.
Pollution de prototype et exécution de JavaScript dans CKEditor 5 — CVE-2026-116688
CKEditor 5 utilise une version vulnérable de es-toolkit dont le comportement de pollution de prototype est atteignable pendant le traitement des valeurs d’attribut style; un contenu d’éditeur construit peut alors provoquer une exécution de JavaScript dans le navigateur. Les versions concernées sont 45.0.0 à 47.7.3 et 48.0.0 à 48.5.0; la correction est disponible dans 47.7.4 et 48.5.1.
Action recommandée : Mettre à niveau vers CKEditor 5 47.7.4 ou 48.5.1.
DOMPurify — XSS via attributs SVG en mode XHTML
DOMPurify avant 3.4.17 présente un contournement du filtrage XSS dans certaines configurations XHTML : la casse de l’attribut attributeName n’est pas normalisée, ce qui peut laisser passer une référence javascript: dans un SVG. Mettre à jour vers DOMPurify 3.4.17 ou ultérieur ; le scénario décrit dépend notamment du mode XHTML et des éléments et attributs autorisés.
Action recommandée : Mettre à jour DOMPurify vers la version 3.4.17 ou ultérieure et vérifier les réglages XHTML/SVG de l’assainisseur.
tia Viewer : XSS persistante via les annotations
tia Viewer présente une faille XSS persistante liée à l’absence de validation des annotations : un utilisateur authentifié peut y injecter du JavaScript qui s’exécute lorsqu’un document est ouvert. La faille est corrigée dans la version 1.2.8 ; mettre à niveau le logiciel.
Action recommandée : Mettre à niveau tia Viewer vers la version 1.2.8.
XSS persistante dans le Webmail de GFI Kerio Connect
Kerio Connect antérieur à 10.0.8 Patch 2 présente une XSS persistante dans Webmail, déclenchée par une pièce jointe SVG dont les attributs de gestionnaire d’événement échappent à l’assainissement. Le script peut s’exécuter dans la session Webmail authentifiée de la victime; installer le correctif 10.0.8 Patch 2.
Action recommandée : Mettre à jour Kerio Connect vers 10.0.8 Patch 2 ou une version ultérieure.
follow-redirects : en-têtes sensibles potentiellement transmis lors d’une redirection
Dans follow-redirects, l’option sensitiveHeaders pouvait être ignorée lorsqu’elle contenait un tableau créé dans un autre environnement JavaScript. Lors d’une redirection inter-origine contrôlée par un attaquant, un en-tête d’identification personnalisé pouvait alors être transmis à la destination.
Action recommandée : Mettre à jour follow-redirects vers 1.16.2 ou une version ultérieure.
XSS stockée dans les info-bulles de SemanticMediaWiki
SemanticMediaWiki comporte une XSS stockée dans le rendu des info-bulles : des attributs `data-*` sont rendus avec `innerHTML` et HTML autorisé. Un éditeur peut ainsi exécuter du JavaScript dans le navigateur des personnes qui survolent le contenu, y compris des administrateurs.
Action recommandée : Mettre à niveau SemanticMediaWiki vers la version 7.3.1 ou ultérieure.
XSS stockée dans Semantic MediaWiki
Semantic MediaWiki présente une XSS stockée liée aux valeurs de propriétés External identifier, rendues sans échappement sur Special:Browse. Un utilisateur autorisé à modifier une page peut ainsi provoquer l’exécution de JavaScript dans le navigateur des lecteurs ; mettre à niveau vers la version 7.3.1 ou ultérieure.
Action recommandée : Mettre à niveau Semantic MediaWiki vers la version 7.3.1 ou ultérieure.
XSS stockée dans les propriétés Keyword de Semantic MediaWiki
Semantic MediaWiki présente une XSS stockée lorsque des valeurs de propriétés de type Keyword sont rendues sans échappement sur Special:Browse. Un utilisateur ayant le droit de modifier une page peut faire exécuter du JavaScript dans le navigateur des lecteurs ; mettre à niveau vers la version 7.3.1 ou ultérieure.
Action recommandée : Mettre à niveau Semantic MediaWiki vers la version 7.3.1 ou ultérieure.
XSS stockée dans les schémas de groupes de SemanticMediaWiki
SemanticMediaWiki présente une XSS stockée dans le nom canonique d’un schéma de groupe de propriétés, rendu sans échappement dans les titres de Special:Browse. Une personne disposant du droit `smw-schemaedit` peut y injecter du balisage provoquant l’exécution de JavaScript chez les visiteurs.
Action recommandée : Mettre à niveau SemanticMediaWiki vers la version 7.3.1 ou ultérieure.
XSS stockée dans les propriétés Code de SemanticMediaWiki
SemanticMediaWiki présente une XSS stockée dans les valeurs de propriétés de type Code rendues sans échappement sur Special:Browse. Un utilisateur autorisé à modifier une page peut incorporer du balisage dans une valeur JSON valide et provoquer l’exécution de JavaScript chez les visiteurs.
Action recommandée : Mettre à niveau SemanticMediaWiki vers la version 7.3.1 ou ultérieure.
XSS stockée dans YesWiki
YesWiki présente une XSS stockée dans la page des sites référents : un attaquant non authentifié peut faire afficher du JavaScript injecté à partir d’un en-tête Referer spécialement construit. Les visiteurs de cette page peuvent alors subir des actions exécutées dans leur session ; mettre à niveau vers YesWiki 4.7.0 ou une version ultérieure.
Action recommandée : Mettre à niveau YesWiki vers la version 4.7.0 ou ultérieure.
Nodemailer : déni de service par retour arrière quadratique des expressions SMTP AUTH
Des expressions régulières utilisées pour détecter les mécanismes SMTP AUTH dans la réponse EHLO peuvent subir un retour arrière quadratique lorsqu’une ligne contient une longue séquence d’espaces sans mécanisme correspondant. Un serveur SMTP malveillant ou un attaquant intermédiaire peut ainsi bloquer la boucle d’événements Node.js avant authentification; la correction est disponible dans Nodemailer 10.0.13.
Action recommandée : Mettre à niveau Nodemailer vers 10.0.13 ou une version ultérieure.
XSS conditionnelle dans CKEditor 5 — CVE-2026-116687
Dans CKEditor 5, du balisage spécialement conçu peut provoquer une exécution de JavaScript dans un contexte isolé de l’origine de l’application lorsque General HTML Support est activé et autorise le contenu object. Les versions concernées sont 29.0.0 à 47.7.3 et 48.0.0 à 48.5.0; mettre à niveau vers 47.7.4 ou 48.5.1.
Action recommandée : Mettre à niveau vers CKEditor 5 47.7.4 ou 48.5.1; vérifier que General HTML Support n’autorise pas le contenu object si la mise à niveau est différée.
XSS réfléchie dans le backend de REDAXO
REDAXO présente une XSS réfléchie dans l’API des paquets du backend : un paramètre function est intégré sans échappement dans un message d’erreur. Un utilisateur authentifié du backend peut être ciblé par un lien spécialement construit ; mettre à niveau vers REDAXO 5.21.0 ou ultérieur.
Action recommandée : Mettre à niveau REDAXO vers la version 5.21.0 ou ultérieure.
dcmjs : contournement de validation des valeurs DS et IS
dcmjs ne valide pas correctement certaines valeurs DICOM DS et IS, ce qui peut produire des valeurs Infinity ou NaN et accepter une notation scientifique non conforme pour IS. La version 0.52.0 corrige le problème ; les utilisateurs de versions antérieures doivent effectuer la mise à niveau.
Action recommandée : Mettre à niveau dcmjs vers la version 0.52.0 ou ultérieure et valider les valeurs numériques reçues dans les applications consommatrices.
Firefox et Thunderbird corrigent une vulnérabilité de limites dans le moteur JavaScript
Une condition de limite incorrecte dans le moteur JavaScript est corrigée dans les versions indiquées. Les informations fournies ne précisent pas davantage les conséquences possibles ni les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent une erreur de compilation JIT dans JavaScript
Une erreur de compilation JIT dans le moteur JavaScript est corrigée dans les versions indiquées. La source ne fournit pas de précisions sur l’impact ni sur les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent une utilisation après libération dans le JIT JavaScript
Une utilisation après libération dans le composant JIT du moteur JavaScript est corrigée dans les versions indiquées. Les données fournies ne précisent pas l’impact ni les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent une utilisation après libération dans le JIT JavaScript
Une utilisation après libération dans le composant JIT du moteur JavaScript est corrigée dans les versions indiquées. La source ne précise ni l’impact ni les versions vulnérables.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent une utilisation après libération dans le GC JavaScript
Une utilisation après libération dans le composant GC de JavaScript est corrigée dans les versions indiquées. Les éléments fournis ne détaillent pas l’impact ni les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent une utilisation après libération dans le GC JavaScript
Une utilisation après libération dans le composant GC de JavaScript est corrigée dans les versions indiquées. La source ne fournit pas d’information plus précise sur l’impact ou les versions vulnérables.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent un pointeur invalide dans le moteur JavaScript
Un pointeur invalide dans le moteur JavaScript est corrigé dans les versions indiquées. Les informations disponibles ne précisent ni les conséquences ni les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent un pointeur invalide dans le moteur JavaScript
Un pointeur invalide dans le moteur JavaScript est corrigé dans les versions indiquées. La source ne précise pas l’impact ni les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent des conditions de limite dans le JIT JavaScript
Des conditions de limite incorrectes dans le composant JIT du moteur JavaScript sont corrigées dans les versions indiquées. La source ne fournit pas de détails sur l’impact ni sur les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird corrigent des conditions de limite dans le moteur JavaScript
Des conditions de limite incorrectes dans le moteur JavaScript sont corrigées dans les versions indiquées. Les informations fournies ne précisent ni l’impact ni les versions affectées.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers les versions correctives indiquées.
Firefox et Thunderbird : erreur de compilation JIT dans le composant WebAssembly JavaScript
Une erreur de compilation JIT dans le composant WebAssembly JavaScript de Firefox et Thunderbird est signalée. Mozilla indique que le problème est corrigé dans les versions précisées ; mettez à jour les produits concernés.
Action recommandée : Mettre à jour Firefox, Firefox ESR ou Thunderbird vers une version corrigée.
Firefox et Thunderbird : pointeur invalide dans le JIT JavaScript
Un pointeur invalide dans le composant JIT du moteur JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans les versions indiquées ; installez une version corrigée.
Action recommandée : Mettre à jour Firefox, Firefox ESR ou Thunderbird vers une version corrigée.
Firefox et Thunderbird : pointeur invalide dans le JIT JavaScript
Un pointeur invalide dans le composant JIT du moteur JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans les versions indiquées ; installez une version corrigée.
Action recommandée : Mettre à jour Firefox, Firefox ESR ou Thunderbird vers une version corrigée.
Firefox et Thunderbird : use-after-free dans le ramasse-miettes JavaScript
Un use-after-free dans le composant de ramasse-miettes JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans les versions indiquées ; installez une version corrigée.
Action recommandée : Mettre à jour Firefox, Firefox ESR ou Thunderbird vers une version corrigée.
Firefox et Thunderbird : use-after-free dans le ramasse-miettes JavaScript
Un use-after-free dans le composant de ramasse-miettes JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans Firefox 159 et Thunderbird 159 ; mettez à jour les produits concernés.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers la version 159 ou ultérieure.
