Les sujets à surveiller, en un regard.
144 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 16 sujet(s) en rouge, 6 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié de vulnérabilité, d’avis ou de changement substantiel Shopify daté de la période demandée. Les avis Shopify trouvés étaient antérieurs à cette période; une page mise à jour le 3 novembre rapportait des retours d’applications dans l’App Store, sans constituer un avis de sécurité ou une nouvelle vulnérabilité répondant aux critères.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche web dédiée à Wix n’a fait ressortir aucun avis de sécurité, correctif, nouvelle vulnérabilité ou changement substantiel daté du 2026-11-03 dans la période demandée. Les résultats repérés concernant un incident de service Wix sont datés du 2026-11-04, après la borne de fin, et ont donc été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
Aucune vulnérabilité, publication de correctif ou avis de sécurité concernant Solocal et daté de la période du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu n’a été identifiée dans la recherche effectuée. Les résultats consultés n’établissent pas d’événement de sécurité Solocal répondant aux critères de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication de correctif ou d’avis, exploitation, ni mise à jour substantielle de Craft CMS datée dans la période demandée n’a été vérifiée. Les résultats repérés concernant six avis Craft CMS indiquent une publication le 2 novembre 2026, avant le début de la période; les avis GitHub retrouvés dans la recherche sont datés des 22 et 23 octobre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
Aucun avis ou événement de sécurité concernant le produit Ghost demandé n’a été vérifié dans la période du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. Le candidat fourni concerne Ghost Commander File Manager, un produit distinct, et a donc été écarté du sujet Ghost.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée aux avis Strapi, aux publications de sécurité et aux versions n’a identifié aucun événement de sécurité Strapi daté dans la période demandée. Les résultats consultés signalent notamment des publications antérieures et une version publiée le 2026-11-04, après la borne de fin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée sur Directus n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ou changement substantiel daté du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. Les avis Directus consultés dans les résultats de recherche comprennent notamment un avis publié le 2026-10-30, antérieur à la période ; il n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée sur OpenCart n’a fait ressortir aucun avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-11-03 dans la période demandée. Le dépôt GitHub consulté indique qu’aucun avis de sécurité n’y est publié; les résultats consultés recensent comme événement récent une vulnérabilité publiée le 2026-10-30, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Les deux candidats concernent des avis cPanel publiés avant la période : les avis éditeur sont datés du 26 octobre 2026, et les CVE du 2 novembre 2026. Leur mise à jour NVD du 3 novembre ne suffit pas à établir un changement substantiel durant la période demandée ; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
Niveau relevé : Critique
Recherche web effectuée sur Ruby et les avis de sécurité associés. Deux avis Elo datés du 2026-11-03 pendant la période concernent respectivement l’injection via l’API AST (CVE-2026-44265) et l’interpolation dans le backend Ruby (CVE-2026-44266); les candidats Crass et Puma n’ont pas été retenus comme événements de sécurité substantiels datés dans la période.
Elo : exécution de code Ruby dans le backend de compilation
Avant Elo 1.0.1, le backend Ruby insère sans échappement certains textes contrôlés par l’attaquant dans des chaînes Ruby entre guillemets doubles, permettant l’interpolation de code Ruby. Le défaut concerne la génération Ruby; les générateurs JavaScript, Python et SQL ne sont pas concernés par ce chemin précis.
Action recommandée : Mettre à niveau Elo vers la version 1.0.1 ou ultérieure.
Injection de code dans le backend Python d’Elo via son API AST
L’API AST programmatique d’Elo laisse plusieurs champs non validés être interpolés directement dans le code généré, notamment pour son backend Python. Des valeurs AST provenant d’entrées non fiables peuvent donc injecter du code dans les sorties Python ; les versions jusqu’à 1.0.0 sont concernées et la version 1.0.1 corrige le problème.
Action recommandée : Mettre à niveau @enspirit/elo vers 1.0.1 ou une version ultérieure et éviter de fournir des AST issus de sources non fiables aux versions vulnérables.
Bun
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel concernant Bun, daté dans la période du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. Les avis Bun retrouvés sur GitHub sont antérieurs à cette période; un avis tiers mis à jour le 3 novembre évoque une exploitation confirmée le 27 octobre, et ne constitue donc pas un nouvel événement de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel concernant Deno daté du 2026-11-03 dans les sources consultées. Le candidat fourni porte sur i18next-http-backend, et non sur Deno; sa publication est antérieure à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a repéré trois avis publiés dans la période pour des projets Go : Arc, Netfoil et praktor. Les avis et fiches datés antérieurement dont la seule date fournie dans la période est une mise à jour ne sont pas retenus comme nouveautés substantielles sur la base des éléments disponibles.
praktor — traversée de chemin dans les téléversements Telegram
CVE-2026-62331 (GHSA-48v2-6jcm-fc99), publié le 2026-11-03T17:27:25Z, concerne une traversée de chemin dans les téléversements Telegram de praktor. Un utilisateur Telegram distant peut écrire hors du répertoire `uploads/` dans l’espace de travail persistant de l’agent; mettre à niveau vers 0.9.1, ou limiter l’accès du bot aux utilisateurs de confiance.
Action recommandée : Mettre à niveau vers praktor 0.9.1.
Netfoil — le TTL n’est pas décrémenté
GHSA-9ppr-wfw9-xvr2, publié le 2026-11-03T16:48:29Z, indique que Netfoil ne décrémentait pas le TTL et pouvait continuer à servir des enregistrements périmés. Les versions à partir de 0.3.0 et antérieures à 0.6.1 sont concernées; passer à 0.6.1.
Action recommandée : Mettre à niveau vers Netfoil 0.6.1 ou une version ultérieure corrigée.
Arc — divulgation non authentifiée des journaux applicatifs
GHSA-m3qr-fvp4-78xj, publié le 2026-11-03T16:29:38Z, signale que l’API Arc `GET /api/v1/logs` peut divulguer des journaux sans authentification, même lorsque celle-ci est activée. Les versions antérieures au pseudo-version de correctif sont concernées; restreindre l’accès à cette route ou mettre à niveau Arc.
Action recommandée : Mettre à niveau Arc vers le pseudo-version corrigé indiqué par l’avis; d’ici là, restreindre l’accès à `/api/v1/logs`.
Kotlin
Recherche du sujet effectuée
La recherche web dédiée n’a relevé aucun avis de sécurité, correctif, cas d’exploitation ou changement substantiel concernant Kotlin daté du 2026-11-03 dans la période demandée. Les avis de sécurité publiés sur le dépôt Kotlin de GitHub indiquent qu’aucun avis n’y est publié; les autres résultats identifiés ne documentent pas d’événement Kotlin dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée a relevé trois versions Electron publiées le 2026-11-03, mais les informations accessibles dans les résultats consultés ne permettent pas d’établir qu’elles correspondent à un correctif de sécurité ou à un avis de sécurité publié pendant la période demandée. Aucun item de vulnérabilité n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
Niveau relevé : Critique
Dans la période demandée, l’avis trouvé porte sur un paquet npm malveillant nommé `scdn-jquery`, et non sur une faille de la bibliothèque jQuery. Aucun nouvel avis de vulnérabilité propre au projet jQuery n’a été identifié dans les résultats consultés.
Malware signalé dans le paquet npm scdn-jquery
L’avis GHSA-hvpp-rx4h-crg5 signale un logiciel malveillant dans le paquet npm `scdn-jquery`, et non une vulnérabilité de la bibliothèque jQuery elle-même. Il recommande de considérer comme compromis tout système ayant installé ou exécuté ce paquet, de le retirer et de renouveler ses secrets depuis un autre appareil.
Action recommandée : Supprimer `scdn-jquery`; traiter toute machine l’ayant installé ou exécuté comme compromise et faire tourner ses secrets depuis un appareil distinct.
Laravel
Recherche du sujet effectuée
Aucun nouvel avis, correctif, cas d’exploitation ou changement substantiel applicable à Laravel n’a été vérifié dans la période du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. L’avis CVE-2026-55409 concerne Filament et date de juin 2026; sa mise à jour NVD du 3 novembre est administrative. Un avis Laravel daté du 4 novembre a également été repéré, mais il est postérieur à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte n’a pas permis de vérifier de nouvel avis, correctif ou événement de sécurité publié pendant la période demandée. Les résultats repérés pour Svelte et SvelteKit sont antérieurs à cette période; un résultat secondaire date CVE-2026-30226 du 3 novembre, mais sa date et son avis éditeur n’ont pas pu être vérifiés à partir d’une source primaire.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou événement de sécurité Symfony daté du 2026-11-03 dans la période demandée. Les avis Symfony repérés datent du 2026-11-04 et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche ciblée sur Flask n’a relevé aucun avis, correctif ou événement de sécurité vérifié comme ayant été publié entre le 2026-11-03T00:00:00+02:00 inclus et le 2026-11-04T00:00:00+02:00 exclu. Les résultats consultés renvoient notamment à un avis de février 2026, hors période; cette vérification ne permet pas d’affirmer qu’aucun événement n’a existé ailleurs sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Vérification incomplète
Niveau relevé : Moyenne
Le projet Django a publié le 3 novembre 2026 des correctifs de sécurité pour six CVE, intégrés aux versions 6.1.3, 6.0.10 et 5.2.19, avec des branches concernées qui varient selon la vulnérabilité. La recherche dédiée a également confirmé ces avis dans l’archive de sécurité du projet ; les quatre candidats de type NVD « mises à jour » sont des doublons de fiches publiées le même jour, sans changement substantiel distinct établi. Deux vulnérabilités Django publiées le 3 novembre 2026 sont décrites dans les fiches NVD fournies : une divulgation d’empreintes de mot de passe dans certains formulaires d’administration et un défaut de restriction des accès GDAL lors de l’analyse de références spatiales. Les branches corrigées indiquées sont 6.1.3, 6.0.10 et, pour la seconde vulnérabilité, 5.2.19.
Django : accès réseau ou fichiers locaux via des références spatiales
L’analyse de chaînes de référence spatiale par GDAL pouvait autoriser l’accès réseau ou la lecture de fichiers locaux via des entrées contrôlées par un attaquant. Mettre à niveau vers une version corrigée ; le projet recommande GDAL 3.9 ou ultérieur pour une protection complète de ce cas.
Action recommandée : Mettre à niveau Django vers 6.1.3, 6.0.10 ou 5.2.19. Utiliser GDAL 3.9 ou ultérieur pour une protection complète de l’analyse de chaînes ; préférer les SRID entiers pour les entrées non fiables.
Django : consommation mémoire excessive lors de certains téléversements multipart
Les téléversements multipart utilisant Content-Transfer-Encoding: base64 pouvaient être entièrement conservés en mémoire avant leur transmission aux gestionnaires de fichiers, entraînant une consommation mémoire excessive. Mettre à niveau vers une version corrigée ; les branches antérieures non prises en charge n’ont pas été évaluées.
Action recommandée : Mettre à niveau vers Django 6.1.3, 6.0.10 ou 5.2.19, selon la branche utilisée.
Django : injection de journaux via des valeurs de formulaire géométrique
Des valeurs géométriques soumises invalides étaient consignées sans échappement, ce qui pouvait permettre l’injection ou la falsification d’entrées de journal. Mettre à niveau vers une version corrigée ; les branches antérieures non prises en charge n’ont pas été évaluées.
Action recommandée : Mettre à niveau vers Django 6.1.3, 6.0.10 ou 5.2.19, selon la branche utilisée.
Django : requêtes serveur déclenchées par des géométries GeoJSON
Le traitement du membre crs dans les géométries GeoJSON ne restreignait pas les références de systèmes de coordonnées externes, ce qui pouvait déclencher des requêtes vers des destinations choisies par un attaquant. Mettre à niveau vers une version corrigée ; les branches antérieures non prises en charge n’ont pas été évaluées.
Action recommandée : Mettre à niveau vers Django 6.1.3, 6.0.10 ou 5.2.19, selon la branche utilisée.
Django : divulgation d’empreintes de mot de passe dans l’administration
Un défaut de masquage dans `display_for_field()` pouvait révéler des empreintes de mot de passe dans le formulaire de modification en lecture seule de certains modèles utilisateur. Un membre du personnel authentifié disposant uniquement de la permission de consultation sur le modèle pouvait ainsi obtenir ces empreintes.
Action recommandée : Mettre à niveau vers Django 6.1.3 ou 6.0.10, selon la branche utilisée.
Django : risque d’exposition de données par collision de clés de cache
Certaines requêtes omettant un en-tête Vary et celles fournissant cet en-tête avec une valeur vide pouvaient recevoir la même clé de cache. Cette collision pouvait exposer des données privées mises en cache pour une autre requête ; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers Django 6.1.3, 6.0.10 ou 5.2.19, selon la branche utilisée.
FastAPI
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche sur FastAPI et son écosystème a identifié trois avis publiés le 3 novembre 2026 concernant fastapi-code-generator : trois vecteurs distincts d’injection de code dans le code Python généré, corrigés en version 0.8.1. Aucun item n’est retenu pour les deux candidats Apache Airflow, qui concernent un autre produit ; leurs dates de publication sont antérieures à la période, et la mise à jour NVD seule ne constitue pas un nouvel événement de sécurité dans cette fenêtre.
Injection de code Python dans les clés de réponse générées par fastapi-code-generator
fastapi-code-generator insère une clé de code de réponse secondaire issue du document OpenAPI dans le code généré sans échapper les guillemets. Une entrée contrôlée ou influencée par un attaquant peut ainsi injecter une expression Python exécutée à l’importation du module généré ; les versions antérieures à 0.8.1 sont concernées.
Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; traiter les documents OpenAPI non fiables avec prudence jusqu’à la mise à niveau.
Injection de code Python via le résumé d’opération dans fastapi-code-generator
fastapi-code-generator insère le champ `Operation.summary` dans la docstring du gestionnaire de route généré sans échapper les guillemets triples. Une valeur contrôlée ou influencée par un attaquant peut fermer la docstring et injecter une instruction Python, exécutée lorsque le gestionnaire de route est appelé ; les versions antérieures à 0.8.1 sont concernées.
Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; éviter de générer et d’exécuter du code à partir de documents OpenAPI non fiables avant la mise à niveau.
Injection de code Python via les chemins OpenAPI dans fastapi-code-generator
fastapi-code-generator insère un chemin OpenAPI dans le décorateur de route généré sans échapper les guillemets. Un chemin contrôlé ou influencé par un attaquant peut fermer la chaîne et injecter une expression Python exécutée à l’importation du module ; les versions antérieures à 0.8.1 sont concernées.
Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; ne pas importer du code généré à partir de documents OpenAPI non fiables avant la mise à niveau.
Express
Recherche du sujet effectuée
Aucune vulnérabilité, aucun avis de sécurité ni correctif propre au framework Express.js n’a été vérifié comme nouveau ou substantiellement mis à jour pendant la période demandée. Les résultats Express.js consultés renvoient à des publications antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche des avis de sécurité GitHub et des sources CVE/NVD consultées n’a identifié aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel NestJS daté de la période demandée. Les avis NestJS trouvés dans ces résultats sont datés du 15 septembre 2026 ou d’avant, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis de sécurité pertinent pour MySQL a été publié pendant la période : CVE-2026-121435 concerne un contournement d’autorisation dans Froxlor permettant à des clients authentifiés de créer des bases MySQL malgré une restriction administrative. Les autres candidats portent sur des publications ou vulnérabilités antérieures à la période; leur seule modification NVD datée du 3 novembre ne suffit pas à établir un changement de sécurité substantiel. Aucun avis ou changement substantiel concernant MySQL n’est établi dans ce candidat pour la période demandée. L’avis concerne FacturaScripts et sa date de publication est antérieure à la période ; la seule date de mise à jour fournie ne précise pas la nature du changement.
Froxlor : contournement d’autorisation lors de la création de bases MySQL
Dans Froxlor avant la version 2.3.15, des clients authentifiés pouvaient créer des bases MySQL via l’API `Mysqls.add`, même lorsque l’administrateur avait désactivé cette fonctionnalité. Le contrôle d’autorisation `customer_hide_options` manquait sur cette opération; mettre à jour vers Froxlor 2.3.15.
Action recommandée : Mettre à jour Froxlor vers la version 2.3.15 ou une version ultérieure.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Dans la période du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00, la recherche a relevé la publication de CVE-2026-119922 pour l’extension Babelfish for PostgreSQL et l’avis CERT-FR CERTFR-2026-AVI-1445 sur plusieurs vulnérabilités PostgreSQL. La modification NVD de CVE-2026-12944 concerne Langflow, pas PostgreSQL; elle est exclue.
CVE-2026-119922 — Élévation de privilèges dans Babelfish for PostgreSQL
Un contrôle d’accès incorrect dans l’extension Babelfish for PostgreSQL peut permettre à un utilisateur distant authentifié d’élever ses privilèges. Les versions affectées indiquées sont 1.2–1.5, 2.1–2.15, 3.1–3.12, 4.0–4.8 et 5.1–5.4; mettre à niveau vers une version corrigée de la branche concernée.
Action recommandée : Mettre à niveau Babelfish for PostgreSQL vers 4.10, 5.6 ou 6.1, selon la branche utilisée, ou vers une version ultérieure corrigée.
Multiples vulnérabilités dans PostgreSQL — avis CERTFR-2026-AVI-1445
Le CERT-FR a publié un avis faisant état de vulnérabilités dans PostgreSQL, avec des impacts mentionnés d’injection SQL, de contournement de la politique de sécurité et un problème de sécurité non spécifié. Les CVE, versions concernées et correctifs ne sont pas détaillés dans les informations consultées; consulter l’avis avant de déterminer les systèmes affectés et les mesures correctives.
Action recommandée : Consulter l’avis CERT-FR pour obtenir les références et les recommandations détaillées; vérifier les produits et versions déployés avant d’appliquer les correctifs correspondants.
MongoDB
Vérification incomplète
Niveau relevé : Élevée
La recherche dédiée a retrouvé des avis MongoDB datés du 3 novembre 2026 concernant le pilote Node.js, MongoDB Database Tools, le pilote Rust, le pilote C et MongoDB Server. Les éléments vérifiés incluent des risques de divulgation, d’altération ou de mauvaise destination de données, ainsi que d’indisponibilité; plusieurs versions corrigées ou détails d’impact n’étaient pas établis par les pages consultées. Dix fiches NVD fournies concernent des vulnérabilités publiées le 2026-11-03 dans des composants MongoDB ou des outils associés. Les descriptions indiquent notamment des risques de corruption mémoire, de divulgation de données, de corruption de champs et de restauration non autorisée; aucune information fournie ne confirme une exploitation active. Sept vulnérabilités publiées le 2026-11-03 concernent des composants MongoDB : le pilote Rust, le pilote C et le pilote ODBC Atlas SQL. Les informations fournies décrivent des risques de divulgation de données, de croissance mémoire, d’écriture hors limites et d’indisponibilité; elles ne précisent ni versions affectées ni versions corrigées.
Désynchronisation du pool de connexions du pilote MongoDB Node.js
Le pilote MongoDB Node.js peut réutiliser une connexion du pool alors qu’une réponse à l’opération précédente est encore attendue, si l’application utilise l’option expérimentale `timeoutMS`. Un attaquant capable d’envoyer des requêtes ordinaires à l’application peut alors provoquer des réponses mal associées, avec risque de divulgation de données, de résultats incorrects et d’échecs de requêtes.
Action recommandée : Vérifier l’usage de `timeoutMS` dans le pilote MongoDB Node.js et appliquer la version corrigée publiée par MongoDB.
Croissance mémoire non bornée dans le pilote C MongoDB
Une fuite de mémoire dans le traitement des réponses compressées du pilote C MongoDB peut entraîner une croissance mémoire répétée et sans limite dans l’application cliente. Un attaquant non authentifié contrôlant le point de terminaison auquel le client se connecte peut provoquer une indisponibilité de cette application.
