Les sujets à surveiller, en un regard.
126 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 10 sujet(s) en rouge, 6 en orange.
Shopify
Vérification incomplète
Une vulnérabilité CVE-2026-63414 affectant Shopify App a été répertoriée comme divulguée le 2026-10-30. Les sources consultées indiquent les versions 22.1.0 à 23.0.3; elles ne permettent pas de confirmer une version corrigée ni une exploitation active.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Wix
Recherche du sujet effectuée
La recherche dédiée à Wix n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif ni d’exploitation dont la date soit établie dans la période demandée. La page d’état de Wix consultée indique qu’aucune interruption n’a été signalée le 30 octobre 2026 ; cela ne constitue pas, à lui seul, une confirmation de l’absence d’événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a fait ressortir aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifiable comme daté de la période demandée. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée sur Craft CMS n’a pas identifié de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les avis Craft CMS repérés sur GitHub et l’avis du Centre canadien de cybersécurité sont datés d’avant cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost a consulté les avis de sécurité GitHub du projet, ses pull requests et ses releases. Les avis visibles dans les résultats sont datés du 1er ou du 24 septembre 2026, et du 1er octobre 2026; aucun avis ou correctif de sécurité Ghost daté de la période demandée n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée sur Strapi n’a identifié aucun nouvel avis ou correctif de sécurité, aucune exploitation signalée ni mise à jour substantielle datée du 30 octobre 2026 dans la période demandée. Les résultats consultés montrent des avis antérieurs et des changements de code non présentés comme liés à la sécurité; cela ne permet pas de conclure à l’absence de toute information ailleurs sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Vérification incomplète
Un avis de sécurité Directus publié le 30 octobre 2026 concerne un déni de service persistant par pollution de prototype dans l’import CSV; les versions antérieures à 12.5.0 sont affectées et la version 12.5.0 corrige le problème. Aucun candidat n’avait été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
OpenCart
Vérification incomplète
Niveau relevé : Faible
Une vulnérabilité OpenCart, CVE-2026-119558, a été publiée le 30 octobre 2026. Elle concerne le flux Free Checkout et les points de récompense, affecte les versions jusqu’à 4.1.0.4 inclus selon les données consultées ; aucun correctif identifié n’est documenté dans ces sources. Le second candidat est une mise à jour NVD de cette même CVE, non une vulnérabilité distincte.
OpenCart — contournement du paiement via Free Checkout et points de récompense
OpenCart présente une faille de logique métier dans le parcours Free Checkout : un client connecté peut manipuler les points de récompense pour faire passer une commande sans paiement. Les versions affectées indiquées vont jusqu’à 4.1.0.4 inclus ; aucun correctif ni contournement n’est établi par les éléments consultés.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera publiée ; dans l’intervalle, vérifier les commandes Free Checkout et les changements de points de récompense. Aucun correctif identifié dans les sources consultées.
cPanel
Vérification incomplète
Un avis de sécurité cPanel & WHM daté du 30 octobre 2026 décrit une écriture arbitraire de fichiers avec les privilèges root, corrigée dans plusieurs branches. Les candidats Shopper et Cpanel::JSON::XS ne concernent pas le produit cPanel & WHM; les fiches de ces deux CVE ont été publiées avant la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Ruby
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié quatre CVE publiées par le NVD le 30 octobre 2026 concernant la bibliothèque Ruby Crass, ainsi qu’une CVE touchant Campfire, application écrite en Ruby. Le candidat Ring est exclu car Ring est une bibliothèque Clojure, et les candidats NVD « mises à jour » sont des doublons sans changement substantiel distinct établi. Un avis CERT-FR publié pendant la période signale une vulnérabilité d’injection SQL dans Ruby on Rails trilogy. Les informations fournies ne précisent ni les versions affectées ni le correctif.
Crass : consommation excessive de ressources avec les exposants CSS
Avant Crass 1.0.7, la conversion de valeurs CSS en notation scientifique peut effectuer une exponentiation non bornée avant de limiter le résultat, consommant excessivement CPU et mémoire. Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Crass : récursion non limitée dans l’analyse de valeurs CSS imbriquées
Avant Crass 1.0.7, l’analyse récursive de blocs et de fonctions CSS n’impose pas de limite de profondeur, ce qui peut provoquer une erreur de pile ou une consommation mémoire excessive. La version 1.0.7 ajoute une limite de profondeur configurable, avec une valeur par défaut ; mettre à niveau Crass.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Crass : erreur de pile lors du traitement récursif des commentaires CSS
Avant Crass 1.0.7, l’élimination par défaut des commentaires CSS adjacentés suit un chemin récursif qui peut déclencher une erreur SystemStackError. Mettre à niveau Crass vers la version 1.0.7 ou ultérieure ; la conservation des commentaires évite ce chemin récursif selon l’avis fourni.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure ; à défaut, évaluer l’activation de la conservation des commentaires.
Crass : analyse superlinéaire de CSS contenant des caractères non ASCII
Avant Crass 1.0.7, le suivi des positions de caractères multioctets peut rendre superlinéaire le temps d’analyse d’entrées CSS contenant des caractères non ASCII. Une entrée contrôlée par un attaquant peut ainsi consommer excessivement le processeur ; mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Action recommandée : Mettre à niveau Crass vers la version 1.0.7 ou ultérieure.
Campfire : contournement du contrôle d’accès réseau privé dans l’aperçu de liens
Campfire jusqu’à la version 1.4.4 ne bloque pas certaines plages d’adresses spéciales lors de la génération d’aperçus OpenGraph, ce qui permet à un utilisateur authentifié de provoquer des requêtes vers des ressources internes. Le correctif initial est disponible dans la version 1.4.5 ; mettre à niveau Campfire.
Action recommandée : Mettre à niveau Campfire vers la version 1.4.5 ou une version ultérieure.
CERT-FR : vulnérabilité d’injection SQL dans Ruby on Rails trilogy
Le CERT-FR signale une vulnérabilité dans Ruby on Rails trilogy pouvant permettre une injection SQL. Les versions affectées et le correctif ne sont pas précisés dans les informations fournies.
Bun
Recherche du sujet effectuée
La recherche dédiée sur Bun n’a pas identifié de nouvel avis, correctif de sécurité, exploitation signalée ni changement substantiel daté du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les avis Bun repérés dans les résultats consultés sont datés des 2026-10-23 et 2026-10-24, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a repéré cinq vulnérabilités Zuke liées à des composants de l’écosystème Deno, publiées au NVD le 30 octobre 2026 : CVE-2026-119287 à CVE-2026-119291. Les correctifs indiqués sont respectivement @zuke/core 1.51.0, @zuke/gh 1.10.0 et @zuke/cli 1.4.0; aucune preuve d’exploitation active n’a été établie par les éléments consultés.
Zuke : contournement de l’autorisation d’exécution dans le registre MCP
Avant la version 1.51.0, le mode registre MCP de @zuke/core pouvait accepter des descripteurs de commande sans appliquer la restriction d’autorisation prévue pour les modules distants. Si un registre modifiable par un tiers est utilisé avec `zuke mcp –registry –allow-run`, ce tiers peut faire exécuter des commandes avec l’environnement et les accès de l’opérateur; mettre à jour vers 1.51.0 ou ultérieur et limiter les personnes autorisées à modifier le registre.
Action recommandée : Mettre à jour @zuke/core vers 1.51.0 ou ultérieur; restreindre l’écriture des registres et désactiver leur exécution si la mise à jour n’est pas possible.
Zuke : injection de commande lors du lancement de shims Windows
Avant la version 1.51.0, @zuke/core pouvait lancer certains exécutables Windows `.cmd` et `.bat` en assemblant une ligne de commande que `cmd.exe` réinterprétait. Dans une compilation Windows où un outil est résolu depuis `node_modules/.bin` et reçoit du texte contrôlé par un attaquant contenant certains métacaractères non protégés, une commande supplémentaire peut s’exécuter; mettre à jour vers 1.51.0 ou ultérieur, les plateformes POSIX n’étant pas concernées selon la description fournie.
Action recommandée : Mettre à jour @zuke/core vers 1.51.0 ou ultérieur; examiner les processus de compilation Windows qui consomment des entrées non fiables.
Zuke : validation insuffisante d’un workflow GitHub déclenché
Avant la version 1.10.0, la vérification de workflow de @zuke/gh pouvait accepter un résultat de workflow_dispatch en se fondant seulement sur un marqueur de titre visible et copiable. Si des personnes moins fiables peuvent déclencher le workflow dans le dépôt externe, une exécution substituée peut autoriser une publication non validée ou bloquer une publication légitime; mettre à jour vers 1.10.0 ou ultérieur et vérifier les permissions de déclenchement du dépôt externe.
Action recommandée : Mettre à jour @zuke/gh vers 1.10.0 ou ultérieur et restreindre les permissions workflow_dispatch du dépôt externe.
Zuke : exposition possible de secrets dans le résumé GitHub Actions
Avant la version 1.51.0, @zuke/core pouvait écrire des notes de résumé GitHub Actions sans appliquer le masquage des valeurs sensibles issues de `secret()`. Si un résumé contient du texte dérivé d’un secret, celui-ci peut être exposé aux personnes ayant accès à l’exécution, y compris publiquement pour un dépôt public; mettre à jour vers 1.51.0 ou ultérieur et éviter de placer des données secrètes dans les résumés avant correction.
Action recommandée : Mettre à jour @zuke/core vers 1.51.0 ou ultérieur et retirer des résumés tout texte dérivé de secrets.
Zuke : suivi de liens symboliques dans les commandes d’échafaudage
Avant la version 1.4.0, @zuke/cli inspectait certains noms d’échafaudage sans empêcher ensuite les opérations de lecture, d’écriture ou de changement de permissions de suivre un lien symbolique. Un dépôt, modèle ou archive non fiable préparé avec un tel lien peut conduire `zuke setup` à modifier une cible hors du répertoire choisi; mettre à jour vers 1.4.0 ou ultérieur et ne pas traiter de modèles non fiables avec les versions affectées.
Action recommandée : Mettre à jour @zuke/cli vers 1.4.0 ou ultérieur et traiter les modèles et archives non fiables comme potentiellement dangereux.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé, dans la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00, une nouvelle fiche CVE visant Daptin et deux avis de sécurité sans CVE visant Soft Serve. Les mises à jour de fiches concernant des vulnérabilités antérieures ont été écartées lorsqu’aucun changement substantiel daté dans la période n’était établi.
Daptin : déni de service via l’en-tête Accept-Language
Avant Daptin 0.12.26, le middleware de langue transmettait l’en-tête Accept-Language sans filtrage suffisant à l’analyse des préférences linguistiques. Une entrée spécialement formée pouvait contourner la vérification décrite dans l’avis et entraîner un déni de service ; mettre à jour vers 0.12.26.
Action recommandée : Mettre à jour Daptin vers la version 0.12.26 ou une version corrigée applicable.
Soft Serve — divulgation de l’existence de dépôts privés et erreur sur certains chemins LFS
GHSA-fgxm-5hvv-x4vh concerne Soft Serve, écrit en Go : des requêtes pouvaient révéler l’existence, le nom et l’URL de clonage de dépôts privés, et certains chemins LFS pouvaient provoquer une erreur serveur. Les versions de 0.5.0 à 0.12.2 sont affectées ; mettre à jour vers 0.12.3 ou une version ultérieure.
Action recommandée : Mettre à jour Soft Serve vers la version 0.12.3 ou ultérieure.
Soft Serve — course de cache pouvant maintenir lisible un dépôt rendu privé
GHSA-f3fj-9625-rv3m concerne Soft Serve : une course lors du changement de visibilité pouvait laisser en cache l’état public d’un dépôt, maintenant son contenu accessible sans authentification après son passage en privé. Les versions 0.6.0 à 0.12.2 sont concernées ; mettre à jour vers 0.12.3 ou une version ultérieure.
Action recommandée : Mettre à jour Soft Serve vers la version 0.12.3 ou ultérieure.
Kotlin
Recherche du sujet effectuée
Aucune nouveauté de sécurité concernant le langage ou le projet Kotlin n’a été vérifiée pour la période demandée. CVE-2026-55551 concerne ZAC, un logiciel municipal dont un fichier est écrit en Kotlin, et non Kotlin lui-même; sa fiche NVD a été publiée et modifiée durant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé une nouvelle vulnérabilité publiée pendant la période : CVE-2026-119333, concernant draw.io Desktop, application fondée sur Electron. Les avis Electron consultés indiquaient d’autres publications antérieures à la période. La mise à jour NVD de CVE-2026-114606 datée du 30 octobre n’a pas été retenue : les éléments consultés la décrivent comme une fiche publiée le 22 octobre, sans changement substantiel vérifié pendant la période.
CVE-2026-119333 — exécution d’un exécutable malveillant via le chemin de recherche Windows dans draw.io Desktop
draw.io Desktop sous Windows pouvait lancer un exécutable malveillant placé dans le dossier d’un diagramme ouvert depuis l’Explorateur, si l’application n’était pas déjà lancée. Le risque concerne notamment certains traitements de polices locales, brouillons ou sauvegardes ; la version 31.5.2 corrige le problème.