Firefox et Thunderbird : use-after-free dans le JIT JavaScript
Un use-after-free dans le composant JIT du moteur JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans Firefox 159 et Thunderbird 159 ; mettez à jour les produits concernés.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers la version 159 ou ultérieure.
Firefox et Thunderbird : pointeur invalide dans le ramasse-miettes JavaScript
Un pointeur invalide dans le composant de ramasse-miettes JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans Firefox 159 et Thunderbird 159 ; mettez à jour les produits concernés.
Action recommandée : Mettre à jour Firefox ou Thunderbird vers la version 159 ou ultérieure.
XSS dans l’éditeur de plugins de NextChat
NextChat 2.16.1 présente une XSS côté client dans l’éditeur de plugins: le schéma OpenAPI chargé depuis une URL distante est rendu sans assainissement adéquat. Un contenu malveillant peut exécuter du JavaScript dans l’origine NextChat et accéder aux données accessibles côté client; aucun correctif n’est indiqué dans les informations fournies.
XSS dans les notifications de PowerShell Universal
La fonction de notifications de Devolutions PowerShell Universal permet à un utilisateur autorisé à créer des notifications de faire exécuter du JavaScript dans le navigateur d’un autre utilisateur via une URL cible malveillante. Les versions concernées sont 2026.3.0 et antérieures ; la fiche fournie ne donne pas de version corrective, à confirmer auprès de l’éditeur.
Action recommandée : Consulter l’avis de Devolutions pour obtenir la version corrigée et appliquer la mise à jour dès disponibilité.
Use-after-free dans le ramasse-miettes JavaScript de Firefox et Thunderbird
Un use-after-free a été signalé dans le composant JavaScript: GC de Firefox et Thunderbird. Mozilla indique que le défaut est corrigé dans Firefox 159, Firefox ESR 153.6, Thunderbird 159 et Thunderbird 153.6 ; installer la version corrigée adaptée au produit utilisé.
Action recommandée : Installer Firefox 159, Firefox ESR 153.6, Thunderbird 159 ou Thunderbird 153.6, selon le produit utilisé.
Use-after-free dans le moteur JavaScript de Firefox et Thunderbird
Un use-after-free affecte le composant JavaScript Engine de Firefox et Thunderbird. Le défaut est indiqué comme corrigé dans Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 et Thunderbird 153.6 ; installer la version corrigée correspondant au produit utilisé.
Action recommandée : Installer l’une des versions corrigées indiquées pour Firefox, Firefox ESR ou Thunderbird.
Use-after-free dans la bibliothèque standard JavaScript de Firefox et Thunderbird
Un use-after-free a été identifié dans la bibliothèque standard JavaScript de Firefox et Thunderbird. Le défaut est indiqué comme corrigé dans Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 et Thunderbird 153.6 ; installer la version corrigée adaptée au produit utilisé.
Action recommandée : Installer l’une des versions corrigées indiquées pour Firefox, Firefox ESR ou Thunderbird.
HTML5
Recherche du sujet effectuée
Niveau relevé : Faible
Un avis NVD publié le 27 octobre 2026 décrit CVE-2026-18451, une faiblesse de génération de jeton dans la console HTML5 KVM-over-IP Supermicro. La recherche n’a pas établi de version corrigée précise ni confirmé d’exploitation active.
CVE-2026-18451 — Jeton devinable dans la console HTML5 KVM-over-IP Supermicro
Une faiblesse dans la génération du jeton de session de la console HTML5 KVM-over-IP de Supermicro pourrait permettre à un attaquant de deviner ce jeton et de prendre le contrôle d’une session KVM. Le bulletin concerne le modèle MBD-X12SPI; la fiche consultée ne permet pas de confirmer une version corrigée précise.
Action recommandée : Consulter l’avis Supermicro et appliquer le firmware correctif indiqué par le fabricant; la version corrigée n’a pas pu être confirmée dans les sources consultées.
CSS3
Vérification incomplète
La recherche a relevé deux CVE liées à des composants CSS de Firefox, rapportées comme corrigées dans des avis Mozilla associés au 27 octobre 2026. Les détails par CVE et les versions mentionnées reposent en partie sur des sources secondaires; les éléments disponibles ne permettent pas d’attribuer un score ou une gravité propre à chacune.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Tailwind CSS
Recherche du sujet effectuée
La recherche dédiée à Tailwind CSS n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif de sécurité ni d’exploitation daté de la période demandée. Les résultats consultés portant sur d’autres produits ou sur des paquets tiers au nom ressemblant ont été écartés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée n’a établi aucune nouveauté de sécurité attribuable au projet Bootstrap (framework) pendant la période du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu. La page GitHub des avis de sécurité de twbs/bootstrap ne présente aucun avis publié; les candidats fournis concernent d’autres produits ou des événements hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
Pour webpack lui-même, les sources consultées ne montrent pas de nouvelle vulnérabilité, d’avis de sécurité ni de correctif daté du 2026-10-27. Les avis récents retrouvés concernent webpack-dev-server, qui est un projet distinct et hors du sujet unique demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
Recherche web dédiée effectuée sur esbuild. Les résultats consultés n’établissent aucune vulnérabilité nouvelle, aucun avis/correctif de sécurité ni changement substantiel daté du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu ; les avis esbuild trouvés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche web dédiée n’a pas permis d’identifier de source vérifiable établissant une nouveauté de sécurité concernant le projet Parcel pendant la période demandée. Cela ne permet pas de conclure qu’aucune nouveauté n’a été publiée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
Quatre avis portant sur des bibliothèques de l’écosystème Node.js ont été publiés dans la période : deux concernent systeminformation, un follow-redirects et un dd-trace. Les candidats NVD portant sur Nodemailer, brace-expansion, node-forge et Handlebars ont été exclus : leurs dates de publication ou les mises à jour mentionnées ne correspondent pas à un événement substantiel dans la fenêtre demandée. Aucun événement Node.js admissible n’est établi dans ce lot pour la période demandée. Les candidats décrivent des vulnérabilités publiées entre mars et avril 2026 ; leur seule date dans la période est une mise à jour NVD du 27 octobre à 00:10 (+02:00), sans preuve fournie d’un changement substantiel. Aucun candidat ne documente une vulnérabilité nouvelle, un correctif ou un avis de sécurité, une exploitation ou un changement substantiel daté dans la période demandée. Les candidats indiquent des publications antérieures et une mise à jour NVD au 2026-10-26, avant le début de la période; ces seules modifications de fiches ne constituent pas un événement admissible. Aucun événement de sécurité Node.js daté de la période n’est établi par les éléments fournis. Les candidats sont des fiches NVD publiées antérieurement dont la date de mise à jour tombe dans la période, sans indication d’un changement substantiel de sécurité à cette date. Trois avis de sécurité datés du 2026-10-27 concernent des composants JavaScript utilisés avec Node.js : une pollution de prototype dans systeminformation et deux dénis de service dans le client SMTP de Nodemailer. Les avis indiquent respectivement les correctifs 5.33.13, 10.0.10 et 10.0.13.
dd-trace : consommation excessive de CPU par l’expression régulière d’obfuscation
Dans dd-trace, l’expression régulière par défaut d’obfuscation des chaînes de requête pouvait effectuer un retour arrière excessif sur des URL contrôlées par un attaquant. Comme ce traitement est synchrone lors de l’enregistrement des métadonnées HTTP, une requête conçue à cet effet pouvait consommer beaucoup de CPU et ralentir ou bloquer l’application instrumentée.
Action recommandée : Mettre à jour vers dd-trace 5.131.1 ou 6.20.1, selon la branche utilisée.
follow-redirects : en-têtes sensibles potentiellement transmis lors d’une redirection
Dans follow-redirects, l’option sensitiveHeaders pouvait être ignorée lorsqu’elle contenait un tableau créé dans un autre environnement JavaScript. Lors d’une redirection inter-origine contrôlée par un attaquant, un en-tête d’identification personnalisé pouvait alors être transmis à la destination.
Action recommandée : Mettre à jour follow-redirects vers 1.16.2 ou une version ultérieure.
Nodemailer : déni de service par retour arrière quadratique des expressions SMTP AUTH
Des expressions régulières utilisées pour détecter les mécanismes SMTP AUTH dans la réponse EHLO peuvent subir un retour arrière quadratique lorsqu’une ligne contient une longue séquence d’espaces sans mécanisme correspondant. Un serveur SMTP malveillant ou un attaquant intermédiaire peut ainsi bloquer la boucle d’événements Node.js avant authentification; la correction est disponible dans Nodemailer 10.0.13.
Action recommandée : Mettre à niveau Nodemailer vers 10.0.13 ou une version ultérieure.
systeminformation : pollution de prototype via le cache des statistiques réseau
Une pollution de `Object.prototype` peut survenir dans `systeminformation` sur FreeBSD, OpenBSD et NetBSD lorsqu’un nom d’interface contrôlé vaut `proto`. Les données de statistiques réseau sont alors écrites sur l’objet prototype et peuvent perturber des traitements qui reposent sur ses propriétés héritées ou énumérables.
Action recommandée : Mettre à niveau systeminformation vers 5.33.13 ou une version ultérieure.
Nodemailer : déni de service par parsing quadratique des réponses SMTP
Une réponse SMTP malveillante contenant de nombreuses lignes de continuation peut faire traiter le parseur de Nodemailer avec une complexité quadratique et bloquer la boucle d’événements Node.js avant authentification. Le problème touche les versions 3.0.0 à 10.0.9 et est corrigé dans la version 10.0.10.
Action recommandée : Mettre à niveau Nodemailer vers 10.0.10 ou une version ultérieure.
systeminformation : divulgation de fichier par traversal de chemin dans networkStats() sous Linux
Dans systeminformation sous Linux, networkStats(iface) pouvait suivre un chemin fourni par l’appelant et des liens symboliques hors de /sys/class/net, puis divulguer la première ligne d’un fichier lisible par le processus Node.js. Le scénario décrit nécessite un accès local et la possibilité de préparer les répertoires et liens symboliques concernés.
Action recommandée : Mettre à jour systeminformation vers 5.33.14 ou une version ultérieure.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche a identifié des avis ou publications de sécurité dans la période pour dd-trace-py, Authlib, le SDK Python MCP, MLflow et OpenTelemetry Python. Les deux entrées NVD de modification seule ont été écartées : les éléments disponibles ne démontrent pas un changement substantiel de sécurité daté dans la période. Aucun événement de sécurité Python daté de la période n’est établi par les éléments fournis. Les candidats décrivent des vulnérabilités publiées auparavant et indiquent une mise à jour NVD le 2026-10-26T22:10:00.163Z, soit le 2026-10-27 à 00:10:00.163+02:00, mais ne précisent pas la nature de cette modification; cette seule date ne permet pas de conclure à un changement substantiel. Aucun changement substantiel daté dans la période n’est établi par les éléments fournis. Les candidats décrivent des vulnérabilités publiées antérieurement et signalent des mises à jour NVD, sans préciser de changement de fond apporté aux fiches. Aucune nouveauté, aucun correctif ni changement substantiel daté de la période n’est établi par les éléments fournis. Les dix entrées sont des modifications de fiches NVD concernant des vulnérabilités publiées le 19 octobre 2026, sans indication permettant de déterminer qu’un changement substantiel a eu lieu le 27 octobre. Aucun événement admissible n’est établi pour Python dans la période. Les candidats sont des fiches NVD dont la publication initiale précède la période ; leur seule date de mise à jour dans la période ne prouve pas un changement substantiel admissible. Aucun élément du lot ne peut être retenu comme événement de sécurité nouveau ou substantiellement daté dans la période demandée : les fiches indiquent des publications antérieures au 27 octobre et ne documentent que des mises à jour NVD ce jour-là. En l’absence de pre…
MLflow — exécution de code possible via la désérialisation de scorers tiers
Dans MLflow, la désérialisation de scorers tiers accepte des modules descendants de modules autorisés au lieu d’exiger une correspondance exacte ; un module placé via les mécanismes d’artefacts peut ensuite être importé lors de l’invocation du scorer. Les versions ≥3.12.0rc0 et <3.17.0 sont concernées ; mettre à niveau vers 3.17.0, avec une exposition particulièrement forte lorsque le serveur est accessible sans authentification et que le répertoire autorisé est modifiable par le processus.