Action recommandée : Vérifier l’usage du pilote C MongoDB et limiter les connexions clientes aux points de terminaison de confiance jusqu’à l’application d’un correctif confirmé.
Arrêt possible du processus lors d’un téléchargement GridFS dans le pilote C MongoDB
L’API de téléchargement GridFS du pilote C MongoDB ne vérifie pas le résultat d’une opération interne dans certaines conditions d’erreur. Un utilisateur capable d’influencer les paramètres de téléchargement peut provoquer l’arrêt du processus client et rendre indisponible l’application concernée.
Action recommandée : Vérifier les usages de l’API de téléchargement GridFS et appliquer un correctif du pilote lorsqu’il sera disponible.
Validation insuffisante du champ d’espace de noms dans le pilote C MongoDB
Le pilote C MongoDB ne valide pas le type ni le format du champ d’espace de noms reçu dans une réponse de requête. Un point de terminaison MongoDB auquel le client se connecte peut, sans authentification, renvoyer une valeur malformée et provoquer l’arrêt du processus ainsi qu’une lecture hors limites; une petite quantité de mémoire de tas non initialisée peut aussi être renvoyée au point de terminaison.
Action recommandée : Éviter de connecter le pilote à des points de terminaison non fiables et appliquer un correctif confirmé dès qu’il est disponible.
MongoDB Database Tools : fuite possible via mongofiles get_id
mongofiles peut utiliser le nom de fichier GridFS stocké en base comme destination de sortie de get_id lorsque –local n’est pas précisé. Un utilisateur pouvant modifier les métadonnées peut choisir le nom « – » et, si un opérateur récupère ensuite le fichier dans ces conditions, son contenu peut être envoyé sur la sortie standard et exposé si celle-ci est capturée dans un emplacement accessible à cet utilisateur.
Action recommandée : Mettre à jour MongoDB Database Tools vers une version corrigée.
MongoDB Database Tools : contournement de contrôles de noms lors de mongorestore
mongorestore traite de manière incohérente le préfixe system.buckets. lors de la validation des noms de collections d’un dump non fiable. Un nom spécialement construit peut contourner des protections de collections et des filtres d’espace de noms, et faire créer un compte de base de données choisi par l’auteur du dump, y compris un compte doté du rôle root.
Action recommandée : Mettre à jour MongoDB Database Tools vers une version corrigée et ne restaurer que des dumps fiables.
Le traçage du pilote Rust MongoDB peut exposer des valeurs avant chiffrement
Dans le pilote Rust MongoDB, la collecte facultative de traces peut enregistrer le contenu d’une commande avant le chiffrement automatique côté client. Une personne ayant accès aux traces exportées peut ainsi obtenir des valeurs destinées à être chiffrées, sans disposer des clés.
Action recommandée : Évaluer l’exposition des traces exportées et éviter d’activer le traçage avec le chiffrement automatique tant qu’un correctif confirmé n’est pas disponible.
Divulgation de mémoire non initialisée via GridFS dans le pilote C MongoDB
Le traitement historique des fichiers GridFS dans le pilote C MongoDB peut considérer de la mémoire de processus non initialisée comme du contenu de fichier et l’enregistrer sur le serveur. Dans certaines conditions, un utilisateur disposant d’un accès en écriture ordinaire à un espace de stockage partagé peut ensuite lire des données sensibles du processus, potentiellement y compris des identifiants.
Action recommandée : Évaluer l’utilisation des fonctions GridFS historiques du pilote C et limiter les accès en écriture aux espaces de stockage partagés jusqu’à l’application d’un correctif confirmé.
Écriture hors limites dans le pilote ODBC MongoDB Atlas SQL
Le pilote ODBC MongoDB Atlas SQL peut écrire au-delà d’un tampon lors de la récupération d’une valeur de certains types dans une cible cliente de largeur fixe. Un utilisateur de la base disposant de droits d’écriture de base peut influencer les données et provoquer une corruption mémoire ou l’arrêt de l’application utilisant le pilote.
Action recommandée : Évaluer les déploiements du pilote ODBC Atlas SQL et appliquer un correctif confirmé dès qu’il est disponible.
Parse Server : validation de type insuffisante pour les clés en notation pointée
Parse Server sur MongoDB ne vérifie pas correctement le type de champ pour des clés en notation pointée dont la valeur est null. Un client pouvant écrire peut alors créer des sous-documents sous des champs Pointer, Number, String, Date ou Boolean, ce qui peut corrompre des valeurs ou perturber des opérations.
Action recommandée : Mettre à jour vers une version corrigée indiquée dans l’avis.
MongoDB Database Tools : écriture hors répertoire via lien symbolique
mongofiles ne résout pas les liens symboliques des répertoires parents lors de la validation des chemins de sortie pour get_regex. Un utilisateur non autorisé pouvant téléverser un fichier GridFS et placer un lien symbolique dans le répertoire de téléchargement de l’opérateur peut faire créer, lors d’une récupération ultérieure, un fichier contenant ses données hors de ce répertoire.
Action recommandée : Mettre à jour MongoDB Database Tools vers une version corrigée.
MongoDB Database Tools : restauration vers une collection inattendue
mongorestore décode incorrectement le nom original d’une collection lorsque le nom du fichier de dump correspondant a été tronqué. Un utilisateur de la base pouvant créer une collection encodée de façon appropriée peut faire restaurer ses documents dans une autre collection que celle qu’il peut modifier directement, ou provoquer l’omission de données; l’option –drop peut remplacer la collection inattendue.
Action recommandée : Mettre à jour MongoDB Database Tools vers une version corrigée; éviter de restaurer des dumps non fiables.
MongoDB EF Core Provider : interprétation de valeurs comme expressions
Le fournisseur MongoDB Entity Framework Core ne neutralise pas certains éléments spéciaux des valeurs de SetProperty lorsque ExecuteUpdate contient aussi un setter lisant l’entité. Une chaîne contrôlée commençant par $ peut alors être évaluée comme une expression, ce qui permet de modifier, supprimer ou remplacer par d’autres champs des valeurs de l’enregistrement mis à jour.
Écriture hors limites lors de la récupération de résultats par le pilote ODBC Atlas SQL
Le pilote ODBC MongoDB Atlas SQL peut écrire des valeurs de résultat en dehors des limites du tampon fourni par l’application cliente. Une partie capable d’influencer les valeurs renvoyées peut modifier involontairement la mémoire de l’application ou provoquer l’arrêt du processus, dans un mode particulier de demande de plusieurs lignes de résultat.
Action recommandée : Vérifier les modes de récupération de plusieurs lignes et appliquer un correctif confirmé dès qu’il est disponible.
Redis
Recherche du sujet effectuée
La recherche dédiée sur Redis n’a pas fait ressortir d’avis, de correctif, d’exploitation ni de changement substantiel attribuable à Redis et daté de la période figée. Les avis Redis retrouvés dans les résultats sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée a repéré des avis de sécurité Caddy publiés le 2026-11-04. Cette date étant hors de la période demandée, aucun de ces avis n’est retenu; aucun événement qualifiant daté du 2026-11-03 n’a été vérifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée sur SvelteKit n’a fait ressortir, dans les sources consultées, aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu. Les avis SvelteKit repérés dans les résultats consultés étaient datés d’avant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée à Babel n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel répondant aux critères pendant la période du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu. Les avis de sécurité Babel visibles dans les résultats consultés sont antérieurs à cette période; un résultat Babelfish concerne un projet homonyme et a été écarté.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Niveau relevé : Élevée
Quatre nouvelles vulnérabilités concernant Elasticsearch ont été publiées le 2026-11-03 : déni de service par récursion, défaut de contrôle d’accès aux champs, partage de cache affectant la sécurité au niveau des champs et épuisement mémoire via un encodeur phonétique. La CVE-2026-115293 concerne Kibana, et la CVE-2026-46487 concerne GeoNetwork : elles ne sont pas retenues pour le sujet Elasticsearch. Une vulnérabilité affectant le plugin analysis-phonetic d’Elasticsearch a été publiée dans la période : une entrée spécialement conçue peut épuiser la mémoire heap d’un nœud. L’autre candidat concerne GeoNetwork et non Elasticsearch comme produit; il a été exclu.
CVE-2026-115290 — Déni de service par récursion incontrôlée dans Elasticsearch
Une récursion incontrôlée dans Elasticsearch permet à un attaquant non authentifié disposant d’un accès réseau à l’interface serveur du cluster de provoquer l’arrêt d’un nœud. Les versions affectées indiquées sont 8.10.0 à 8.19.23, 9.0.0 à 9.4.8 et 9.5.0 à 9.5.5.
Action recommandée : Mettre à niveau vers une version corrigée indiquée par Elastic; limiter l’accès réseau à l’interface serveur du cluster.
CVE-2026-115298 — Contournement de restrictions sur les champs dans Elasticsearch
Une vérification d’autorisation incorrecte peut permettre à un utilisateur authentifié soumis à des restrictions de sécurité au niveau des champs de lire la valeur d’un champ constant_keyword pourtant exclu par son rôle. La fiche NVD classe l’impact comme une divulgation d’informations et attribue un score CVSS de 4,3.
Action recommandée : Consulter les avis Elastic et appliquer une version corrigée lorsqu’elle est indiquée; vérifier les rôles utilisant la sécurité au niveau des champs.
CVE-2026-115710 — Partage de cache pouvant contourner la sécurité au niveau des champs
Dans certaines conditions, Elasticsearch peut partager des résultats de requête mis en cache entre utilisateurs soumis à des restrictions de sécurité au niveau des champs et utilisateurs sans ces restrictions. Un utilisateur restreint peut en déduire quels documents correspondent à une valeur de champ masquée et peut aussi entraîner des résultats incomplets pour des utilisateurs pleinement autorisés.
Action recommandée : Mettre à niveau vers Elasticsearch 8.19.24, 9.4.9 ou 9.5.6, selon la branche utilisée.
CVE-2026-115715 — épuisement mémoire via un encodeur phonétique
Une valeur spécialement conçue traitée par un encodeur phonétique affecté du plugin analysis-phonetic peut épuiser le tas mémoire d’un nœud Elasticsearch et provoquer son indisponibilité ou son arrêt. L’exploitation requiert un compte autorisé à écrire des documents dans un index concerné ou à y lancer des recherches.
Action recommandée : Évaluer l’exposition des index utilisant le plugin analysis-phonetic et limiter les autorisations d’écriture et de recherche concernées.
RabbitMQ
Recherche du sujet effectuée
La recherche des avis de sécurité RabbitMQ et des sources du projet n’a pas identifié de nouvel avis, correctif ou changement substantiel daté du 2026-11-03 dans la période demandée. Les avis RabbitMQ repérés dans les résultats sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
Aucune nouveauté de sécurité Memcached datée du 2026-11-03 n’a été identifiée dans les résultats de la recherche dédiée. Les avis Memcached retrouvés concernaient des divulgations antérieures à la période demandée; la page GitHub du projet consultée n’affichait aucun avis de sécurité publié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
La recherche a repéré les CVE-2026-118665 et CVE-2026-118666 de GraphQL Tools, publiées avant la période, ainsi que la CVE-2026-117184 concernant Traggo, également publiée avant celle-ci. Les éléments consultés ne permettent pas de confirmer qu’un correctif, un avis de sécurité ou un changement substantiel relatif à ces failles a été daté du 3 novembre 2026 ; une date de modification NVD seule ne suffit pas à établir un nouvel événement.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a relevé quatre CVE publiées pendant la période portant sur des extensions liées à WooCommerce : deux injections SQL, une exposition de données de commandes et une falsification possible de confirmation de paiement. Les résultats de recherche consultés n’établissent pas de version corrigée ni d’exploitation active pour ces quatre cas.
Advanced Shipment Tracking : injection SQL via l’API REST
Advanced Shipment Tracking for WooCommerce comporte une injection SQL dans le paramètre « tracking_provider » de son point de terminaison REST de suivi des expéditions. Les versions jusqu’à 3.9 incluse sont concernées et un attaquant authentifié disposant au moins de droits de Shop Manager peut exploiter le défaut pour extraire des données de la base.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et limiter les comptes disposant de privilèges de gestion des commandes.
WooCommerce Multilingual : injection SQL liée au taux de change
WooCommerce Multilingual & Multicurrency with WPML présente une injection SQL liée au paramètre de taux de change traité par save_currency(). Les versions jusqu’à 5.5.7 incluse sont concernées; l’exploitation permettant l’extraction de données est attribuée à des attaquants authentifiés ayant au moins des droits de Shop Manager.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et limiter les comptes ayant des privilèges de gestion WooCommerce.
Exposition de jeton API et de données de commande dans WATI Chat and Notification
WATI Chat and Notification expose un endpoint public qui peut renvoyer le jeton API enregistré sans exiger de secret valide. Ce jeton peut ensuite servir à obtenir l’URL de commande d’une commande WooCommerce et à consulter des données personnelles du client.
Action recommandée : Vérifier la version du plugin et appliquer un correctif éditeur lorsqu’il est disponible.
Eupago Gateway For WooCommerce : falsification de confirmations de paiement
Eupago Gateway For WooCommerce des versions 4.5.0 à 4.7.5 ne vérifie pas l’authenticité de certaines requêtes webhook de confirmation de paiement selon la configuration. Un attaquant non authentifié peut falsifier une confirmation et marquer une commande en attente comme payée sans régler son montant.
Action recommandée : Mettre à jour le plugin vers une version corrigée et vérifier les paramètres de validation des webhooks.
Simple:Press
Recherche du sujet effectuée
Aucune vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle de Simple:Press datée de la période demandée n’a été repérée dans la recherche effectuée. Les résultats consultés incluent la page du plugin WordPress.org et les archives de sécurité de l’éditeur; les avis historiques qui y apparaissent ne sont pas retenus car ils ne sont pas datés de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Niveau relevé : Critique
Deux avis concernant directement Docker ont été identifiés dans la période : une faille de confinement de chemins dans Docker Sandboxes et un contournement seccomp dans Docker Desktop pour Windows avec WSL2.
Docker Desktop pour Windows : contournement seccomp AF_VSOCK avec WSL2
CVE-2026-112917 concerne Docker Desktop pour Windows avec le backend WSL2 : un conteneur Linux non privilégié peut contourner une restriction seccomp visant AF_VSOCK par l’intermédiaire de `socketcall` 32 bits. Le contournement peut exposer des services accessibles depuis l’hôte et des fichiers Windows accessibles à l’utilisateur connecté ; les backends LinuxKit ne sont pas concernés.
Action recommandée : Mettre à jour Docker Desktop vers la version 4.98.0 ou ultérieure et WSL vers la version 3.0.3 ou ultérieure ; vérifier que les deux composants ont bien été mis à niveau.
Docker Sandboxes : contournement du confinement des chemins lors de `sbx cp`
CVE-2026-103916 affecte la commande `sbx cp` : un lien symbolique créé ou remplacé par un sandbox peut rediriger une copie ultérieure hors de l’espace de travail partagé. Cela peut conduire à lire un fichier de l’hôte ou à y écrire avec les permissions de l’utilisateur ; Docker Sandboxes 0.28.0 à 0.50.x sont indiqués comme affectés, et la version 0.51.0 comme corrigée.
Action recommandée : Mettre à jour Docker Sandboxes vers la version 0.51.0 ou ultérieure.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié un avis Temporal daté du 2026-11-03 concernant le fournisseur de calcul Kubernetes k8s dans Temporal Server. Les résultats consultés ne confirment pas que les autres CVE candidates aient connu une publication ou un changement substantiel pendant la période; leur seule date de modification NVD ne suffit pas à les retenir.
Temporal Server : exécution de commandes via le fournisseur Kubernetes k8s
Une configuration Kubernetes fournie par l’appelant au fournisseur de calcul k8s peut conduire à l’exécution de commandes sur l’hôte du Worker Service. Temporal recommande de passer à la version corrigée ou, en attendant, de retirer k8s de la liste des fournisseurs activés.
Action recommandée : Mettre à niveau vers Temporal Server 1.31.5 ou 1.32.2; à défaut, désactiver le fournisseur k8s comme indiqué dans l’avis.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a repéré et recoupé onze avis CVE du noyau Linux publiés le 2026-11-03, tous correspondant aux candidats fournis et à la période demandée. Les informations vérifiées décrivent des défauts de synchronisation, d’initialisation, d’attente ou de gestion des ressources; les sources consultées ne permettent pas d’établir une exploitation active pour ces éléments. Les candidats NVD publiés pendant la période comprennent neuf avis de correctifs pour le noyau Linux (CVE-2026-99255 à CVE-2026-99261, puis CVE-2026-99269 et CVE-2026-99270). Le candidat CVE-2022-2905 concerne une mise à jour administrative de fiche datée avant la période et ne fournit pas d’élément établissant un changement substantiel. Aucun candidat ne documente un événement de sécurité nouveau ou substantiellement mis à jour pendant la période demandée. Les modifications NVD datées du 3 novembre concernent des fiches publiées antérieurement; le lot ne fournit pas de preuve qu’elles correspondent à un changement de sécurité substantiel plutôt qu’à une mise à jour administrative. Aucun événement nouveau, correctif/avis de sécurité, exploitation ou changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats indiquent une publication au 2026-07-25 et une modification NVD au 2026-11-03, sans préciser de changement substantiel intervenu à cette dernière date. Aucune nouveauté du noyau Linux n’est vérifiée pour la période demandée dans ce lot. Les candidats sont des fiches NVD publiées le 25 juillet 2026 et mises à jour le 3 novembre, mais les éléments fournis n’indiquent pas qu’une modification substantielle liée aux vulnérabilités a eu lieu pendant la période ; une simple mise à jour administrative ne suffit pas à les retenir. Les candidats sont des mises à jour…
Linux : concurrence lors du déplacement de tâches dans sched_ext
Une condition de concurrence dans sched_ext pouvait permettre aux chemins de déplacement ou de consommation des tâches d’agir sur une tâche pendant que son dispatch était encore en cours. Le correctif attend la fin du dispatch avant ces opérations.
Action recommandée : Appliquer une version du noyau intégrant le correctif; la version minimale corrigée n’est pas précisée dans les éléments fournis.
Linux : risque d’utilisation après libération dans le traitement d’un temporisateur TCP
Lorsqu’une migration de socket TCP échouait, le noyau pouvait libérer une requête alors que son temporisateur pouvait encore être actif, entraînant un risque d’utilisation après libération. Le correctif arrête ce temporisateur avant la libération de la requête.
Action recommandée : Appliquer une version du noyau intégrant le correctif; la version minimale corrigée n’est pas précisée dans les éléments fournis.
Linux TIPC : risque d’utilisation après libération pendant une trace de nœud
Le traitement d’un événement de trace TIPC pouvait parcourir les liens d’un nœud sans verrou, tandis qu’une suppression concurrente libérait un lien; le parcours risquait alors d’utiliser un pointeur libéré. Le correctif prend le verrou d’écriture du nœud pendant la trace; aucune version affectée ou corrigée n’est précisée dans les éléments fournis.
Action recommandée : Mettre à jour vers un noyau intégrant le correctif lorsqu’il est disponible.