Action recommandée : Mettre à jour draw.io Desktop vers la version 31.5.2 ou une version ultérieure.
jQuery
Recherche du sujet effectuée
Aucune nouveauté vérifiée pendant la période pour le projet jQuery lui-même. Les résultats concernant WeGIA et Cool FormKit Lite décrivent des vulnérabilités dans ces logiciels, et non dans jQuery; la mention de jQuery comme composant utilisé ne suffit pas à les attribuer au sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Vérification incomplète
Un avis publié le 2026-10-30 signale des vulnérabilités dans Laravel MongoDB avant la version 5.12.0. La recherche n’a pas établi d’autre nouvel avis ou correctif Laravel daté de la période ; les avis Laravel trouvés datant d’octobre 19 sont antérieurs à celle-ci.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte et SvelteKit n’a pas permis de vérifier de vulnérabilité, d’avis de sécurité, de correctif, d’exploitation ni de mise à jour substantielle daté du 2026-10-30 dans la période indiquée. Les avis SvelteKit retrouvés dans les résultats consultés portent des dates antérieures à cette période; cela ne permet pas de conclure à l’absence de toute nouveauté sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou correctif Symfony daté du 30 octobre 2026. L’avis officiel Symfony trouvé est daté du 29 octobre 2026; CVE-2026-45145 concerne Chamilo LMS, et non une vulnérabilité Symfony.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité du projet Flask et aux publications pertinentes pour la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00 n’a identifié aucun avis ou correctif Flask daté de cette période dans les sources consultées. Les deux candidats concernent pgAdmin 4, et non le framework Flask.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche a relevé CVE-2026-114136 dans Django REST framework, mais l’avis du projet indique une publication le 2026-10-06, avant la période demandée. La modification NVD du 2026-10-30 est mentionnée dans le candidat, mais les sources consultées ne montrent pas qu’elle correspond à un changement substantiel de l’avis pendant la période ; la fiche est donc exclue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Recherche web dédiée effectuée pour FastAPI, notamment dans les avis de sécurité GitHub, les notes de version du projet et les résultats de recherche CVE. Aucun avis, correctif de sécurité, événement d’exploitation ou changement substantiel attribuable à FastAPI et daté du 2026-10-30 (dans la période demandée) n’a été vérifié dans les résultats consultés; les résultats affichés ne suffisent pas à établir une absence universelle de signalement.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ni avis de sécurité vérifié concernant le projet Express n’a été identifié pour la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Les candidats fournis portent sur d’autres projets ou sur une modification NVD d’une fiche antérieure.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
Niveau relevé : Critique
Un avis publié le 30 octobre 2026 concerne ng-antd-admin, un modèle d’administration utilisant NestJS : un secret JWT par défaut peut permettre un contournement d’authentification lorsque celui-ci n’a pas été remplacé. La version 22.0 apporte un contrôle du secret par défaut en production.
Secret JWT par défaut dans ng-antd-admin : contournement d’authentification
Dans ng-antd-admin, un secret JWT par défaut codé en dur peut permettre de falsifier des jetons et de contourner l’authentification si le déploiement conserve ce secret, avec usurpation possible de comptes administrateurs et accès aux API protégées. Les versions antérieures à 22.0 sont concernées; mettre à niveau vers 22.0 ou ultérieure et configurer un secret JWT unique et robuste.
Action recommandée : Mettre à niveau ng-antd-admin vers 22.0 ou ultérieure et remplacer le secret JWT par défaut par une valeur forte, unique et gérée de façon sûre.
MySQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis publié pendant la période concerne le contournement du contrôle en lecture seule de DBHub sur les connecteurs MySQL et MariaDB. Les candidats phpMyAdmin et Moodle ne portent pas sur le produit MySQL; les entrées NVD concernant Vitess ou des CVE Oracle antérieurement publiées n’établissent pas, avec les éléments vérifiés, un nouvel événement de sécurité admissible dans la période. Aucune nouveauté MySQL ne peut être retenue pour cette période sur la base de ce lot : les candidats signalent des modifications de fiches NVD, mais ne fournissent pas d’élément établissant un changement substantiel daté du 30 octobre. Les CVE concernées avaient été publiées le 20 octobre. Un avis publié pendant la période concerne le contournement de la validation SQL en lecture seule du connecteur MySQL de DBHub ; le correctif indiqué est DBHub 0.22.6.
DBHub : contournement du mode lecture seule avec les connecteurs MariaDB/MySQL
Une erreur d’analyse des commentaires SQL permet de contourner le mode lecture seule de DBHub avec les connecteurs MySQL et MariaDB, et peut entraîner l’exécution de requêtes d’écriture ou de suppression. Le problème est corrigé dans DBHub 0.22.6 ; mettre à jour et limiter les privilèges du compte de base de données.
Action recommandée : Mettre DBHub à jour en version 0.22.6 ou ultérieure et appliquer le principe du moindre privilège au compte de base de données.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux avis concernant pgAdmin 4 ont été publiés dans la période : CVE-2026-116247 et CVE-2026-116252. Aucun avis du serveur PostgreSQL lui-même daté de cette période n’a été vérifié dans les sources consultées.
Repli sur les fichiers d’identification du compte système
En l’absence de fichiers d’identification configurés ou accessibles, libpq pouvait retomber sur les fichiers de mots de passe et certificats du compte système pgAdmin. La correction de pgAdmin 4 9.19 fournit explicitement des chemins propres à l’utilisateur ou impossibles à ouvrir en mode serveur; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; en mode serveur, configurer les fichiers d’identification nécessaires sur les serveurs concernés.
CVE-2026-116252 : détournement de connexion lors de l’actualisation d’une vue
Lors de l’actualisation d’une vue matérialisée, pgAdmin 4 transmettait le nom de la base à psql sans empêcher libpq de l’interpréter comme une chaîne de connexion complète. Un rôle pouvant créer une base au nom spécialement construit pouvait ainsi détourner la connexion lancée pour l’actualisation vers un hôte de son choix et exposer à cet hôte le mot de passe enregistré de l’utilisateur.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel concernant le produit MongoDB n’a été vérifié pour la période demandée. Les deux publications du 30 octobre portent respectivement sur ArcadeDB et Wekan, et les mises à jour des fiches du pilote C# ne suffisent pas, sans preuve d’un changement substantiel daté de cette période, à établir un événement admissible. Un avis CERT-FR daté du 30 octobre 2026 signale plusieurs vulnérabilités dans les produits MongoDB. Les informations fournies ne donnent pas les CVE, versions affectées ou correctifs.
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB, susceptibles notamment de porter atteinte à l’intégrité des données, de permettre une injection SQL ou de contourner la politique de sécurité. L’avis fourni ne précise ni les CVE concernées, ni les versions affectées ou corrigées, ni les mesures de correction recommandées.
Redis
Recherche du sujet effectuée
Aucun élément vérifié ne répond aux critères pour Redis pendant la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Les candidats mentionnent Redis comme protocole ou composant, mais concernent respectivement ArcadeDB, SecureDrop ou Apache bRPC; leurs mises à jour NVD du 30 octobre ne constituent pas de nouveaux avis Redis.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée a repéré des avis Caddy publiés le 13 octobre 2026 et une entrée CVE datée du 28 octobre 2026, tous antérieurs à la période demandée. Aucun nouvel avis, correctif ou changement substantiel daté du 30 octobre 2026 n’a été vérifié pour Caddy dans les sources consultées; aucun candidat n’était fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée a trouvé des avis SvelteKit publiés le 5 octobre 2026 et des enregistrements liés à des avis datés des 21 à 23 octobre 2026. Ces dates sont antérieures à la période demandée (du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu) ; aucun élément correspondant à cette période n’a été identifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche web dédiée sur Babel n’a pas identifié de nouvel avis de sécurité, correctif ou autre événement de sécurité daté du 2026-10-30 dans la période demandée. Les résultats pertinents consultés indiquent des avis Babel publiés avant cette période; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucune nouveauté de sécurité Elasticsearch datée du 2026-10-30 n’a été vérifiée dans les sources consultées. Les avis Elasticsearch affichés dans les annonces de sécurité Elastic consultées sont datés du 2026-10-06 ou du 2026-11-03, hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Recherche web dédiée effectuée sur RabbitMQ, notamment dans les avis de sécurité du projet et les fiches NVD. Les cinq candidats fournis indiquent une publication antérieure à la période (23 septembre 2026) et une mise à jour NVD le 30 octobre; les sources consultées ne permettent pas d’établir qu’un changement substantiel concernant ces CVE a eu lieu pendant la période figée. Les avis RabbitMQ repérés comme publiés le 25 octobre sont également hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée aux avis Memcached, aux CVE/NVD et aux sources du projet n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-30 dans la période demandée. Les éléments trouvés concernaient des dates antérieures et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Six vulnérabilités liées à GraphQL ou à des produits utilisant GraphQL ont été retenues dans la période : GraphQL-core, ArcadeDB, AxonHub, Traggo Server, Mythic et Daptin. Le candidat CVE-2026-115887 a été exclu : sa publication précède la période et sa seule modification NVD signalée ne suffit pas à établir un changement substantiel. Aucun élément du lot ne permet d’établir une vulnérabilité nouvelle, un avis ou correctif, une exploitation, ou un changement substantiel daté de la période demandée. Les deux entrées NVD signalent des modifications de fiches sans fournir d’élément permettant d’en vérifier la nature substantielle; l’avis GHSA a été publié avant la période et son horodatage de mise à jour ne précise pas le changement apporté.
Traggo Server : déni de service via l’endpoint GraphQL
Une requête POST construite spécialement vers le point d’accès GraphQL de Traggo Server 0.8.3 pouvait provoquer un déni de service. Les informations consultées ne permettent pas d’établir les versions supplémentaires concernées ni une version corrigée.
Action recommandée : Surveiller les annonces du projet pour un correctif ; limiter l’exposition de l’endpoint GraphQL dans l’intervalle.
Mythic : XSS stockée lors de l’aperçu de fichiers
Mythic 3.2.16 à 3.4.0.61 présentait une vulnérabilité XSS stockée dans l’interface opérateur, déclenchable lors de l’aperçu de certains fichiers présentés comme des PDF. Le contenu pouvait s’exécuter dans l’origine de l’interface et compromettre les jetons JWT locaux, donnant accès aux API GraphQL et REST ; aucun correctif n’est établi dans les éléments consultés.
Action recommandée : Traiter les fichiers téléversés comme non fiables et éviter leur prévisualisation dans l’interface tant qu’un correctif éditeur n’est pas confirmé.
Daptin : déni de service via l’en-tête Accept-Language
Avant Daptin 0.12.26, le middleware de langue transmettait l’en-tête Accept-Language sans filtrage suffisant à l’analyse des préférences linguistiques. Une entrée spécialement formée pouvait contourner la vérification décrite dans l’avis et entraîner un déni de service ; mettre à jour vers 0.12.26.
Action recommandée : Mettre à jour Daptin vers la version 0.12.26 ou une version corrigée applicable.
GraphQL-core : accumulation mémoire lors des validations interrompues
GraphQL-core réutilisait une exception de validation partagée lorsque le nombre d’erreurs dépassait la limite, ce qui conservait en mémoire les documents et contextes associés. Un client non authentifié pouvait provoquer une consommation mémoire croissante et un déni de service ; mettre à jour vers la version 3.3.1.
Action recommandée : Mettre à jour graphql-core vers la version 3.3.1 ou une version corrigée applicable.
ArcadeDB : remplacement non autorisé du schéma GraphQL
Dans ArcadeDB, un utilisateur disposant uniquement du droit readRecord pouvait remplacer le schéma GraphQL partagé via un point d’accès de requête présenté comme en lecture seule. Le changement pouvait modifier les résultats visibles par d’autres utilisateurs ; mettre à jour vers 26.10.2.
Action recommandée : Mettre à jour ArcadeDB vers la version 26.10.2 ou une version corrigée applicable.
AxonHub : élévation de privilèges via les portées de clés de service
AxonHub permettait à des utilisateurs de projet ayant le droit write_api_keys de créer des clés de service avec des portées système non validées. Une clé ainsi créée pouvait accéder aux configurations de canaux via /admin/graphql ; le candidat indique que les versions jusqu’à 1.0.0-beta11 sont concernées, sans préciser de version corrigée.
Action recommandée : Vérifier et restreindre les droits de création de clés de service ; appliquer une version corrigée dès qu’elle est confirmée par l’éditeur.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche web dédiée et l’examen des candidats ont permis de retenir sept nouvelles fiches publiées dans la période et associées à des extensions ou thèmes de l’écosystème WooCommerce. Les éléments fournis ne permettent pas de confirmer une exploitation active ni d’établir les versions corrigées pour la plupart de ces failles. Cinq vulnérabilités de composants WordPress liés à WooCommerce ont une date de publication dans la période : défaut d’autorisation pouvant bloquer des commandes, CSRF, divulgation de données personnelles, téléversement de fichiers arbitraires et XSS persistante. Les informations de versions corrigées ne sont pas précisées dans les sources fournies. Une vulnérabilité XSS de GIFTiT – Free Gifts for WooCommerce, CVE-2026-52710, a été publiée et mise à jour par le NVD le 30 octobre 2026. La fiche fournie indique comme affectées les versions jusqu’à 4.5 et ne précise pas de correctif.
Divulgation de données de commandes WooCommerce
Email Templates Customizer and Designer for WordPress and WooCommerce présente un contournement d’autorisation qui permet d’accéder aux données de commandes WooCommerce. Toutes les versions jusqu’à 1.5.14 inclus sont concernées; l’attaque ne nécessite pas de compte et peut exposer les données personnelles des clients.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du plugin en attendant.
Téléversement arbitraire de fichiers dans Avada pour WordPress
Le thème Avada jusqu’à la version 7.16.2 incluse présente une vulnérabilité de téléversement arbitraire de fichiers, exploitable sans authentification. Des fichiers téléversés susceptibles d’être exécutables peuvent permettre une exécution de code à distance.
Action recommandée : Surveiller les mises à jour d’Avada et appliquer une version corrigée dès qu’elle est disponible.
CVE-2026-96894 : XSS stockée dans le plugin ERP pour WooCommerce
Le plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce est vulnérable à une XSS stockée pouvant être déclenchée par un courriel entrant, sans compte WordPress. Toutes les versions jusqu’à 1.17.10 incluse sont concernées; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour le plugin dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
Ajout non autorisé de clients à la liste noire anti-fraude
CVE-2026-118072 concerne un contrôle d’autorisation manquant dans Fraud Prevention For WooCommerce and EDD : des utilisateurs de rôle Subscriber ou supérieur peuvent ajouter des clients à la liste noire sans être autorisés à gérer les commandes. Les versions antérieures à 2.3.6 sont concernées ; cette action peut empêcher des clients légitimes de passer commande.
Action recommandée : Mettre à jour vers la version 2.3.6 ou ultérieure.
APIExperts Square for WooCommerce : vulnérabilité CSRF
APIExperts Square for WooCommerce présentait une vulnérabilité CSRF, permettant à un attaquant de tenter de faire exécuter une action par un administrateur authentifié qui visite une page malveillante. La fiche fournie indique que les versions jusqu’à 4.7.5 sont affectées ; elle ne précise pas de version corrigée ni l’action exacte concernée.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’il est publié.
GIFTiT for WooCommerce : injection de code de type XSS
GIFTiT – Free Gifts for WooCommerce présentait une vulnérabilité de neutralisation insuffisante de balises HTML liées aux scripts, décrite comme une XSS basique ou une injection de code. La fiche indique que les versions jusqu’à 4.5 sont concernées, sans préciser de version corrigée ni davantage les conditions d’exploitation.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; à défaut, désactiver le module si son usage n’est pas indispensable.