Action recommandée : Mettre à niveau MLflow vers 3.17.0 ou une version ultérieure et limiter l’accès au serveur ainsi que les droits d’écriture du processus sur les paquets de scorers.
MONAI : valeurs DICOM invalides pouvant perturber ou interrompre l’inférence
Un fichier DICOM conçu à cet effet peut provoquer un plantage de MONAILabel ou fausser silencieusement les résultats d’inférence en faisant passer des valeurs NaN ou infinies dans le traitement spatial. Le problème tient à l’absence de validation de ces valeurs dans la chaîne pydicom/MONAI ; mettre MONAI à jour en version 1.6.1 ou ultérieure.
Action recommandée : Mettre à jour MONAI vers 1.6.1 ou une version ultérieure et valider les métadonnées DICOM avant leur utilisation en inférence.
Agno : exécution de code via le champ `field_type` de FunctionCall
Agno utilisait `eval()` sur le champ `field_type` de données FunctionCall pouvant être influencées par un utilisateur, ce qui peut permettre l’exécution de code arbitraire dans le processus. La faille concerne les versions antérieures à 2.3.24 ; mettre à niveau vers 2.3.24 ou une version ultérieure.
Action recommandée : Mettre à niveau Agno vers 2.3.24 ou une version ultérieure ; limiter l’accès aux entrées FunctionCall non fiables jusqu’à la mise à jour.
Authlib : vérification JWS contournée avec un tableau de signatures vide
Authlib peut traiter comme vérifié un JWS JSON dont le tableau `signatures` est vide, sans vérifier de signature cryptographique. Les versions jusqu’à 1.8.0 sont concernées selon l’avis ; mettre à jour vers 1.9.0 ou une version ultérieure.
Action recommandée : Mettre à jour Authlib vers 1.9.0 ou ultérieure et ne pas considérer un JWS JSON comme authentifié sans signature vérifiée.
PyMongo : lecture hors limites et arrêt du processus lors du décodage BSON d’un Regex malformé
Le décodeur BSON de l’extension C de PyMongo peut lire hors limites lors du décodage d’un élément Regex malformé depuis certains tampons sans sentinelle NUL, provoquant un arrêt du processus. Les versions de `3.9.0` à `4.18.2` sont indiquées comme affectées lorsque l’extension C est chargée ; la correction est disponible dans `4.18.3`.
Action recommandée : Mettre à jour PyMongo vers 4.18.3 ; en attendant, décoder le BSON non fiable uniquement depuis des tampons terminés par NUL ou en copier l’entrée `mmap`.
NLTK : les contrôles de sécurité de pathsec sont désactivés par défaut
NLTK ne bloque pas par défaut les violations détectées par les contrôles de sécurité de `pathsec` : les fonctions concernées émettent un avertissement, puis poursuivent l’opération. L’avis indique que les versions jusqu’à 3.9.4 sont touchées et que la correction est disponible dans 3.10.0 ; il recommande aussi d’activer `NLTK_PATHSEC_ENFORCE=1` sur les versions concernées.
Action recommandée : Mettre à niveau NLTK vers 3.10.0 ou une version ultérieure ; à défaut, activer `NLTK_PATHSEC_ENFORCE=1`.
dd-trace-py — consommation excessive de CPU lors de l’obfuscation des chaînes de requête
Dans dd-trace-py, l’expression régulière par défaut d’obfuscation des chaînes de requête peut subir un retour arrière excessif lorsqu’elle traite des URL contrôlées par un attaquant, consommant beaucoup de CPU et pouvant ralentir ou interrompre le service. Les versions affectées sont ≥1.5.0 et <3.19.9 dans la branche 3.x, ainsi que ≥4.0.0 et <4.15.6 dans la branche 4.x ; mettre à niveau vers 3.19.9 ou 4.15.6.
Action recommandée : Mettre à niveau dd-trace-py vers 3.19.9 ou 4.15.6, selon la branche utilisée.
dd-trace-py : déni de service lié à l’instrumentation IAST
Une erreur dans l’instrumentation IAST de dd-trace-py peut terminer le processus lors d’opérations de traitement de chaînes sur des entrées contrôlées par un attaquant. Le problème ne concerne que les applications avec IAST activé et les versions `>= 3.13.0, < 4.15.5` ; la correction est en `4.15.5`.
Action recommandée : Mettre à jour dd-trace-py vers 4.15.5 ; sinon désactiver IAST ou appliquer le contournement indiqué.
Authlib — contrôle insuffisant des droits sur les enregistrements de clients
Les exemples documentés d’Authlib pour authentifier et vérifier les permissions d’un client dans ClientConfigurationEndpoint ne vérifient pas que l’identifiant fourni dans les justificatifs appartient au client ciblé. Dans les déploiements qui suivent ces deux exemples, un détenteur d’un jeton d’accès valide peut potentiellement consulter, modifier ou supprimer l’enregistrement d’un autre client ; mettre à niveau vers 1.9.1.
Action recommandée : Mettre à niveau Authlib vers 1.9.1 et vérifier les implémentations de ClientConfigurationEndpoint.
NLTK : chemins de modèle Weka non validés contournant le confinement de chemins
WekaClassifier de NLTK transmet des chemins de modèle contrôlés par l’appelant à la JVM Weka sans appliquer les contrôles de confinement de chemins décrits dans l’avis. Selon l’avis, cela permet notamment une écriture hors des répertoires NLTK autorisés et une lecture ou analyse de fichiers ; la version corrigée indiquée est NLTK 3.10.4.
Action recommandée : Mettre à jour NLTK vers 3.10.4 ou ultérieure et ne pas laisser des entrées non fiables choisir les chemins de modèle Weka.
msgpack-python : fuite mémoire et défaut de références sur des décodages rejetés
Le module C de msgpack-python peut conserver en mémoire une valeur décodée lorsqu’il rejette une clé de map invalide avec `strict_map_key=True`, provoquant une croissance mémoire répétée lors du traitement d’entrées malformées. L’avis signale aussi un défaut distinct de gestion de références dans l’Unpacker en flux, susceptible d’entraîner des plantages ; mettre à jour vers msgpack 1.2.3 ou ultérieure.
Action recommandée : Mettre à jour msgpack vers 1.2.3 ou ultérieure ; si nécessaire, évaluer le repli Python pur, réduire les tailles de requête et appliquer des limites de débit.
GitPython : retour arrière quadratique lors de l’analyse de lignes d’identité malformées
Une expression régulière de GitPython pouvait provoquer un retour arrière quadratique lors de l’analyse de lignes d’identité Git malformées, entraînant un ralentissement important. Le problème concerne les versions jusqu’à 3.1.62 et est corrigé dans la version 3.2.0.
Action recommandée : Mettre à niveau GitPython vers la version 3.2.0.
GitPython : exécution de commandes via un refspec non vérifié dans Remote.pull()
GitPython `Remote.pull()` ne vérifie pas le `refspec` positionnel avec son garde-fou contre `–upload-pack`, ce qui peut permettre l’exécution de commandes si une application transmet une valeur contrôlée par un attaquant. Le scénario concerne les transports locaux ou SSH et les versions de GitPython `>= 3.1.30, < 3.2.0` ; mettre à jour vers `3.2.0`.
Action recommandée : Mettre à jour GitPython vers 3.2.0 ; ne pas transmettre de `refspec` contrôlé par un utilisateur à `Remote.pull()`.
GitPython : lecture de fichiers arbitraires via un nom de branche dans Head.checkout()
Dans GitPython, `Head.checkout()` ne contrôle pas un nom de branche positionnel pouvant être interprété comme une option, ce qui peut conduire à la lecture de fichiers arbitraires lorsque le nom est construit de façon malveillante. L’avis présente ce problème comme une correction incomplète de CVE-2026-78679 ; les versions indiquées comme affectées sont `<= 3.1.62`, avec correction en `3.2.0`.
Action recommandée : Mettre à jour GitPython vers 3.2.0 et éviter de passer à `Head.checkout()` des noms de branche non fiables.
Strands Agents : risque d’écrasement de fichier via les liens symboliques dans le stockage des sessions
Le gestionnaire de sessions fichier de Strands Agents écrit dans un chemin temporaire prévisible et suit les liens symboliques, ce qui peut permettre à un attaquant local d’écraser un fichier accessible au processus ou de modifier des données de session. Les versions antérieures à `1.48.0` sont affectées ; mettre à jour vers `1.48.0`.
Action recommandée : Mettre à jour `strands-agents` vers 1.48.0.
vLLM : exécution de code via code_revision contrôlable dans les requêtes multimodales
Dans certaines configurations vLLM, un client peut contrôler `mm_processor_kwargs.code_revision` et faire charger du code Python provenant d’une révision contrôlée du dépôt du modèle. Le risque concerne les modèles à code dynamique lorsque `trust_remote_code` est activé ; mettre à jour vLLM vers `0.31.0`.
Action recommandée : Mettre à jour vLLM vers 0.31.0 ; désactiver `trust_remote_code` si son activation n’est pas indispensable et protéger les points d’accès exposés.
Authlib : contournement du contrôle de clé publique permettant la falsification de jetons HMAC
Authlib ne rejette pas certaines clés publiques PEM ou certificats dont les octets ne commencent pas directement par l’en-tête PEM ; ces clés peuvent alors être utilisées comme secrets HMAC et permettre la falsification de jetons dans les configurations décrites. L’avis indique les versions `>= 1.3.1, <= 1.8.0` comme affectées et la correction en `1.9.0`.
Action recommandée : Mettre à jour Authlib vers 1.9.0 et vérifier que les clés de vérification ne sont pas interprétables comme secrets HMAC.
NLTK : absence de vérification d’intégrité du paquet téléchargé avant extraction
Le téléchargeur de NLTK, selon l’avis, n’effectue pas de vérification d’intégrité après le téléchargement et avant l’extraction du paquet. Les versions jusqu’à 3.9.2 sont indiquées comme touchées et la version 3.9.3 comme corrigée ; mettre à niveau vers une version corrigée est l’action recommandée.
Action recommandée : Mettre à niveau NLTK vers 3.9.3 ou une version ultérieure.
SDK Python MCP — acceptation possible de jetons bearer destinés à une autre ressource
Dans le SDK Python MCP, l’authentification serveur par jeton bearer peut accepter un jeton valide destiné à une autre ressource lorsque le serveur d’autorisation sert plusieurs ressources et que le TokenVerifier ne vérifie pas lui-même l’audience. Les versions ≥1.10.0 et <1.30.0, ainsi que ≥2.0.0 et <2.2.0, sont concernées selon la fiche candidate ; mettre à niveau vers 1.30.0 ou 2.2.0.
Action recommandée : Mettre à niveau vers la version corrigée de la branche utilisée et vérifier que le TokenVerifier valide l’audience.