Linux : débordement du compteur de références dans io_uring/waitid
Des tentatives répétées d’annulation d’une requête io_uring/waitid pouvaient faire déborder le compteur de références et permettre une seconde finalisation de la requête. Le correctif rend les tentatives d’annulation répétées idempotentes en vérifiant si l’indicateur d’annulation était déjà positionné.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : utilisation après libération possible dans io_uring/waitid
io_uring/waitid pouvait effacer le pointeur de tête d’une requête avant d’en devenir propriétaire, laissant un autre chemin la terminer et la libérer pendant que le premier chemin continuait à la manipuler. Le correctif reporte cet effacement jusqu’à la prise de possession de la requête.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : erreur de comptage des références d’événements synthétiques dans tracing
La recherche d’un événement synthétique comparait uniquement le nom de base de l’événement, ce qui pouvait modifier à tort le compteur de références d’un événement synthétique homonyme. Le correctif vérifie aussi l’identité de l’objet trace_event_call avant de modifier ce compteur.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : utilisation après libération dans la gestion des histogrammes tracing
Un histogramme créé pour fournir une variable de champ conservait un pointeur vers un histogramme compatible préexistant, qui pouvait être supprimé indépendamment. Le correctif conserve plutôt le pointeur vers le fichier d’événement, qui reste valide lorsque l’autre histogramme est retiré.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux io_uring : rendre les requêtes liées visibles à l’annulation
Pendant l’annulation des requêtes d’une tâche sortante, une requête liée pouvait se trouver momentanément invisible aux recherches d’annulation, laissant la tâche endormie sans réveil. Le correctif libère le travail lorsque la requête liée est visible comme travail courant ou en attente.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux device-mapper : corriger le verrouillage du cache dm
Le cache device-mapper utilisait un rw_semaphore dont les règles de propriété pouvaient être violées lorsque le verrou était acquis et libéré par des processus différents. Le correctif remplace ce mécanisme par un verrou tournant et une file d’attente.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux GPIO : gérer l’absence de périphérique lors d’une recherche
La recherche d’un GPIO partagé à partir d’un fwnode sans périphérique associé pouvait provoquer un déréférencement de pointeur NULL. Le correctif traite ce cas proprement en renvoyant une erreur.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux Hyper-V : éviter une page de sortie hypercall non allouée
Dans une VM SEV-SNP sans paravisor, hv_apicid_to_vp_index() pouvait utiliser une page de sortie hypercall non allouée par l’invité. Le correctif réutilise la page d’entrée pour l’entrée et la sortie de l’hypercall.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux Tegra : initialiser le taux d’horloge du contexte PMC précoce
Sur les anciens appareils Tegra 32 bits, le taux d’horloge du contexte PMC précoce restait à zéro après le passage à un contexte dynamique, ce qui déclenchait un avertissement en mode suspension. Le correctif initialise également ce taux dans le contexte précoce.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : conversion manquante d’attributs résidents dans ntfs
Dans ntfs, l’activation des attributs sparse ou compressed sur un attribut résident pouvait interrompre le traitement sans effectuer la conversion vers un attribut non résident. Le correctif rétablit cette conversion dans ntfs_new_attr_flags.
Action recommandée : Appliquer une version du noyau intégrant le correctif; la version minimale corrigée n’est pas précisée dans les éléments fournis.
Linux : correction des fences d’éviction des BO per-VM dans drm/amdgpu
Dans le pilote drm/amdgpu, la réservation des emplacements de fence lors de l’éviction de BO per-VM pour userq était incorrecte. Le correctif traite le débordement de déplacement et l’ajout de la fence d’éviction.
Action recommandée : Appliquer une version du noyau intégrant le correctif; la version minimale corrigée n’est pas précisée dans les éléments fournis.
Linux : le signal TIF_NOTIFY_SIGNAL peut empêcher le réaper PID de dormir
Un signal de notification pouvait interrompre les attentes du processus de réaper d’un espace de noms PID, provoquant une attente active. Le correctif ajoute une garde qui permet au réaper de dormir jusqu’à la sortie d’un enfant ou au réveil de `free_pid()`.
Action recommandée : Mettre à jour vers une version corrigée de la branche utilisée; consulter l’avis Linux CVE pour le commit correspondant.
Linux : correction d’une course lors de l’ajout d’une clé à un trousseau restreint
Une course entre la vérification de restriction d’un trousseau et l’ajout d’une clé pouvait permettre de prendre la décision de restriction avant qu’une restriction concurrente soit installée. Le correctif déplace cette vérification sous le sémaphore du trousseau; les versions affectées et la version corrigée ne sont pas précisées dans les éléments fournis.
Action recommandée : Appliquer une version du noyau intégrant le correctif dès qu’elle est disponible.
Linux : plantage au démarrage après un échec d’initialisation du traçage
Si l’allocation des tampons de trace échouait au démarrage, un travail tracefs ultérieur pouvait malgré tout s’exécuter et accéder à une liste d’événements non initialisée, entraînant un déréférencement de pointeur nul et un Oops au démarrage. Le correctif vérifie que le traçage est activé avant d’initialiser tracefs; les versions concernées et corrigées ne sont pas indiquées.
Action recommandée : Mettre à jour vers un noyau intégrant le correctif lorsqu’il est disponible.
Linux xiic : avertissements d’horloge lors du retrait du périphérique
Une conversion de la gestion runtime PM du pilote I²C xiic avait déséquilibré la désactivation de l’horloge lors du retrait du périphérique, pouvant provoquer des avertissements répétés du sous-système clock. Le correctif rétablit la gestion non managée du runtime PM et des interruptions, ainsi qu’un ordre de démontage et des chemins d’erreur explicites; les versions concernées et corrigées ne sont pas indiquées.
Action recommandée : Mettre à jour vers un noyau intégrant le correctif lorsqu’il est disponible.
Linux : attente de sortie d’un espace de noms PID compatible avec le gel
La sortie de l’init d’un espace de noms PID pouvait rester bloquée en attendant la libération de processus zombies suivis par un traceur extérieur, empêchant la mise en veille du système. Le correctif rend ces attentes compatibles avec le mécanisme de gel du noyau.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : lancement différé des threads de console NBCON
Le démarrage très précoce des threads NBCON de console pouvait interférer avec la configuration SMP et contribuer à des blocages au démarrage sur certains systèmes. Le correctif reporte leur lancement après les initcalls d’architecture.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : éviter une boucle infinie dans init_vp_index()
Dans init_vp_index(), l’absence de CPU de housekeeping gérant les interruptions sur un nœud NUMA pouvait entraîner une boucle de nouvelle tentative infinie. Le correctif ignore les nœuds concernés et vérifie la présence de CPU de housekeeping en ligne.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux io_uring : corriger le réveil de l’annulation des requêtes
Une course dans l’attente d’annulation des requêtes io_uring pouvait faire dormir une tâche alors qu’un travail local était en attente, sans réveil ultérieur. Le correctif réarme le réveil avant la mise en sommeil de la tâche.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux io_uring : limiter les callbacks répétés pendant l’annulation
Lors de l’annulation io_uring, des callbacks task_work pouvaient être réémis en boucle tandis que la tâche exécutait la cancellation, consommant du temps processeur et retardant la sortie ou execve(). Le correctif temporise la réémission lorsqu’un callback rencontre une tâche en cours d’annulation.
Action recommandée : Appliquer une version du noyau intégrant le correctif lorsqu’elle est disponible.
Linux : lecture après libération de mémoire lors de la recherche d’un trousseau nommé
Une course entre la recherche d’un trousseau nommé et un changement de propriétaire pouvait provoquer une lecture après libération de mémoire dans le noyau Linux. Le correctif vérifie l’UID stocké directement dans le trousseau, dont la durée de vie est protégée par le verrou de nommage.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : blocage possible à la sortie d’un thread avec io_uring/io-wq
À la sortie d’un thread, un worker io-wq pouvait perdre le signal destiné à interrompre un travail bloqué, par exemple l’ouverture d’un FIFO sans partenaire. Le correctif veille à ce que le signal soit pris en compte lorsqu’un travail borné démarre pendant la fermeture de io-wq.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : boucle d’attente io_uring bloquée sur la liste de débordement CQ
Dans certaines situations, io_cqring_wait() pouvait tourner sans fin lorsque la liste de débordement des événements ne pouvait pas être vidée. Le correctif rend la main à l’application lorsque cette liste reste bloquée, afin qu’elle puisse libérer de la place dans l’anneau CQ.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : accès mémoire invalide possible après réutilisation d’une requête io_uring
La suppression d’une commande annulable io_uring laissait des valeurs poison dans son nœud de hachage, réutilisé ensuite par le cache de requêtes. Dans un scénario de réveil d’une attente futex vectorielle, cette valeur pouvait provoquer un accès mémoire invalide; le correctif laisse le nœud dans un état non haché.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : validation manquante d’adresses dans la copie des tampons syscall du tracing
La copie des tampons utilisateur de certains appels système instrumentés par tracing utilisait __copy_from_user(), qui ne vérifie pas que l’adresse est une adresse utilisateur valide. Le correctif utilise copy_from_user() pour rejeter les adresses non utilisateur et enregistrer l’entrée comme ayant échoué.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Linux : histogramme tracing auxiliaire laissé actif après échec d’une commande
Lorsqu’une commande de création d’histogramme échouait après l’enregistrement d’un histogramme auxiliaire, celui-ci pouvait rester actif sans être correctement suivi. Le correctif désenregistre aussi ces histogrammes sur le chemin d’erreur et les enregistre dans la structure de suivi dès leur création.
Action recommandée : Appliquer une version du noyau intégrant la correction dès qu’elle est disponible; les versions concernées ne sont pas précisées dans la source fournie.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
L’index officiel Debian consulté signale un avis de sécurité concernant squid, DSA-6606-1, daté du 3 novembre 2026. Les informations consultées ne permettent pas d’en confirmer les CVE, les versions touchées ni le correctif. Un avis de sécurité Debian daté du 2026-11-03 signale plusieurs problèmes dans Squid. Les deux autres candidats sont des mises à jour de fiches NVD sans élément fourni établissant un changement substantiel dans la période.
Debian publie une mise à jour de sécurité pour Squid
Debian a publié un avis de sécurité pour Squid signalant plusieurs problèmes pouvant, dans certaines conditions, permettre une désynchronisation de requêtes, des dépassements de tampon ou une injection de commandes FTP. L’avis concerne une mise à jour de sécurité, mais les versions affectées et corrigées ainsi que les CVE ne sont pas précisées dans la source fournie.
Action recommandée : Installer la mise à jour de sécurité Debian pour Squid; la version corrigée n’est pas précisée dans la source fournie.
Alpine Linux
Recherche du sujet effectuée
La recherche dédiée à Alpine Linux n’a identifié aucun avis de sécurité, correctif, exploitation ou changement substantiel daté du 2026-11-03 dans la période indiquée. Les résultats officiels consultés concernant des incidents ou actualités de sécurité étaient datés en dehors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Apache HTTP Server
Recherche du sujet effectuée
La recherche dédiée a consulté l’avis de sécurité du projet Apache HTTP Server et des résultats de recherche portant sur httpd. Les informations trouvées concernent des événements antérieurs à la période demandée; aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-11-03 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité concernant Nginx daté de la période demandée. Les deux candidats fournis portent sur Apache Airflow et Traefik, et non sur Nginx.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
La recherche ciblée a repéré un article publié le 2026-11-03 évoquant des vulnérabilités PHP et des travaux visant à les exploiter, mais les éléments consultés ne permettent pas d’identifier une vulnérabilité ou un changement de sécurité PHP précis, daté dans la période demandée. Les avis PHP identifiés dans les résultats de recherche sont antérieurs à cette période. Aucun item n’est donc retenu. Aucun candidat ne décrit une vulnérabilité du langage ou du runtime PHP. Les références à PHP concernent des applications ou bibliothèques distinctes, ou des fichiers PHP utilisés par ces produits. Aucun candidat fourni ne décrit une vulnérabilité PHP pertinente dont la publication, le correctif, l’exploitation ou un changement substantiel est daté de la période demandée. Les seules mises à jour NVD datées du 3 novembre concernent des produits hors sujet ou des modifications administratives; CVE-2026-40176 concerne Composer, mais sa mise à jour NVD précède la période. Les candidats fournis concernent des vulnérabilités dans des applications ou extensions tierces, et non PHP ou PHP-FPM. Aucun élément du lot ne relève donc du sujet demandé. Aucune vulnérabilité, aucun correctif ni avis concernant le langage ou le moteur PHP n’est établi par les candidats de ce lot. Les fiches concernent des produits tiers, notamment des extensions WordPress et Control Web Panel ; leur utilisation de PHP ne les rattache pas au sujet demandé. Aucun candidat ne concerne une vulnérabilité ou un avis de sécurité du produit PHP lui-même. Les entrées portent sur des applications ou bibliothèques distinctes, même lorsqu’elles sont écrites en PHP ou utilisent PHP. Aucun nouvel avis ou changement substantiel daté de façon vérifiable dans la période. Les trois avis ont été publiés en juillet 2026; leurs ho…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WordPress
Vérification incomplète
Niveau relevé : Exploitation active
Les fiches NVD consultées signalent dix vulnérabilités de plugins WordPress publiées dans la période du 2026-11-03 au fuseau +02:00 : exécution de code, XSS, exposition d’identifiants, suppression ou lecture de fichiers, contournements d’autorisation et prise de contrôle de compte. Une publication WordPress.org datée du 3 novembre concernait WordPress 7.2 Beta 4 ; la page consultée ne la présente pas comme un avis de sécurité ni comme un correctif de sécurité. Les candidats fournis décrivent dix vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 2026-11-03. Elles concernent notamment des injections SQL, des suppressions de fichiers, des défauts d’autorisation, une prise de contrôle de compte et l’exposition de données; les sources fournies ne précisent pas de versions corrigées. Neuf nouvelles fiches NVD concernant des extensions WordPress ont été publiées dans la période demandée. Elles portent notamment sur l’exposition de secrets, des requêtes serveur, des contrôles d’autorisation insuffisants, la falsification de paiements, le téléversement de fichiers et une divulgation d’informations; une fiche signale un exploit public pour Headless CMS Plugin, sans confirmer d’exploitation active observée. Aucun élément du lot ne permet d'établir une nouvelle vulnérabilité, un correctif ou un changement de sécurité substantiel daté de la période. Les candidats indiquent des modifications de fiches NVD, sans préciser la nature ni documenter le caractère substantiel de ces changements. Six vulnérabilités WordPress ont une date de publication comprise dans la période demandée d’après les fiches NVD fournies. Les descriptions couvrent une exposition d’identifiants, des suppressions arbitraires de fichiers, une XSS stockée, une injection de code, une prise d…
WordPress Core : vulnérabilité TOCTOU ajoutée au catalogue CISA KEV
CVE-2026-119977 est une vulnérabilité de type TOCTOU dans WordPress Core qui pourrait permettre à un attaquant non authentifié d’exécuter du code pendant la mise à niveau complète du cœur. La CISA l’a ajoutée à son catalogue KEV le 3 novembre 2026 et recommande d’appliquer les mesures d’atténuation du fournisseur.
Action recommandée : Appliquer les mesures d’atténuation indiquées par le fournisseur; les détails de ces mesures ne figurent pas dans la source fournie.
Exécution de code à distance dans s2Member
Le plugin s2Member pour WordPress présente une vulnérabilité d’exécution de code à distance jusqu’à la version 260927 incluse. Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
Action recommandée : Mettre à jour s2Member vers une version corrigée dès que disponible.
BuddyPress XProfile Image Field : suppression arbitraire de fichiers
BuddyPress XProfile Image Field, jusqu’à la version 3.1.0 incluse, peut supprimer un fichier arbitraire à partir de métadonnées de profil fournies lors de l’inscription. Un attaquant non authentifié peut exploiter le problème si les inscriptions sont ouvertes et qu’un champ de profil de type image est présent; la suppression de certains fichiers peut compromettre le site.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; sinon, désactiver les inscriptions ouvertes ou le plugin si les conditions d’exposition sont réunies.
ACF: Extended PRO : injection de code dans render_field
Advanced Custom Fields: Extended PRO, jusqu’à la version 0.9.2.6 incluse, présente une injection de code limitée dans la fonction render_field. Selon la description, un attaquant non authentifié peut appeler des fonctions WordPress avec des arguments contrôlés lorsque certaines conditions de configuration ou d’environnement sont réunies.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; éviter d’activer shortcode_preview sur les formulaires concernés et vérifier la configuration OpenSSL du serveur.
Headless CMS Plugin : divulgation d’informations via l’API REST
Headless CMS Plugin jusqu’à la version 2.0.4 présente une divulgation d’informations dans la route REST /wp-json/rae/v1/post, via la fonction get_required_post_data et la manipulation de post_id ou post_slug. La fiche NVD indique qu’un exploit a été rendu public; aucun élément fourni ne confirme une exploitation active observée.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter l’exposition de l’API concernée selon les besoins du site.
Advanced Shipment Tracking : injection SQL via l’API REST
Advanced Shipment Tracking for WooCommerce comporte une injection SQL dans le paramètre « tracking_provider » de son point de terminaison REST de suivi des expéditions. Les versions jusqu’à 3.9 incluse sont concernées et un attaquant authentifié disposant au moins de droits de Shop Manager peut exploiter le défaut pour extraire des données de la base.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et limiter les comptes disposant de privilèges de gestion des commandes.
Contact Form Extender for Divi Builder : suppression de fichiers sans authentification
Contact Form Extender for Divi Builder permet la suppression de fichiers arbitraires en raison d’une validation insuffisante des chemins. Toutes les versions jusqu’à 1.0.6 incluse sont concernées; l’action AJAX et son nonce sont accessibles depuis une page publique, ce qui permet une exploitation sans authentification.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; en attendant, désactiver le plugin si cette fonctionnalité n’est pas indispensable.
SureCart : risque de prise de contrôle de comptes par connexion à code unique
SureCart présente une faiblesse dans son mécanisme de connexion par code à usage unique qui peut permettre la prise de contrôle d’un compte, y compris administrateur. Toutes les versions jusqu’à 4.9.5 incluse sont concernées; le point de terminaison ne limite pas suffisamment les tentatives et n’empêche pas la connexion aux comptes à privilèges élevés.
Action recommandée : Mettre à jour dès qu’un correctif est disponible; surveiller les connexions inhabituelles et désactiver temporairement la fonctionnalité vulnérable si possible.
FluentCart : suppression arbitraire de fichiers
FluentCart présente une suppression arbitraire de fichiers due à une validation insuffisante des chemins dans la fonction deleteFile. Toutes les versions jusqu’à 1.6.2 incluse sont concernées; un utilisateur authentifié disposant de droits personnalisés peut exploiter le défaut et la suppression de certains fichiers peut entraîner une compromission plus grave.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; envisager sa désactivation si elle n’est pas nécessaire.
Easy Digital Downloads : contournement d’authentification et prise de contrôle de compte
Easy Digital Downloads, jusqu’à la version 3.7.2 incluse, peut faire confiance à l’adresse courriel d’un paiement PayPal invité pour associer une commande à un compte existant, puis ouvrir une session pour ce compte. Un attaquant peut ainsi prendre le contrôle d’un compte administrateur si les conditions décrites pour le parcours de paiement sont réunies.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; en attendant, désactiver les parcours de paiement concernés si cela est possible.
BuddyBoss App : téléversement de fichiers potentiellement exécutables
BuddyBoss App jusqu’à la version 3.2.1 incluse permet à des utilisateurs authentifiés ayant au moins le rôle Abonné de téléverser des fichiers par la fonction send_feedback, avec une validation insuffisante du type de fichier. Certains fichiers potentiellement exécutables peuvent être accessibles durant l’envoi de courriel, et peuvent persister si wp_mail() échoue, ouvrant la possibilité d’exécution de code à distance.
Action recommandée : Mettre à jour BuddyBoss App vers une version corrigée dès qu’elle est disponible et limiter les comptes disposant d’un accès authentifié.