YITH WooCommerce Product Add-Ons : contournement non authentifié
YITH WooCommerce Product Add-Ons présentait une vulnérabilité de contournement non authentifié. Les versions jusqu’à 4.34.0 sont visées par la fiche fournie, mais les informations disponibles ne décrivent pas davantage le mécanisme, l’impact précis ou la version corrigée.
Action recommandée : Mettre à jour vers une version corrigée si elle est disponible ; sinon, envisager de désactiver le module jusqu’à confirmation de l’éditeur.
Simple:Press
Recherche du sujet effectuée
Les sources consultées ne montrent pas de vulnérabilité, de correctif ou d’avis Simple:Press daté de la période demandée (du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu). Les entrées de vulnérabilités visibles dans WPScan et Patchstack sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche dédiée sur Docker n’a relevé aucun avis, correctif ou événement de sécurité vérifié dont la date de publication ou l’événement tombe dans la période du 2026-10-30T00:00:00+02:00 au 2026-10-31T00:00:00+02:00. Les avis Docker repérés dans les résultats consultés sont datés hors période. Les candidats portant sur d’autres produits où Docker n’est qu’un environnement ou un élément de contexte ne sont pas retenus comme vulnérabilités de Docker.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Vérification incomplète
La recherche a trouvé des avis Traefik associés aux CVE-2026-119572 et CVE-2026-119573, mais l’avis éditeur correspondant a été publié le 16 octobre 2026, avant la période demandée. Les autres candidats sont des mises à jour de fiches antérieures ou des événements dont la date fournie ne prouve pas une nouveauté substantielle durant la période. Aucun item n’est donc retenu.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Linux (noyau)
Vérification incomplète
Niveau relevé : Gravité à préciser
Un avis de sécurité daté du 30 octobre 2026 concerne CVE-2026-98432, une vulnérabilité du noyau Linux. Les candidats fournis sont des modifications de fiches NVD pour des CVE antérieures ; aucune preuve consultée ne montre qu’elles correspondent à une nouvelle faille ou à un changement substantiel durant la période. Aucun événement Linux noyau admissible n’est établi dans ce lot pour la période demandée. Les candidats sont des fiches NVD publiées en 2024 dont la seule date récente fournie est une mise à jour de fiche; aucun changement substantiel daté dans la période n’est indiqué. Aucune nouveauté, aucun correctif/avis de sécurité ni changement substantiel concernant le noyau Linux n’est établi dans la période demandée. Les candidats sont des fiches NVD publiées en 2024 dont la seule date dans la période est une mise à jour NVD; les éléments fournis ne montrent pas de changement substantiel daté du 30 octobre 2026. Les 10 candidats sont des fiches NVD dont la date de mise à jour indiquée est le 2026-10-30, mais leur publication et les correctifs décrits sont antérieurs à la période. Les données fournies ne démontrent aucun changement substantiel daté dans la période ; ils sont donc exclus. Aucun élément du lot ne démontre une nouvelle vulnérabilité, un correctif ou un changement substantiel sur le noyau Linux daté de la période demandée. Les dates de mise à jour NVD sont dans la période, mais les informations fournies décrivent des correctifs publiés en 2023 ou 2024 et n’établissent pas de changement de sécurité substantiel le 30 octobre 2026. Les candidats fournis sont des fiches de vulnérabilités publiées en 2024 dont la date de mise à jour NVD est le 2026-10-30. Les éléments transmis ne documentent pas de nouvel événement de sécurité ni de changement substantiel su…
Linux TIPC : correction d'une réutilisation de nonce AES-GCM
Un défaut dans TIPC pouvait réutiliser des nonces AES-GCM après un changement de clé signalé par un pair. Cette réutilisation pouvait compromettre la confidentialité des communications et permettre la falsification de paquets.
Action recommandée : Appliquer une version du noyau Linux intégrant le correctif TIPC; la version corrigée n'est pas précisée dans les données fournies.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
Les index officiels Debian consultés signalent, le 2026-10-30, un avis de sécurité pour Thunderbird et deux avis Debian LTS concernant python-git et cyrus-sasl2. Les candidats fournis sont des CVE anciennes dont la seule activité datée dans la période est une modification de fiche NVD ; ils ne sont pas retenus comme nouveautés ou changements substantiels Debian. Trois avis Debian datés du 30 octobre 2026 ont été retenus : DSA-6598-1 pour Thunderbird, DLA-4871-1 pour cyrus-sasl2 et DLA-4870-1 pour antiword. DLA-4872-1 concerne plusieurs CVE de GitPython; les CVE retenues ici sont celles dont la description individuelle figure dans l’extrait fourni. Les modifications NVD fournies portent sur des CVE publiées antérieurement et ne démontrent pas un changement substantiel dans la période.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42215
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait une exécution de commandes par des options non sûres passées en arguments nommés avec des traits de soulignement. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42284
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres non vérifiées après le découpage de multi_options avec shlex. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44243
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait d’accéder à des fichiers hors du dépôt lors de la manipulation de références. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44244
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’écriture de configuration ne rejetait pas les caractères de contrôle dans les valeurs. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67322
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des variables d’environnement étaient développées dans les URL de clonage et pouvaient divulguer des secrets à un hôte distant. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67323
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres n’étaient pas protégées dans plusieurs API Git et pouvaient conduire à l’exécution de commandes. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67324
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options longues abrégées contournaient les contrôles d’options non sûres et pouvaient mener à l’exécution de commandes. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67325
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options courtes combinées contournaient les contrôles des options non sûres. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67326
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sections de configuration n’étaient pas validés avant leur écriture. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-69097
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des noms de sections contenant un crochet fermant non cité pouvaient injecter des paramètres arbitraires dans .git/config. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73619
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres manquaient aux listes de blocage et pouvaient mener à l’exécution de commandes ou à un accès arbitraire aux fichiers. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73620
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres dans IndexFile.checkout() et TagReference.create(). Elles pouvaient permettre de lire ou d’écrire des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73621
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Commit.count n’écartait pas des options de sortie non sûres. Cela pouvait entraîner l’écriture vers des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73622
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les variables d’environnement étaient développées dans les URL de dépôts distants et de sous-modules. Cette expansion pouvait divulguer des secrets à un hôte distant; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73623
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option non sûre –template n’était pas rejetée lors d’un clonage. Cela pouvait permettre la lecture de chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73624
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options de sortie non sûres n’étaient pas protégées dans les opérations diff. Elles pouvaient écrire vers des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73625
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs d’options courtes séparées n’étaient pas validées. Ce défaut pouvait contourner les contrôles d’options non sûres dans plusieurs opérations; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76217
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options –pathspec-from-file n’étaient pas protégées dans certaines opérations d’index et de HEAD. Cela pouvait permettre de lire des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76218
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Repo.init ne bloquait pas des options Git init non sûres. Les options citées pouvaient lire ou écrire des chemins arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76219
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option –index-output n’était pas protégée dans des appels read-tree. Cela pouvait écrire vers un chemin arbitraire; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76220
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où la valeur accolée aux options d’un caractère n’était pas vérifiée dans certains cas. Cela pouvait contourner les contrôles des options non sûres; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76221
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms d’options de configuration pouvant injecter des paramètres n’étaient pas rejetés. Consultez l’avis Debian et appliquez la mise à jour de sécurité disponible pour votre version.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76222
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sous-modules lus depuis .gitmodules n’étaient pas validés avant des opérations sur le système de fichiers. Cela permettait une traversée de répertoires hors du dépôt; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78675
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les directives include de .gitmodules étaient traitées. Ce comportement pouvait permettre la lecture de fichiers arbitraires; consultez l’avis et appliquez la mise à jour Debian.
Action recommandée : Appliquer la mise à jour Debian indiquée dans DLA-4872-1.
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78676
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs de configuration multilignes n’étaient pas préservées. L’extrait fourni ne précise pas davantage les conséquences propres à cette vulnérabilité; consultez l’avis Debian et appliquez la mise à jour de sécurité.
Action recommandée : Consulter DLA-4872-1 et appliquer la mise à jour Debian.
DSA-6598-1 : mise à jour de sécurité Thunderbird
Debian a publié DSA-6598-1 pour plusieurs problèmes de sécurité dans Thunderbird. L’avis indique qu’ils pourraient entraîner l’exécution de code arbitraire ou la divulgation d’informations; il ne fournit pas de CVE dans les données disponibles.
Action recommandée : Appliquer la mise à jour Debian référencée par DSA-6598-1.
DLA-4871-1 : mise à jour de sécurité cyrus-sasl2
Debian a publié DLA-4871-1 pour un dépassement de tampon dans le tas du greffon DIGEST-MD5 de cyrus-sasl2. Les données fournies ne donnent pas de CVE ni de détails de versions; consultez l’avis Debian et appliquez la mise à jour de sécurité.
Action recommandée : Appliquer la mise à jour Debian référencée par DLA-4871-1.
DLA-4870-1 : mise à jour de sécurité antiword
Debian a publié DLA-4870-1 pour plusieurs problèmes dans antiword, notamment des écritures hors limites dans le tas et une division entière par zéro. Aucun CVE n’était attribué selon l’avis fourni; consultez celui-ci et appliquez la mise à jour de sécurité.
Action recommandée : Appliquer la mise à jour Debian référencée par DLA-4870-1.
Alpine Linux
Vérification incomplète
Une publication officielle d’Alpine datée du 30 octobre 2026 confirme la réouverture de son instance GitLab après un incident lié à des tentatives d’exploitation de CVE-2026-97229 survenues les 20 et 21 octobre, et décrit des mesures de réinitialisation de comptes.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Vérification incomplète
Un avis AlmaLinux concernant Apache HTTP Server (httpd) est daté du 2026-10-30. Les résultats consultés ne suffisent pas à établir les vulnérabilités individuelles ni leurs correctifs; aucun autre événement correspondant à la période n’a été vérifié.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Vérification incomplète
Un avis pertinent a été vérifié dans la période : CVE-2026-59387 concerne une règle manquante dans le routage Nginx de Cloud Controller. Les deux candidats Traefik ont été exclus : ils concernent des défauts du fournisseur Kubernetes Ingress NGINX de Traefik, et non du produit Nginx demandé.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PHP
Vérification incomplète
La recherche a relevé une mise à jour AWS datée du 2026-10-30 concernant la disponibilité d’images CodeBuild avec PHP corrigé pour deux vulnérabilités divulguées antérieurement. Aucun des candidats fournis ne concerne le runtime PHP ou PHP-FPM lui-même : ils portent sur des applications ou extensions distinctes. Aucun candidat ne concerne une vulnérabilité du langage ou du moteur PHP, ni de PHP-FPM : les entrées portent sur des produits distincts, même lorsque leur code est écrit en PHP ou qu’elles mentionnent des fonctions PHP. Elles sont donc hors du sujet demandé. Les candidats fournis concernent des applications ou extensions tierces écrites en PHP, et non le langage ou le runtime PHP lui-même. Aucun ne constitue donc un avis de sécurité du sujet demandé. Aucun candidat fourni ne concerne PHP ou PHP-FPM comme produit. Les publications portent sur Shopper, Collabora Online, baserCMS ou des extensions WordPress ; les mises à jour NVD restantes ne constituent pas, d’après les éléments fournis, un changement substantiel pertinent pour le sujet demandé. Aucun élément du lot n’est retenu pour le sujet PHP : les candidats concernent des extensions WordPress tierces, et leurs dates de publication indiquées sont antérieures à la période. Les dates de mise à jour NVD du 30 octobre ne suffisent pas, à elles seules, à établir un changement substantiel. Les candidats concernent des injections d’objets PHP dans des produits tiers (Le Truffe, Mission, Motorix, Muzicon, Filmax, Avventure, Bonbon, EmojiNation, Gamezone et Gamic), et non des vulnérabilités du langage ou du runtime PHP. Les dates de publication indiquées sont antérieures à la période ; les seules dates dans la période sont des mises à jour NVD, qui ne constituent pas à elles seules un événement admissible. Aucun cand…
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
WordPress
Vérification incomplète
Niveau relevé : Critique
Dix publications NVD datées du 30 octobre 2026 dans la période demandée concernent des extensions WordPress. Les versions affectées et correctifs sont indiqués lorsqu’ils sont précisés dans les éléments examinés; aucune exploitation active n’est établie par les informations consultées. Dix fiches NVD publiées le 2026-10-30 couvrent des vulnérabilités dans des extensions WordPress : exposition de données, défauts d’autorisation, XSS, injection SQL et injection d’objet PHP. Les candidats fournis ont tous été examinés ; aucune recherche web supplémentaire n’a été réalisée. Dix fiches NVD WordPress fournies indiquent des publications dans la période du 2026-10-30 ; elles portent sur des vulnérabilités de plugins, dont plusieurs failles de script intersites, de contrôle d’accès et d’exécution de shortcodes. Les versions corrigées ne sont indiquées ici que lorsqu’elles figurent explicitement dans les éléments fournis. Dix fiches NVD concernant des vulnérabilités de plugins ou composants WordPress ont été publiées le 2026-10-30 dans la période demandée. Les problèmes rapportés couvrent des XSS, une suppression arbitraire de fichiers, une élévation de privilèges, des contournements d’autorisation et des expositions de données. Dix fiches NVD concernant des vulnérabilités de plugins ou d’un thème WordPress ont été publiées dans la période demandée. Elles portent notamment sur des XSS stockées, une injection SQL, un téléversement arbitraire, une élévation de privilèges, l’exécution de shortcodes et un contournement d’autorisation. Quatre nouvelles fiches NVD concernant des extensions WordPress ont été publiées pendant la période : NextGEN Gallery, ERP Suite for WooCommerce, Forminator Forms et Meow Gallery. La nature des mises à jour NVD signalées pour les autres candidats n’est…
Gravity Forms : injection d’objet PHP via un champ personnalisé de type Liste
Gravity Forms jusqu’à la version 3.1.2 incluse est vulnérable à une injection d’objet PHP via un champ personnalisé de type Liste utilisé comme champ personnalisé d’article. Selon la configuration et la présence d’une chaîne de gadgets dans un autre composant ou dans WordPress, cela peut conduire à des actions supplémentaires, voire à l’exécution de code dans certaines conditions d’hébergement.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; limiter l’exposition des formulaires concernés et appliquer un correctif dès sa disponibilité.