SDK Python MCP — transmission de justificatifs lors de redirections inter-origines
Plusieurs clients HTTP du SDK Python MCP peuvent suivre une redirection vers une autre origine en transmettant des en-têtes d’identification personnalisés et, pour les réponses 307 ou 308, le corps de la requête. Si un attaquant peut influencer la destination de redirection d’un point de terminaison de confiance, ces données peuvent lui être divulguées ; mettre à niveau vers 1.30.0 ou 2.2.0.
Action recommandée : Mettre à niveau vers 1.30.0 ou 2.2.0, selon la branche utilisée.
SDK Python MCP — résolution de références de schéma pouvant accéder au réseau ou aux fichiers locaux
Le SDK Python MCP valide certains schémas outputSchema déclarés par le serveur avec le résolveur par défaut de jsonschema ; une référence `$ref` non résolue peut provoquer la récupération d’une URL HTTP, HTTPS ou file depuis le contexte réseau ou système de fichiers du client. Les versions ≥1.10.0 et <1.30.0, ainsi que ≥2.0.0 et <2.2.0, sont concernées selon la fiche candidate ; mettre à niveau vers 1.30.0 ou 2.2.0.
Action recommandée : Mettre à niveau vers 1.30.0 ou 2.2.0, selon la branche utilisée.
OpenTelemetry Python — limites manquantes sur les valeurs baggage du propagateur Jaeger
Dans le propagateur Jaeger d’OpenTelemetry Python, l’extraction de valeurs baggage entrantes `uberctx-*` ne limite pas le nombre d’entrées ni leur taille individuelle ou totale. Les services utilisant ce propagateur optionnel peuvent subir une consommation inutile de CPU et des allocations mémoire ; mettre à niveau vers 1.45.0.
Action recommandée : Mettre à niveau vers OpenTelemetry Python 1.45.0 et vérifier l’activation du propagateur Jaeger ainsi que les limites d’entrée du transport.
fpdf2 : chargement de ressources externes et de chemins locaux depuis un contenu contrôlé
Lors du rendu de contenu non fiable, fpdf2 peut charger automatiquement des URL externes ou tenter d’ouvrir des chemins locaux indiqués comme ressources d’image, ce qui expose notamment les applications à des requêtes SSRF. Les versions jusqu’à 2.8.7 sont concernées selon l’avis ; mettre à jour vers 2.8.8 ou restreindre les références de ressources fournies par les utilisateurs.
Action recommandée : Mettre à jour fpdf2 vers 2.8.8 ou ultérieure et filtrer les ressources intégrées au contenu non fiable.
fpdf2 : épuisement de ressources par expansion exponentielle de références SVG
La résolution de références SVG imbriquées par fpdf2 peut dupliquer de façon exponentielle les objets graphiques et épuiser le processeur et la mémoire pendant le rendu. Une image SVG malveillante transmise à `FPDF.image()` peut faire échouer le traitement ; mettre à jour vers fpdf2 2.8.8 ou ultérieure.
Action recommandée : Mettre à jour fpdf2 vers 2.8.8 ou ultérieure et limiter ou isoler le rendu de SVG non fiables.
GitPython : divulgation de variables d’environnement via un nom de sous-module construit
Lors du clonage d’un dépôt contenant un sous-module malveillant, GitPython pouvait développer une variable d’environnement présente dans le nom du sous-module et exposer sa valeur. Cette divulgation pouvait se matérialiser dans le nom d’un répertoire persistant et, avec la journalisation DEBUG, dans les journaux ; le défaut est corrigé dans GitPython 3.2.0.
Action recommandée : Mettre à niveau GitPython vers la version 3.2.0.
GitPython : Submodule.move() peut suivre un lien symbolique hors du worktree
`Submodule.move()` de GitPython peut suivre un lien symbolique intermédiaire contrôlé par le contenu d’un dépôt et déplacer le sous-module hors de l’arborescence de travail. Le scénario nécessite que l’application initialise le sous-module puis appelle `move()` sur un chemin situé sous ce lien ; la mise à jour vers `3.2.0` corrige le problème selon l’avis.
Action recommandée : Mettre à jour GitPython vers 3.2.0 et éviter d’appeler `Submodule.move()` sur un chemin sous un lien symbolique provenant d’un dépôt non fiable.
Twisted : réponses DNS UDP acceptées sans validation de l’adresse source
Twisted accepte une réponse DNS UDP en vérifiant l’identifiant de transaction, sans vérifier qu’elle provient du serveur interrogé, ce qui ouvre une possibilité d’usurpation de réponse et d’empoisonnement de cache. L’avis indique que les versions jusqu’à 26.4.0 sont affectées et désigne 26.10.0rc1 comme version corrigée ; mettre à jour vers une version corrigée.
Action recommandée : Mettre à jour Twisted vers une version corrigée et évaluer l’exposition des résolveurs DNS UDP concernés.
Java
Recherche du sujet effectuée
Niveau relevé : Élevée
Quatre publications NVD correspondant à des bibliothèques Java ont été retenues pour la période : une vulnérabilité de mémoire dans snappy-java et trois vulnérabilités dans a2a-java. Les avis Oracle Java d’octobre repérés dans la recherche ne sont pas retenus, car ils ne sont pas datés de la période demandée. Aucune nouveauté Java datée de la période demandée n’est établie par ce lot. Les candidats sont des modifications NVD dont la date de mise à jour indiquée est le 2026-10-26, antérieure au début de la période ; leur publication initiale est également antérieure. Trois mises à jour NVD datées du 27 octobre apportent des précisions substantielles sur des vulnérabilités de composants Java : comportement SQL maintenu sans correctif signalé, chemin de compatibilité OAuth conservé, et consigne de désactivation de mock-enable en production. Les autres fiches candidates ont été exclues, leurs mises à jour étant antérieures à la période ou ne présentant dans les éléments fournis qu’une modification administrative. Aucun événement Java vérifiable comme nouveau ou substantiellement modifié dans la période à partir des éléments fournis. Les CVE ci-dessous ont été publiées le 20 octobre ; leurs seules dates dans la période sont des dates de mise à jour NVD, sans preuve fournie d’un changement substantiel. Deux nouvelles vulnérabilités d’a2a-java ont été publiées dans la période : consommation excessive de ressources dans le Push Notification Config Store et condition de concurrence dans TaskManager.saveTaskEvent. Pour les deux, la version corrective indiquée est 1.3.0.Final. Les sources vérifiées dans ce lot signalent des avis publiés pendant la période pour Guava, snappy-java et OpenJDK 21. Les avis snappy-java recommandent la version 1.1.10.9 ; l’avis Guava indique une correc…
CVE-2026-7679 : précision NVD sur le chemin de compatibilité OAuth conservé
La mise à jour NVD de CVE-2026-7679 précise que l’application conserve volontairement un chemin de compatibilité acceptant un jeton de rafraîchissement valide et non expiré lorsque la recherche du jeton d’accès est indisponible. Elle ne revendique pas de vérification stricte limitée au jeton d’accès ni l’élimination de tous les scénarios liés à l’identité ou à la révocation.
CVE-2026-7710 : consigne de désactivation de mock-enable en production
La mise à jour NVD de CVE-2026-7710 précise que le jeton fictif reste une fonctionnalité de développement et que les déploiements de production doivent désactiver mock-enable. Elle indique que la mise à jour apporte des consignes de déploiement, et non un correctif du code d’authentification ; modifier uniquement le secret mock ne désactive pas la fonctionnalité.
Action recommandée : Désactiver mock-enable dans les environnements de production.
Guava : allocation mémoire incontrôlée lors de la désérialisation
La désérialisation de `CompactHashMap`, `CompactHashSet` et `MapMakerInternalMap` peut allouer une quantité de mémoire contrôlée par les données sérialisées, provoquant un épuisement mémoire et l’arrêt du processus JVM. Les versions Guava jusqu’à 33.7.1 sont affectées ; mettez à niveau vers 33.7.2 et évitez de désérialiser des données non fiables avant correction.
Action recommandée : Mettre à niveau Guava vers 33.7.2 ; ne pas désérialiser de flux non fiables avec les versions affectées.
snappy-java : allocation mémoire non bornée lors de la décompression
Plusieurs chemins de décompression de snappy-java se fient à la longueur décompressée déclarée dans l’entrée et peuvent tenter une allocation pouvant atteindre 2 Go, entraînant un déni de service. Les versions jusqu’à 1.1.10.8 sont affectées ; la correction est disponible en 1.1.10.9, et une limite applicative sur la longueur peut servir de mesure provisoire.
Action recommandée : Mettre à niveau vers snappy-java 1.1.10.9 ; en attendant, imposer une limite à la longueur décompressée avant traitement.
snappy-java : débordement de tampon lors de la décompression de tableaux typés
Les méthodes de décompression de tableaux typés pouvaient dimensionner le tableau de destination par division de la longueur déclarée, tandis que le code natif écrivait la longueur complète, causant une écriture hors limites. Les versions jusqu’à 1.1.10.8 sont concernées ; la correction est en 1.1.10.9, qui rejette les longueurs incompatibles avec la taille des éléments.
Action recommandée : Mettre à niveau vers snappy-java 1.1.10.9.
CVE-2026-7678 : précision NVD sur l’absence de correctif pour la fonctionnalité SQL
La fiche NVD de CVE-2026-7678 a été substantiellement mise à jour pour préciser que la fonctionnalité d’exécution SQL et la permission existante restent disponibles : l’avis ne signale pas de correctif pour ce comportement. Les déploiements doivent réserver cette permission aux rôles de confiance et appliquer des privilèges de base de données appropriés.
Action recommandée : Contrôler les attributions de la permission d’exécution SQL et les privilèges des comptes de base de données concernés.
snappy-java : plages non vérifiées pouvant faire planter la JVM
`Snappy.arrayCopy` et les méthodes de flux qui l’utilisent pouvaient transmettre à une copie native des offsets ou longueurs non vérifiés, entraînant un accès hors limites et un plantage de la JVM. Les versions jusqu’à 1.1.10.8 sont affectées ; passez à 1.1.10.9 et validez les plages si la mise à niveau n’est pas immédiate.
Action recommandée : Mettre à niveau vers snappy-java 1.1.10.9.
a2a-java — consommation de ressources dans ChildQueue
Dans a2a-java, une manipulation de ChildQueue.queue.offer peut provoquer une consommation excessive de ressources et être déclenchée à distance. Les versions jusqu’à 1.2.0.Final sont indiquées comme concernées; le projet recommande la mise à niveau vers 1.3.0.Final.
Action recommandée : Mettre à niveau a2a-java vers 1.3.0.Final ou une version ultérieure.
a2a-java : consommation excessive de ressources dans le Push Notification Config Store
CVE-2026-117506 affecte le composant Push Notification Config Store d’a2a-java et peut entraîner une consommation excessive de ressources à distance. Les versions jusqu’à 1.2.0.Final sont concernées ; mettre à niveau vers 1.3.0.Final.
Action recommandée : Mettre à niveau a2a-java vers 1.3.0.Final.
a2a-java : condition de concurrence dans TaskManager.saveTaskEvent
CVE-2026-117507 concerne une condition de concurrence dans TaskManager.saveTaskEvent d’a2a-java, susceptible d’être déclenchée à distance. Les versions jusqu’à 1.2.0.Final sont concernées ; la version 1.3.0.Final corrige le problème.
Action recommandée : Mettre à niveau a2a-java vers 1.3.0.Final.