WooCommerce Multilingual : injection SQL liée au taux de change
WooCommerce Multilingual & Multicurrency with WPML présente une injection SQL liée au paramètre de taux de change traité par save_currency(). Les versions jusqu’à 5.5.7 incluse sont concernées; l’exploitation permettant l’extraction de données est attribuée à des attaquants authentifiés ayant au moins des droits de Shop Manager.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et limiter les comptes ayant des privilèges de gestion WooCommerce.
Exposition de jeton API et de données de commande dans WATI Chat and Notification
WATI Chat and Notification expose un endpoint public qui peut renvoyer le jeton API enregistré sans exiger de secret valide. Ce jeton peut ensuite servir à obtenir l’URL de commande d’une commande WooCommerce et à consulter des données personnelles du client.
Action recommandée : Vérifier la version du plugin et appliquer un correctif éditeur lorsqu’il est disponible.
Eupago Gateway For WooCommerce : falsification de confirmations de paiement
Eupago Gateway For WooCommerce des versions 4.5.0 à 4.7.5 ne vérifie pas l’authenticité de certaines requêtes webhook de confirmation de paiement selon la configuration. Un attaquant non authentifié peut falsifier une confirmation et marquer une commande en attente comme payée sans régler son montant.
Action recommandée : Mettre à jour le plugin vers une version corrigée et vérifier les paramètres de validation des webhooks.
JetFormBuilder : modification non autorisée des options JetEngine
JetFormBuilder peut permettre une modification non autorisée des valeurs de JetEngine Options Page lorsqu’un formulaire est configuré avec l’action « Update Options ». Les versions jusqu’à 3.6.2 incluse sont concernées, sous réserve que JetEngine soit également installé et actif et qu’un administrateur ait configuré cette action.
Action recommandée : Mettre à jour JetFormBuilder dès qu’un correctif est disponible et vérifier les formulaires configurés avec l’action « Update Options ».
Photo Engine : XSS stockée exploitable par un abonné
Photo Engine (Media Organizer & Lightroom) présente une XSS stockée dans le paramètre « hierarchy[].name ». Les versions jusqu’à 6.5.7 incluse sont concernées; la source indique qu’un utilisateur authentifié ayant le rôle Subscriber peut exploiter le défaut en raison de l’absence de vérification de capacité sur le point de terminaison concerné.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et limiter les comptes abonnés aux besoins stricts.
AI Alt Text Generator : modification non autorisée des métadonnées de médias
AI Alt Text Generator ne vérifie pas correctement les autorisations lors de la modification des métadonnées de pièces jointes. Les versions jusqu’à 2.7.0 incluse sont concernées; la source précise qu’un compte Contributor est nécessaire pour récupérer le nonce et que certaines modifications dépendent des options activées dans le plugin.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et contrôler les rôles utilisateurs ainsi que les options de modification des métadonnées.
WP Fastest Cache : exposition d’identifiants d’inscription dans le cache
WP Fastest Cache, jusqu’à la version 1.5.3 incluse, peut mettre en cache publiquement la réponse de wp-activate.php sans respecter les mécanismes empêchant sa mise en cache. Dans certaines installations Multisite avec inscriptions publiques, un attaquant non authentifié peut récupérer les identifiants en clair du dernier utilisateur ayant activé son compte.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est identifiée; en attendant, désactiver les inscriptions publiques concernées ou le plugin si ces fonctions sont nécessaires.
News Kit Addons For Elementor : XSS stockée
News Kit Addons For Elementor, jusqu’à la version 1.4.8 incluse, présente une faille de XSS stockée exploitable par des utilisateurs authentifiés ayant au moins le rôle d’abonné. Une validation insuffisante de données JSON peut permettre d’injecter du script dans des pages, après contournement lié à l’exposition d’un nonce dans certaines pages d’administration.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter les comptes de faible privilège et leurs accès d’administration en attendant.
Academy LMS : lecture de fichiers HTML par traversée de répertoires
Academy LMS, jusqu’à la version 4.0.1 incluse, permet à des utilisateurs authentifiés ayant au moins le rôle de contributeur de lire certains fichiers HTML arbitraires du serveur par traversée de répertoires. La lecture est limitée aux fichiers auxquels l’extension .html est ajoutée par le plugin; la description précise que les fichiers d’autres extensions, dont wp-config.php, ne sont pas accessibles par ce biais.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; limiter les comptes de contributeur aux personnes de confiance en attendant.
WP Compress : contournement d’autorisation et prise de contrôle des opérations du plugin
La faille permet à un attaquant non authentifié de rattacher certaines installations de WP Compress à son compte, puis d’obtenir la clé API partagée et d’effectuer des opérations privilégiées sur le plugin. Elle concerne les installations neuves ou en mode lite/free sans clé API préexistante, jusqu’à la version 7.22.01 incluse.
Action recommandée : Évaluer l’exposition des installations concernées et appliquer une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les éléments fournis.
SEO Engine : XSS stockée dans le titre des contenus
Le plugin SEO Engine présente une XSS stockée via le paramètre « title », exploitable par un utilisateur authentifié disposant au moins du rôle Contributor. Les versions jusqu’à 0.9.9 incluse sont concernées; des valeurs encodées en entités HTML peuvent contourner le filtrage lors de l’enregistrement et être exécutées à l’affichage.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible; limiter les comptes disposant de droits de contribution et examiner les contenus suspects.
weMail : exposition d’une clé API de service de messagerie
Dans weMail jusqu’à la version 2.1.6, un utilisateur disposant du rôle Éditeur peut accéder à une clé API de service de messagerie réservée au site. Cette clé réutilisable peut permettre d’usurper l’identité d’autres utilisateurs auprès du service et de rompre la connexion de messagerie du site.
Action recommandée : Mettre à jour weMail vers une version corrigée lorsqu’elle est disponible et remplacer toute clé API potentiellement exposée.
Gallery for Social Photo : requêtes serveur vers des hôtes arbitraires
Gallery for Social Photo jusqu’à la version 1.0.0.41 ne valide pas une URL fournie par l’utilisateur avant de déclencher une requête depuis le serveur. Un attaquant non authentifié peut ainsi viser des hôtes internes et lire les réponses obtenues.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
DT Directory Lite Addon : modification non autorisée des paramètres
DT Directory Lite Addon jusqu’à la version 1.1 ne vérifie ni les nonces ni les capacités dans ses gestionnaires de paramètres. Un attaquant non authentifié peut modifier la configuration et les options d’apparence du plugin.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
DT LMS : révocation non autorisée de validations de cours
DT LMS jusqu’à la version 1.2 ne contrôle pas les capacités ni les nonces sur une action AJAX. Un attaquant non authentifié peut révoquer le statut d’achèvement d’un cours ou d’une classe pour n’importe quel apprenant.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
AZEXO Store Locator : suppression arbitraire de contenus
AZEXO Store Locator jusqu’à la version 1.4 ne vérifie pas les autorisations lors de la suppression d’un article. Tout utilisateur authentifié, y compris un abonné, peut supprimer des articles et des pages arbitraires.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible et limiter les comptes authentifiés au strict nécessaire.
CryptoCloud : falsification des notifications de paiement
CryptoCloud de la version 3.0.0 à 3.0.1 ne vérifie pas l’authenticité des notifications de paiement reçues par son callback lorsque le secret webhook reste vide par défaut. Un attaquant non authentifié peut falsifier le statut d’une commande et la marquer payée ou échouée sans paiement réel.
Action recommandée : Mettre à jour le plugin vers une version corrigée et configurer un secret webhook robuste après vérification des instructions du fournisseur.
Contrôle d’accès insuffisant dans l’API REST de weMail
weMail vérifie incorrectement les capacités dans ses contrôles d’accès à l’API REST et peut autoriser des utilisateurs dont le rôle figure dans sa liste de rôles autorisés à effectuer des actions réservées à l’administration. Selon la configuration par défaut décrite, un utilisateur Editor ou supérieur peut notamment énumérer les comptes et leurs adresses e-mail, ou modifier les contrôles d’accès de weMail.
Action recommandée : Vérifier la version du plugin et appliquer un correctif éditeur lorsqu’il est disponible.
XSS dans Welcart e-Commerce
Le plugin Welcart e-Commerce pour WordPress est vulnérable à une injection de script intersites (XSS) dans les versions jusqu’à 2.12.6 incluse. La version 2.12.7 corrige le problème en échappant la valeur avec esc_html().
Action recommandée : Mettre à jour Welcart e-Commerce en version 2.12.7.
PrestaShop
Recherche du sujet effectuée
La recherche web dédiée n’a pas établi de nouvelle vulnérabilité, de correctif ou d’avis de sécurité PrestaShop daté de la période du 2026-11-03. Les alertes et avis retrouvés dans les résultats consultés étaient antérieurs à cette période; cela ne constitue pas une preuve d’absence de toute information sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Vérification incomplète
La recherche a relevé un avis de sécurité Red Hat publié le 3 novembre 2026 concernant Cockpit-ws, associé à trois CVE distinctes : une fuite mémoire distante non authentifiée et deux vulnérabilités de déni de service. Les détails de versions affectées et corrigées n’ont pas été confirmés par les sources consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel concernant CloudPanel daté de la période demandée (du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu). Les éléments repérés étaient antérieurs à cette période ou concernaient des avis plus anciens; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche web a identifié un avis de sécurité Uptime Kuma publié le 2 novembre 2026, avant la période demandée. Les autres avis visibles dans les résultats sont antérieurs au 3 novembre; aucun élément admissible daté du 3 novembre 2026 n’a été établi.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis de sécurité MariaDB Connector/J a fait l’objet d’une mise à jour d’évaluation SSVC CISA le 3 novembre 2026 : celle-ci indique qu’aucune exploitation n’est signalée. L’autre candidat concerne une vulnérabilité publiée avant la période et n’a pas été retenu, faute de changement substantiel vérifié dans la période.
Évaluation CISA mise à jour pour une vulnérabilité de lecture de fichiers dans MariaDB Connector/J
CVE-2026-119210 concerne MariaDB Connector/J : un serveur malveillant ou compromis pouvait contourner la validation de requêtes LOCAL INFILE et provoquer la transmission de fichiers lisibles par le client, si l’option allowLocalInfile était activée. Le 3 novembre, une mise à jour CISA de l’évaluation SSVC a indiqué « Exploitation: none » ; les versions affectées et correctifs sont détaillés dans l’avis éditeur.
Action recommandée : Mettre à niveau vers une version corrigée indiquée par l’avis éditeur. Si la mise à niveau n’est pas immédiate, désactiver allowLocalInfile lorsque cette fonction n’est pas indispensable.
phpMyAdmin
Recherche du sujet effectuée
Niveau relevé : Moyenne
Trois publications de CVE concernant phpMyAdmin ShapeFile, SQL-Parser et MoTranslator sont datées du 2026-11-03 dans la période demandée. Les autres candidats examinés correspondent à des mises à jour de fiches antérieures, sans changement substantiel vérifié dans cette période; aucune exploitation active ni aucun correctif vérifié n’est établi ici.
CVE-2026-121262 — Conversion de type incorrecte dans SQL-Parser
CVE-2026-121262 touche phpMyAdmin SQL-Parser 6.0.0 et 6.0.1 : une entrée manipulée affectant `ExplainStatement::parse` peut entraîner une conversion de type incorrecte. La fiche rapporte une divulgation publique, mais les sources consultées n’établissent ni version corrigée ni mesure de contournement.
Action recommandée : Vérifier l’utilisation des versions 6.0.0 et 6.0.1 et surveiller les avis du projet pour connaître le correctif; aucune version corrigée n’a été vérifiée.
CVE-2026-121261 — Boucle infinie dans phpMyAdmin ShapeFile
CVE-2026-121261 concerne ShapeFile jusqu’à la version 4.0.1 : un traitement de fichier SHP dans `ShapeRecord::loadFromFile` peut provoquer une boucle infinie. La fiche indique une attaque à distance et une divulgation publique, mais aucun correctif ni version corrigée n’est établi par les sources consultées.
Action recommandée : Évaluer l’exposition de l’application au traitement de fichiers SHP et suivre les avis du projet pour un correctif; aucun correctif vérifié n’a été trouvé.
CVE-2026-121263 — Parcours de chemin dans MoTranslator
CVE-2026-121263 concerne MoTranslator jusqu’à la version 6.0.1 : la fonction `Loader::getTranslator` peut subir un parcours de chemin lorsque l’argument `locale` est manipulé. La fiche rapporte une divulgation publique, mais aucun correctif ni impact plus précis n’est confirmé par les sources consultées.
Action recommandée : Vérifier l’utilisation de MoTranslator jusqu’à la version 6.0.1 et suivre les avis du projet pour un correctif; aucun correctif vérifié n’a été trouvé.
pgAdmin
Recherche du sujet effectuée
Les sources pgAdmin et le dépôt GitHub consultés ne montrent aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. Les correctifs de sécurité mentionnés dans les résultats consultés sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche web dédiée à Virtualmin n’a fait apparaître aucun avis de sécurité, correctif, exploitation ni changement substantiel vérifiable comme daté du 2026-11-03 dans la période demandée. Le changelog officiel consulté affiche des publications d’octobre, sans entrée du 3 novembre correspondant au sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a relevé aucun avis, correctif, nouvelle vulnérabilité ni changement substantiel vérifiable publié entre le 2026-11-03T00:00:00+02:00 et le 2026-11-04T00:00:00+02:00. Les avis Webmin repérés dans les résultats sont antérieurs à cette période; des versions de développement datées du 4 novembre apparaissent après la borne de fin et sont exclues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
Aucun nouvel avis ni changement substantiel concernant Vue.js ou Nuxt n’a été vérifié dans la période du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. L’avis Nuxt GHSA-x287-wcfc-q46c associé à CVE-2026-119198 est antérieur à cette période; les éléments consultés indiquent une mise à jour de la fiche CVE le 3 novembre, mais ne démontrent pas de changement substantiel de la vulnérabilité à cette date.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
Aucune nouveauté Vite admissible n’a pu être vérifiée pour la période du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. L’avis GHSA-8g5g-mxqh-grgj concernant CVE-2026-118662 avait été publié avant cette période; la seule date fournie dans le candidat pour la période est une mise à jour NVD, sans preuve que son contenu ait changé de manière substantielle.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée sur Nuxt n’a relevé aucun nouvel avis, correctif ou changement substantiel daté du 2026-11-03 dans la période demandée. L’avis GHSA-x287-wcfc-q46c associé à CVE-2026-119198 a été publié le 2026-10-27 et mis à jour le 2026-10-30; la mise à jour NVD du 2026-11-03 ne suffit pas à établir un événement de sécurité nouveau dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Vérification incomplète
La recherche dédiée a repéré trois avis de sécurité Next.js publiés le 2026-11-03 : deux concernant des fuites d’informations liées au cache et un concernant l’exposition de cookies `HttpOnly` sur des routes Edge. Les détails de versions affectées et corrigées n’ont pas pu être vérifiés dans les sources consultées.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
React
Recherche du sujet effectuée
La recherche web ciblée sur React n’a pas identifié d’avis, de correctif ou d’autre événement de sécurité concernant React daté dans la période demandée. Les avis React repérés portent sur des dates antérieures à cette période et ne sont donc pas inclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche web a retrouvé les avis de sécurité Angular correspondants aux CVE-2026-111751 et CVE-2026-111752, mais les avis GitHub indiquent des dates de publication antérieures au 3 novembre 2026. Les candidats de type « nvd_modified » ne décrivent pas de changement substantiel daté dans la période. Aucun item ne répond donc au critère de nouveauté ou d’avis de sécurité publié pendant la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée sur Astro n’a identifié aucun nouvel avis, correctif ou événement de sécurité publié entre le 2026-11-03T00:00:00+02:00 inclus et le 2026-11-04T00:00:00+02:00 exclu. Les avis de sécurité Astro repérés dans les résultats consultés sont antérieurs à cette période; les éléments datés du 3 novembre repérés dans le dépôt GitHub ne constituent pas, d’après les informations consultées, des avis ou correctifs de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Critique
Les publications NVD datées du 3 novembre dans la période comprennent des vulnérabilités affectant Angular SSR, Effect et node-opcua. Les avis GitHub Angular indiquent toutefois des dates de publication antérieures pour plusieurs problèmes; ils ne sont pas présentés comme des divulgations nouvelles de l’éditeur durant cette période. Aucun élément du lot ne concerne une vulnérabilité ou un avis de sécurité du langage ou du projet TypeScript. Le premier candidat indique une mise à jour datée de la période, mais ne documente pas de changement substantiel; le second porte sur le paquet Elo, et non sur TypeScript.
node-opcua : contournement des contrôles d’accès par défaut d’un espace de noms
Dans node-opcua, les permissions par défaut configurées au niveau d’un espace de noms pouvaient ne pas être appliquées aux nœuds dépourvus de permissions explicites, laissant l’accès permissif. Un client réseau anonyme pouvait alors écrire certaines variables ou appeler des méthodes malgré une politique restrictive ; mettez à niveau vers 2.180.0.
Action recommandée : Mettre à niveau node-opcua vers 2.180.0 ou ultérieure. Vérifier également que les nœuds sensibles disposent de permissions explicites et que les permissions par défaut configurées sont effectivement appliquées.
Angular SSR : épuisement mémoire provoqué par des paramètres de requête volumineux
Dans Angular, le rendu côté serveur pouvait conserver des `UrlTree` contenant des paramètres de requête contrôlés par le client lorsque `queryParamsHandling` était réglé sur `merge` ou `preserve`. Des requêtes suffisamment volumineuses pouvaient amplifier l’utilisation de la mémoire et épuiser le tas d’un processus SSR ; mettez à niveau vers une version corrigée et limitez les tailles de requête à la périphérie.
Action recommandée : Mettre à niveau Angular vers 21.2.25 ou 22.2.1 selon la branche utilisée et configurer les proxys ou répartiteurs pour rejeter les chaînes de requête excessives.
Angular SSR : épuisement de ressources via des sorties auxiliaires non configurées
Dans Angular SSR, des groupes de segments d’URL de sorties auxiliaires non configurées pouvaient provoquer des évaluations répétées de la configuration des routes et la création de structures de routes dupliquées. Une requête distante spécialement construite pouvait épuiser le processeur ou la mémoire et arrêter un worker SSR ; mettez à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers Angular 20.3.33, 21.2.25 ou 22.2.1 selon la branche et, avant la mise à niveau, filtrer les cibles de requête au niveau de l’infrastructure amont.
Angular SSR : redirection vers une origine externe par normalisation d’URL
Dans Angular SSR, la normalisation d’une URL peut permettre de contourner une vérification préalable et de produire un chemin commençant par deux barres obliques. En cas de divergence avec la destination finale du routeur, ce chemin peut être placé dans l’en-tête HTTP Location et entraîner la navigation du navigateur vers une origine contrôlée par l’attaquant.
Action recommandée : Mettre à niveau Angular vers une version corrigée (20.3.33, 21.2.25 ou 22.2.1 selon la branche utilisée).
Effect : injection d’attributs dans Set-Cookie via des séparateurs
Des points-virgules dans les champs name, domain ou path transmis à makeCookie() peuvent être écrits sans échappement dans l’en-tête Set-Cookie. Si ces valeurs sont contrôlables par un attaquant, elles peuvent ajouter ou élargir certains attributs du cookie.
Action recommandée : Mettre à niveau les paquets concernés vers les versions corrigées et valider les champs de cookie transmis à makeCookie().