Divulgation de données de commandes WooCommerce
Email Templates Customizer and Designer for WordPress and WooCommerce présente un contournement d’autorisation qui permet d’accéder aux données de commandes WooCommerce. Toutes les versions jusqu’à 1.5.14 inclus sont concernées; l’attaque ne nécessite pas de compte et peut exposer les données personnelles des clients.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du plugin en attendant.
Téléversement arbitraire de fichiers dans Avada pour WordPress
Le thème Avada jusqu’à la version 7.16.2 incluse présente une vulnérabilité de téléversement arbitraire de fichiers, exploitable sans authentification. Des fichiers téléversés susceptibles d’être exécutables peuvent permettre une exécution de code à distance.
Action recommandée : Surveiller les mises à jour d’Avada et appliquer une version corrigée dès qu’elle est disponible.
CVE-2026-96894 : XSS stockée dans le plugin ERP pour WooCommerce
Le plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce est vulnérable à une XSS stockée pouvant être déclenchée par un courriel entrant, sans compte WordPress. Toutes les versions jusqu’à 1.17.10 incluse sont concernées; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour le plugin dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
Escalade de privilèges via import CSV dans Export and Import Users and Customers
CVE-2026-104368 concerne une escalade de privilèges dans Export and Import Users and Customers : un abonné authentifié peut exploiter une incohérence de traitement CSV pour créer un compte administrateur. Les versions jusqu’à 2.7.5 inclus sont indiquées comme vulnérables ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.
AI Engine : autorisation manquante dans l’inscription OAuth MCP
Le point de terminaison d’inscription OAuth du module MCP de AI Engine permet à un utilisateur non authentifié d’enregistrer un client OAuth avec une URI de redirection contrôlée. Si un administrateur approuve ce client, l’attaquant peut obtenir un jeton MCP associé aux privilèges d’administrateur; l’approbation peut aussi être exposée au clickjacking.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, désactiver le module MCP ou restreindre l’accès à son point de terminaison d’inscription.
Food Store : XSS stockée via le paramètre service_time
Le paramètre service_time du plugin Food Store peut permettre l’injection de scripts persistants par un attaquant non authentifié, en raison d’un filtrage et d’un échappement insuffisants. L’exploitation requiert que « Enable Pickup/Delivery Service » soit activé et que « Enable Checkout Service Fields » soit désactivé, une configuration non standard.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; sinon, modifier la configuration pour satisfaire l’une des conditions d’atténuation indiquées.
Formidable Forms : installation arbitraire d’extensions
Dans Formidable Forms, une validation insuffisante de l’URL et des contrôles de permission incomplets permettent à des utilisateurs authentifiés disposant de droits de niveau abonné ou supérieur d’installer des extensions arbitraires. Le problème ne concerne que les installations gratuites sans Formidable Pro.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes ayant accès aux formulaires et vérifier si l’installation est concernée par la condition Formidable Pro.
Gravity Forms : XSS stockée via des champs de formulaire
Des champs de formulaire de Gravity Forms acceptant du HTML brut peuvent conduire à une XSS stockée, en raison de contrôles insuffisants à l’enregistrement et à l’affichage. La fiche décrit un contournement de wp_kses_post() suivi d’une insertion de contenu HTML par le JavaScript d’administration.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et éviter de traiter comme fiables les contenus soumis par formulaire.
Gravity Forms : XSS stockée dans le champ List
Le champ List de Gravity Forms présente une XSS stockée liée à un contrôle insuffisant des entrées et des sorties. Selon la fiche, l’exploitation nécessite qu’un administrateur clique sur le lien injecté dans le détail d’une entrée et confirme une boîte de dialogue.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; sensibiliser les administrateurs à ne pas ouvrir ni confirmer des liens suspects dans les détails d’entrées.
Database Cleaner : suppression arbitraire de tables
Database Cleaner permet à des utilisateurs authentifiés disposant de privilèges administrateur ou supérieurs de supprimer des tables de base de données sans restriction suffisante. La fiche indique que des tables essentielles de WordPress peuvent être visées.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter strictement les comptes disposant de privilèges administrateur.
XSS stockée dans Independent Analytics Pro
Independent Analytics Pro présente une XSS stockée via le paramètre `utm_campaign`, les entrées n’étant pas suffisamment nettoyées ni échappées. Les versions jusqu’à 2.15.5 inclus sont concernées; la vulnérabilité nécessite l’édition Pro active et peut être exploitée sans authentification après obtention d’un jeton signé sur une page publique.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’édition Pro si elle n’est pas nécessaire.
Élévation de privilèges dans Ak Framework
Le framework Ak, fourni avec le thème Newsy, permet une élévation de privilèges en raison de contrôles de capacité manquants dans des gestionnaires AJAX. Les versions jusqu’à 2.9.8 inclus sont concernées; un attaquant non authentifié peut modifier des options WordPress et configurer l’inscription de nouveaux comptes avec le rôle administrateur par défaut.
Action recommandée : Mettre à jour le framework ou le thème Newsy dès qu’un correctif est disponible; à défaut, désactiver le composant concerné.
Exposition d’informations sensibles dans Advanced Custom Fields: Extended
Advanced Custom Fields: Extended peut exposer des informations sensibles, notamment le hachage du mot de passe WordPress d’un utilisateur, via un formulaire configuré pour publier les données de termes. Toutes les versions jusqu’à 0.9.2.7 inclus sont concernées; l’exploitation exige une page publique configurée avec un formulaire `[acfe_form]` et une action Term comportant le mapping `save.name`.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et examiner les formulaires publics utilisant les actions Term et le mapping concerné.
CVE-2026-76012 : exécution de code à distance dans NextGEN Gallery
NextGEN Gallery est vulnérable à une exécution de code à distance par des attaquants authentifiés disposant d’un accès de niveau personnalisé ou supérieur et auteurs d’au moins une galerie existante. La faille concerne toutes les versions jusqu’à 4.4.1 incluse; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour NextGEN Gallery dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
CVE-2026-97638 : suppression et substitution de brouillons dans Forminator Forms
Forminator Forms présente une vulnérabilité de référence directe à un objet permettant à un attaquant non authentifié de supprimer des brouillons enregistrés appartenant à d’autres utilisateurs et de réutiliser leurs identifiants. Toutes les versions jusqu’à 1.57.3.1 incluse sont concernées; la source fournie ne précise pas de version corrective.
Action recommandée : Mettre à jour Forminator Forms dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
XSS stockée dans le plugin easy.jobs pour WordPress
Le plugin easy.jobs jusqu’à la version 2.8.4 incluse présente une XSS stockée via le paramètre « cover_letter », exploitable par un attaquant non authentifié sous certaines conditions. L’exécution nécessite qu’un administrateur ouvre l’onglet de candidature concerné et clique sur le lien préparé par l’attaquant.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
Élévation de privilèges dans Essential Addons for Elementor
Essential Addons for Elementor jusqu’à la version 6.8.7 incluse présente une vulnérabilité d’élévation de privilèges, exploitable sans authentification dans des conditions précises. Un attaquant peut obtenir un compte jusqu’au rôle Editor si l’inscription publique est activée et si un administrateur a auparavant enregistré puis rétabli un rôle non standard sur une page concernée.
Action recommandée : Surveiller les mises à jour du plugin et, si possible, désactiver l’inscription publique jusqu’à l’application d’un correctif.
Injection d’objet PHP dans Enable Media Replace
CVE-2026-114422 est une injection d’objet PHP dans Enable Media Replace, pouvant conduire à une inclusion locale de fichier et, dans certaines conditions, à l’exécution de code à distance. Le plugin est vulnérable avant la version 4.2.3 ; la source décrit une régression de CVE-2023-4643, corrigée en 4.1.3 puis réintroduite en 4.1.4.
Action recommandée : Mettre à jour vers la version 4.2.3 ou ultérieure.
Contournement du mot de passe lors de la connexion 2FA
CVE-2026-114443 concerne l’authentification à deux facteurs du plugin Security Plugin, Firewall & Malware Scanner with Auto Removal : le plugin n’exige pas le mot de passe du compte avant d’accepter le code d’authentification. Les versions antérieures à 2.191 sont concernées ; la possession du code d’authentification actuel de la victime peut permettre une connexion sous son compte, y compris un compte administrateur.
Action recommandée : Mettre à jour vers la version 2.191 ou ultérieure.
XSS persistante dans les statistiques de WP Visitor Statistics
CVE-2026-117571 est une XSS persistante dans WP Visitor Statistics (Real Time Traffic) : des données de suivi dérivées de requêtes publiques sont stockées puis affichées dans le tableau de bord sans assainissement ni échappement suffisants. Les versions antérieures à 8.8 sont concernées ; un attaquant non authentifié peut ainsi faire exécuter un script lorsqu’un administrateur consulte les statistiques.
Action recommandée : Mettre à jour vers la version 8.8 ou ultérieure.
Kirki : contrôle d’accès insuffisant aux pages via l’API REST
Dans Kirki, un contrôle d’accès par objet insuffisant dans l’API REST des pages permet à un utilisateur ayant accès à l’édition Kirki — notamment un éditeur dans la configuration par défaut — de modifier des publications qu’il ne possède pas. Il peut notamment modifier leur titre, slug ou statut, y compris pour des types de contenu personnalisés et des produits WooCommerce.
Action recommandée : Mettre à jour Kirki vers la version 6.4.1 ou ultérieure et revoir les rôles disposant de droits d’édition Kirki.
Ajout non autorisé de clients à la liste noire anti-fraude
CVE-2026-118072 concerne un contrôle d’autorisation manquant dans Fraud Prevention For WooCommerce and EDD : des utilisateurs de rôle Subscriber ou supérieur peuvent ajouter des clients à la liste noire sans être autorisés à gérer les commandes. Les versions antérieures à 2.3.6 sont concernées ; cette action peut empêcher des clients légitimes de passer commande.
Action recommandée : Mettre à jour vers la version 2.3.6 ou ultérieure.
BuddyForms : export non autorisé de la configuration des formulaires
BuddyForms avant 2.10.3 ne vérifie pas que l’utilisateur peut gérer le formulaire avant d’en exporter la configuration. Un utilisateur non authentifié peut ainsi récupérer des paramètres stockés, dont des adresses de notification et des clés secrètes reCAPTCHA.
Action recommandée : Mettre à jour BuddyForms vers la version 2.10.3 ou ultérieure.
BuddyForms : modification d’articles sans vérification de leur auteur
BuddyForms avant 2.10.1 ne vérifie pas que l’utilisateur modifiant une entrée est l’auteur de l’article visé. Un utilisateur disposant d’un accès de modification au formulaire, jusqu’au rôle Abonné, peut altérer le titre, le contenu et l’état d’articles ou de pages appartenant à d’autres utilisateurs.
Action recommandée : Mettre à jour BuddyForms vers la version 2.10.1 ou ultérieure.
Firelight Lightbox : XSS stocké via l’URL d’un lien
Firelight Lightbox avant 2.3.23 n’échappe pas l’URL d’un lien ouvert dans sa lightbox classique avant de l’insérer dans la page comme HTML. Un utilisateur ayant au moins le rôle Contributeur peut provoquer un XSS stocké visant les personnes qui ouvrent un lien préparé à cet effet.
Action recommandée : Mettre à jour Firelight Lightbox vers la version 2.3.23 ou ultérieure.
Page and Post Restriction : contournement d’authentification sur l’API REST
Page and Post Restriction est vulnérable à un contournement d’authentification dans toutes les versions jusqu’à 1.6.1 incluse. Une requête REST GET ou HEAD inter-origines peut, sous certaines conditions, permettre à un attaquant de lire des contenus et données accessibles à un utilisateur connecté qu’il a attiré sur une page contrôlée par l’attaquant.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; vérifier la disponibilité d’un correctif et limiter l’exposition des données REST sensibles.
Cool FormKit Lite : XSS DOM stocké via custom_id
Cool FormKit Lite jusqu’à la version 2.7.9 incluse est vulnérable à un XSS DOM stocké lié au paramètre custom_id des champs de formulaire Elementor. Un attaquant authentifié ayant au moins le rôle Contributeur peut injecter un script qui s’exécute lorsqu’une page compromise est consultée.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Events Made Easy : XSS stocké via le paramètre width
Events Made Easy jusqu’à la version 3.3.1 incluse ne filtre pas suffisamment le paramètre width, ce qui permet un XSS stocké. Un utilisateur authentifié ayant au moins le rôle Contributeur peut injecter du script dans des pages consultées ensuite par d’autres utilisateurs.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
JoomSport : injection SQL via pgroup
JoomSport jusqu’à la version 5.7.14 incluse est vulnérable à une injection SQL via le paramètre pgroup. Un utilisateur authentifié ayant au moins le rôle Contributeur peut déclencher le chemin vulnérable en prévisualisant un article contenant le shortcode jsMatchPlayerList, avec un risque d’extraction d’informations de la base de données.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Content Egg : modification non autorisée des données produit d’articles
Content Egg jusqu’à la version 12.0.0 incluse ne vérifie pas les droits de l’utilisateur sur l’article indiqué à la fonction ajaxUpdateProducts(). Un utilisateur authentifié ayant au moins le rôle Contributeur peut ainsi modifier les métadonnées de produits d’articles appartenant à d’autres personnes.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Content Egg : création d’articles attribués à un autre utilisateur
Content Egg jusqu’à la version 12.0.0 incluse présente un défaut d’autorisation lors de la création d’articles à partir d’un preset. Un utilisateur authentifié ayant au moins le rôle Auteur peut attribuer un article à un autre compte, notamment celui d’un administrateur; la publication dépend aussi de ses permissions sur le type d’article concerné.
Action recommandée : Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Suppression de fichiers dans les téléversements via Forminator Forms
CVE-2026-5461 permet à un attaquant non authentifié de supprimer des fichiers non-PHP arbitraires dans wp-content/uploads via des soumissions de brouillon Forminator mal validées. Les versions jusqu’à 1.55.0.2 inclus sont vulnérables ; la source fournie ne donne ni version corrigée ni mesure de contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est indiquée dans la source fournie.
Lecture de fichiers sensibles via le File System Watcher
CVE-2026-114444 permet à un administrateur qui n’est pas Super Admin d’accéder à la visionneuse du File System Watcher et de lire des fichiers sensibles. Les versions antérieures à 2.191 sont concernées ; sur une installation standard, les informations exposées peuvent inclure les clés et salts d’authentification ainsi que les identifiants de base de données.