Debian : mise à jour de sécurité pour OpenJDK 21
Debian a publié une mise à jour de sécurité pour OpenJDK 21 à la suite de plusieurs vulnérabilités susceptibles de causer un déni de service, un contournement du bac à sable, des vérifications de certificats incomplètes ou une divulgation d’informations. La source fournie ne précise ni CVE ni version corrigée ; consultez l’avis Debian pour les détails et appliquez la mise à jour de sécurité correspondante.
Action recommandée : Consulter l’avis Debian et installer la mise à jour de sécurité OpenJDK 21 applicable au système.
TYPO3
Recherche du sujet effectuée
Les sources consultées ne montrent aucun avis, correctif ou changement de sécurité TYPO3 daté de la période demandée, du 2026-10-27T00:00:00+02:00 au 2026-10-28T00:00:00+02:00. Les annonces TYPO3 visibles autour de cette période sont antérieures : une annonce relative à des extensions tierces est datée du 2026-10-20, et la dernière annonce de version repérée du 2026-10-22.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun avis de sécurité Drupal dont la date de publication ou de mise à jour vérifiable tombe dans la période demandée (du 2026-10-27 à 00:00:00+02:00 inclus au 2026-10-28 à 00:00:00+02:00 exclu). Les avis Drupal visibles dans les résultats consultés sont datés du 14 octobre ou d’une date antérieure; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié quatre CVE nouvelles publiées le 2026-10-27 concernant des extensions Joomla : Phoca Download, Gridbox (deux CVE distinctes) et DJ-HelpfulArticles. Aucun élément vérifié ne permet d’établir une exploitation active ; les trois candidats portant sur des mises à jour NVD d’avis antérieurs ont été exclus, faute de preuve d’un changement substantiel daté dans la période. Quatre vulnérabilités Joomla ont une date de publication dans la période fournie : une CSRF dans Phoca Download, une injection SQL et un défaut d’autorisation dans Gridbox, ainsi qu’une XSS persistante dans DJ-HelpfulArticles. Les trois autres candidats sont des fiches publiées en septembre dont seule une mise à jour administrative NVD est datée du 27 octobre, sans élément fourni attestant un changement substantiel.
Gridbox : injection SQL non authentifiée via le tri des produits
CVE-2026-102788 est une injection SQL non authentifiée dans Gridbox, affectant les versions antérieures à 2.20.4.2. Sur les pages de liste de produits, le paramètre d’URL de tri peut être inséré dans une clause ORDER BY sans validation par liste d’autorisation.
Action recommandée : Mettre à jour Gridbox vers la version 2.20.4.2 ou une version ultérieure.
Gridbox : contrôle d’autorisation manquant dans le contrôleur Editor
CVE-2026-102789 est un défaut de contrôle d’autorisation dans Gridbox, affectant les versions antérieures à 2.20.4.2. La tâche du contrôleur Editor qui récupère des articles omet le contrôle de niveau d’édition utilisé par d’autres tâches du contrôleur.
Action recommandée : Mettre à jour Gridbox vers la version 2.20.4.2 ou une version ultérieure.
DJ-HelpfulArticles : XSS persistante via le champ ip du vote
CVE-2026-102800 est une XSS persistante non authentifiée dans DJ-HelpfulArticles, affectant les versions antérieures à 1.3.0. La valeur ip fournie au vote est enregistrée sans validation de provenance puis affichée sans échappement dans l’administration.
Action recommandée : Mettre à jour DJ-HelpfulArticles vers la version 1.3.0 ou une version ultérieure.
Phoca Download : faille CSRF dans la gestion des catégories
CVE-2026-102787 concerne une faille CSRF dans la gestion des catégories de Phoca Download, affectant les versions 3.1.0 à 6.1.5. La fiche fournie ne précise ni version corrigée ni mesure de contournement.
Action recommandée : Consulter l’avis du fournisseur pour déterminer la version corrigée et appliquer la mise à jour dès qu’elle est disponible.
Magento
Recherche du sujet effectuée
Niveau relevé : Exploitation active
Une nouveauté correspondant à la période a été vérifiée : l’ajout de CVE-2026-48356 au catalogue CISA KEV le 2026-10-27, avec exploitation confirmée. Les deux autres candidats concernent des vulnérabilités OpenMage LTS divulguées antérieurement ; les éléments consultés ne démontrent pas que leur mise à jour NVD constituait un changement substantiel dans la période.
CVE-2026-48356 ajoutée au catalogue CISA KEV pour exploitation active
CISA a ajouté CVE-2026-48356 à son catalogue KEV le 2026-10-27, confirmant son exploitation active : la vulnérabilité permet l’envoi d’un fichier de type dangereux et peut mener à l’exécution de code. Les versions concernées et les correctifs sont détaillés dans le bulletin Adobe APSB26-73 ; appliquez les mises à jour ou mesures d’atténuation prescrites par Adobe.
Action recommandée : Appliquer les correctifs ou mesures d’atténuation indiqués dans le bulletin Adobe APSB26-73 ; vérifier les installations exposées et leur mise à jour.
Adobe Commerce
Vérification incomplète
Un événement pertinent a été vérifié pour Adobe Commerce pendant la période : l’ajout de CVE-2026-48356 au catalogue CISA KEV le 2026-10-27. Le CVE avait été divulgué auparavant; la nouveauté retenue ici est son inscription KEV.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
fooocus
Recherche du sujet effectuée
La recherche web dédiée sur Fooocus n’a identifié aucun avis, correctif de sécurité, exploitation ni changement substantiel vérifiable daté de la période demandée (du 2026-10-27T00:00:00+02:00 inclus au 2026-10-28T00:00:00+02:00 exclu). Les résultats pertinents repérés concernent des informations antérieures ou d’autres sujets, et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
38 alerte(s)XSS stockée dans les widgets BloX
BloX permet une XSS stockée dans les widgets : le contenu HTML ou JavaScript reçu dans les paramètres desc et text de l’API peut s’exécuter lors de l’affichage du widget. La fiche fournie ne précise ni les versions touchées ni la version c…
Source : NVD — CVE-2026-117493
XSS via des images SVG dans l’API de sessions IA
Le traitement d’images SVG soumises à l’API /api/v2/ai/sessions peut permettre l’exécution de scripts intégrés lorsque le contenu est affiché dans la fenêtre de l’assistant. Les versions touchées et le correctif ne sont pas précisés dans l…
Source : NVD — CVE-2026-117494
Pollution de prototype et exécution de JavaScript dans CKEditor 5 — CVE-2026-116688
CKEditor 5 utilise une version vulnérable de es-toolkit dont le comportement de pollution de prototype est atteignable pendant le traitement des valeurs d’attribut style; un contenu d’éditeur construit peut alors provoquer une exécution de…
Source : NVD — CVE-2026-116688
DOMPurify — XSS via attributs SVG en mode XHTML
DOMPurify avant 3.4.17 présente un contournement du filtrage XSS dans certaines configurations XHTML : la casse de l’attribut attributeName n’est pas normalisée, ce qui peut laisser passer une référence javascript: dans un SVG. Mettre à jo…
Source : CVE-2026-116802 — NVD
tia Viewer : XSS persistante via les annotations
tia Viewer présente une faille XSS persistante liée à l’absence de validation des annotations : un utilisateur authentifié peut y injecter du JavaScript qui s’exécute lorsqu’un document est ouvert. La faille est corrigée dans la version 1.…
Source : NVD — CVE-2026-105987
XSS persistante dans le Webmail de GFI Kerio Connect
Kerio Connect antérieur à 10.0.8 Patch 2 présente une XSS persistante dans Webmail, déclenchée par une pièce jointe SVG dont les attributs de gestionnaire d’événement échappent à l’assainissement. Le script peut s’exécuter dans la session…
Source : NVD — CVE-2026-112353
XSS stockée dans les info-bulles de SemanticMediaWiki
SemanticMediaWiki comporte une XSS stockée dans le rendu des info-bulles : des attributs `data-*` sont rendus avec `innerHTML` et HTML autorisé. Un éditeur peut ainsi exécuter du JavaScript dans le navigateur des personnes qui survolent le…
Source : NVD — CVE-2026-116884
XSS stockée dans Semantic MediaWiki
Semantic MediaWiki présente une XSS stockée liée aux valeurs de propriétés External identifier, rendues sans échappement sur Special:Browse. Un utilisateur autorisé à modifier une page peut ainsi provoquer l’exécution de JavaScript dans le…
Source : NVD — CVE-2026-116886
XSS stockée dans les propriétés Keyword de Semantic MediaWiki
Semantic MediaWiki présente une XSS stockée lorsque des valeurs de propriétés de type Keyword sont rendues sans échappement sur Special:Browse. Un utilisateur ayant le droit de modifier une page peut faire exécuter du JavaScript dans le na…
Source : NVD — CVE-2026-116887
XSS stockée dans les schémas de groupes de SemanticMediaWiki
SemanticMediaWiki présente une XSS stockée dans le nom canonique d’un schéma de groupe de propriétés, rendu sans échappement dans les titres de Special:Browse. Une personne disposant du droit `smw-schemaedit` peut y injecter du balisage pr…
Source : NVD — CVE-2026-116888
XSS stockée dans les propriétés Code de SemanticMediaWiki
SemanticMediaWiki présente une XSS stockée dans les valeurs de propriétés de type Code rendues sans échappement sur Special:Browse. Un utilisateur autorisé à modifier une page peut incorporer du balisage dans une valeur JSON valide et prov…
Source : NVD — CVE-2026-116889
XSS stockée dans YesWiki
YesWiki présente une XSS stockée dans la page des sites référents : un attaquant non authentifié peut faire afficher du JavaScript injecté à partir d’un en-tête Referer spécialement construit. Les visiteurs de cette page peuvent alors subi…
Source : NVD — CVE-2026-116824
XSS conditionnelle dans CKEditor 5 — CVE-2026-116687
Dans CKEditor 5, du balisage spécialement conçu peut provoquer une exécution de JavaScript dans un contexte isolé de l’origine de l’application lorsque General HTML Support est activé et autorise le contenu object. Les versions concernées…
Source : NVD — CVE-2026-116687
XSS réfléchie dans le backend de REDAXO
REDAXO présente une XSS réfléchie dans l’API des paquets du backend : un paramètre function est intégré sans échappement dans un message d’erreur. Un utilisateur authentifié du backend peut être ciblé par un lien spécialement construit ; m…
Source : NVD — CVE-2026-117538
CVE-2026-18451 — Jeton devinable dans la console HTML5 KVM-over-IP Supermicro
Une faiblesse dans la génération du jeton de session de la console HTML5 KVM-over-IP de Supermicro pourrait permettre à un attaquant de deviner ce jeton et de prendre le contrôle d’une session KVM. Le bulletin concerne le modèle MBD-X12SPI…
Source : NVD — CVE-2026-18451
dcmjs : contournement de validation des valeurs DS et IS
dcmjs ne valide pas correctement certaines valeurs DICOM DS et IS, ce qui peut produire des valeurs Infinity ou NaN et accepter une notation scientifique non conforme pour IS. La version 0.52.0 corrige le problème ; les utilisateurs de ver…
Firefox et Thunderbird corrigent une vulnérabilité de limites dans le moteur JavaScript
Une condition de limite incorrecte dans le moteur JavaScript est corrigée dans les versions indiquées. Les informations fournies ne précisent pas davantage les conséquences possibles ni les versions affectées.
Source : NVD — CVE-2026-117889
Firefox et Thunderbird corrigent une erreur de compilation JIT dans JavaScript
Une erreur de compilation JIT dans le moteur JavaScript est corrigée dans les versions indiquées. La source ne fournit pas de précisions sur l’impact ni sur les versions affectées.