JavaScript
Recherche du sujet effectuée
Niveau relevé : Critique
Les éléments de la période indiquent des vulnérabilités XSS liées à JavaScript dans billboard.js, l’extension Mail de TYPO3, Alosuite et un flux d’authentification dont le produit n’est pas précisé. Les détails de versions et de correction ne sont pas disponibles pour plusieurs entrées; aucune exploitation active n’est confirmée dans les éléments consultés. Dix fiches NVD publiées pendant la période portent sur des vulnérabilités dont les descriptions mentionnent l’exécution ou la manipulation de JavaScript : XSS dans Alosuite, svg-sanitizer et Tactical RMM; fuite de cookies dans cordova-plugin-advanced-http; et vulnérabilités d’Elo touchant des chemins de génération ou d’exécution de code. Les informations fournies identifient Elo 1.0.1 comme correctif pour les trois CVE Elo et svg-sanitizer 1.1.0 comme correctif pour CVE-2026-121447; elles ne précisent pas les versions corrigées des autres produits. Dix publications NVD fournies sont datées du 3 novembre 2026 dans la période demandée et concernent des vulnérabilités d’applications ou bibliothèques JavaScript, notamment XSS, traversée de chemins, allocations mémoire excessives et déni de service. Les descriptions et versions sont reprises des données fournies; les incohérences de versions corrigées sont signalées. Deux nouvelles vulnérabilités Angular touchant des déploiements SSR ont été publiées dans la période : un risque d’épuisement de ressources et une redirection vers une origine externe. Les correctifs sont indiqués dans les versions 20.3.33, 21.2.25 et 22.2.1. Aucune vulnérabilité nouvelle ni aucun correctif ou changement substantiel daté de la période n’est établi par les candidats fournis. Les fiches indiquent une publication antérieure au 3 novembre et une mise à jour NVD pendant la période, sans préciser…
Elo : exécution de code Ruby dans le backend de compilation
Avant Elo 1.0.1, le backend Ruby insère sans échappement certains textes contrôlés par l’attaquant dans des chaînes Ruby entre guillemets doubles, permettant l’interpolation de code Ruby. Le défaut concerne la génération Ruby; les générateurs JavaScript, Python et SQL ne sont pas concernés par ce chemin précis.
Action recommandée : Mettre à niveau Elo vers la version 1.0.1 ou ultérieure.
Elo : évasion du bac à sable par accès non filtré à `constructor`
L’émetteur JavaScript Elo permettait l’accès non filtré à des propriétés comme `constructor`, ce qui pouvait transformer une entrée Elo contrôlée par un attaquant en exécution de code dans le moteur JavaScript hôte. Le problème concernait notamment la bibliothèque, l’interface en ligne de commande et le bac à sable navigateur ; mettez à niveau `@enspirit/elo` vers 1.0.1.
Action recommandée : Mettre à niveau `@enspirit/elo` vers 1.0.1 ou ultérieure et ne pas traiter des entrées Elo contrôlées par des utilisateurs comme des données inoffensives avant la mise à niveau.
cordova-plugin-advanced-http : divulgation de cookies lors de redirections
Les versions 1.5.0 à 3.3.1 de cordova-plugin-advanced-http peuvent divulguer des cookies à un hôte tiers lors de redirections. La couche JavaScript transmet des en-têtes Cookie construits depuis le jar comme des en-têtes ordinaires, que les piles natives iOS et Android peuvent ensuite transférer ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Éviter les redirections vers des hôtes non fiables et mettre à niveau vers une version corrigée dès qu’elle est identifiée par l’éditeur.
Injection de code dans le backend Python d’Elo via son API AST
L’API AST programmatique d’Elo laisse plusieurs champs non validés être interpolés directement dans le code généré, notamment pour son backend Python. Des valeurs AST provenant d’entrées non fiables peuvent donc injecter du code dans les sorties Python ; les versions jusqu’à 1.0.0 sont concernées et la version 1.0.1 corrige le problème.
Action recommandée : Mettre à niveau @enspirit/elo vers 1.0.1 ou une version ultérieure et éviter de fournir des AST issus de sources non fiables aux versions vulnérables.
Angular SSR : épuisement mémoire provoqué par des paramètres de requête volumineux
Dans Angular, le rendu côté serveur pouvait conserver des `UrlTree` contenant des paramètres de requête contrôlés par le client lorsque `queryParamsHandling` était réglé sur `merge` ou `preserve`. Des requêtes suffisamment volumineuses pouvaient amplifier l’utilisation de la mémoire et épuiser le tas d’un processus SSR ; mettez à niveau vers une version corrigée et limitez les tailles de requête à la périphérie.
Action recommandée : Mettre à niveau Angular vers 21.2.25 ou 22.2.1 selon la branche utilisée et configurer les proxys ou répartiteurs pour rejeter les chaînes de requête excessives.
Angular SSR : épuisement de ressources via des sorties auxiliaires non configurées
Dans Angular SSR, des groupes de segments d’URL de sorties auxiliaires non configurées pouvaient provoquer des évaluations répétées de la configuration des routes et la création de structures de routes dupliquées. Une requête distante spécialement construite pouvait épuiser le processeur ou la mémoire et arrêter un worker SSR ; mettez à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers Angular 20.3.33, 21.2.25 ou 22.2.1 selon la branche et, avant la mise à niveau, filtrer les cibles de requête au niveau de l’infrastructure amont.
GeoNetwork : XSS réfléchie via évaluation de modèle AngularJS
GeoNetwork peut refléter du contenu contrôlé par l’attaquant dans une page d’erreur sans neutralisation suffisante, permettant l’évaluation d’expressions AngularJS et l’exécution de JavaScript dans le navigateur d’une victime. Les versions de 3.0.0 à 4.2.15 et 4.4.10 sont concernées selon la fiche fournie; appliquer le correctif en passant à une version corrigée.
Action recommandée : Mettre à niveau GeoNetwork vers une version corrigée, au minimum 4.2.15 ou 4.4.10 selon la branche utilisée.
traQ : exécution de JavaScript via fichiers SVG ou HTML téléversés
Dans traQ configuré avec le stockage local, des fichiers SVG ou HTML téléversés peuvent être servis pour un rendu direct dans le navigateur et exécuter du JavaScript lorsqu’un utilisateur ouvre leur URL. Les versions antérieures à 3.28.3 sont concernées; mettre à niveau vers 3.28.3 ou une version ultérieure.
Action recommandée : Mettre à niveau traQ vers la version 3.28.3 ou ultérieure; examiner l’usage du stockage local et le traitement des fichiers téléversés.
Écriture de fichiers hors dépôt via des liens symboliques dans isomorphic-git
Lors d’un `checkout`, isomorphic-git peut écrire un fichier à travers des composants de chemin symboliques sans les vérifier. Un dépôt malveillant peut ainsi provoquer l’écriture de fichiers hors de l’arbre de travail, avec risque d’exécution de code; le correctif est disponible dans la version 1.38.6.
Action recommandée : Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
ag-psd : épuisement mémoire lors du décodage de fichiers PSD
Dans ag-psd, une incohérence de nom entre l’option de limite mémoire et la propriété utilisée pour décoder les couches peut laisser sans effet la limite configurée lors de l’allocation des images. Les données fournies indiquent aussi une décompression ZIP sans plafond; la fiche mentionne une correction en 31.0.1, bien que le titre indique une vulnérabilité avant 31.0.3.
Action recommandée : Vérifier la version corrigée dans l’avis du projet et mettre à niveau; limiter l’exposition au traitement de fichiers PSD non fiables jusqu’à confirmation de la version.
Angular SSR : redirection vers une origine externe par normalisation d’URL
Dans Angular SSR, la normalisation d’une URL peut permettre de contourner une vérification préalable et de produire un chemin commençant par deux barres obliques. En cas de divergence avec la destination finale du routeur, ce chemin peut être placé dans l’en-tête HTTP Location et entraîner la navigation du navigateur vers une origine contrôlée par l’attaquant.
Action recommandée : Mettre à niveau Angular vers une version corrigée (20.3.33, 21.2.25 ou 22.2.1 selon la branche utilisée).
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/PlantillasPdf/Edit/1273129` ; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Limiter l’accès à la fonctionnalité concernée et appliquer un correctif éditeur dès qu’il est disponible ; vérifier les données enregistrées.
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/PlantillasMail/Edit` ; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Limiter l’accès à la fonctionnalité concernée et appliquer un correctif éditeur dès qu’il est disponible ; vérifier les données enregistrées.
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Observaciones » sur `/Terceros/Create` ; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Limiter l’accès à la fonctionnalité concernée et appliquer un correctif éditeur dès qu’il est disponible ; vérifier les données enregistrées.
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/Trabajadores/Create` ; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Limiter l’accès à la fonctionnalité concernée et appliquer un correctif éditeur dès qu’il est disponible ; vérifier les données enregistrées.
svg-sanitizer : contournement de l’assainissement SVG et XSS
svg-sanitizer antérieur à 1.1.0 présente une vulnérabilité XSS permettant de contourner l’assainissement SVG au moyen de valeurs `javascript:` dans `animateTransform`. Le contenu peut exécuter du JavaScript lorsque des utilisateurs Safari cliquent sur le lien concerné ; mettre à niveau vers la version 1.1.0 ou ultérieure.
Action recommandée : Mettre à niveau svg-sanitizer vers la version 1.1.0 ou ultérieure et ne pas ouvrir de SVG non fiable dans un navigateur vulnérable.
Tactical RMM : XSS stockée dans les données d’outils
Tactical RMM présente une XSS stockée liée à la validation insuffisante des entrées ou à l’encodage inadéquat des sorties dans divers champs. Du HTML ou du JavaScript stocké peut s’exécuter dans le navigateur des utilisateurs consultant les objets concernés ; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Limiter l’accès aux champs concernés et appliquer un correctif dès qu’il est disponible ; vérifier les données stockées.
XSS dans un point de terminaison d’authentification
Une vulnérabilité XSS dans le point de terminaison d’authentification découle de l’absence d’encodage correct des entrées utilisateur avant leur affichage, permettant notamment de modifier la page, de rediriger le navigateur ou d’exfiltrer des informations. Les versions concernées et le correctif ne sont pas précisés dans les informations fournies ; les cookies sensibles de session étant signalés comme protégés par le drapeau httpOnly, le détournement de session n’est pas indiqué comme impact de cette faille.
Action recommandée : Appliquer le correctif du fournisseur dès qu’il est disponible et veiller à encoder les entrées avant leur affichage.
XSS dans billboard.js lors du rendu des légendes
Une vulnérabilité XSS stockée dans billboard.js permet l’exécution de JavaScript malveillant lors du rendu du modèle de légende, à partir d’identifiants de séries insuffisamment assainis. Les versions antérieures à 4.1.3 sont concernées ; mettre à niveau vers la version 4.1.3 ou une version ultérieure.
Action recommandée : Mettre à niveau billboard.js vers la version 4.1.3 ou ultérieure.
Exécution de JavaScript dans le module d’administration des courriels
Le contenu HTML des courriels et des URL suivies est affiché sans échappement dans le module d’administration, ce qui permet à un utilisateur du module de provoquer l’exécution de JavaScript chez d’autres utilisateurs qui consultent un aperçu ou un rapport. Les versions concernées et le correctif ne sont pas précisés dans les informations fournies ; consulter l’avis lié pour déterminer les versions et la mise à niveau appropriées.
Action recommandée : Vérifier l’avis du fournisseur pour les versions concernées et le correctif ; limiter l’accès au module de courriels aux utilisateurs de confiance.
XSS stockée dans les bons de livraison d’Alosuite
Alosuite présente une vulnérabilité XSS stockée dans la fonctionnalité de bons de livraison : un utilisateur authentifié peut enregistrer du JavaScript dans le champ ReferenceOtherParty, ensuite exécuté dans le navigateur d’autres utilisateurs consultant les enregistrements concernés. Les versions affectées et le correctif ne sont pas indiqués dans les éléments fournis ; vérifier l’avis du fournisseur et appliquer sa mise à jour dès qu’elle est disponible.
Action recommandée : Restreindre l’accès à la fonctionnalité concernée et appliquer le correctif du fournisseur dès qu’il est disponible.
XSS stockée dans la création d’articles d’Alosuite
Alosuite présente une vulnérabilité XSS stockée : un utilisateur authentifié peut enregistrer du JavaScript dans le champ Nombre de la page de création d’articles, puis le faire exécuter dans le navigateur d’autres utilisateurs consultant les données concernées. Les versions affectées et le correctif ne sont pas indiqués dans les éléments fournis ; vérifier l’avis du fournisseur et appliquer sa mise à jour dès qu’elle est disponible.
Action recommandée : Restreindre l’accès à la fonctionnalité concernée et appliquer le correctif du fournisseur dès qu’il est disponible.
XSS stockée dans les catégories de fichiers d’Alosuite
Alosuite présente une vulnérabilité XSS stockée : un utilisateur authentifié peut enregistrer du JavaScript dans le champ Codigo de la page de modification de catégories de fichiers, puis le faire exécuter dans le navigateur d’autres utilisateurs consultant les enregistrements concernés. Les versions affectées et le correctif ne sont pas indiqués dans les éléments fournis ; vérifier l’avis du fournisseur et appliquer sa mise à jour dès qu’elle est disponible.
Action recommandée : Restreindre l’accès à la fonctionnalité concernée et appliquer le correctif du fournisseur dès qu’il est disponible.
XSS stockée dans la création de comptes courants d’Alosuite
Alosuite présente une vulnérabilité XSS stockée : un utilisateur authentifié peut enregistrer du JavaScript dans le champ Nombre de la page de création de comptes courants, puis le faire exécuter dans le navigateur d’autres utilisateurs consultant les données concernées. Les versions affectées et le correctif ne sont pas indiqués dans les éléments fournis ; vérifier l’avis du fournisseur et appliquer sa mise à jour dès qu’elle est disponible.
Action recommandée : Restreindre l’accès à la fonctionnalité concernée et appliquer le correctif du fournisseur dès qu’il est disponible.
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/Familias/Edit/{id}` ; aucune version affectée précise ni aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Limiter l’accès à la fonctionnalité concernée et appliquer un correctif éditeur dès qu’il est disponible ; vérifier les données enregistrées.
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/Inmuebles/Create` ; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Limiter l’accès à la fonctionnalité concernée et appliquer un correctif éditeur dès qu’il est disponible ; vérifier les données enregistrées.
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « NombrePF » sur `/Empresas/Create` ; les versions affectées et le correctif ne sont pas précisés dans les données fournies.
Action recommandée : Limiter l’accès à la fonctionnalité concernée et appliquer un correctif éditeur dès qu’il est disponible ; vérifier les données enregistrées.
Vembu BDRSuite : XSS dans la progression des sauvegardes serveur
Avant Vembu BDRSuite 7.6.0, certains paramètres de requête sont intégrés sans assainissement dans le traitement de la progression des sauvegardes, ce qui permet une injection de JavaScript côté navigateur. Un attaquant distant non authentifié peut amener une victime à ouvrir une requête ou un lien malveillant, avec un risque de détournement de session ou de manipulation de l’interface.
Action recommandée : Mettre à niveau Vembu BDRSuite vers la version 7.6.0 ou ultérieure.
Vembu BDRSuite : XSS dans la progression des restaurations
Avant Vembu BDRSuite 7.6.0, des paramètres de requête réfléchis sans assainissement dans la réponse HTML de la page de progression de restauration permettent une injection de JavaScript. Un attaquant distant non authentifié peut exploiter ce défaut pour viser le navigateur d’une victime, avec un risque de détournement de session ou de manipulation de l’interface.
Action recommandée : Mettre à niveau Vembu BDRSuite vers la version 7.6.0 ou ultérieure.
Déni de service persistant par références symboliques circulaires dans isomorphic-git
isomorphic-git peut persister des références symboliques circulaires reçues d’un dépôt distant, puis les suivre sans limite de profondeur ni détection de cycle. Les opérations qui résolvent ces références peuvent ne jamais terminer et rendre le dépôt inutilisable; la version 1.38.6 corrige le problème.
Action recommandée : Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
Épuisement de mémoire par taille de delta non bornée dans isomorphic-git
Lors de l’application d’un delta de pack Git, isomorphic-git peut utiliser une taille `targetSize` fournie par le serveur sans la borner avant d’allouer un tampon. Un dépôt distant malveillant peut ainsi provoquer une allocation d’environ 2 Go et épuiser les ressources; le correctif est dans la version 1.38.6.
Action recommandée : Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
isomorphic-git : écriture de fichiers hors de la racine de travail via une entrée `..`
isomorphic-git avant 1.38.6 pouvait accepter une entrée d’arbre `..` lors d’un clone ou d’un checkout depuis une source Git malveillante, permettant d’écrire hors de la racine de travail. Cette écriture arbitraire pouvait écraser des fichiers et conduire à une exécution de code ; mettez à niveau vers 1.38.6 ou une version ultérieure.
Action recommandée : Mettre à niveau isomorphic-git vers la version 1.38.6 ou ultérieure et éviter les clones ou checkouts depuis des sources non fiables avant la mise à niveau.
HTML5
Vérification incomplète
Un avis Mozilla daté du 3 novembre 2026 concerne une vulnérabilité du composant de mise en page Block and Inline de Firefox, corrigée dans Firefox 159.0.1.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CSS3
Vérification incomplète
Un avis Mozilla publié le 3 novembre 2026 signale et corrige une vulnérabilité affectant le composant Layout: Block and Inline de Firefox. La période a été recherchée; aucun candidat n’a été fourni.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Tailwind CSS
Recherche du sujet effectuée
La recherche web dédiée sur Tailwind CSS n’a pas fait apparaître de vulnérabilité, d’avis de sécurité, d’exploitation ni de changement substantiel correspondant à la période du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu. Les résultats consultés montrent une version publiée le 2 novembre et une issue GitHub ouverte le 3 novembre, mais aucun ne constitue un événement de sécurité admissible pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
Dans les sources Bootstrap consultées, aucun avis de sécurité ni correctif de sécurité daté de la période demandée n’a été identifié. Les trois candidats fournis concernent d’autres projets et ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a identifié aucun nouvel avis de sécurité, correctif de sécurité, signalement d’exploitation ni changement substantiel publié entre le 2026-11-03T00:00:00+02:00 inclus et le 2026-11-04T00:00:00+02:00 exclu. Les avis Webpack visibles dans les sources consultées sont datés hors de cette période; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche ciblée sur esbuild n’a identifié aucun avis, correctif de sécurité, exploitation signalée ni changement substantiel daté du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu. Les avis de sécurité visibles dans les résultats consultés sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
Recherche dédiée effectuée pour Parcel (bundler/projet Parcel), sans candidat fourni. Les résultats consultés n’établissent aucun avis de sécurité, correctif, exploitation ni changement substantiel propre à Parcel publié pendant la période demandée; les résultats hors sujet ou antérieurs à la période n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche dédiée a relevé dans la période demandée des avis concernant le pilote MongoDB Node.js, Elo, isomorphic-git, Angular en rendu serveur et node-opcua. Les éléments retenus portent sur exposition de données, exécution de code, écriture de fichiers, épuisement de ressources ou contournement de permissions; aucune exploitation active n’est confirmée par les éléments consultés. Trois vulnérabilités Node.js du lot ont une première date de publication située dans la période demandée : une concernant le pilote MongoDB Node.js, une l’analyse de chaînes Elo et une l’allocation de mémoire dans isomorphic-git. Les autres candidats correspondent à des fiches publiées antérieurement dont la seule date fournie dans la période est une mise à jour NVD, sans preuve dans les données fournies d’un changement substantiel. Les sources fournies signalent quatre vulnérabilités publiées le 3 novembre dans des composants de l’écosystème Node.js (isomorphic-git, Angular SSR et node-opcua), ainsi qu’un avis de sécurité Elo publié le même jour. Les versions corrigées sont indiquées pour chaque élément lorsqu’elles sont précisées dans la source.
node-opcua : contournement des contrôles d’accès par défaut d’un espace de noms
Dans node-opcua, les permissions par défaut configurées au niveau d’un espace de noms pouvaient ne pas être appliquées aux nœuds dépourvus de permissions explicites, laissant l’accès permissif. Un client réseau anonyme pouvait alors écrire certaines variables ou appeler des méthodes malgré une politique restrictive ; mettez à niveau vers 2.180.0.