Action recommandée : Mettre à jour vers la version 2.191 ou ultérieure.
XSS réfléchie dans User Frontend
CVE-2026-115277 est une XSS réfléchie dans le plugin User Frontend, due à des valeurs fournies par l’utilisateur réinjectées dans des attributs HTML sans assainissement ni échappement suffisants. Les versions antérieures à 4.3.14 sont concernées ; selon la source, le point d’entrée AJAX est accessible aux requêtes anonymes et le script vise les visiteurs déconnectés.
Action recommandée : Mettre à jour vers la version 4.3.14 ou ultérieure.
Injection SQL dans WP Visitor Statistics
CVE-2026-117572 est une injection SQL dans WP Visitor Statistics (Real Time Traffic), causée par un paramètre utilisé dans une requête SQL sans assainissement ni échappement suffisant. Les versions antérieures à 8.8 sont concernées ; la source précise que l’attaque nécessite un utilisateur disposant de privilèges élevés, tel qu’un administrateur.
Action recommandée : Mettre à jour vers la version 8.8 ou ultérieure.
XSS persistante via un bloc de bouton Joinchat
CVE-2026-118071 est une XSS persistante dans Joinchat : le message d’un bloc de bouton n’est pas échappé avant d’être rendu dans un attribut HTML sur le site. Les versions antérieures à 6.4.2 sont concernées ; un utilisateur ayant le rôle Author ou supérieur peut viser les visiteurs de la publication, y compris les administrateurs.
Action recommandée : Mettre à jour vers la version 6.4.2 ou ultérieure.
Kirki : contournement de la vérification reCAPTCHA des formulaires
Kirki peut accepter des soumissions de formulaires sans vérification reCAPTCHA valide lorsqu’un attaquant omet le champ g-recaptcha-token. Cela peut entraîner des soumissions automatisées, des notifications ou webhooks déclenchés et une croissance non bornée des enregistrements de soumission.
Action recommandée : Mettre à jour Kirki vers la version 6.2.5 ou ultérieure.
My Calendar : injection de shortcodes via le paramètre mcs
Le paramètre de recherche mcs de My Calendar peut transmettre des valeurs à do_shortcode() sans neutraliser les crochets, permettant à un attaquant non authentifié d’exécuter des shortcodes enregistrés. Cela peut servir à injecter du contenu ou à usurper l’apparence d’une page.
Action recommandée : Mettre à jour My Calendar vers la version 3.8.11 ou ultérieure.
Ad Inserter : exécution de shortcodes arbitraires
Ad Inserter peut exécuter des shortcodes arbitraires à partir d’une valeur non validée, dans une configuration où un bloc publicitaire utilisant une balise dynamique est affiché sur les pages de recherche. La fiche précise que cette configuration est documentée et que l’attaque peut être menée sans authentification.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’affichage sur les pages de recherche des blocs utilisant des balises dynamiques.
XSS stockée dans Redux Framework pour WordPress
Le plugin Redux Framework est vulnérable à une XSS stockée via le champ `multi_media`, déclenchée lorsque le profil affecté est consulté dans l’administration. Les versions jusqu’à 4.5.15 inclus sont concernées; la faille nécessite un thème ou plugin utilisant l’API Redux Users et un compte avec au moins le rôle Abonné.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le composant vulnérable ou l’extension qui expose le champ concerné.
Suppression arbitraire de fichiers dans JS Help Desk
Le plugin JS Help Desk est vulnérable à la suppression arbitraire de fichiers sur le serveur en raison d’une validation insuffisante des chemins. Les versions jusqu’à 5.0.1 inclus sont concernées; l’exploitation nécessite un accès administrateur et peut permettre une exécution de code si un fichier critique est supprimé.
Action recommandée : Restreindre l’accès administrateur au plugin et appliquer une mise à jour corrigée dès sa disponibilité.
Contournement d’autorisation dans OpenStation
OpenStation présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au moins le rôle Abonné de modifier des entrées de placement d’autres utilisateurs et d’en lire certaines métadonnées. Toutes les versions jusqu’à 1.1.16 inclus sont concernées; l’exploitation dépend de la présence d’une entrée de placement orpheline.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et limiter l’utilisation du plugin aux rôles nécessaires.
XSS stockée dans FV Flowplayer Video Player via les commentaires
FV Flowplayer Video Player est vulnérable à une XSS stockée dans le paramètre `comment` des liens vidéo. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille nécessite l’option de parsing des liens Vimeo et YouTube, ainsi que l’approbation du commentaire par un administrateur.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; désactiver le parsing des commentaires si cette fonction n’est pas nécessaire.
XSS stockée via les commentaires dans FV Flowplayer Video Player
FV Flowplayer Video Player est également vulnérable à une XSS stockée via l’attribut `align` des shortcodes contenus dans les commentaires. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille suppose que l’administrateur ait activé l’option de parsing des liens Vimeo et YouTube.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; désactiver le parsing des commentaires si inutile.
XSS stockée dans FV Flowplayer Video Player via les vidéos de profil
FV Flowplayer Video Player présente une XSS stockée dans les vidéos de profil soumises par les utilisateurs. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; l’exploitation nécessite l’activation par un administrateur de l’option autorisant les visiteurs à téléverser des vidéos sur leur profil.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; désactiver les téléversements de vidéos de profil si cette fonction est inutile.
CVE-2026-9239 : XSS stockée dans Meow Gallery
Meow Gallery est vulnérable à une XSS stockée via le texte alternatif d’une pièce jointe utilisé dans l’attribut aria-label. Toutes les versions jusqu’à 5.5.1 incluse sont concernées; l’exploitation nécessite un compte ayant au moins le rôle auteur et un élément de galerie rendu sous forme de lien.
Action recommandée : Mettre à jour Meow Gallery dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
Injection SQL dans Majestic Support pour WordPress
Majestic Support jusqu’à la version 1.2.2 incluse est vulnérable à une injection SQL accessible aux utilisateurs authentifiés disposant au minimum du rôle Subscriber. Un attaquant peut exploiter le paramètre « columns (array keys) » afin d’ajouter des requêtes SQL et d’extraire des informations sensibles de la base de données.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans Themify Builder pour WordPress
Themify Builder jusqu’à la version 7.8.4 incluse présente une XSS stockée dans les champs de répétition « variations » des publications Custom Font. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script, exécuté lorsqu’une personne consulte la liste d’administration Custom Fonts.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans Like Button Rating ♥ LikeBtn pour WordPress
Like Button Rating ♥ LikeBtn jusqu’à la version 2.6.64 incluse présente une XSS stockée via l’en-tête Client-IP, exploitable sans authentification sous certaines conditions. L’exploitation nécessite que l’option « Be GDPR compliant » soit désactivée et qu’un administrateur effectue une action déclenchant le contenu injecté.
Action recommandée : Conserver activée l’option « Be GDPR compliant » et surveiller la disponibilité d’une mise à jour corrigée.
Exécution de shortcodes arbitraires dans GeoDirectory
GeoDirectory jusqu’à la version 2.8.198 incluse permet l’exécution de shortcodes arbitraires par un attaquant non authentifié. La cause indiquée est une action qui exécute do_shortcode sans valider correctement une valeur.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans les descriptions GeoDirectory
GeoDirectory jusqu’à la version 2.8.199 incluse présente une XSS stockée via la description des annonces, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber. Le contenu injecté peut s’exécuter lorsqu’un utilisateur consulte une page contenant le popover concerné.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans CP Multi View Events Calendar
CP Multi View Events Calendar jusqu’à la version 1.4.43 incluse présente une XSS stockée via le paramètre « Subject ». Un utilisateur authentifié ayant au minimum le rôle Subscriber peut soumettre le contenu malveillant lorsque le shortcode du calendrier est présent sur une page publiée.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
Contournement d’autorisation dans Meow Gallery
Meow Gallery jusqu’à la version 5.5.4 incluse présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au minimum le rôle Author de consulter des métadonnées de publications privées et brouillons. Les informations concernées incluent notamment l’identifiant, le titre, la date, l’auteur et le statut des publications.
Action recommandée : Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée a porté sur les avis du core PrestaShop, les alertes de Friends Of Presta, les avis et annonces officiels, les modules et les incidents. Les éléments obtenus ne documentent aucun nouvel avis, correctif, exploitation ni changement substantiel daté du 2026-10-30 dans la période demandée. Des alertes et avis consultés sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Recherche du sujet effectuée
La recherche sur Cockpit a retrouvé les avis Red Hat pour CVE-2026-113495 et CVE-2026-113496. Les deux failles ont été rendues publiques le 2026-10-20; les éléments consultés ne montrent pas de correctif, d’avis de sécurité ni de changement substantiel daté de la période demandée (2026-10-30).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée sur CloudPanel n’a pas permis de vérifier de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les résultats pertinents repérés concernaient des dates hors de cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité visant Uptime Kuma a une publication NVD datée du 30 octobre 2026, dans la période examinée. Les sources consultées ne permettent pas d’établir une version corrigée ni une exploitation confirmée.
Uptime Kuma : création concurrente d’un compte administrateur lors de la première configuration
Le 30 octobre, une fiche a été publiée pour une condition de concurrence dans le gestionnaire Socket.IO de première configuration d’Uptime Kuma. Selon la description fournie, elle pourrait permettre à un attaquant non authentifié de créer un compte administrateur supplémentaire et d’altérer la configuration de l’instance.
Action recommandée : Évaluer l’exposition des instances concernées et installer une version corrigée dès qu’un correctif est confirmé par le projet; la version corrigée n’a pas été établie dans les sources consultées.
MariaDB
Vérification incomplète
Niveau relevé : Moyenne
La recherche a identifié un avis publié pendant la période sur DBHub, dont le contournement du mode lecture seule concerne explicitement son connecteur MariaDB. Les autres candidats examinés portent sur Moodle ou sur des avis Connector/J initialement publiés avant la période ; aucune preuve consultée n’établit pour ces derniers un changement substantiel pendant la fenêtre.
DBHub : contournement du mode lecture seule avec les connecteurs MariaDB/MySQL
Une erreur d’analyse des commentaires SQL permet de contourner le mode lecture seule de DBHub avec les connecteurs MySQL et MariaDB, et peut entraîner l’exécution de requêtes d’écriture ou de suppression. Le problème est corrigé dans DBHub 0.22.6 ; mettre à jour et limiter les privilèges du compte de base de données.
Action recommandée : Mettre DBHub à jour en version 0.22.6 ou ultérieure et appliquer le principe du moindre privilège au compte de base de données.
phpMyAdmin
Vérification incomplète
La recherche dédiée a trouvé sept fiches CVE phpMyAdmin dont la publication NVD est datée du 2026-10-30 : CSRF, deux injections SQL, SSRF, retrait de 2FA, contournement WebAuthn et XSS stocké. Les sources consultées ne confirment ni version corrigée ni exploitation active ; les mises à jour NVD du 2026-11-03 sont hors de la période retenue.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
pgAdmin
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a identifié neuf avis NVD publiés le 2026-10-30 pour pgAdmin, couvrant CVE-2026-116238 à CVE-2026-116247 sauf CVE-2026-116248 et CVE-2026-116249. Les notes officielles de pgAdmin 4 9.19 confirment que ces correctifs sont inclus dans la version 9.19, publiée le 2026-10-29; les événements NVD des neuf candidats fournis tombent dans la période figée. Cinq fiches NVD concernant pgAdmin 4 ont été publiées pendant la période : partage non autorisé de serveurs, accès à des fichiers hors du stockage, contournement des contrôles de fichiers par liens ou FIFO, maintien de sessions après changement de mot de passe et détournement de connexion lors de l’actualisation d’une vue matérialisée. Les fiches indiquent que les versions antérieures à 9.19 sont affectées.
Contournement des protections de connexion et de gestion des mots de passe
En mode serveur, des points d’entrée Flask-Security contournaient le comptage et le verrouillage des connexions échouées, ainsi que certains contrôles de changement et de réinitialisation de mot de passe. Les versions antérieures à 9.19 sont concernées; mettre à niveau vers 9.19 ou une version ultérieure.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Contournement de validation pouvant exécuter une commande sur l’hôte
Un défaut de validation des guillemets dans l’outil Import/Export Data pouvait laisser psql interpréter une clause de commande qui s’exécute sur l’hôte pgAdmin. Les versions antérieures à 9.19 sont concernées; mettre à niveau vers 9.19 ou une version ultérieure.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Repli sur les fichiers d’identification du compte système
En l’absence de fichiers d’identification configurés ou accessibles, libpq pouvait retomber sur les fichiers de mots de passe et certificats du compte système pgAdmin. La correction de pgAdmin 4 9.19 fournit explicitement des chemins propres à l’utilisateur ou impossibles à ouvrir en mode serveur; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; en mode serveur, configurer les fichiers d’identification nécessaires sur les serveurs concernés.
CVE-2026-116252 : détournement de connexion lors de l’actualisation d’une vue
Lors de l’actualisation d’une vue matérialisée, pgAdmin 4 transmettait le nom de la base à psql sans empêcher libpq de l’interpréter comme une chaîne de connexion complète. Un rôle pouvant créer une base au nom spécialement construit pouvait ainsi détourner la connexion lancée pour l’actualisation vers un hôte de son choix et exposer à cet hôte le mot de passe enregistré de l’utilisateur.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
Mauvaise association entre authentification LDAP/Kerberos et compte pgAdmin
En mode serveur, une authentification LDAP ou Kerberos pouvait ouvrir une session sur un autre compte pgAdmin portant le même nom d’utilisateur, sans vérifier que le compte provenait de la source d’authentification utilisée. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Vérification incohérente des chemins du stockage utilisateur
En mode serveur, certains outils de gestion de fichiers vérifiaient un chemin puis agissaient sur un chemin construit différemment, ce qui pouvait permettre l’accès à des fichiers hors du stockage de l’utilisateur ou dans celui d’un autre utilisateur. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Utilisation des identifiants SSH du compte de service
En mode serveur, les tunnels SSH pouvaient utiliser les clés privées, la configuration SSH et l’agent du compte système exécutant pgAdmin, plutôt que les seuls identifiants fournis par l’utilisateur. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; le mode bureau n’est pas concerné.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; remplacer toute dépendance aux clés ou à la configuration SSH du compte de service par des identifiants propres à l’utilisateur.