Source : NVD — CVE-2026-117890
Firefox et Thunderbird corrigent une utilisation après libération dans le JIT JavaScript
Une utilisation après libération dans le composant JIT du moteur JavaScript est corrigée dans les versions indiquées. Les données fournies ne précisent pas l’impact ni les versions affectées.
Source : NVD — CVE-2026-117891
Firefox et Thunderbird corrigent une utilisation après libération dans le JIT JavaScript
Une utilisation après libération dans le composant JIT du moteur JavaScript est corrigée dans les versions indiquées. La source ne précise ni l’impact ni les versions vulnérables.
Source : NVD — CVE-2026-117898
Firefox et Thunderbird corrigent une utilisation après libération dans le GC JavaScript
Une utilisation après libération dans le composant GC de JavaScript est corrigée dans les versions indiquées. Les éléments fournis ne détaillent pas l’impact ni les versions affectées.
Source : NVD — CVE-2026-117904
Firefox et Thunderbird corrigent une utilisation après libération dans le GC JavaScript
Une utilisation après libération dans le composant GC de JavaScript est corrigée dans les versions indiquées. La source ne fournit pas d’information plus précise sur l’impact ou les versions vulnérables.
Source : NVD — CVE-2026-117909
Firefox et Thunderbird corrigent un pointeur invalide dans le moteur JavaScript
Un pointeur invalide dans le moteur JavaScript est corrigé dans les versions indiquées. Les informations disponibles ne précisent ni les conséquences ni les versions affectées.
Source : NVD — CVE-2026-117910
Firefox et Thunderbird corrigent un pointeur invalide dans le moteur JavaScript
Un pointeur invalide dans le moteur JavaScript est corrigé dans les versions indiquées. La source ne précise pas l’impact ni les versions affectées.
Source : NVD — CVE-2026-117937
Firefox et Thunderbird corrigent des conditions de limite dans le JIT JavaScript
Des conditions de limite incorrectes dans le composant JIT du moteur JavaScript sont corrigées dans les versions indiquées. La source ne fournit pas de détails sur l’impact ni sur les versions affectées.
Source : NVD — CVE-2026-117942
Firefox et Thunderbird corrigent des conditions de limite dans le moteur JavaScript
Des conditions de limite incorrectes dans le moteur JavaScript sont corrigées dans les versions indiquées. Les informations fournies ne précisent ni l’impact ni les versions affectées.
Source : NVD — CVE-2026-117946
Firefox et Thunderbird : erreur de compilation JIT dans le composant WebAssembly JavaScript
Une erreur de compilation JIT dans le composant WebAssembly JavaScript de Firefox et Thunderbird est signalée. Mozilla indique que le problème est corrigé dans les versions précisées ; mettez à jour les produits concernés.
Source : NVD — CVE-2026-117955
Firefox et Thunderbird : pointeur invalide dans le JIT JavaScript
Un pointeur invalide dans le composant JIT du moteur JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans les versions indiquées ; installez une version corrigée.
Source : NVD — CVE-2026-117969
Firefox et Thunderbird : pointeur invalide dans le JIT JavaScript
Un pointeur invalide dans le composant JIT du moteur JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans les versions indiquées ; installez une version corrigée.
Source : NVD — CVE-2026-117982
Firefox et Thunderbird : use-after-free dans le ramasse-miettes JavaScript
Un use-after-free dans le composant de ramasse-miettes JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans les versions indiquées ; installez une version corrigée.
Source : NVD — CVE-2026-117994
Firefox et Thunderbird : use-after-free dans le ramasse-miettes JavaScript
Un use-after-free dans le composant de ramasse-miettes JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans Firefox 159 et Thunderbird 159 ; mettez à jour les produits concernés.
Source : NVD — CVE-2026-118007
Firefox et Thunderbird : use-after-free dans le JIT JavaScript
Un use-after-free dans le composant JIT du moteur JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans Firefox 159 et Thunderbird 159 ; mettez à jour les produits concernés.
Source : NVD — CVE-2026-118014
Firefox et Thunderbird : pointeur invalide dans le ramasse-miettes JavaScript
Un pointeur invalide dans le composant de ramasse-miettes JavaScript de Firefox et Thunderbird est signalé. Le problème est corrigé dans Firefox 159 et Thunderbird 159 ; mettez à jour les produits concernés.
Source : NVD — CVE-2026-118026
XSS dans l’éditeur de plugins de NextChat
NextChat 2.16.1 présente une XSS côté client dans l’éditeur de plugins: le schéma OpenAPI chargé depuis une URL distante est rendu sans assainissement adéquat. Un contenu malveillant peut exécuter du JavaScript dans l’origine NextChat et a…
Source : NVD — CVE-2026-118132
XSS dans les notifications de PowerShell Universal
La fonction de notifications de Devolutions PowerShell Universal permet à un utilisateur autorisé à créer des notifications de faire exécuter du JavaScript dans le navigateur d’un autre utilisateur via une URL cible malveillante. Les versi…
Source : NVD — CVE-2026-116627
Use-after-free dans le ramasse-miettes JavaScript de Firefox et Thunderbird
Un use-after-free a été signalé dans le composant JavaScript: GC de Firefox et Thunderbird. Mozilla indique que le défaut est corrigé dans Firefox 159, Firefox ESR 153.6, Thunderbird 159 et Thunderbird 153.6 ; installer la version corrigée…
Source : NVD — CVE-2026-117865
Use-after-free dans le moteur JavaScript de Firefox et Thunderbird
Un use-after-free affecte le composant JavaScript Engine de Firefox et Thunderbird. Le défaut est indiqué comme corrigé dans Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 et Thunderbird 153.6 ; installer la version co…
Source : NVD — CVE-2026-117870
Use-after-free dans la bibliothèque standard JavaScript de Firefox et Thunderbird
Un use-after-free a été identifié dans la bibliothèque standard JavaScript de Firefox et Thunderbird. Le défaut est indiqué comme corrigé dans Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 et Thunderbird 153.6 ; insta…
Source : NVD — CVE-2026-117872
Backend & données
55 alerte(s)Contournement de middleware Express monté sur un chemin dans @fastify/express
Dans @fastify/express 4.0.5 à 4.0.8, une requête HTTP en forme absolue, combinée à l’option Fastify ignoreDuplicateSlashes, peut faire exécuter une route protégée sans que le middleware Express associé soit appelé. Un attaquant non authent…
Source : Fiche NVD CVE-2026-112362
MLflow — exécution de code possible via la désérialisation de scorers tiers
Dans MLflow, la désérialisation de scorers tiers accepte des modules descendants de modules autorisés au lieu d’exiger une correspondance exacte ; un module placé via les mécanismes d’artefacts peut ensuite être importé lors de l’invocatio…
Source : NVD — CVE-2026-116692
MONAI : valeurs DICOM invalides pouvant perturber ou interrompre l’inférence
Un fichier DICOM conçu à cet effet peut provoquer un plantage de MONAILabel ou fausser silencieusement les résultats d’inférence en faisant passer des valeurs NaN ou infinies dans le traitement spatial. Le problème tient à l’absence de val…
Source : GHSA-6hp3-vr39-rqw8 — MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM
Agno : exécution de code via le champ `field_type` de FunctionCall
Agno utilisait `eval()` sur le champ `field_type` de données FunctionCall pouvant être influencées par un utilisateur, ce qui peut permettre l’exécution de code arbitraire dans le processus. La faille concerne les versions antérieures à 2.…
Source : GHSA-m4w4-3r8h-jw98 — Agno: Arbitrary code execution via eval() on field_type in FunctionCall
Authlib : vérification JWS contournée avec un tableau de signatures vide
Authlib peut traiter comme vérifié un JWS JSON dont le tableau `signatures` est vide, sans vérifier de signature cryptographique. Les versions jusqu’à 1.8.0 sont concernées selon l’avis ; mettre à jour vers 1.9.0 ou une version ultérieure.
Source : GHSA-6v38-4h7w-rj9h — Authlib: empty signatures validation in JWS JSON deserialization
CVE-2026-7679 : précision NVD sur le chemin de compatibilité OAuth conservé
La mise à jour NVD de CVE-2026-7679 précise que l’application conserve volontairement un chemin de compatibilité acceptant un jeton de rafraîchissement valide et non expiré lorsque la recherche du jeton d’accès est indisponible. Elle ne re…
Source : NVD — CVE-2026-7679
CVE-2026-7710 : consigne de désactivation de mock-enable en production
La mise à jour NVD de CVE-2026-7710 précise que le jeton fictif reste une fonctionnalité de développement et que les déploiements de production doivent désactiver mock-enable. Elle indique que la mise à jour apporte des consignes de déploi…
Source : NVD — CVE-2026-7710
Dolibarr : injection SQL dans la mise à jour des tiers
Une injection SQL est présente dans la mise à jour des tiers de Dolibarr via les paramètres de taxe locale, exploitable par un utilisateur authentifié disposant du droit de créer ou modifier des tiers. Les versions jusqu’à 23.0.0 inclus so…
klauspost/compress : panic du décodeur zstd sur une trame à deux blocs
Une trame zstd spécialement construite en deux blocs peut provoquer un panic dans le décodeur plutôt qu’une erreur de décodage. Une application qui décompresse des entrées non fiables peut ainsi être arrêtée; la version corrigée est 1.20.2.