Action recommandée : Mettre à niveau node-opcua vers 2.180.0 ou ultérieure. Vérifier également que les nœuds sensibles disposent de permissions explicites et que les permissions par défaut configurées sont effectivement appliquées.
Elo : évasion du bac à sable par accès non filtré à `constructor`
L’émetteur JavaScript Elo permettait l’accès non filtré à des propriétés comme `constructor`, ce qui pouvait transformer une entrée Elo contrôlée par un attaquant en exécution de code dans le moteur JavaScript hôte. Le problème concernait notamment la bibliothèque, l’interface en ligne de commande et le bac à sable navigateur ; mettez à niveau `@enspirit/elo` vers 1.0.1.
Action recommandée : Mettre à niveau `@enspirit/elo` vers 1.0.1 ou ultérieure et ne pas traiter des entrées Elo contrôlées par des utilisateurs comme des données inoffensives avant la mise à niveau.
Désynchronisation du pool de connexions du pilote MongoDB Node.js
Le pilote MongoDB Node.js peut réutiliser une connexion du pool alors qu’une réponse à l’opération précédente est encore attendue, si l’application utilise l’option expérimentale `timeoutMS`. Un attaquant capable d’envoyer des requêtes ordinaires à l’application peut alors provoquer des réponses mal associées, avec risque de divulgation de données, de résultats incorrects et d’échecs de requêtes.
Action recommandée : Vérifier l’usage de `timeoutMS` dans le pilote MongoDB Node.js et appliquer la version corrigée publiée par MongoDB.
Angular SSR : épuisement mémoire provoqué par des paramètres de requête volumineux
Dans Angular, le rendu côté serveur pouvait conserver des `UrlTree` contenant des paramètres de requête contrôlés par le client lorsque `queryParamsHandling` était réglé sur `merge` ou `preserve`. Des requêtes suffisamment volumineuses pouvaient amplifier l’utilisation de la mémoire et épuiser le tas d’un processus SSR ; mettez à niveau vers une version corrigée et limitez les tailles de requête à la périphérie.
Action recommandée : Mettre à niveau Angular vers 21.2.25 ou 22.2.1 selon la branche utilisée et configurer les proxys ou répartiteurs pour rejeter les chaînes de requête excessives.
Angular SSR : épuisement de ressources via des sorties auxiliaires non configurées
Dans Angular SSR, des groupes de segments d’URL de sorties auxiliaires non configurées pouvaient provoquer des évaluations répétées de la configuration des routes et la création de structures de routes dupliquées. Une requête distante spécialement construite pouvait épuiser le processeur ou la mémoire et arrêter un worker SSR ; mettez à niveau vers une version corrigée.
Action recommandée : Mettre à niveau vers Angular 20.3.33, 21.2.25 ou 22.2.1 selon la branche et, avant la mise à niveau, filtrer les cibles de requête au niveau de l’infrastructure amont.
Écriture de fichiers hors dépôt via des liens symboliques dans isomorphic-git
Lors d’un `checkout`, isomorphic-git peut écrire un fichier à travers des composants de chemin symboliques sans les vérifier. Un dépôt malveillant peut ainsi provoquer l’écriture de fichiers hors de l’arbre de travail, avec risque d’exécution de code; le correctif est disponible dans la version 1.38.6.
Action recommandée : Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
Déni de service persistant par références symboliques circulaires dans isomorphic-git
isomorphic-git peut persister des références symboliques circulaires reçues d’un dépôt distant, puis les suivre sans limite de profondeur ni détection de cycle. Les opérations qui résolvent ces références peuvent ne jamais terminer et rendre le dépôt inutilisable; la version 1.38.6 corrige le problème.
Action recommandée : Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
Épuisement de mémoire par taille de delta non bornée dans isomorphic-git
Lors de l’application d’un delta de pack Git, isomorphic-git peut utiliser une taille `targetSize` fournie par le serveur sans la borner avant d’allouer un tampon. Un dépôt distant malveillant peut ainsi provoquer une allocation d’environ 2 Go et épuiser les ressources; le correctif est dans la version 1.38.6.
Action recommandée : Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
isomorphic-git : écriture de fichiers hors de la racine de travail via une entrée `..`
isomorphic-git avant 1.38.6 pouvait accepter une entrée d’arbre `..` lors d’un clone ou d’un checkout depuis une source Git malveillante, permettant d’écrire hors de la racine de travail. Cette écriture arbitraire pouvait écraser des fichiers et conduire à une exécution de code ; mettez à niveau vers 1.38.6 ou une version ultérieure.
Action recommandée : Mettre à niveau isomorphic-git vers la version 1.38.6 ou ultérieure et éviter les clones ou checkouts depuis des sources non fiables avant la mise à niveau.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche web a relevé huit avis publiés dans la période concernant pybddisasm, Elo, Logging Redactor et fastapi-code-generator. Les cinq avis pybddisasm ne signalent pas de correctif et indiquent que le paquet n’est plus maintenu ; les avis Elo et fastapi-code-generator indiquent des versions correctives. L’avis Elo limité à son backend Ruby est exclu du sujet Python. Deux nouvelles fiches NVD publiées dans la période concernent des vulnérabilités d’exécution de code dans fastapi-code-generator et Stanza. Plusieurs candidats sont des mises à jour de fiches antérieures dont les éléments fournis ne permettent pas d’établir si le changement intervenu dans la période est substantiel. Le lot contient cinq vulnérabilités publiées dans les bindings Python pybddisasm, qui n’est plus maintenu, et une vulnérabilité Elo touchant notamment la génération de code Python, corrigée en version 1.0.1. Les fiches pyasn1, pypdf et Crawl4AI ont été mises à jour pendant la période, mais les éléments fournis ne démontrent pas de changement substantiel daté dans cette fenêtre; la CVE Elo concernant uniquement le backend Ruby ne relève pas du sujet demandé. Six avis publiés dans la période concernent des vulnérabilités pertinentes pour Python : une fuite de données dans Logging Redactor, trois injections de code dans fastapi-code-generator, une injection via le backend Python d’Elo et une désérialisation pickle non sûre dans Stanza. Les candidats plus anciens dont seule la date de mise à jour est dans la période n’ont pas été retenus faute d’élément établissant un changement substantiel.
Injection de code Python dans les clés de réponse générées par fastapi-code-generator
fastapi-code-generator insère une clé de code de réponse secondaire issue du document OpenAPI dans le code généré sans échapper les guillemets. Une entrée contrôlée ou influencée par un attaquant peut ainsi injecter une expression Python exécutée à l’importation du module généré ; les versions antérieures à 0.8.1 sont concernées.
Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; traiter les documents OpenAPI non fiables avec prudence jusqu’à la mise à niveau.
Injection de code Python via le résumé d’opération dans fastapi-code-generator
fastapi-code-generator insère le champ `Operation.summary` dans la docstring du gestionnaire de route généré sans échapper les guillemets triples. Une valeur contrôlée ou influencée par un attaquant peut fermer la docstring et injecter une instruction Python, exécutée lorsque le gestionnaire de route est appelé ; les versions antérieures à 0.8.1 sont concernées.
Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; éviter de générer et d’exécuter du code à partir de documents OpenAPI non fiables avant la mise à niveau.
Injection de code Python via les chemins OpenAPI dans fastapi-code-generator
fastapi-code-generator insère un chemin OpenAPI dans le décorateur de route généré sans échapper les guillemets. Un chemin contrôlé ou influencé par un attaquant peut fermer la chaîne et injecter une expression Python exécutée à l’importation du module ; les versions antérieures à 0.8.1 sont concernées.
Action recommandée : Mettre à niveau fastapi-code-generator vers 0.8.1 ou une version ultérieure ; ne pas importer du code généré à partir de documents OpenAPI non fiables avant la mise à niveau.
Injection de code dans le backend Python d’Elo via son API AST
L’API AST programmatique d’Elo laisse plusieurs champs non validés être interpolés directement dans le code généré, notamment pour son backend Python. Des valeurs AST provenant d’entrées non fiables peuvent donc injecter du code dans les sorties Python ; les versions jusqu’à 1.0.0 sont concernées et la version 1.0.1 corrige le problème.
Action recommandée : Mettre à niveau @enspirit/elo vers 1.0.1 ou une version ultérieure et éviter de fournir des AST issus de sources non fiables aux versions vulnérables.
Logging Redactor laisse apparaître des données sensibles d’objets personnalisés dans les journaux
Logging Redactor ne masque pas les données sensibles renvoyées par les méthodes `__str__` ou `__repr__` d’objets personnalisés lorsqu’ils sont consignés dans les journaux. Les versions antérieures à 0.0.7 sont concernées ; mettre à niveau vers 0.0.7.
Action recommandée : Mettre à niveau vers Logging Redactor 0.0.7 ou une version ultérieure.
Désérialisation pickle non sûre dans le lemmatiseur de Stanza
Stanza désérialise sans restriction, au moyen de `pickle.loads`, les données du dictionnaire de lemmatisation intégrées dans certains checkpoints. Le chargement d’un fichier de modèle de lemmatisation fourni par un attaquant peut exécuter du code avec les privilèges de l’utilisateur ; la version 1.14.0 est concernée et le correctif est disponible dans 1.15.0.
Action recommandée : Mettre à niveau Stanza vers 1.15.0 ou une version ultérieure et ne charger que des checkpoints de lemmatisation fiables.
pybddisasm : lecture hors limites dans les bindings Python
Des fonctions de décodage des bindings Python pybddisasm peuvent lire au-delà du tampon fourni et exposer de la mémoire adjacente via `nd_get_instrux_bytes`. Le risque dépend de l’utilisation par l’application d’un tampon trop court ou d’une taille incohérente, puis de l’exposition des octets retournés; le paquet n’est plus maintenu.
Action recommandée : Éviter d’exposer à des utilisateurs non fiables les fonctions de décodage concernées avec des tampons ou tailles non validés; le paquet n’étant plus maintenu, envisager son remplacement.
pybddisasm : use-after-free sur des membres d’INSTRUX
Dans pybddisasm, des membres de structure issus d’objets `INSTRUX` peuvent référencer une mémoire libérée lorsque l’objet parent est détruit. L’accès ultérieur à ces références peut divulguer de la mémoire du processus ou provoquer un plantage; le paquet n’est plus maintenu.
Action recommandée : Ne pas conserver ni réutiliser des références aux membres après la destruction de l’objet parent; envisager le remplacement du paquet, qui n’est plus maintenu.
pybddisasm : use-after-free sur les tableaux d’INSTRUX
Dans pybddisasm, les éléments de tableaux liés à un objet `INSTRUX` peuvent pointer vers une mémoire libérée après la destruction de cet objet. Leur accès ultérieur peut exposer de la mémoire du processus ou faire planter le processus Python; le paquet n’est plus maintenu.
Action recommandée : Éviter d’accéder aux éléments d’un tableau après la destruction de l’objet `INSTRUX`; envisager le remplacement du paquet, qui n’est plus maintenu.
pybddisasm : objet INSTRUX non initialisé après échec de décodage
Les fonctions de décodage de pybddisasm peuvent retourner un objet `INSTRUX` non initialisé après un échec de décodage. L’accès à ses membres peut alors exposer de la mémoire résiduelle; le paquet n’est plus maintenu.
Action recommandée : Vérifier le résultat de chaque opération de décodage et ne pas consulter ni exposer l’objet retourné en cas d’échec; envisager le remplacement du paquet, qui n’est plus maintenu.
pybddisasm : divulgation possible via nd_to_text
Dans pybddisasm, `nd_to_text` peut convertir en valeur Python un tampon de sortie resté non initialisé lorsque la conversion échoue. Cela peut divulguer de la mémoire résiduelle ou provoquer un plantage; le paquet n’est plus maintenu.
Action recommandée : Valider les paramètres et traiter les échecs de conversion sans utiliser ni exposer la sortie; envisager le remplacement du paquet, qui n’est plus maintenu.
Java
Vérification incomplète
Niveau relevé : Moyenne
Deux vulnérabilités Java de zt-zip ont été publiées pendant la période : une traversée de répertoires dans une API d’extraction ZIP (CVE-2026-63436) et l’application de permissions d’entrée au répertoire de sortie (CVE-2026-63499). Les avis indiquent des corrections respectives en 1.18.0 et 1.18.1. Aucun candidat ne constitue une nouveauté vérifiée pour le sujet Java. Les fiches concernent des composants Android identifiés par des fichiers Java, et les dates fournies indiquent des modifications NVD postérieures à la publication, sans preuve d’un changement substantiel pertinent pour Java durant la période. Aucun élément retenu pour le sujet Java. Les candidats concernent des composants Android (fichiers Java), et les seules dates dans la période sont des mises à jour de fiches NVD; les informations fournies ne démontrent pas de changement substantiel daté dans la période. Les candidats concernent des fiches CVE Android dont la publication est antérieure à la période. Les données fournies signalent des mises à jour NVD pendant la période, mais ne documentent aucun changement substantiel permettant de les retenir comme nouveauté ou avis de sécurité. Aucun candidat ne documente, dans la période demandée, une nouveauté ou un changement substantiel relevant de Java. Les candidats concernent des vulnérabilités Android et signalent des mises à jour de fiches NVD, sans preuve fournie d’un changement substantiel durant la période. Deux vulnérabilités de la bibliothèque Java zt-zip ont été documentées dans les fiches NVD pendant la période : une traversée de répertoires avec l’API d’extraction fluide, corrigée en 1.18.0, et une modification des permissions du répertoire de destination, corrigée en 1.18.1. La date de mise à jour de l’avis OGNL tombe dans la période, mais les élém…
zt-zip : traversée de répertoires lors d’une extraction avec l’API fluide
Dans zt-zip, une traversée de répertoires dans un nom d’entrée ZIP peut permettre d’écrire hors du répertoire de destination via l’API fluide `Zips.get(…).unpack().destination(…).process()`. Le problème concerne les versions antérieures à 1.18.0 et est corrigé dans zt-zip 1.18.0.
Action recommandée : Mettre à jour zt-zip vers la version 1.18.0 ou ultérieure. En attendant, éviter d’utiliser cette API fluide pour extraire des archives non fiables.
zt-zip : permissions du répertoire de destination modifiables lors de l’extraction
Dans zt-zip, une entrée ZIP dont le nom se résout vers le répertoire de destination lui-même peut faire appliquer à ce répertoire des permissions fournies par l’archive. Le problème concerne les versions antérieures à 1.18.1 et est corrigé dans zt-zip 1.18.1.
Action recommandée : Mettre à jour zt-zip vers la version 1.18.1 ou ultérieure. Éviter d’extraire des archives non fiables avec les versions affectées.