Validation incomplète des chemins d’exécutables en stockage partagé
En mode serveur, le contrôle du chemin des exécutables omettait les répertoires SHARED_STORAGE, permettant à un utilisateur d’y déposer un fichier puis de demander à pgAdmin de l’exécuter. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure; l’avis précise que l’exploitation dépend notamment de la plateforme et des conditions d’exécution des fichiers.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
Réutilisation des identifiants Kerberos/SSPI du compte de service
En mode serveur, des connexions pouvaient hériter des identifiants Kerberos ou SSPI du compte système pgAdmin lorsque l’utilisateur n’avait pas prévu d’utiliser des identifiants Kerberos délégués. Mettre à niveau vers pgAdmin 4 9.19 ou une version ultérieure et vérifier la version de libpq requise par les protections ajoutées.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; utiliser libpq 16 ou ultérieure pour bénéficier de la protection require_auth décrite dans l’avis.
Utilisation de services et secrets libpq du compte système
En mode serveur, libpq pouvait utiliser des services de connexion, variables d’environnement ou paramètres hérités du compte système pgAdmin, et donc ses identifiants. La correction de pgAdmin 4 9.19 limite l’utilisation des services à une liste d’autorisation administrateur et retire certaines variables de l’environnement du service.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure; examiner la configuration SERVER_MODE_ALLOWED_SERVICES et n’autoriser que les services nécessaires.
Fuite de mots de passe via l’environnement partagé du processus
Les mots de passe transmis aux processus psql et aux utilitaires étaient inscrits dans l’environnement du processus pgAdmin et pouvaient être hérités par les requêtes ou processus ultérieurs d’autres utilisateurs. La correction de pgAdmin 4 9.19 limite ces secrets à l’environnement du processus qui en a besoin.
Action recommandée : Mettre à niveau pgAdmin 4 vers 9.19 ou une version ultérieure.
CVE-2026-116249 : accès à des fichiers hors du stockage utilisateur
En mode serveur, des chemins de fichiers relatifs pouvaient sortir du répertoire de stockage de l’utilisateur et accéder aux mots de passe, certificats, clés ou fichiers d’identité SSH d’un autre utilisateur. Le paramètre de connexion sslkeylogfile et des noms de paramètres libpq construits de façon malveillante pouvaient également permettre l’écriture hors du stockage ou contourner des contrôles de connexion.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
CVE-2026-116250 : contournement des contrôles de fichiers dans le stockage
En mode serveur, une substitution de lien symbolique ou l’utilisation d’un lien matériel ou d’un tube FIFO dans le stockage pouvait détourner certaines opérations de fichiers effectuées après un contrôle d’accès. Selon l’opération, cela pouvait permettre de lire, écrire ou écraser des fichiers hors du stockage, ou d’importer leur contenu dans une table; l’exploitation exige un accès en écriture au stockage sous-jacent et de gagner une course.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure et contrôler les droits d’écriture du stockage partagé ou réseau.
CVE-2026-116248 : partage non autorisé de serveurs pgAdmin
En mode serveur, un utilisateur non administrateur pouvait partager un serveur avec tous les utilisateurs via l’API ou un import, malgré l’interface qui réserve cette action aux administrateurs. Un serveur ainsi ajouté pouvait paraître fiable et inciter d’autres utilisateurs à transmettre leurs identifiants de base de données à un hôte contrôlé par l’attaquant.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure et vérifier les serveurs partagés existants.
CVE-2026-116251 : sessions conservées après changement de mot de passe
pgAdmin 4 ne révoquait pas les sessions déjà ouvertes après un changement ou une réinitialisation du mot de passe d’un utilisateur. Une session détenue par une personne ayant obtenu l’ancien mot de passe ou un cookie de session pouvait donc rester utilisable jusqu’à son expiration.
Action recommandée : Mettre à niveau pgAdmin 4 vers la version 9.19 ou ultérieure.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin n’a fait ressortir aucun nouvel avis, correctif de sécurité, événement d’exploitation ou changement substantiel daté du 2026-10-30T00:00:00+02:00 inclus au 2026-10-31T00:00:00+02:00 exclu. Les résultats consultés signalent notamment une publication Virtualmin du 2026-10-28, hors période, et un avis de sécurité PHP daté du 2026-10-23, également hors période; aucun candidat n’avait été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Vue.js
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Vite
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nuxt
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Next.js
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
React
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Angular
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Astro
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
TypeScript
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
JavaScript
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
HTML5
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CSS3
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Tailwind CSS
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Bootstrap
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Webpack
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
esbuild
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Parcel
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Node.js
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Python
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Java
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
TYPO3
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Drupal
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Joomla
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Magento
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Adobe Commerce
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
fooocus
Vérification incomplète
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
6 alerte(s)Zuke : contournement de l’autorisation d’exécution dans le registre MCP
Avant la version 1.51.0, le mode registre MCP de @zuke/core pouvait accepter des descripteurs de commande sans appliquer la restriction d’autorisation prévue pour les modules distants. Si un registre modifiable par un tiers est utilisé ave…
Source : NVD — CVE-2026-119287
Zuke : injection de commande lors du lancement de shims Windows
Avant la version 1.51.0, @zuke/core pouvait lancer certains exécutables Windows `.cmd` et `.bat` en assemblant une ligne de commande que `cmd.exe` réinterprétait. Dans une compilation Windows où un outil est résolu depuis `node_modules/.bi…
Source : NVD — CVE-2026-119288
Zuke : validation insuffisante d’un workflow GitHub déclenché
Avant la version 1.10.0, la vérification de workflow de @zuke/gh pouvait accepter un résultat de workflow_dispatch en se fondant seulement sur un marqueur de titre visible et copiable. Si des personnes moins fiables peuvent déclencher le w…
Source : NVD — CVE-2026-119289
Zuke : exposition possible de secrets dans le résumé GitHub Actions
Avant la version 1.51.0, @zuke/core pouvait écrire des notes de résumé GitHub Actions sans appliquer le masquage des valeurs sensibles issues de `secret()`. Si un résumé contient du texte dérivé d’un secret, celui-ci peut être exposé aux p…
Source : NVD — CVE-2026-119290
CVE-2026-119333 — exécution d’un exécutable malveillant via le chemin de recherche Windows dans draw.io Desktop
draw.io Desktop sous Windows pouvait lancer un exécutable malveillant placé dans le dossier d’un diagramme ouvert depuis l’Explorateur, si l’application n’était pas déjà lancée. Le risque concerne notamment certains traitements de polices…
Source : Fiche NVD CVE-2026-119333
Zuke : suivi de liens symboliques dans les commandes d’échafaudage
Avant la version 1.4.0, @zuke/cli inspectait certains noms d’échafaudage sans empêcher ensuite les opérations de lecture, d’écriture ou de changement de permissions de suivre un lien symbolique. Un dépôt, modèle ou archive non fiable prépa…
Source : NVD — CVE-2026-119291
Backend & données
32 alerte(s)Secret JWT par défaut dans ng-antd-admin : contournement d’authentification
Dans ng-antd-admin, un secret JWT par défaut codé en dur peut permettre de falsifier des jetons et de contourner l’authentification si le déploiement conserve ce secret, avec usurpation possible de comptes administrateurs et accès aux API…
Source : NVD — CVE-2026-61737
Contournement des protections de connexion et de gestion des mots de passe
En mode serveur, des points d’entrée Flask-Security contournaient le comptage et le verrouillage des connexions échouées, ainsi que certains contrôles de changement et de réinitialisation de mot de passe. Les versions antérieures à 9.19 so…
Source : NVD — CVE-2026-116238
Contournement de validation pouvant exécuter une commande sur l’hôte
Un défaut de validation des guillemets dans l’outil Import/Export Data pouvait laisser psql interpréter une clause de commande qui s’exécute sur l’hôte pgAdmin. Les versions antérieures à 9.19 sont concernées; mettre à niveau vers 9.19 ou…
Source : NVD — CVE-2026-116241
Traggo Server : déni de service via l’endpoint GraphQL
Une requête POST construite spécialement vers le point d’accès GraphQL de Traggo Server 0.8.3 pouvait provoquer un déni de service. Les informations consultées ne permettent pas d’établir les versions supplémentaires concernées ni une vers…
Source : NVD — CVE-2026-117184
Mythic : XSS stockée lors de l’aperçu de fichiers
Mythic 3.2.16 à 3.4.0.61 présentait une vulnérabilité XSS stockée dans l’interface opérateur, déclenchable lors de l’aperçu de certains fichiers présentés comme des PDF. Le contenu pouvait s’exécuter dans l’origine de l’interface et compro…
Source : NVD — CVE-2026-119764
Crass : consommation excessive de ressources avec les exposants CSS
Avant Crass 1.0.7, la conversion de valeurs CSS en notation scientifique peut effectuer une exponentiation non bornée avant de limiter le résultat, consommant excessivement CPU et mémoire. Mettre à niveau Crass vers la version 1.0.7 ou ult…
Source : NVD — CVE-2026-61845
Daptin : déni de service via l’en-tête Accept-Language
Avant Daptin 0.12.26, le middleware de langue transmettait l’en-tête Accept-Language sans filtrage suffisant à l’analyse des préférences linguistiques. Une entrée spécialement formée pouvait contourner la vérification décrite dans l’avis e…
Source : NVD — CVE-2026-62160
Repli sur les fichiers d’identification du compte système
En l’absence de fichiers d’identification configurés ou accessibles, libpq pouvait retomber sur les fichiers de mots de passe et certificats du compte système pgAdmin. La correction de pgAdmin 4 9.19 fournit explicitement des chemins propr…
Source : NVD — CVE-2026-116247
CVE-2026-116252 : détournement de connexion lors de l’actualisation d’une vue
Lors de l’actualisation d’une vue matérialisée, pgAdmin 4 transmettait le nom de la base à psql sans empêcher libpq de l’interpréter comme une chaîne de connexion complète. Un rôle pouvant créer une base au nom spécialement construit pouva…
Source : NVD — CVE-2026-116252
GraphQL-core : accumulation mémoire lors des validations interrompues
GraphQL-core réutilisait une exception de validation partagée lorsque le nombre d’erreurs dépassait la limite, ce qui conservait en mémoire les documents et contextes associés. Un client non authentifié pouvait provoquer une consommation m…
Source : NVD — CVE-2026-119286
Mauvaise association entre authentification LDAP/Kerberos et compte pgAdmin
En mode serveur, une authentification LDAP ou Kerberos pouvait ouvrir une session sur un autre compte pgAdmin portant le même nom d’utilisateur, sans vérifier que le compte provenait de la source d’authentification utilisée. Mettre à nivea…
Source : NVD — CVE-2026-116239
Vérification incohérente des chemins du stockage utilisateur
En mode serveur, certains outils de gestion de fichiers vérifiaient un chemin puis agissaient sur un chemin construit différemment, ce qui pouvait permettre l’accès à des fichiers hors du stockage de l’utilisateur ou dans celui d’un autre…
Source : NVD — CVE-2026-116240
Utilisation des identifiants SSH du compte de service
En mode serveur, les tunnels SSH pouvaient utiliser les clés privées, la configuration SSH et l’agent du compte système exécutant pgAdmin, plutôt que les seuls identifiants fournis par l’utilisateur. Mettre à niveau vers pgAdmin 4 9.19 ou…
Source : NVD — CVE-2026-116242
Validation incomplète des chemins d’exécutables en stockage partagé
En mode serveur, le contrôle du chemin des exécutables omettait les répertoires SHARED_STORAGE, permettant à un utilisateur d’y déposer un fichier puis de demander à pgAdmin de l’exécuter. Mettre à niveau vers pgAdmin 4 9.19 ou une version…
Source : NVD — CVE-2026-116243
Réutilisation des identifiants Kerberos/SSPI du compte de service
En mode serveur, des connexions pouvaient hériter des identifiants Kerberos ou SSPI du compte système pgAdmin lorsque l’utilisateur n’avait pas prévu d’utiliser des identifiants Kerberos délégués. Mettre à niveau vers pgAdmin 4 9.19 ou une…
Source : NVD — CVE-2026-116244
Utilisation de services et secrets libpq du compte système
En mode serveur, libpq pouvait utiliser des services de connexion, variables d’environnement ou paramètres hérités du compte système pgAdmin, et donc ses identifiants. La correction de pgAdmin 4 9.19 limite l’utilisation des services à une…
Source : NVD — CVE-2026-116245
Fuite de mots de passe via l’environnement partagé du processus
Les mots de passe transmis aux processus psql et aux utilitaires étaient inscrits dans l’environnement du processus pgAdmin et pouvaient être hérités par les requêtes ou processus ultérieurs d’autres utilisateurs. La correction de pgAdmin…
Source : NVD — CVE-2026-116246
CVE-2026-116249 : accès à des fichiers hors du stockage utilisateur
En mode serveur, des chemins de fichiers relatifs pouvaient sortir du répertoire de stockage de l’utilisateur et accéder aux mots de passe, certificats, clés ou fichiers d’identité SSH d’un autre utilisateur. Le paramètre de connexion sslk…
Source : NVD — CVE-2026-116249
CVE-2026-116250 : contournement des contrôles de fichiers dans le stockage
En mode serveur, une substitution de lien symbolique ou l’utilisation d’un lien matériel ou d’un tube FIFO dans le stockage pouvait détourner certaines opérations de fichiers effectuées après un contrôle d’accès. Selon l’opération, cela po…
Source : NVD — CVE-2026-116250
Crass : récursion non limitée dans l’analyse de valeurs CSS imbriquées
Avant Crass 1.0.7, l’analyse récursive de blocs et de fonctions CSS n’impose pas de limite de profondeur, ce qui peut provoquer une erreur de pile ou une consommation mémoire excessive. La version 1.0.7 ajoute une limite de profondeur conf…
Source : NVD — CVE-2026-61846
Crass : erreur de pile lors du traitement récursif des commentaires CSS
Avant Crass 1.0.7, l’élimination par défaut des commentaires CSS adjacentés suit un chemin récursif qui peut déclencher une erreur SystemStackError. Mettre à niveau Crass vers la version 1.0.7 ou ultérieure ; la conservation des commentair…
Source : NVD — CVE-2026-61847
Crass : analyse superlinéaire de CSS contenant des caractères non ASCII
Avant Crass 1.0.7, le suivi des positions de caractères multioctets peut rendre superlinéaire le temps d’analyse d’entrées CSS contenant des caractères non ASCII. Une entrée contrôlée par un attaquant peut ainsi consommer excessivement le…
Source : NVD — CVE-2026-61848
Soft Serve — divulgation de l’existence de dépôts privés et erreur sur certains chemins LFS
GHSA-fgxm-5hvv-x4vh concerne Soft Serve, écrit en Go : des requêtes pouvaient révéler l’existence, le nom et l’URL de clonage de dépôts privés, et certains chemins LFS pouvaient provoquer une erreur serveur. Les versions de 0.5.0 à 0.12.2…
Soft Serve — course de cache pouvant maintenir lisible un dépôt rendu privé
GHSA-f3fj-9625-rv3m concerne Soft Serve : une course lors du changement de visibilité pouvait laisser en cache l’état public d’un dépôt, maintenant son contenu accessible sans authentification après son passage en privé. Les versions 0.6.0…
DBHub : contournement du mode lecture seule avec les connecteurs MariaDB/MySQL
Une erreur d’analyse des commentaires SQL permet de contourner le mode lecture seule de DBHub avec les connecteurs MySQL et MariaDB, et peut entraîner l’exécution de requêtes d’écriture ou de suppression. Le problème est corrigé dans DBHub…
Source : NVD — CVE-2026-61789
ArcadeDB : remplacement non autorisé du schéma GraphQL
Dans ArcadeDB, un utilisateur disposant uniquement du droit readRecord pouvait remplacer le schéma GraphQL partagé via un point d’accès de requête présenté comme en lecture seule. Le changement pouvait modifier les résultats visibles par d…
Source : NVD — CVE-2026-119576
AxonHub : élévation de privilèges via les portées de clés de service
AxonHub permettait à des utilisateurs de projet ayant le droit write_api_keys de créer des clés de service avec des portées système non validées. Une clé ainsi créée pouvait accéder aux configurations de canaux via /admin/graphql ; le cand…
Source : NVD — CVE-2026-119599
CVE-2026-116248 : partage non autorisé de serveurs pgAdmin
En mode serveur, un utilisateur non administrateur pouvait partager un serveur avec tous les utilisateurs via l’API ou un import, malgré l’interface qui réserve cette action aux administrateurs. Un serveur ainsi ajouté pouvait paraître fia…
Source : NVD — CVE-2026-116248
Campfire : contournement du contrôle d’accès réseau privé dans l’aperçu de liens
Campfire jusqu’à la version 1.4.4 ne bloque pas certaines plages d’adresses spéciales lors de la génération d’aperçus OpenGraph, ce qui permet à un utilisateur authentifié de provoquer des requêtes vers des ressources internes. Le correcti…
Source : NVD — CVE-2026-100355
CVE-2026-116251 : sessions conservées après changement de mot de passe
pgAdmin 4 ne révoquait pas les sessions déjà ouvertes après un changement ou une réinitialisation du mot de passe d’un utilisateur. Une session détenue par une personne ayant obtenu l’ancien mot de passe ou un cookie de session pouvait don…
Source : NVD — CVE-2026-116251
CERT-FR : vulnérabilité d’injection SQL dans Ruby on Rails trilogy
Le CERT-FR signale une vulnérabilité dans Ruby on Rails trilogy pouvant permettre une injection SQL. Les versions affectées et le correctif ne sont pas précisés dans les informations fournies.