Source : GHSA-fpmh-frq8-7rj8 — compress zstd: Panic on two-block frames
Atlantis — injection de commandes via le nom d’espace de travail Terraform
Atlantis vulnérable pouvait exécuter des commandes arbitraires avec les privilèges du service lorsqu’un contributeur admissible soumettait un nom d’espace de travail contrôlé dans une demande de fusion traitée par un plan Terraform. Mettre…
Source : NVD — CVE-2026-116676
Wails — contournement du contrôle d’origine via les motifs joker
Une validation trop permissive des motifs avec astérisque dans Wails v2 pouvait accepter certaines origines non autorisées lorsqu’un motif comportait un joker final, permettant à ces origines d’appeler les méthodes Go exposées par l’applic…
PyMongo : lecture hors limites et arrêt du processus lors du décodage BSON d’un Regex malformé
Le décodeur BSON de l’extension C de PyMongo peut lire hors limites lors du décodage d’un élément Regex malformé depuis certains tampons sans sentinelle NUL, provoquant un arrêt du processus. Les versions de `3.9.0` à `4.18.2` sont indiqué…
PhpSpreadsheet : contournement du scanner XML pouvant mener à une XXE et à un déni de service
Un contournement du contrôle XML dans le lecteur SpreadsheetML de PhpSpreadsheet peut permettre l’expansion d’entités XML, entraînant un déni de service et, dans certaines configurations, des lectures de fichiers ou des requêtes SSRF. Les…
Source : GHSA-rxj4-h86g-25gc — PhpSpreadsheet XmlScanner Bypass
PhpSpreadsheet : contournement du scanner XML par séquences ISO-2022
Le scanner XML de PhpSpreadsheet ne détecte pas certains contenus XML dissimulés à l’aide de séquences d’échappement ISO-2022, ce qui permet une expansion d’entités et un déni de service. L’avis donne les versions corrigées pour les branch…
Source : GHSA-3×94-m842-937c — PhpSpreadsheet XmlScanner Bypass
PhpSpreadsheet : épuisement des ressources via les répétitions de lignes ODS
Le lecteur ODS de PhpSpreadsheet accepte sans limite l’attribut de répétition des lignes et peut matérialiser un très grand nombre de cellules lors du chargement d’un fichier. Un fichier spécialement conçu peut ainsi épuiser le processeur…
Source : GHSA-j2w7-387v-m2rq — PhpSpreadsheet ODS Reader DoS
dd-trace : consommation excessive de CPU par l’expression régulière d’obfuscation
Dans dd-trace, l’expression régulière par défaut d’obfuscation des chaînes de requête pouvait effectuer un retour arrière excessif sur des URL contrôlées par un attaquant. Comme ce traitement est synchrone lors de l’enregistrement des méta…
Source : NVD — CVE-2026-116693
NLTK : les contrôles de sécurité de pathsec sont désactivés par défaut
NLTK ne bloque pas par défaut les violations détectées par les contrôles de sécurité de `pathsec` : les fonctions concernées émettent un avertissement, puis poursuivent l’opération. L’avis indique que les versions jusqu’à 3.9.4 sont touché…
Source : GHSA-p3m8-78j2-g5p3 — NLTK: Default ENFORCE=False Disables All pathsec Security Controls
dd-trace-py — consommation excessive de CPU lors de l’obfuscation des chaînes de requête
Dans dd-trace-py, l’expression régulière par défaut d’obfuscation des chaînes de requête peut subir un retour arrière excessif lorsqu’elle traite des URL contrôlées par un attaquant, consommant beaucoup de CPU et pouvant ralentir ou interr…
Source : NVD — CVE-2026-116588
dd-trace-py : déni de service lié à l’instrumentation IAST
Une erreur dans l’instrumentation IAST de dd-trace-py peut terminer le processus lors d’opérations de traitement de chaînes sur des entrées contrôlées par un attaquant. Le problème ne concerne que les applications avec IAST activé et les v…
Authlib — contrôle insuffisant des droits sur les enregistrements de clients
Les exemples documentés d’Authlib pour authentifier et vérifier les permissions d’un client dans ClientConfigurationEndpoint ne vérifient pas que l’identifiant fourni dans les justificatifs appartient au client ciblé. Dans les déploiements…
Source : NVD — CVE-2026-116672
NLTK : chemins de modèle Weka non validés contournant le confinement de chemins
WekaClassifier de NLTK transmet des chemins de modèle contrôlés par l’appelant à la JVM Weka sans appliquer les contrôles de confinement de chemins décrits dans l’avis. Selon l’avis, cela permet notamment une écriture hors des répertoires…
Source : GHSA-j456-xh4h-cpf2 — NLTK: WekaClassifier passes an unvalidated caller-controlled model path
msgpack-python : fuite mémoire et défaut de références sur des décodages rejetés
Le module C de msgpack-python peut conserver en mémoire une valeur décodée lorsqu’il rejette une clé de map invalide avec `strict_map_key=True`, provoquant une croissance mémoire répétée lors du traitement d’entrées malformées. L’avis sign…
Source : GHSA-j586-36cw-2gc2 — MessagePack: Unbounded memory leak in msgpack C extension
GitPython : retour arrière quadratique lors de l’analyse de lignes d’identité malformées
Une expression régulière de GitPython pouvait provoquer un retour arrière quadratique lors de l’analyse de lignes d’identité Git malformées, entraînant un ralentissement important. Le problème concerne les versions jusqu’à 3.1.62 et est co…
Source : GHSA-m64x-33q8-m5h7 — GitPython
GitPython : exécution de commandes via un refspec non vérifié dans Remote.pull()
GitPython `Remote.pull()` ne vérifie pas le `refspec` positionnel avec son garde-fou contre `–upload-pack`, ce qui peut permettre l’exécution de commandes si une application transmet une valeur contrôlée par un attaquant. Le scénario conc…
Source : GHSA-f9j4-qggq-h239 — GitPython
GitPython : lecture de fichiers arbitraires via un nom de branche dans Head.checkout()
Dans GitPython, `Head.checkout()` ne contrôle pas un nom de branche positionnel pouvant être interprété comme une option, ce qui peut conduire à la lecture de fichiers arbitraires lorsque le nom est construit de façon malveillante. L’avis…
Source : GHSA-23mf-xhv8-69c2 — GitPython
Strands Agents : risque d’écrasement de fichier via les liens symboliques dans le stockage des sessions
Le gestionnaire de sessions fichier de Strands Agents écrit dans un chemin temporaire prévisible et suit les liens symboliques, ce qui peut permettre à un attaquant local d’écraser un fichier accessible au processus ou de modifier des donn…
Source : GHSA-3w55-933p-8pv5 — Strands Agents
vLLM : exécution de code via code_revision contrôlable dans les requêtes multimodales
Dans certaines configurations vLLM, un client peut contrôler `mm_processor_kwargs.code_revision` et faire charger du code Python provenant d’une révision contrôlée du dépôt du modèle. Le risque concerne les modèles à code dynamique lorsque…
Source : GHSA-h3rc-6mm3-gc2m — vLLM
Authlib : contournement du contrôle de clé publique permettant la falsification de jetons HMAC
Authlib ne rejette pas certaines clés publiques PEM ou certificats dont les octets ne commencent pas directement par l’en-tête PEM ; ces clés peuvent alors être utilisées comme secrets HMAC et permettre la falsification de jetons dans les…
Source : GHSA-7vr2-2fgp-9w7p — Authlib
Guava : allocation mémoire incontrôlée lors de la désérialisation
La désérialisation de `CompactHashMap`, `CompactHashSet` et `MapMakerInternalMap` peut allouer une quantité de mémoire contrôlée par les données sérialisées, provoquant un épuisement mémoire et l’arrêt du processus JVM. Les versions Guava…
Source : GHSA-xxph-c9ww-hj94 — Google Guava
snappy-java : allocation mémoire non bornée lors de la décompression
Plusieurs chemins de décompression de snappy-java se fient à la longueur décompressée déclarée dans l’entrée et peuvent tenter une allocation pouvant atteindre 2 Go, entraînant un déni de service. Les versions jusqu’à 1.1.10.8 sont affecté…
Source : GHSA-q233-g92q-qxp6 — snappy-java
snappy-java : débordement de tampon lors de la décompression de tableaux typés
Les méthodes de décompression de tableaux typés pouvaient dimensionner le tableau de destination par division de la longueur déclarée, tandis que le code natif écrivait la longueur complète, causant une écriture hors limites. Les versions…
Source : GHSA-gwq9-9ffj-mvrv — snappy-java
CVE-2026-7678 : précision NVD sur l’absence de correctif pour la fonctionnalité SQL
La fiche NVD de CVE-2026-7678 a été substantiellement mise à jour pour préciser que la fonctionnalité d’exécution SQL et la permission existante restent disponibles : l’avis ne signale pas de correctif pour ce comportement. Les déploiement…
Source : NVD — CVE-2026-7678
CVE-2026-116695 — Contournement d’assainisseur CSS dans Crass
Une erreur d’analyse de Crass peut faire conserver du CSS actif à l’intérieur d’un jeton d’URL invalide, ce qui peut contourner un assainisseur CSS qui retransmet le contenu sans rejeter cette URL. Le risque concerne notamment l’altération…
Source : Fiche NVD CVE-2026-116695
SiYuan — accès MCP à des fichiers sensibles du workspace
L’outil MCP de fichiers de SiYuan n’appliquait pas plusieurs protections de chemins sensibles présentes dans l’API HTTP, ce qui pouvait permettre à un utilisateur autorisé de lire des fichiers du workspace, notamment les mots de passe de p…
follow-redirects : en-têtes sensibles potentiellement transmis lors d’une redirection
Dans follow-redirects, l’option sensitiveHeaders pouvait être ignorée lorsqu’elle contenait un tableau créé dans un autre environnement JavaScript. Lors d’une redirection inter-origine contrôlée par un attaquant, un en-tête d’identificatio…
Source : NVD — CVE-2026-116689
Nodemailer : déni de service par retour arrière quadratique des expressions SMTP AUTH
Des expressions régulières utilisées pour détecter les mécanismes SMTP AUTH dans la réponse EHLO peuvent subir un retour arrière quadratique lorsqu’une ligne contient une longue séquence d’espaces sans mécanisme correspondant. Un serveur S…
systeminformation : pollution de prototype via le cache des statistiques réseau
Une pollution de `Object.prototype` peut survenir dans `systeminformation` sur FreeBSD, OpenBSD et NetBSD lorsqu’un nom d’interface contrôlé vaut `proto`. Les données de statistiques réseau sont alors écrites sur l’objet prototype et peuve…
Source : NVD — CVE-2026-116674
Nodemailer : déni de service par parsing quadratique des réponses SMTP
Une réponse SMTP malveillante contenant de nombreuses lignes de continuation peut faire traiter le parseur de Nodemailer avec une complexité quadratique et bloquer la boucle d’événements Node.js avant authentification. Le problème touche l…
NLTK : absence de vérification d’intégrité du paquet téléchargé avant extraction
Le téléchargeur de NLTK, selon l’avis, n’effectue pas de vérification d’intégrité après le téléchargement et avant l’extraction du paquet. Les versions jusqu’à 3.9.2 sont indiquées comme touchées et la version 3.9.3 comme corrigée ; mettre…
SDK Python MCP — acceptation possible de jetons bearer destinés à une autre ressource
Dans le SDK Python MCP, l’authentification serveur par jeton bearer peut accepter un jeton valide destiné à une autre ressource lorsque le serveur d’autorisation sert plusieurs ressources et que le TokenVerifier ne vérifie pas lui-même l’a…
Source : NVD — CVE-2026-116684
SDK Python MCP — transmission de justificatifs lors de redirections inter-origines
Plusieurs clients HTTP du SDK Python MCP peuvent suivre une redirection vers une autre origine en transmettant des en-têtes d’identification personnalisés et, pour les réponses 307 ou 308, le corps de la requête. Si un attaquant peut influ…
Source : NVD — CVE-2026-116685
SDK Python MCP — résolution de références de schéma pouvant accéder au réseau ou aux fichiers locaux
Le SDK Python MCP valide certains schémas outputSchema déclarés par le serveur avec le résolveur par défaut de jsonschema ; une référence `$ref` non résolue peut provoquer la récupération d’une URL HTTP, HTTPS ou file depuis le contexte ré…
Source : NVD — CVE-2026-116686
OpenTelemetry Python — limites manquantes sur les valeurs baggage du propagateur Jaeger
Dans le propagateur Jaeger d’OpenTelemetry Python, l’extraction de valeurs baggage entrantes `uberctx-*` ne limite pas le nombre d’entrées ni leur taille individuelle ou totale. Les services utilisant ce propagateur optionnel peuvent subir…
Source : NVD — CVE-2026-116694
fpdf2 : chargement de ressources externes et de chemins locaux depuis un contenu contrôlé
Lors du rendu de contenu non fiable, fpdf2 peut charger automatiquement des URL externes ou tenter d’ouvrir des chemins locaux indiqués comme ressources d’image, ce qui expose notamment les applications à des requêtes SSRF. Les versions ju…
Source : GHSA-rw7v-4hrq-x6r9 — fpdf2 implicitly loads external URLs and local image paths
fpdf2 : épuisement de ressources par expansion exponentielle de références SVG
La résolution de références SVG imbriquées par fpdf2 peut dupliquer de façon exponentielle les objets graphiques et épuiser le processeur et la mémoire pendant le rendu. Une image SVG malveillante transmise à `FPDF.image()` peut faire écho…
Source : GHSA-wqw6-wpr3-45rh — fpdf2: Exponential SVG expansion causes CPU and memory exhaustion
GitPython : divulgation de variables d’environnement via un nom de sous-module construit
Lors du clonage d’un dépôt contenant un sous-module malveillant, GitPython pouvait développer une variable d’environnement présente dans le nom du sous-module et exposer sa valeur. Cette divulgation pouvait se matérialiser dans le nom d’un…
Source : GHSA-fx3j-rwgx-fr94 — GitPython
snappy-java : plages non vérifiées pouvant faire planter la JVM
`Snappy.arrayCopy` et les méthodes de flux qui l’utilisent pouvaient transmettre à une copie native des offsets ou longueurs non vérifiés, entraînant un accès hors limites et un plantage de la JVM. Les versions jusqu’à 1.1.10.8 sont affect…
Source : GHSA-xqrx-qh46-34m7 — snappy-java
a2a-java — consommation de ressources dans ChildQueue
Dans a2a-java, une manipulation de ChildQueue.queue.offer peut provoquer une consommation excessive de ressources et être déclenchée à distance. Les versions jusqu’à 1.2.0.Final sont indiquées comme concernées; le projet recommande la mise…
Source : NVD — CVE-2026-117505
a2a-java : consommation excessive de ressources dans le Push Notification Config Store
CVE-2026-117506 affecte le composant Push Notification Config Store d’a2a-java et peut entraîner une consommation excessive de ressources à distance. Les versions jusqu’à 1.2.0.Final sont concernées ; mettre à niveau vers 1.3.0.Final.