TYPO3
Vérification incomplète
La recherche a relevé deux avis TYPO3 publiés le 3 novembre 2026 : l’avis EXT-SA-2026-037 concernant plusieurs vulnérabilités de l’extension Mail, et l’avis EXT-SA-2026-038 concernant Frontend User Registration. Les éléments vérifiés permettent de détailler les CVE-2026-120327, CVE-2026-120329, CVE-2026-120332 et CVE-2026-120333.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Drupal
Recherche du sujet effectuée
La recherche dédiée dans les avis de sécurité Drupal et les résultats CVE/NVD n’a pas identifié d’avis, de correctif ni d’événement de sécurité Drupal publié entre le 2026-11-03T00:00:00+02:00 inclus et le 2026-11-04T00:00:00+02:00 exclu. Les avis Drupal remontés par les sources consultées sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité Joomla vérifiable comme publié, mis à jour ou associé à un événement daté du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00. Les avis Joomla visibles dans les résultats consultés sont antérieurs à cette période; ils n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
La recherche web dédiée sur Magento n’a pas fait apparaître d’avis, de correctif de sécurité, d’exploitation ou de changement substantiel dont la date de publication ou de l’événement soit vérifiable dans la période demandée, du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu. Les résultats trouvés portent sur des publications antérieures à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
Aucune nouveauté de sécurité Adobe Commerce datée dans la période du 2026-11-03T00:00:00+02:00 au 2026-11-04T00:00:00+02:00 n’a été identifiée dans les résultats consultés. Les avis Adobe retrouvés concernent des événements antérieurs à cette période; cela ne constitue pas une affirmation d’exhaustivité sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
La recherche web dédiée à Fooocus n’a pas fait ressortir de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation confirmée ni de changement substantiel daté du 2026-11-03T00:00:00+02:00 inclus au 2026-11-04T00:00:00+02:00 exclu. Les résultats trouvés renvoient à des éléments antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
25 alerte(s)Malware signalé dans le paquet npm scdn-jquery
L’avis GHSA-hvpp-rx4h-crg5 signale un logiciel malveillant dans le paquet npm `scdn-jquery`, et non une vulnérabilité de la bibliothèque jQuery elle-même. Il recommande de considérer comme compromis tout système ayant installé ou exécuté c…
cordova-plugin-advanced-http : divulgation de cookies lors de redirections
Les versions 1.5.0 à 3.3.1 de cordova-plugin-advanced-http peuvent divulguer des cookies à un hôte tiers lors de redirections. La couche JavaScript transmet des en-têtes Cookie construits depuis le jar comme des en-têtes ordinaires, que le…
Source : NVD — CVE-2026-121554
GeoNetwork : XSS réfléchie via évaluation de modèle AngularJS
GeoNetwork peut refléter du contenu contrôlé par l’attaquant dans une page d’erreur sans neutralisation suffisante, permettant l’évaluation d’expressions AngularJS et l’exécution de JavaScript dans le navigateur d’une victime. Les versions…
Source : CVE-2026-39379 — NVD
traQ : exécution de JavaScript via fichiers SVG ou HTML téléversés
Dans traQ configuré avec le stockage local, des fichiers SVG ou HTML téléversés peuvent être servis pour un rendu direct dans le navigateur et exécuter du JavaScript lorsqu’un utilisateur ouvre leur URL. Les versions antérieures à 3.28.3 s…
Source : CVE-2026-63197 — NVD
ag-psd : épuisement mémoire lors du décodage de fichiers PSD
Dans ag-psd, une incohérence de nom entre l’option de limite mémoire et la propriété utilisée pour décoder les couches peut laisser sans effet la limite configurée lors de l’allocation des images. Les données fournies indiquent aussi une d…
Source : CVE-2026-63501 — NVD
Angular SSR : redirection vers une origine externe par normalisation d’URL
Dans Angular SSR, la normalisation d’une URL peut permettre de contourner une vérification préalable et de produire un chemin commençant par deux barres obliques. En cas de divergence avec la destination finale du routeur, ce chemin peut ê…
Source : NVD — CVE-2026-111754
Effect : injection d’attributs dans Set-Cookie via des séparateurs
Des points-virgules dans les champs name, domain ou path transmis à makeCookie() peuvent être écrits sans échappement dans l’en-tête Set-Cookie. Si ces valeurs sont contrôlables par un attaquant, elles peuvent ajouter ou élargir certains a…
Source : NVD — CVE-2026-115779
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/PlantillasPdf/…
Source : NVD — CVE-2026-108057
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/PlantillasMail…
Source : NVD — CVE-2026-108058
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Observaciones » sur `/Tercero…
Source : NVD — CVE-2026-108059
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/Trabajadores/C…
Source : NVD — CVE-2026-108060
svg-sanitizer : contournement de l’assainissement SVG et XSS
svg-sanitizer antérieur à 1.1.0 présente une vulnérabilité XSS permettant de contourner l’assainissement SVG au moyen de valeurs `javascript:` dans `animateTransform`. Le contenu peut exécuter du JavaScript lorsque des utilisateurs Safari…
Source : NVD — CVE-2026-121447
Tactical RMM : XSS stockée dans les données d’outils
Tactical RMM présente une XSS stockée liée à la validation insuffisante des entrées ou à l’encodage inadéquat des sorties dans divers champs. Du HTML ou du JavaScript stocké peut s’exécuter dans le navigateur des utilisateurs consultant le…
Source : NVD — CVE-2026-121578
XSS dans un point de terminaison d’authentification
Une vulnérabilité XSS dans le point de terminaison d’authentification découle de l’absence d’encodage correct des entrées utilisateur avant leur affichage, permettant notamment de modifier la page, de rediriger le navigateur ou d’exfiltrer…
Source : NVD — CVE-2025-5769
XSS dans billboard.js lors du rendu des légendes
Une vulnérabilité XSS stockée dans billboard.js permet l’exécution de JavaScript malveillant lors du rendu du modèle de légende, à partir d’identifiants de séries insuffisamment assainis. Les versions antérieures à 4.1.3 sont concernées ;…
Source : NVD — CVE-2026-120988
Exécution de JavaScript dans le module d’administration des courriels
Le contenu HTML des courriels et des URL suivies est affiché sans échappement dans le module d’administration, ce qui permet à un utilisateur du module de provoquer l’exécution de JavaScript chez d’autres utilisateurs qui consultent un ape…
Source : NVD — CVE-2026-120332
XSS stockée dans les bons de livraison d’Alosuite
Alosuite présente une vulnérabilité XSS stockée dans la fonctionnalité de bons de livraison : un utilisateur authentifié peut enregistrer du JavaScript dans le champ ReferenceOtherParty, ensuite exécuté dans le navigateur d’autres utilisat…
Source : NVD — CVE-2026-108050
XSS stockée dans la création d’articles d’Alosuite
Alosuite présente une vulnérabilité XSS stockée : un utilisateur authentifié peut enregistrer du JavaScript dans le champ Nombre de la page de création d’articles, puis le faire exécuter dans le navigateur d’autres utilisateurs consultant…
Source : NVD — CVE-2026-108051
XSS stockée dans les catégories de fichiers d’Alosuite
Alosuite présente une vulnérabilité XSS stockée : un utilisateur authentifié peut enregistrer du JavaScript dans le champ Codigo de la page de modification de catégories de fichiers, puis le faire exécuter dans le navigateur d’autres utili…
Source : NVD — CVE-2026-108052
XSS stockée dans la création de comptes courants d’Alosuite
Alosuite présente une vulnérabilité XSS stockée : un utilisateur authentifié peut enregistrer du JavaScript dans le champ Nombre de la page de création de comptes courants, puis le faire exécuter dans le navigateur d’autres utilisateurs co…
Source : NVD — CVE-2026-108053
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/Familias/Edit/…
Source : NVD — CVE-2026-108054
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « Nombre » sur `/Inmuebles/Crea…
Source : NVD — CVE-2026-108055
Alosuite : XSS stockée dans un champ de formulaire
Une vulnérabilité XSS stockée dans Alosuite permet à un utilisateur authentifié d’injecter du contenu exécuté dans le navigateur d’autres utilisateurs consultant les données concernées. Le champ concerné est « NombrePF » sur `/Empresas/Cre…
Source : NVD — CVE-2026-108056
Vembu BDRSuite : XSS dans la progression des sauvegardes serveur
Avant Vembu BDRSuite 7.6.0, certains paramètres de requête sont intégrés sans assainissement dans le traitement de la progression des sauvegardes, ce qui permet une injection de JavaScript côté navigateur. Un attaquant distant non authenti…
Source : NVD — CVE-2025-71451
Vembu BDRSuite : XSS dans la progression des restaurations
Avant Vembu BDRSuite 7.6.0, des paramètres de requête réfléchis sans assainissement dans la réponse HTML de la page de progression de restauration permettent une injection de JavaScript. Un attaquant distant non authentifié peut exploiter…
Source : NVD — CVE-2025-71452
Backend & données
56 alerte(s)Elo : exécution de code Ruby dans le backend de compilation
Avant Elo 1.0.1, le backend Ruby insère sans échappement certains textes contrôlés par l’attaquant dans des chaînes Ruby entre guillemets doubles, permettant l’interpolation de code Ruby. Le défaut concerne la génération Ruby; les générate…
Injection de code Python dans les clés de réponse générées par fastapi-code-generator
fastapi-code-generator insère une clé de code de réponse secondaire issue du document OpenAPI dans le code généré sans échapper les guillemets. Une entrée contrôlée ou influencée par un attaquant peut ainsi injecter une expression Python e…
Source : NVD — CVE-2026-63469
Injection de code Python via le résumé d’opération dans fastapi-code-generator
fastapi-code-generator insère le champ `Operation.summary` dans la docstring du gestionnaire de route généré sans échapper les guillemets triples. Une valeur contrôlée ou influencée par un attaquant peut fermer la docstring et injecter une…
Source : NVD — CVE-2026-63470
Injection de code Python via les chemins OpenAPI dans fastapi-code-generator
fastapi-code-generator insère un chemin OpenAPI dans le décorateur de route généré sans échapper les guillemets. Un chemin contrôlé ou influencé par un attaquant peut fermer la chaîne et injecter une expression Python exécutée à l’importat…
Source : NVD — CVE-2026-63471
node-opcua : contournement des contrôles d’accès par défaut d’un espace de noms
Dans node-opcua, les permissions par défaut configurées au niveau d’un espace de noms pouvaient ne pas être appliquées aux nœuds dépourvus de permissions explicites, laissant l’accès permissif. Un client réseau anonyme pouvait alors écrire…
Source : NVD — CVE-2026-95860
Elo : évasion du bac à sable par accès non filtré à `constructor`
L’émetteur JavaScript Elo permettait l’accès non filtré à des propriétés comme `constructor`, ce qui pouvait transformer une entrée Elo contrôlée par un attaquant en exécution de code dans le moteur JavaScript hôte. Le problème concernait…
Désynchronisation du pool de connexions du pilote MongoDB Node.js
Le pilote MongoDB Node.js peut réutiliser une connexion du pool alors qu’une réponse à l’opération précédente est encore attendue, si l’application utilise l’option expérimentale `timeoutMS`. Un attaquant capable d’envoyer des requêtes ord…
Source : NVD — CVE-2026-119179
Croissance mémoire non bornée dans le pilote C MongoDB
Une fuite de mémoire dans le traitement des réponses compressées du pilote C MongoDB peut entraîner une croissance mémoire répétée et sans limite dans l’application cliente. Un attaquant non authentifié contrôlant le point de terminaison a…
Source : NVD — CVE-2026-120678
Arrêt possible du processus lors d’un téléchargement GridFS dans le pilote C MongoDB
L’API de téléchargement GridFS du pilote C MongoDB ne vérifie pas le résultat d’une opération interne dans certaines conditions d’erreur. Un utilisateur capable d’influencer les paramètres de téléchargement peut provoquer l’arrêt du proces…
Source : NVD — CVE-2026-120955
Validation insuffisante du champ d’espace de noms dans le pilote C MongoDB
Le pilote C MongoDB ne valide pas le type ni le format du champ d’espace de noms reçu dans une réponse de requête. Un point de terminaison MongoDB auquel le client se connecte peut, sans authentification, renvoyer une valeur malformée et p…
Source : NVD — CVE-2026-120956
CVE-2026-115290 — Déni de service par récursion incontrôlée dans Elasticsearch
Une récursion incontrôlée dans Elasticsearch permet à un attaquant non authentifié disposant d’un accès réseau à l’interface serveur du cluster de provoquer l’arrêt d’un nœud. Les versions affectées indiquées sont 8.10.0 à 8.19.23, 9.0.0 à…
Source : NVD — CVE-2026-115290
Injection de code dans le backend Python d’Elo via son API AST
L’API AST programmatique d’Elo laisse plusieurs champs non validés être interpolés directement dans le code généré, notamment pour son backend Python. Des valeurs AST provenant d’entrées non fiables peuvent donc injecter du code dans les s…
praktor — traversée de chemin dans les téléversements Telegram
CVE-2026-62331 (GHSA-48v2-6jcm-fc99), publié le 2026-11-03T17:27:25Z, concerne une traversée de chemin dans les téléversements Telegram de praktor. Un utilisateur Telegram distant peut écrire hors du répertoire `uploads/` dans l’espace de…
Source : GitHub Advisory GHSA-48v2-6jcm-fc99
CVE-2026-119922 — Élévation de privilèges dans Babelfish for PostgreSQL
Un contrôle d’accès incorrect dans l’extension Babelfish for PostgreSQL peut permettre à un utilisateur distant authentifié d’élever ses privilèges. Les versions affectées indiquées sont 1.2–1.5, 2.1–2.15, 3.1–3.12, 4.0–4.8 et 5.1–5.4; met…
Source : NVD — CVE-2026-119922
Angular SSR : épuisement mémoire provoqué par des paramètres de requête volumineux
Dans Angular, le rendu côté serveur pouvait conserver des `UrlTree` contenant des paramètres de requête contrôlés par le client lorsque `queryParamsHandling` était réglé sur `merge` ou `preserve`. Des requêtes suffisamment volumineuses pou…
Source : NVD — CVE-2026-111751
Angular SSR : épuisement de ressources via des sorties auxiliaires non configurées
Dans Angular SSR, des groupes de segments d’URL de sorties auxiliaires non configurées pouvaient provoquer des évaluations répétées de la configuration des routes et la création de structures de routes dupliquées. Une requête distante spéc…
Source : NVD — CVE-2026-111752
Écriture de fichiers hors dépôt via des liens symboliques dans isomorphic-git
Lors d’un `checkout`, isomorphic-git peut écrire un fichier à travers des composants de chemin symboliques sans les vérifier. Un dépôt malveillant peut ainsi provoquer l’écriture de fichiers hors de l’arbre de travail, avec risque d’exécut…
Source : NVD — CVE-2026-63395
Logging Redactor laisse apparaître des données sensibles d’objets personnalisés dans les journaux
Logging Redactor ne masque pas les données sensibles renvoyées par les méthodes `__str__` ou `__repr__` d’objets personnalisés lorsqu’ils sont consignés dans les journaux. Les versions antérieures à 0.0.7 sont concernées ; mettre à niveau…
Source : NVD — CVE-2026-63417
Désérialisation pickle non sûre dans le lemmatiseur de Stanza
Stanza désérialise sans restriction, au moyen de `pickle.loads`, les données du dictionnaire de lemmatisation intégrées dans certains checkpoints. Le chargement d’un fichier de modèle de lemmatisation fourni par un attaquant peut exécuter…
Netfoil — le TTL n’est pas décrémenté
GHSA-9ppr-wfw9-xvr2, publié le 2026-11-03T16:48:29Z, indique que Netfoil ne décrémentait pas le TTL et pouvait continuer à servir des enregistrements périmés. Les versions à partir de 0.3.0 et antérieures à 0.6.1 sont concernées; passer à…
Source : GitHub Advisory GHSA-9ppr-wfw9-xvr2
Django : accès réseau ou fichiers locaux via des références spatiales
L’analyse de chaînes de référence spatiale par GDAL pouvait autoriser l’accès réseau ou la lecture de fichiers locaux via des entrées contrôlées par un attaquant. Mettre à niveau vers une version corrigée ; le projet recommande GDAL 3.9 ou…
Source : CVE-2026-114582 — NVD
Django : consommation mémoire excessive lors de certains téléversements multipart
Les téléversements multipart utilisant Content-Transfer-Encoding: base64 pouvaient être entièrement conservés en mémoire avant leur transmission aux gestionnaires de fichiers, entraînant une consommation mémoire excessive. Mettre à niveau…
Source : CVE-2026-108147 — NVD
Django : injection de journaux via des valeurs de formulaire géométrique
Des valeurs géométriques soumises invalides étaient consignées sans échappement, ce qui pouvait permettre l’injection ou la falsification d’entrées de journal. Mettre à niveau vers une version corrigée ; les branches antérieures non prises…
Source : CVE-2026-111211 — NVD
Django : requêtes serveur déclenchées par des géométries GeoJSON
Le traitement du membre crs dans les géométries GeoJSON ne restreignait pas les références de systèmes de coordonnées externes, ce qui pouvait déclencher des requêtes vers des destinations choisies par un attaquant. Mettre à niveau vers un…
Source : CVE-2026-111362 — NVD
Froxlor : contournement d’autorisation lors de la création de bases MySQL
Dans Froxlor avant la version 2.3.15, des clients authentifiés pouvaient créer des bases MySQL via l’API `Mysqls.add`, même lorsque l’administrateur avait désactivé cette fonctionnalité. Le contrôle d’autorisation `customer_hide_options` m…
Source : NVD — CVE-2026-121435
MongoDB Database Tools : fuite possible via mongofiles get_id
mongofiles peut utiliser le nom de fichier GridFS stocké en base comme destination de sortie de get_id lorsque –local n’est pas précisé. Un utilisateur pouvant modifier les métadonnées peut choisir le nom « – » et, si un opérateur récupèr…
Source : NVD — CVE-2026-119672
MongoDB Database Tools : contournement de contrôles de noms lors de mongorestore
mongorestore traite de manière incohérente le préfixe system.buckets. lors de la validation des noms de collections d’un dump non fiable. Un nom spécialement construit peut contourner des protections de collections et des filtres d’espace…
Source : NVD — CVE-2026-119675
Le traçage du pilote Rust MongoDB peut exposer des valeurs avant chiffrement
Dans le pilote Rust MongoDB, la collecte facultative de traces peut enregistrer le contenu d’une commande avant le chiffrement automatique côté client. Une personne ayant accès aux traces exportées peut ainsi obtenir des valeurs destinées…
Source : NVD — CVE-2026-120673
Divulgation de mémoire non initialisée via GridFS dans le pilote C MongoDB
Le traitement historique des fichiers GridFS dans le pilote C MongoDB peut considérer de la mémoire de processus non initialisée comme du contenu de fichier et l’enregistrer sur le serveur. Dans certaines conditions, un utilisateur disposa…
Source : NVD — CVE-2026-120684
Écriture hors limites dans le pilote ODBC MongoDB Atlas SQL
Le pilote ODBC MongoDB Atlas SQL peut écrire au-delà d’un tampon lors de la récupération d’une valeur de certains types dans une cible cliente de largeur fixe. Un utilisateur de la base disposant de droits d’écriture de base peut influence…
Source : NVD — CVE-2026-120952
Parse Server : validation de type insuffisante pour les clés en notation pointée
Parse Server sur MongoDB ne vérifie pas correctement le type de champ pour des clés en notation pointée dont la valeur est null. Un client pouvant écrire peut alors créer des sous-documents sous des champs Pointer, Number, String, Date ou…
Source : NVD — CVE-2026-121415
CVE-2026-115298 — Contournement de restrictions sur les champs dans Elasticsearch
Une vérification d’autorisation incorrecte peut permettre à un utilisateur authentifié soumis à des restrictions de sécurité au niveau des champs de lire la valeur d’un champ constant_keyword pourtant exclu par son rôle. La fiche NVD class…
Source : NVD — CVE-2026-115298
CVE-2026-115710 — Partage de cache pouvant contourner la sécurité au niveau des champs
Dans certaines conditions, Elasticsearch peut partager des résultats de requête mis en cache entre utilisateurs soumis à des restrictions de sécurité au niveau des champs et utilisateurs sans ces restrictions. Un utilisateur restreint peut…
Source : NVD — CVE-2026-115710
CVE-2026-115715 — épuisement mémoire via un encodeur phonétique
Une valeur spécialement conçue traitée par un encodeur phonétique affecté du plugin analysis-phonetic peut épuiser le tas mémoire d’un nœud Elasticsearch et provoquer son indisponibilité ou son arrêt. L’exploitation requiert un compte auto…
Source : NVD — CVE-2026-115715
Évaluation CISA mise à jour pour une vulnérabilité de lecture de fichiers dans MariaDB Connector/J
CVE-2026-119210 concerne MariaDB Connector/J : un serveur malveillant ou compromis pouvait contourner la validation de requêtes LOCAL INFILE et provoquer la transmission de fichiers lisibles par le client, si l’option allowLocalInfile étai…
Source : NVD — CVE-2026-119210
CVE-2026-121262 — Conversion de type incorrecte dans SQL-Parser
CVE-2026-121262 touche phpMyAdmin SQL-Parser 6.0.0 et 6.0.1 : une entrée manipulée affectant `ExplainStatement::parse` peut entraîner une conversion de type incorrecte. La fiche rapporte une divulgation publique, mais les sources consultée…
Source : NVD — CVE-2026-121262
Déni de service persistant par références symboliques circulaires dans isomorphic-git
isomorphic-git peut persister des références symboliques circulaires reçues d’un dépôt distant, puis les suivre sans limite de profondeur ni détection de cycle. Les opérations qui résolvent ces références peuvent ne jamais terminer et rend…
Source : NVD — CVE-2026-63475
Épuisement de mémoire par taille de delta non bornée dans isomorphic-git
Lors de l’application d’un delta de pack Git, isomorphic-git peut utiliser une taille `targetSize` fournie par le serveur sans la borner avant d’allouer un tampon. Un dépôt distant malveillant peut ainsi provoquer une allocation d’environ…
Source : NVD — CVE-2026-63476
isomorphic-git : écriture de fichiers hors de la racine de travail via une entrée `..`
isomorphic-git avant 1.38.6 pouvait accepter une entrée d’arbre `..` lors d’un clone ou d’un checkout depuis une source Git malveillante, permettant d’écrire hors de la racine de travail. Cette écriture arbitraire pouvait écraser des fichi…
Source : NVD — CVE-2026-63478
pybddisasm : lecture hors limites dans les bindings Python
Des fonctions de décodage des bindings Python pybddisasm peuvent lire au-delà du tampon fourni et exposer de la mémoire adjacente via `nd_get_instrux_bytes`. Le risque dépend de l’utilisation par l’application d’un tampon trop court ou d’u…
Source : NVD — CVE-2026-118444
pybddisasm : use-after-free sur des membres d’INSTRUX
Dans pybddisasm, des membres de structure issus d’objets `INSTRUX` peuvent référencer une mémoire libérée lorsque l’objet parent est détruit. L’accès ultérieur à ces références peut divulguer de la mémoire du processus ou provoquer un plan…
Source : NVD — CVE-2026-118445
pybddisasm : use-after-free sur les tableaux d’INSTRUX
Dans pybddisasm, les éléments de tableaux liés à un objet `INSTRUX` peuvent pointer vers une mémoire libérée après la destruction de cet objet. Leur accès ultérieur peut exposer de la mémoire du processus ou faire planter le processus Pyth…
Source : NVD — CVE-2026-118446
pybddisasm : objet INSTRUX non initialisé après échec de décodage
Les fonctions de décodage de pybddisasm peuvent retourner un objet `INSTRUX` non initialisé après un échec de décodage. L’accès à ses membres peut alors exposer de la mémoire résiduelle; le paquet n’est plus maintenu.
Source : NVD — CVE-2026-118447
pybddisasm : divulgation possible via nd_to_text
Dans pybddisasm, `nd_to_text` peut convertir en valeur Python un tampon de sortie resté non initialisé lorsque la conversion échoue. Cela peut divulguer de la mémoire résiduelle ou provoquer un plantage; le paquet n’est plus maintenu.