Source : Vulnérabilité dans Ruby on Rails trilogy (30 octobre 2026)
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB, susceptibles notamment de porter atteinte à l’intégrité des données, de permettre une injection SQL ou de contourner la politique de sécurité. L’avis fourni ne préci…
Source : Multiples vulnérabilités dans les produits MongoDB (30 octobre 2026)
CMS & e-commerce
58 alerte(s)Gravity Forms : injection d’objet PHP via un champ personnalisé de type Liste
Gravity Forms jusqu’à la version 3.1.2 incluse est vulnérable à une injection d’objet PHP via un champ personnalisé de type Liste utilisé comme champ personnalisé d’article. Selon la configuration et la présence d’une chaîne de gadgets dan…
Source : NVD — CVE-2026-103039
Divulgation de données de commandes WooCommerce
Email Templates Customizer and Designer for WordPress and WooCommerce présente un contournement d’autorisation qui permet d’accéder aux données de commandes WooCommerce. Toutes les versions jusqu’à 1.5.14 inclus sont concernées; l’attaque…
Source : NVD — CVE-2026-107630
Téléversement arbitraire de fichiers dans Avada pour WordPress
Le thème Avada jusqu’à la version 7.16.2 incluse présente une vulnérabilité de téléversement arbitraire de fichiers, exploitable sans authentification. Des fichiers téléversés susceptibles d’être exécutables peuvent permettre une exécution…
Source : NVD — CVE-2026-115346
CVE-2026-96894 : XSS stockée dans le plugin ERP pour WooCommerce
Le plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce est vulnérable à une XSS stockée pouvant être déclenchée par un courriel entrant, sans compte WordPress. Toutes les versions jusqu’à 1.17.10 incluse sont concernées;…
Source : NVD — CVE-2026-96894
Escalade de privilèges via import CSV dans Export and Import Users and Customers
CVE-2026-104368 concerne une escalade de privilèges dans Export and Import Users and Customers : un abonné authentifié peut exploiter une incohérence de traitement CSV pour créer un compte administrateur. Les versions jusqu’à 2.7.5 inclus…
Source : NVD — CVE-2026-104368
AI Engine : autorisation manquante dans l’inscription OAuth MCP
Le point de terminaison d’inscription OAuth du module MCP de AI Engine permet à un utilisateur non authentifié d’enregistrer un client OAuth avec une URI de redirection contrôlée. Si un administrateur approuve ce client, l’attaquant peut o…
Source : NVD — CVE-2026-110732
Food Store : XSS stockée via le paramètre service_time
Le paramètre service_time du plugin Food Store peut permettre l’injection de scripts persistants par un attaquant non authentifié, en raison d’un filtrage et d’un échappement insuffisants. L’exploitation requiert que « Enable Pickup/Delive…
Source : NVD — CVE-2026-116622
Formidable Forms : installation arbitraire d’extensions
Dans Formidable Forms, une validation insuffisante de l’URL et des contrôles de permission incomplets permettent à des utilisateurs authentifiés disposant de droits de niveau abonné ou supérieur d’installer des extensions arbitraires. Le p…
Source : NVD — CVE-2026-89435
Gravity Forms : XSS stockée via des champs de formulaire
Des champs de formulaire de Gravity Forms acceptant du HTML brut peuvent conduire à une XSS stockée, en raison de contrôles insuffisants à l’enregistrement et à l’affichage. La fiche décrit un contournement de wp_kses_post() suivi d’une in…
Source : NVD — CVE-2026-90437
Gravity Forms : XSS stockée dans le champ List
Le champ List de Gravity Forms présente une XSS stockée liée à un contrôle insuffisant des entrées et des sorties. Selon la fiche, l’exploitation nécessite qu’un administrateur clique sur le lien injecté dans le détail d’une entrée et conf…
Source : NVD — CVE-2026-97645
Database Cleaner : suppression arbitraire de tables
Database Cleaner permet à des utilisateurs authentifiés disposant de privilèges administrateur ou supérieurs de supprimer des tables de base de données sans restriction suffisante. La fiche indique que des tables essentielles de WordPress…
Source : NVD — CVE-2025-8574
XSS stockée dans Independent Analytics Pro
Independent Analytics Pro présente une XSS stockée via le paramètre `utm_campaign`, les entrées n’étant pas suffisamment nettoyées ni échappées. Les versions jusqu’à 2.15.5 inclus sont concernées; la vulnérabilité nécessite l’édition Pro a…
Source : NVD — CVE-2026-104744
Élévation de privilèges dans Ak Framework
Le framework Ak, fourni avec le thème Newsy, permet une élévation de privilèges en raison de contrôles de capacité manquants dans des gestionnaires AJAX. Les versions jusqu’à 2.9.8 inclus sont concernées; un attaquant non authentifié peut…
Source : NVD — CVE-2026-105894
Exposition d’informations sensibles dans Advanced Custom Fields: Extended
Advanced Custom Fields: Extended peut exposer des informations sensibles, notamment le hachage du mot de passe WordPress d’un utilisateur, via un formulaire configuré pour publier les données de termes. Toutes les versions jusqu’à 0.9.2.7…
Source : NVD — CVE-2026-110305
CVE-2026-76012 : exécution de code à distance dans NextGEN Gallery
NextGEN Gallery est vulnérable à une exécution de code à distance par des attaquants authentifiés disposant d’un accès de niveau personnalisé ou supérieur et auteurs d’au moins une galerie existante. La faille concerne toutes les versions…
Source : NVD — CVE-2026-76012
CVE-2026-97638 : suppression et substitution de brouillons dans Forminator Forms
Forminator Forms présente une vulnérabilité de référence directe à un objet permettant à un attaquant non authentifié de supprimer des brouillons enregistrés appartenant à d’autres utilisateurs et de réutiliser leurs identifiants. Toutes l…
Source : NVD — CVE-2026-97638
XSS stockée dans le plugin easy.jobs pour WordPress
Le plugin easy.jobs jusqu’à la version 2.8.4 incluse présente une XSS stockée via le paramètre « cover_letter », exploitable par un attaquant non authentifié sous certaines conditions. L’exécution nécessite qu’un administrateur ouvre l’ong…
Source : NVD — CVE-2026-112365
Élévation de privilèges dans Essential Addons for Elementor
Essential Addons for Elementor jusqu’à la version 6.8.7 incluse présente une vulnérabilité d’élévation de privilèges, exploitable sans authentification dans des conditions précises. Un attaquant peut obtenir un compte jusqu’au rôle Editor…
Source : NVD — CVE-2026-118205
Injection d’objet PHP dans Enable Media Replace
CVE-2026-114422 est une injection d’objet PHP dans Enable Media Replace, pouvant conduire à une inclusion locale de fichier et, dans certaines conditions, à l’exécution de code à distance. Le plugin est vulnérable avant la version 4.2.3 ;…
Source : NVD — CVE-2026-114422
Contournement du mot de passe lors de la connexion 2FA
CVE-2026-114443 concerne l’authentification à deux facteurs du plugin Security Plugin, Firewall & Malware Scanner with Auto Removal : le plugin n’exige pas le mot de passe du compte avant d’accepter le code d’authentification. Les versions…
Source : NVD — CVE-2026-114443
XSS persistante dans les statistiques de WP Visitor Statistics
CVE-2026-117571 est une XSS persistante dans WP Visitor Statistics (Real Time Traffic) : des données de suivi dérivées de requêtes publiques sont stockées puis affichées dans le tableau de bord sans assainissement ni échappement suffisants…
Source : NVD — CVE-2026-117571
Kirki : contrôle d’accès insuffisant aux pages via l’API REST
Dans Kirki, un contrôle d’accès par objet insuffisant dans l’API REST des pages permet à un utilisateur ayant accès à l’édition Kirki — notamment un éditeur dans la configuration par défaut — de modifier des publications qu’il ne possède p…
Source : NVD — CVE-2026-112347
Ajout non autorisé de clients à la liste noire anti-fraude
CVE-2026-118072 concerne un contrôle d’autorisation manquant dans Fraud Prevention For WooCommerce and EDD : des utilisateurs de rôle Subscriber ou supérieur peuvent ajouter des clients à la liste noire sans être autorisés à gérer les comm…
Source : NVD — CVE-2026-118072
APIExperts Square for WooCommerce : vulnérabilité CSRF
APIExperts Square for WooCommerce présentait une vulnérabilité CSRF, permettant à un attaquant de tenter de faire exécuter une action par un administrateur authentifié qui visite une page malveillante. La fiche fournie indique que les vers…
Source : NVD — CVE-2026-119466
GIFTiT for WooCommerce : injection de code de type XSS
GIFTiT – Free Gifts for WooCommerce présentait une vulnérabilité de neutralisation insuffisante de balises HTML liées aux scripts, décrite comme une XSS basique ou une injection de code. La fiche indique que les versions jusqu’à 4.5 sont c…
Source : NVD — CVE-2026-52710
YITH WooCommerce Product Add-Ons : contournement non authentifié
YITH WooCommerce Product Add-Ons présentait une vulnérabilité de contournement non authentifié. Les versions jusqu’à 4.34.0 sont visées par la fiche fournie, mais les informations disponibles ne décrivent pas davantage le mécanisme, l’impa…
Source : NVD — CVE-2026-107868
BuddyForms : export non autorisé de la configuration des formulaires
BuddyForms avant 2.10.3 ne vérifie pas que l’utilisateur peut gérer le formulaire avant d’en exporter la configuration. Un utilisateur non authentifié peut ainsi récupérer des paramètres stockés, dont des adresses de notification et des cl…
Source : NVD — CVE-2026-118100
BuddyForms : modification d’articles sans vérification de leur auteur
BuddyForms avant 2.10.1 ne vérifie pas que l’utilisateur modifiant une entrée est l’auteur de l’article visé. Un utilisateur disposant d’un accès de modification au formulaire, jusqu’au rôle Abonné, peut altérer le titre, le contenu et l’é…
Source : NVD — CVE-2026-118101
Firelight Lightbox : XSS stocké via l’URL d’un lien
Firelight Lightbox avant 2.3.23 n’échappe pas l’URL d’un lien ouvert dans sa lightbox classique avant de l’insérer dans la page comme HTML. Un utilisateur ayant au moins le rôle Contributeur peut provoquer un XSS stocké visant les personne…
Source : NVD — CVE-2026-118165
Page and Post Restriction : contournement d’authentification sur l’API REST
Page and Post Restriction est vulnérable à un contournement d’authentification dans toutes les versions jusqu’à 1.6.1 incluse. Une requête REST GET ou HEAD inter-origines peut, sous certaines conditions, permettre à un attaquant de lire de…
Source : NVD — CVE-2026-118194
Cool FormKit Lite : XSS DOM stocké via custom_id
Cool FormKit Lite jusqu’à la version 2.7.9 incluse est vulnérable à un XSS DOM stocké lié au paramètre custom_id des champs de formulaire Elementor. Un attaquant authentifié ayant au moins le rôle Contributeur peut injecter un script qui s…
Source : NVD — CVE-2026-118500
Events Made Easy : XSS stocké via le paramètre width
Events Made Easy jusqu’à la version 3.3.1 incluse ne filtre pas suffisamment le paramètre width, ce qui permet un XSS stocké. Un utilisateur authentifié ayant au moins le rôle Contributeur peut injecter du script dans des pages consultées…
Source : NVD — CVE-2026-118634
JoomSport : injection SQL via pgroup
JoomSport jusqu’à la version 5.7.14 incluse est vulnérable à une injection SQL via le paramètre pgroup. Un utilisateur authentifié ayant au moins le rôle Contributeur peut déclencher le chemin vulnérable en prévisualisant un article conten…
Source : NVD — CVE-2026-118698
Content Egg : modification non autorisée des données produit d’articles
Content Egg jusqu’à la version 12.0.0 incluse ne vérifie pas les droits de l’utilisateur sur l’article indiqué à la fonction ajaxUpdateProducts(). Un utilisateur authentifié ayant au moins le rôle Contributeur peut ainsi modifier les métad…
Source : NVD — CVE-2026-119059
Content Egg : création d’articles attribués à un autre utilisateur
Content Egg jusqu’à la version 12.0.0 incluse présente un défaut d’autorisation lors de la création d’articles à partir d’un preset. Un utilisateur authentifié ayant au moins le rôle Auteur peut attribuer un article à un autre compte, nota…
Source : NVD — CVE-2026-119087
Suppression de fichiers dans les téléversements via Forminator Forms
CVE-2026-5461 permet à un attaquant non authentifié de supprimer des fichiers non-PHP arbitraires dans wp-content/uploads via des soumissions de brouillon Forminator mal validées. Les versions jusqu’à 1.55.0.2 inclus sont vulnérables ; la…
Source : NVD — CVE-2026-5461
Lecture de fichiers sensibles via le File System Watcher
CVE-2026-114444 permet à un administrateur qui n’est pas Super Admin d’accéder à la visionneuse du File System Watcher et de lire des fichiers sensibles. Les versions antérieures à 2.191 sont concernées ; sur une installation standard, les…
Source : NVD — CVE-2026-114444
XSS réfléchie dans User Frontend
CVE-2026-115277 est une XSS réfléchie dans le plugin User Frontend, due à des valeurs fournies par l’utilisateur réinjectées dans des attributs HTML sans assainissement ni échappement suffisants. Les versions antérieures à 4.3.14 sont conc…
Source : NVD — CVE-2026-115277
Injection SQL dans WP Visitor Statistics
CVE-2026-117572 est une injection SQL dans WP Visitor Statistics (Real Time Traffic), causée par un paramètre utilisé dans une requête SQL sans assainissement ni échappement suffisant. Les versions antérieures à 8.8 sont concernées ; la so…
Source : NVD — CVE-2026-117572
XSS persistante via un bloc de bouton Joinchat
CVE-2026-118071 est une XSS persistante dans Joinchat : le message d’un bloc de bouton n’est pas échappé avant d’être rendu dans un attribut HTML sur le site. Les versions antérieures à 6.4.2 sont concernées ; un utilisateur ayant le rôle…
Source : NVD — CVE-2026-118071
Kirki : contournement de la vérification reCAPTCHA des formulaires