Source : NVD — CVE-2026-117506
a2a-java : condition de concurrence dans TaskManager.saveTaskEvent
CVE-2026-117507 concerne une condition de concurrence dans TaskManager.saveTaskEvent d’a2a-java, susceptible d’être déclenchée à distance. Les versions jusqu’à 1.2.0.Final sont concernées ; la version 1.3.0.Final corrige le problème.
Source : NVD — CVE-2026-117507
GitPython : Submodule.move() peut suivre un lien symbolique hors du worktree
`Submodule.move()` de GitPython peut suivre un lien symbolique intermédiaire contrôlé par le contenu d’un dépôt et déplacer le sous-module hors de l’arborescence de travail. Le scénario nécessite que l’application initialise le sous-module…
Source : GHSA-gq48-pqfc-9p58 — GitPython
systeminformation : divulgation de fichier par traversal de chemin dans networkStats() sous Linux
Dans systeminformation sous Linux, networkStats(iface) pouvait suivre un chemin fourni par l’appelant et des liens symboliques hors de /sys/class/net, puis divulguer la première ligne d’un fichier lisible par le processus Node.js. Le scéna…
Source : NVD — CVE-2026-116673
Twisted : réponses DNS UDP acceptées sans validation de l’adresse source
Twisted accepte une réponse DNS UDP en vérifiant l’identifiant de transaction, sans vérifier qu’elle provient du serveur interrogé, ce qui ouvre une possibilité d’usurpation de réponse et d’empoisonnement de cache. L’avis indique que les v…
Source : GHSA-jj36-9pvh-vj5r — Twisted: DNS Response Spoofing in twisted.names
Debian : mise à jour de sécurité pour php-mongodb
Debian a publié un avis de sécurité pour le pilote MongoDB de PHP, signalant plusieurs vulnérabilités susceptibles de provoquer un déni de service. L’extrait fourni ne précise ni les CVE, ni les versions affectées, ni les versions corrigée…
Debian : mise à jour de sécurité pour OpenJDK 21
Debian a publié une mise à jour de sécurité pour OpenJDK 21 à la suite de plusieurs vulnérabilités susceptibles de causer un déni de service, un contournement du bac à sable, des vérifications de certificats incomplètes ou une divulgation…
CMS & e-commerce
20 alerte(s)CVE-2026-48356 ajoutée au catalogue CISA KEV pour exploitation active
CISA a ajouté CVE-2026-48356 à son catalogue KEV le 2026-10-27, confirmant son exploitation active : la vulnérabilité permet l’envoi d’un fichier de type dangereux et peut mener à l’exécution de code. Les versions concernées et les correct…
Source : CISA KEV
Qode Membership : contournement d’authentification et prise de compte
Qode Membership jusqu’à la version 2.0.6.2 incluse présente un contournement d’authentification pouvant mener à la prise de contrôle de compte. L’avis indique qu’un attaquant non authentifié peut viser un compte existant, y compris adminis…
Source : NVD — CVE-2026-92885
Gridbox : injection SQL non authentifiée via le tri des produits
CVE-2026-102788 est une injection SQL non authentifiée dans Gridbox, affectant les versions antérieures à 2.20.4.2. Sur les pages de liste de produits, le paramètre d’URL de tri peut être inséré dans une clause ORDER BY sans validation par…
Source : CVE-2026-102788 — NVD
Gridbox : contrôle d’autorisation manquant dans le contrôleur Editor
CVE-2026-102789 est un défaut de contrôle d’autorisation dans Gridbox, affectant les versions antérieures à 2.20.4.2. La tâche du contrôleur Editor qui récupère des articles omet le contrôle de niveau d’édition utilisé par d’autres tâches…
Source : CVE-2026-102789 — NVD
Analytics Insights : XSS stocké via le titre de page
Analytics Insights – Google Analytics Dashboard for WordPress est vulnérable à un XSS stocké via le titre de page dans les versions jusqu’à 6.3.12 inclus. Un attaquant non authentifié peut injecter du script qui s’exécute lorsqu’un visiteu…
Source : NVD — CVE-2026-111820
Kirki : injection d’objet PHP et élévation de privilèges
Le plugin Kirki jusqu’à la version 6.2.5 inclus présente une injection d’objet PHP via la désérialisation d’une entrée non fiable, sans contrôle de capacité adéquat. Un attaquant authentifié disposant au minimum d’un rôle Subscriber peut,…
Source : NVD — CVE-2026-75891
Advanced Views : XSS stocké via les commentaires
Advanced Views – Display Framework for Gutenberg & Elementor jusqu’à la version 3.9.6 incluse présente un XSS stocké via le paramètre « comment ». L’avis décrit une exploitation possible sans authentification, y compris au moyen de comment…
Source : NVD — CVE-2026-109995
DJ-HelpfulArticles : XSS persistante via le champ ip du vote
CVE-2026-102800 est une XSS persistante non authentifiée dans DJ-HelpfulArticles, affectant les versions antérieures à 1.3.0. La valeur ip fournie au vote est enregistrée sans validation de provenance puis affichée sans échappement dans l’…
Source : CVE-2026-102800 — NVD
MembershipWorks pour WordPress : exposition de contenu réservé via l’API REST
Une vulnérabilité du plugin MembershipWorks pour WordPress permet à des attaquants non authentifiés d’accéder à du contenu réservé aux membres via l’API REST WordPress. Le filtre qui masque ce contenu n’étant pas appliqué aux requêtes REST…
Source : CVE-2026-112355 — NVD
Ghost — contournement d’autorisation dans les mentions « j’aime » des commentaires
Une validation incorrecte des entrées permettait à un membre de supprimer des mentions « j’aime » ou « je n’aime pas » sur des commentaires qu’il n’était pas autorisé à modifier. Ghost indique que la version 6.44.1 corrige le problème.
Source : GHSA-qrh6-cwg3-343x — Ghost: Authorization Bypass in Comment Like Feature
Payex Payment Gateway : validation insuffisante des notifications de paiement
Payex Payment Gateway for WooCommerce jusqu’à la version 1.2.10 ne valide pas correctement l’authenticité des notifications de paiement si le secret de validation est vide par défaut. Un attaquant non authentifié peut forger une confirmati…
Source : NVD — CVE-2026-103332
PayDunya WooCommerce Payment Gateway : notifications falsifiables
PayDunya WooCommerce Payment Gateway jusqu’à la version 1.1.6 ne vérifie pas correctement l’authenticité des notifications de paiement lorsque la passerelle n’est pas configurée. Un attaquant non authentifié peut alors fabriquer une notifi…
Source : NVD — CVE-2026-103359
Payment Integration Wompi : falsification de notifications de paiement
Le plugin Payment Integration Wompi jusqu’à la version 4.0.1 ne vérifie pas correctement l’authenticité de certaines notifications de paiement lorsque le secret marchand n’a pas été configuré. Un attaquant non authentifié peut alors falsif…
Source : NVD — CVE-2026-103312
Jupiter X Core : XSS stocké via forget_password_link
Jupiter X Core jusqu’à la version 4.61.0 inclus est vulnérable à un XSS stocké via le paramètre « forget_password_link ». Un attaquant authentifié disposant au minimum du rôle Contributor peut injecter un script exécuté lors de la consulta…
Source : NVD — CVE-2026-10511
ACF Extended : suppression non autorisée de pièces jointes
Advanced Custom Fields: Extended jusqu’à la version 0.9.2.6 incluse ne vérifie pas correctement les autorisations pour une action de suppression de médias. Un attaquant non authentifié peut supprimer des pièces jointes si le site possède u…
Source : NVD — CVE-2026-10752
Phoca Download : faille CSRF dans la gestion des catégories
CVE-2026-102787 concerne une faille CSRF dans la gestion des catégories de Phoca Download, affectant les versions 3.1.0 à 6.1.5. La fiche fournie ne précise ni version corrigée ni mesure de contournement.
Source : CVE-2026-102787 — NVD
TiendaCrypto para WooCommerce : vérification de webhook défectueuse
TiendaCrypto para WooCommerce jusqu’à la version 1.2.1 ne vérifie pas correctement la signature de son webhook de paiement, car la clé utilisée est toujours vide. Sous la condition technique décrite dans l’avis, un attaquant non authentifi…
Source : NVD — CVE-2026-103325
Strapi Review Workflows : contrôle d’accès insuffisant lors de mises à jour
CVE-2026-118170 concerne un défaut de contrôle d’accès dans le package Strapi Review Workflows : des mises à jour de documents pourraient être effectuées sans vérifier les droits de modification de l’appelant. La fiche CVE indique Strapi 5…
Source : NVD — CVE-2026-118170
Strapi Content Manager : contrôle d’autorisation manquant sur les URL de prévisualisation
CVE-2026-118171 concerne l’absence d’autorisation liée au périmètre du contenu sur le point d’accès de prévisualisation du Content Manager. Selon la description publiée, des administrateurs à faibles privilèges pourraient générer des URL d…
Source : NVD — CVE-2026-118171
Strapi : SSRF possible via le suivi des redirections des webhooks
CVE-2026-118172 concerne une SSRF via le mécanisme de webhooks de Strapi : le suivi de redirection ne revérifierait pas les adresses IP ni les limites réseau après redirection. La description signale également que des réponses non-2xx peuv…
Source : NVD — CVE-2026-118172
Systèmes & serveurs
1 alerte(s)Debian corrige une régression de Thunderbird affectant les courriels chiffrés par PGP
Debian a publié DSA-6585-2 pour corriger une régression introduite par la mise à jour précédente de Thunderbird, qui affectait la prise en charge des courriels chiffrés par PGP. L’avis recommande d’installer les paquets mis à jour ; les ve…
Cloud & DevOps
1 alerte(s)Docker Desktop : exposition de clés API et jetons OAuth dans les journaux
Docker Desktop pouvait enregistrer en clair des clés d’API tierces et des jetons d’accès OAuth dans les journaux locaux et les bundles de diagnostic. Docker indique que la version 4.97.0 corrige le problème et nettoie les journaux hôte et…
Source : NVD — CVE-2026-114409