Kirki peut accepter des soumissions de formulaires sans vérification reCAPTCHA valide lorsqu’un attaquant omet le champ g-recaptcha-token. Cela peut entraîner des soumissions automatisées, des notifications ou webhooks déclenchés et une cr…
Source : NVD — CVE-2026-112348
My Calendar : injection de shortcodes via le paramètre mcs
Le paramètre de recherche mcs de My Calendar peut transmettre des valeurs à do_shortcode() sans neutraliser les crochets, permettant à un attaquant non authentifié d’exécuter des shortcodes enregistrés. Cela peut servir à injecter du conte…
Source : NVD — CVE-2026-119714
Ad Inserter : exécution de shortcodes arbitraires
Ad Inserter peut exécuter des shortcodes arbitraires à partir d’une valeur non validée, dans une configuration où un bloc publicitaire utilisant une balise dynamique est affiché sur les pages de recherche. La fiche précise que cette config…
Source : NVD — CVE-2026-102905
XSS stockée dans Redux Framework pour WordPress
Le plugin Redux Framework est vulnérable à une XSS stockée via le champ `multi_media`, déclenchée lorsque le profil affecté est consulté dans l’administration. Les versions jusqu’à 4.5.15 inclus sont concernées; la faille nécessite un thèm…
Source : NVD — CVE-2026-102918
Suppression arbitraire de fichiers dans JS Help Desk
Le plugin JS Help Desk est vulnérable à la suppression arbitraire de fichiers sur le serveur en raison d’une validation insuffisante des chemins. Les versions jusqu’à 5.0.1 inclus sont concernées; l’exploitation nécessite un accès administ…
Source : NVD — CVE-2026-104739
Contournement d’autorisation dans OpenStation
OpenStation présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au moins le rôle Abonné de modifier des entrées de placement d’autres utilisateurs et d’en lire certaines métadonnées. Toutes les version…
Source : NVD — CVE-2026-109592
XSS stockée dans FV Flowplayer Video Player via les commentaires
FV Flowplayer Video Player est vulnérable à une XSS stockée dans le paramètre `comment` des liens vidéo. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille nécessite l’option de parsing des liens Vimeo et YouTube, ai…
Source : NVD — CVE-2026-109984
XSS stockée via les commentaires dans FV Flowplayer Video Player
FV Flowplayer Video Player est également vulnérable à une XSS stockée via l’attribut `align` des shortcodes contenus dans les commentaires. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; la faille suppose que l’administrat…
Source : NVD — CVE-2026-110001
XSS stockée dans FV Flowplayer Video Player via les vidéos de profil
FV Flowplayer Video Player présente une XSS stockée dans les vidéos de profil soumises par les utilisateurs. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; l’exploitation nécessite l’activation par un administrateur de l’o…
Source : NVD — CVE-2026-110533
CVE-2026-9239 : XSS stockée dans Meow Gallery
Meow Gallery est vulnérable à une XSS stockée via le texte alternatif d’une pièce jointe utilisé dans l’attribut aria-label. Toutes les versions jusqu’à 5.5.1 incluse sont concernées; l’exploitation nécessite un compte ayant au moins le rô…
Source : NVD — CVE-2026-9239
Injection SQL dans Majestic Support pour WordPress
Majestic Support jusqu’à la version 1.2.2 incluse est vulnérable à une injection SQL accessible aux utilisateurs authentifiés disposant au minimum du rôle Subscriber. Un attaquant peut exploiter le paramètre « columns (array keys) » afin d…
Source : NVD — CVE-2026-115820
XSS stockée dans Themify Builder pour WordPress
Themify Builder jusqu’à la version 7.8.4 incluse présente une XSS stockée dans les champs de répétition « variations » des publications Custom Font. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script,…
Source : NVD — CVE-2026-115869
XSS stockée dans Like Button Rating ♥ LikeBtn pour WordPress
Like Button Rating ♥ LikeBtn jusqu’à la version 2.6.64 incluse présente une XSS stockée via l’en-tête Client-IP, exploitable sans authentification sous certaines conditions. L’exploitation nécessite que l’option « Be GDPR compliant » soit…
Source : NVD — CVE-2026-116552
Exécution de shortcodes arbitraires dans GeoDirectory
GeoDirectory jusqu’à la version 2.8.198 incluse permet l’exécution de shortcodes arbitraires par un attaquant non authentifié. La cause indiquée est une action qui exécute do_shortcode sans valider correctement une valeur.
Source : NVD — CVE-2026-118635
XSS stockée dans les descriptions GeoDirectory
GeoDirectory jusqu’à la version 2.8.199 incluse présente une XSS stockée via la description des annonces, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber. Le contenu injecté peut s’exécuter lorsqu’un util…
Source : NVD — CVE-2026-119113
XSS stockée dans CP Multi View Events Calendar
CP Multi View Events Calendar jusqu’à la version 1.4.43 incluse présente une XSS stockée via le paramètre « Subject ». Un utilisateur authentifié ayant au minimum le rôle Subscriber peut soumettre le contenu malveillant lorsque le shortcod…
Source : NVD — CVE-2026-119176
Contournement d’autorisation dans Meow Gallery
Meow Gallery jusqu’à la version 5.5.4 incluse présente un contournement d’autorisation permettant à des utilisateurs authentifiés ayant au minimum le rôle Author de consulter des métadonnées de publications privées et brouillons. Les infor…
Source : NVD — CVE-2026-13747
OpenCart — contournement du paiement via Free Checkout et points de récompense
OpenCart présente une faille de logique métier dans le parcours Free Checkout : un client connecté peut manipuler les points de récompense pour faire passer une commande sans paiement. Les versions affectées indiquées vont jusqu’à 4.1.0.4…
Source : NVD — CVE-2026-119558
Systèmes & serveurs
29 alerte(s)Linux TIPC : correction d'une réutilisation de nonce AES-GCM
Un défaut dans TIPC pouvait réutiliser des nonces AES-GCM après un changement de clé signalé par un pair. Cette réutilisation pouvait compromettre la confidentialité des communications et permettre la falsification de paquets.
Source : NVD — CVE-2026-98805
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42215
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait une exécution de commandes par des options non sûres passées en arguments nommés avec des traits de soulignement. Consultez l’avis Debian…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-42284
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres non vérifiées après le découpage de multi_options avec shlex. Consultez l’avis Debian et appliquez la mise à jour de sécurit…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44243
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, qui permettait d’accéder à des fichiers hors du dépôt lors de la manipulation de références. Consultez l’avis Debian et appliquez la mise à jour de sécur…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-44244
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’écriture de configuration ne rejetait pas les caractères de contrôle dans les valeurs. Consultez l’avis Debian et appliquez la mise à jour de sécuri…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67322
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des variables d’environnement étaient développées dans les URL de clonage et pouvaient divulguer des secrets à un hôte distant. Consultez l’avis Debia…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67323
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres n’étaient pas protégées dans plusieurs API Git et pouvaient conduire à l’exécution de commandes. Consultez l’avis Debian et appl…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67324
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options longues abrégées contournaient les contrôles d’options non sûres et pouvaient mener à l’exécution de commandes. Consultez l’avis Debian et…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67325
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options courtes combinées contournaient les contrôles des options non sûres. Consultez l’avis Debian et appliquez la mise à jour de sécurité dispo…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-67326
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sections de configuration n’étaient pas validés avant leur écriture. Consultez l’avis Debian et appliquez la mise à jour de sécurité dispo…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-69097
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des noms de sections contenant un crochet fermant non cité pouvaient injecter des paramètres arbitraires dans .git/config. Consultez l’avis Debian et…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73619
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options non sûres manquaient aux listes de blocage et pouvaient mener à l’exécution de commandes ou à un accès arbitraire aux fichiers. Consultez…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73620
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, liée à des options non sûres dans IndexFile.checkout() et TagReference.create(). Elles pouvaient permettre de lire ou d’écrire des chemins arbitraires; c…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73621
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Commit.count n’écartait pas des options de sortie non sûres. Cela pouvait entraîner l’écriture vers des chemins arbitraires; consultez l’avis et appli…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73622
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les variables d’environnement étaient développées dans les URL de dépôts distants et de sous-modules. Cette expansion pouvait divulguer des secrets à…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73623
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option non sûre –template n’était pas rejetée lors d’un clonage. Cela pouvait permettre la lecture de chemins arbitraires; consultez l’avis et appl…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73624
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options de sortie non sûres n’étaient pas protégées dans les opérations diff. Elles pouvaient écrire vers des chemins arbitraires; consultez l’avi…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-73625
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs d’options courtes séparées n’étaient pas validées. Ce défaut pouvait contourner les contrôles d’options non sûres dans plusieurs opération…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76217
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où des options –pathspec-from-file n’étaient pas protégées dans certaines opérations d’index et de HEAD. Cela pouvait permettre de lire des chemins arbi…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76218
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où Repo.init ne bloquait pas des options Git init non sûres. Les options citées pouvaient lire ou écrire des chemins arbitraires; consultez l’avis et app…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76219
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où l’option –index-output n’était pas protégée dans des appels read-tree. Cela pouvait écrire vers un chemin arbitraire; consultez l’avis et appliquez l…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76220
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où la valeur accolée aux options d’un caractère n’était pas vérifiée dans certains cas. Cela pouvait contourner les contrôles des options non sûres; cons…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76221
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms d’options de configuration pouvant injecter des paramètres n’étaient pas rejetés. Consultez l’avis Debian et appliquez la mise à jour de sécu…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-76222
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les noms de sous-modules lus depuis .gitmodules n’étaient pas validés avant des opérations sur le système de fichiers. Cela permettait une traversée d…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78675
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les directives include de .gitmodules étaient traitées. Ce comportement pouvait permettre la lecture de fichiers arbitraires; consultez l’avis et appl…
DLA-4872-1 : vulnérabilité GitPython CVE-2026-78676
Debian a publié DLA-4872-1 pour plusieurs vulnérabilités de GitPython, dont celle-ci, où les valeurs de configuration multilignes n’étaient pas préservées. L’extrait fourni ne précise pas davantage les conséquences propres à cette vulnérab…
DSA-6598-1 : mise à jour de sécurité Thunderbird
Debian a publié DSA-6598-1 pour plusieurs problèmes de sécurité dans Thunderbird. L’avis indique qu’ils pourraient entraîner l’exécution de code arbitraire ou la divulgation d’informations; il ne fournit pas de CVE dans les données disponi…
DLA-4871-1 : mise à jour de sécurité cyrus-sasl2
Debian a publié DLA-4871-1 pour un dépassement de tampon dans le tas du greffon DIGEST-MD5 de cyrus-sasl2. Les données fournies ne donnent pas de CVE ni de détails de versions; consultez l’avis Debian et appliquez la mise à jour de sécurit…
DLA-4870-1 : mise à jour de sécurité antiword
Debian a publié DLA-4870-1 pour plusieurs problèmes dans antiword, notamment des écritures hors limites dans le tas et une division entière par zéro. Aucun CVE n’était attribué selon l’avis fourni; consultez celui-ci et appliquez la mise à…
Outils & observabilité
1 alerte(s)Uptime Kuma : création concurrente d’un compte administrateur lors de la première configuration
Le 30 octobre, une fiche a été publiée pour une condition de concurrence dans le gestionnaire Socket.IO de première configuration d’Uptime Kuma. Selon la description fournie, elle pourrait permettre à un attaquant non authentifié de créer…
Source : NVD — CVE-2026-119552