Source : NVD — CVE-2026-118448
zt-zip : traversée de répertoires lors d’une extraction avec l’API fluide
Dans zt-zip, une traversée de répertoires dans un nom d’entrée ZIP peut permettre d’écrire hors du répertoire de destination via l’API fluide `Zips.get(…).unpack().destination(…).process()`. Le problème concerne les versions antérieure…
Source : NVD — CVE-2026-63436
zt-zip : permissions du répertoire de destination modifiables lors de l’extraction
Dans zt-zip, une entrée ZIP dont le nom se résout vers le répertoire de destination lui-même peut faire appliquer à ce répertoire des permissions fournies par l’archive. Le problème concerne les versions antérieures à 1.18.1 et est corrigé…
Source : NVD — CVE-2026-63499
Arc — divulgation non authentifiée des journaux applicatifs
GHSA-m3qr-fvp4-78xj, publié le 2026-11-03T16:29:38Z, signale que l’API Arc `GET /api/v1/logs` peut divulguer des journaux sans authentification, même lorsque celle-ci est activée. Les versions antérieures au pseudo-version de correctif son…
Source : GitHub Advisory GHSA-m3qr-fvp4-78xj
Django : divulgation d’empreintes de mot de passe dans l’administration
Un défaut de masquage dans `display_for_field()` pouvait révéler des empreintes de mot de passe dans le formulaire de modification en lecture seule de certains modèles utilisateur. Un membre du personnel authentifié disposant uniquement de…
Source : NVD — CVE-2026-113733
Django : risque d’exposition de données par collision de clés de cache
Certaines requêtes omettant un en-tête Vary et celles fournissant cet en-tête avec une valeur vide pouvaient recevoir la même clé de cache. Cette collision pouvait exposer des données privées mises en cache pour une autre requête ; mettre…
Source : CVE-2026-113593 — NVD
MongoDB Database Tools : écriture hors répertoire via lien symbolique
mongofiles ne résout pas les liens symboliques des répertoires parents lors de la validation des chemins de sortie pour get_regex. Un utilisateur non autorisé pouvant téléverser un fichier GridFS et placer un lien symbolique dans le répert…
Source : NVD — CVE-2026-119673
MongoDB Database Tools : restauration vers une collection inattendue
mongorestore décode incorrectement le nom original d’une collection lorsque le nom du fichier de dump correspondant a été tronqué. Un utilisateur de la base pouvant créer une collection encodée de façon appropriée peut faire restaurer ses…
Source : NVD — CVE-2026-119674
MongoDB EF Core Provider : interprétation de valeurs comme expressions
Le fournisseur MongoDB Entity Framework Core ne neutralise pas certains éléments spéciaux des valeurs de SetProperty lorsque ExecuteUpdate contient aussi un setter lisant l’entité. Une chaîne contrôlée commençant par $ peut alors être éval…
Source : NVD — CVE-2026-120567
Écriture hors limites lors de la récupération de résultats par le pilote ODBC Atlas SQL
Le pilote ODBC MongoDB Atlas SQL peut écrire des valeurs de résultat en dehors des limites du tampon fourni par l’application cliente. Une partie capable d’influencer les valeurs renvoyées peut modifier involontairement la mémoire de l’app…
Source : NVD — CVE-2026-120959
CVE-2026-121261 — Boucle infinie dans phpMyAdmin ShapeFile
CVE-2026-121261 concerne ShapeFile jusqu’à la version 4.0.1 : un traitement de fichier SHP dans `ShapeRecord::loadFromFile` peut provoquer une boucle infinie. La fiche indique une attaque à distance et une divulgation publique, mais aucun…
Source : NVD — CVE-2026-121261
CVE-2026-121263 — Parcours de chemin dans MoTranslator
CVE-2026-121263 concerne MoTranslator jusqu’à la version 6.0.1 : la fonction `Loader::getTranslator` peut subir un parcours de chemin lorsque l’argument `locale` est manipulé. La fiche rapporte une divulgation publique, mais aucun correcti…
Source : NVD — CVE-2026-121263
Multiples vulnérabilités dans PostgreSQL — avis CERTFR-2026-AVI-1445
Le CERT-FR a publié un avis faisant état de vulnérabilités dans PostgreSQL, avec des impacts mentionnés d’injection SQL, de contournement de la politique de sécurité et un problème de sécurité non spécifié. Les CVE, versions concernées et…
Source : CERT-FR — CERTFR-2026-AVI-1445
CMS & e-commerce
30 alerte(s)WordPress Core : vulnérabilité TOCTOU ajoutée au catalogue CISA KEV
CVE-2026-119977 est une vulnérabilité de type TOCTOU dans WordPress Core qui pourrait permettre à un attaquant non authentifié d’exécuter du code pendant la mise à niveau complète du cœur. La CISA l’a ajoutée à son catalogue KEV le 3 novem…
Source : CISA KEV
Exécution de code à distance dans s2Member
Le plugin s2Member pour WordPress présente une vulnérabilité d’exécution de code à distance jusqu’à la version 260927 incluse. Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible.
Source : NVD — CVE-2026-86596
BuddyPress XProfile Image Field : suppression arbitraire de fichiers
BuddyPress XProfile Image Field, jusqu’à la version 3.1.0 incluse, peut supprimer un fichier arbitraire à partir de métadonnées de profil fournies lors de l’inscription. Un attaquant non authentifié peut exploiter le problème si les inscri…
Source : NVD — CVE-2026-120518
ACF: Extended PRO : injection de code dans render_field
Advanced Custom Fields: Extended PRO, jusqu’à la version 0.9.2.6 incluse, présente une injection de code limitée dans la fonction render_field. Selon la description, un attaquant non authentifié peut appeler des fonctions WordPress avec de…
Source : NVD — CVE-2026-120534
Headless CMS Plugin : divulgation d’informations via l’API REST
Headless CMS Plugin jusqu’à la version 2.0.4 présente une divulgation d’informations dans la route REST /wp-json/rae/v1/post, via la fonction get_required_post_data et la manipulation de post_id ou post_slug. La fiche NVD indique qu’un exp…
Source : NVD — CVE-2026-121509
Advanced Shipment Tracking : injection SQL via l’API REST
Advanced Shipment Tracking for WooCommerce comporte une injection SQL dans le paramètre « tracking_provider » de son point de terminaison REST de suivi des expéditions. Les versions jusqu’à 3.9 incluse sont concernées et un attaquant authe…
Source : NVD — CVE-2026-120558
Contact Form Extender for Divi Builder : suppression de fichiers sans authentification
Contact Form Extender for Divi Builder permet la suppression de fichiers arbitraires en raison d’une validation insuffisante des chemins. Toutes les versions jusqu’à 1.0.6 incluse sont concernées; l’action AJAX et son nonce sont accessible…
Source : NVD — CVE-2026-120559
SureCart : risque de prise de contrôle de comptes par connexion à code unique
SureCart présente une faiblesse dans son mécanisme de connexion par code à usage unique qui peut permettre la prise de contrôle d’un compte, y compris administrateur. Toutes les versions jusqu’à 4.9.5 incluse sont concernées; le point de t…
Source : NVD — CVE-2026-120574
FluentCart : suppression arbitraire de fichiers
FluentCart présente une suppression arbitraire de fichiers due à une validation insuffisante des chemins dans la fonction deleteFile. Toutes les versions jusqu’à 1.6.2 incluse sont concernées; un utilisateur authentifié disposant de droits…
Source : NVD — CVE-2026-120577
Easy Digital Downloads : contournement d’authentification et prise de contrôle de compte
Easy Digital Downloads, jusqu’à la version 3.7.2 incluse, peut faire confiance à l’adresse courriel d’un paiement PayPal invité pour associer une commande à un compte existant, puis ouvrir une session pour ce compte. Un attaquant peut ains…
Source : NVD — CVE-2026-120538
BuddyBoss App : téléversement de fichiers potentiellement exécutables
BuddyBoss App jusqu’à la version 3.2.1 incluse permet à des utilisateurs authentifiés ayant au moins le rôle Abonné de téléverser des fichiers par la fonction send_feedback, avec une validation insuffisante du type de fichier. Certains fic…
Source : NVD — CVE-2026-76124
WooCommerce Multilingual : injection SQL liée au taux de change
WooCommerce Multilingual & Multicurrency with WPML présente une injection SQL liée au paramètre de taux de change traité par save_currency(). Les versions jusqu’à 5.5.7 incluse sont concernées; l’exploitation permettant l’extraction de don…
Source : NVD — CVE-2026-120563
Exposition de jeton API et de données de commande dans WATI Chat and Notification
WATI Chat and Notification expose un endpoint public qui peut renvoyer le jeton API enregistré sans exiger de secret valide. Ce jeton peut ensuite servir à obtenir l’URL de commande d’une commande WooCommerce et à consulter des données per…
Source : NVD — CVE-2026-103379
Eupago Gateway For WooCommerce : falsification de confirmations de paiement
Eupago Gateway For WooCommerce des versions 4.5.0 à 4.7.5 ne vérifie pas l’authenticité de certaines requêtes webhook de confirmation de paiement selon la configuration. Un attaquant non authentifié peut falsifier une confirmation et marqu…
Source : NVD — CVE-2026-91075
JetFormBuilder : modification non autorisée des options JetEngine
JetFormBuilder peut permettre une modification non autorisée des valeurs de JetEngine Options Page lorsqu’un formulaire est configuré avec l’action « Update Options ». Les versions jusqu’à 3.6.2 incluse sont concernées, sous réserve que Je…
Source : NVD — CVE-2026-120561
Photo Engine : XSS stockée exploitable par un abonné
Photo Engine (Media Organizer & Lightroom) présente une XSS stockée dans le paramètre « hierarchy[].name ». Les versions jusqu’à 6.5.7 incluse sont concernées; la source indique qu’un utilisateur authentifié ayant le rôle Subscriber peut e…
Source : NVD — CVE-2026-120575
AI Alt Text Generator : modification non autorisée des métadonnées de médias
AI Alt Text Generator ne vérifie pas correctement les autorisations lors de la modification des métadonnées de pièces jointes. Les versions jusqu’à 2.7.0 incluse sont concernées; la source précise qu’un compte Contributor est nécessaire po…
Source : NVD — CVE-2026-120578
WP Fastest Cache : exposition d’identifiants d’inscription dans le cache
WP Fastest Cache, jusqu’à la version 1.5.3 incluse, peut mettre en cache publiquement la réponse de wp-activate.php sans respecter les mécanismes empêchant sa mise en cache. Dans certaines installations Multisite avec inscriptions publique…
Source : NVD — CVE-2026-111464
News Kit Addons For Elementor : XSS stockée
News Kit Addons For Elementor, jusqu’à la version 1.4.8 incluse, présente une faille de XSS stockée exploitable par des utilisateurs authentifiés ayant au moins le rôle d’abonné. Une validation insuffisante de données JSON peut permettre d…
Source : NVD — CVE-2026-120524
Academy LMS : lecture de fichiers HTML par traversée de répertoires
Academy LMS, jusqu’à la version 4.0.1 incluse, permet à des utilisateurs authentifiés ayant au moins le rôle de contributeur de lire certains fichiers HTML arbitraires du serveur par traversée de répertoires. La lecture est limitée aux fic…
Source : NVD — CVE-2026-120544
WP Compress : contournement d’autorisation et prise de contrôle des opérations du plugin
La faille permet à un attaquant non authentifié de rattacher certaines installations de WP Compress à son compte, puis d’obtenir la clé API partagée et d’effectuer des opérations privilégiées sur le plugin. Elle concerne les installations…
Source : NVD — CVE-2026-120551
SEO Engine : XSS stockée dans le titre des contenus
Le plugin SEO Engine présente une XSS stockée via le paramètre « title », exploitable par un utilisateur authentifié disposant au moins du rôle Contributor. Les versions jusqu’à 0.9.9 incluse sont concernées; des valeurs encodées en entité…
Source : NVD — CVE-2026-120552
weMail : exposition d’une clé API de service de messagerie
Dans weMail jusqu’à la version 2.1.6, un utilisateur disposant du rôle Éditeur peut accéder à une clé API de service de messagerie réservée au site. Cette clé réutilisable peut permettre d’usurper l’identité d’autres utilisateurs auprès du…
Source : NVD — CVE-2026-104648
Gallery for Social Photo : requêtes serveur vers des hôtes arbitraires
Gallery for Social Photo jusqu’à la version 1.0.0.41 ne valide pas une URL fournie par l’utilisateur avant de déclencher une requête depuis le serveur. Un attaquant non authentifié peut ainsi viser des hôtes internes et lire les réponses o…
Source : NVD — CVE-2026-105967
DT Directory Lite Addon : modification non autorisée des paramètres
DT Directory Lite Addon jusqu’à la version 1.1 ne vérifie ni les nonces ni les capacités dans ses gestionnaires de paramètres. Un attaquant non authentifié peut modifier la configuration et les options d’apparence du plugin.
Source : NVD — CVE-2026-105993
DT LMS : révocation non autorisée de validations de cours
DT LMS jusqu’à la version 1.2 ne contrôle pas les capacités ni les nonces sur une action AJAX. Un attaquant non authentifié peut révoquer le statut d’achèvement d’un cours ou d’une classe pour n’importe quel apprenant.
Source : NVD — CVE-2026-106004
AZEXO Store Locator : suppression arbitraire de contenus
AZEXO Store Locator jusqu’à la version 1.4 ne vérifie pas les autorisations lors de la suppression d’un article. Tout utilisateur authentifié, y compris un abonné, peut supprimer des articles et des pages arbitraires.
Source : NVD — CVE-2026-115205
CryptoCloud : falsification des notifications de paiement
CryptoCloud de la version 3.0.0 à 3.0.1 ne vérifie pas l’authenticité des notifications de paiement reçues par son callback lorsque le secret webhook reste vide par défaut. Un attaquant non authentifié peut falsifier le statut d’une comman…
Source : NVD — CVE-2026-103327
Contrôle d’accès insuffisant dans l’API REST de weMail
weMail vérifie incorrectement les capacités dans ses contrôles d’accès à l’API REST et peut autoriser des utilisateurs dont le rôle figure dans sa liste de rôles autorisés à effectuer des actions réservées à l’administration. Selon la conf…
Source : NVD — CVE-2026-104647
XSS dans Welcart e-Commerce
Le plugin Welcart e-Commerce pour WordPress est vulnérable à une injection de script intersites (XSS) dans les versions jusqu’à 2.12.6 incluse. La version 2.12.7 corrige le problème en échappant la valeur avec esc_html().
Source : NVD — CVE-2026-120597
Systèmes & serveurs
30 alerte(s)Linux : concurrence lors du déplacement de tâches dans sched_ext
Une condition de concurrence dans sched_ext pouvait permettre aux chemins de déplacement ou de consommation des tâches d’agir sur une tâche pendant que son dispatch était encore en cours. Le correctif attend la fin du dispatch avant ces op…
Source : NVD — CVE-2026-99269
Linux : risque d’utilisation après libération dans le traitement d’un temporisateur TCP
Lorsqu’une migration de socket TCP échouait, le noyau pouvait libérer une requête alors que son temporisateur pouvait encore être actif, entraînant un risque d’utilisation après libération. Le correctif arrête ce temporisateur avant la lib…
Source : NVD — CVE-2026-99270
Linux TIPC : risque d’utilisation après libération pendant une trace de nœud
Le traitement d’un événement de trace TIPC pouvait parcourir les liens d’un nœud sans verrou, tandis qu’une suppression concurrente libérait un lien; le parcours risquait alors d’utiliser un pointeur libéré. Le correctif prend le verrou d’…
Source : NVD — CVE-2026-99246
Linux : débordement du compteur de références dans io_uring/waitid
Des tentatives répétées d’annulation d’une requête io_uring/waitid pouvaient faire déborder le compteur de références et permettre une seconde finalisation de la requête. Le correctif rend les tentatives d’annulation répétées idempotentes…
Source : NVD — CVE-2026-99227
Linux : utilisation après libération possible dans io_uring/waitid
io_uring/waitid pouvait effacer le pointeur de tête d’une requête avant d’en devenir propriétaire, laissant un autre chemin la terminer et la libérer pendant que le premier chemin continuait à la manipuler. Le correctif reporte cet effacem…
Source : NVD — CVE-2026-99231
Linux : erreur de comptage des références d’événements synthétiques dans tracing
La recherche d’un événement synthétique comparait uniquement le nom de base de l’événement, ce qui pouvait modifier à tort le compteur de références d’un événement synthétique homonyme. Le correctif vérifie aussi l’identité de l’objet trac…
Source : NVD — CVE-2026-99233
Linux : utilisation après libération dans la gestion des histogrammes tracing
Un histogramme créé pour fournir une variable de champ conservait un pointeur vers un histogramme compatible préexistant, qui pouvait être supprimé indépendamment. Le correctif conserve plutôt le pointeur vers le fichier d’événement, qui r…
Source : NVD — CVE-2026-99235
Linux io_uring : rendre les requêtes liées visibles à l’annulation
Pendant l’annulation des requêtes d’une tâche sortante, une requête liée pouvait se trouver momentanément invisible aux recherches d’annulation, laissant la tâche endormie sans réveil. Le correctif libère le travail lorsque la requête liée…
Source : NVD — CVE-2026-99255
Linux device-mapper : corriger le verrouillage du cache dm
Le cache device-mapper utilisait un rw_semaphore dont les règles de propriété pouvaient être violées lorsque le verrou était acquis et libéré par des processus différents. Le correctif remplace ce mécanisme par un verrou tournant et une fi…
Source : NVD — CVE-2026-99256
Linux GPIO : gérer l’absence de périphérique lors d’une recherche
La recherche d’un GPIO partagé à partir d’un fwnode sans périphérique associé pouvait provoquer un déréférencement de pointeur NULL. Le correctif traite ce cas proprement en renvoyant une erreur.
Source : NVD — CVE-2026-99257
Linux Hyper-V : éviter une page de sortie hypercall non allouée
Dans une VM SEV-SNP sans paravisor, hv_apicid_to_vp_index() pouvait utiliser une page de sortie hypercall non allouée par l’invité. Le correctif réutilise la page d’entrée pour l’entrée et la sortie de l’hypercall.
Source : NVD — CVE-2026-99258
Linux Tegra : initialiser le taux d’horloge du contexte PMC précoce
Sur les anciens appareils Tegra 32 bits, le taux d’horloge du contexte PMC précoce restait à zéro après le passage à un contexte dynamique, ce qui déclenchait un avertissement en mode suspension. Le correctif initialise également ce taux d…
Source : NVD — CVE-2026-99259
Linux : conversion manquante d’attributs résidents dans ntfs
Dans ntfs, l’activation des attributs sparse ou compressed sur un attribut résident pouvait interrompre le traitement sans effectuer la conversion vers un attribut non résident. Le correctif rétablit cette conversion dans ntfs_new_attr_fla…
Source : NVD — CVE-2026-99260
Linux : correction des fences d’éviction des BO per-VM dans drm/amdgpu
Dans le pilote drm/amdgpu, la réservation des emplacements de fence lors de l’éviction de BO per-VM pour userq était incorrecte. Le correctif traite le débordement de déplacement et l’ajout de la fence d’éviction.
Source : NVD — CVE-2026-99261
Linux : le signal TIF_NOTIFY_SIGNAL peut empêcher le réaper PID de dormir
Un signal de notification pouvait interrompre les attentes du processus de réaper d’un espace de noms PID, provoquant une attente active. Le correctif ajoute une garde qui permet au réaper de dormir jusqu’à la sortie d’un enfant ou au réve…
Source : NVD — CVE-2026-99244
Linux : correction d’une course lors de l’ajout d’une clé à un trousseau restreint
Une course entre la vérification de restriction d’un trousseau et l’ajout d’une clé pouvait permettre de prendre la décision de restriction avant qu’une restriction concurrente soit installée. Le correctif déplace cette vérification sous l…
Source : NVD — CVE-2026-99245
Linux : plantage au démarrage après un échec d’initialisation du traçage
Si l’allocation des tampons de trace échouait au démarrage, un travail tracefs ultérieur pouvait malgré tout s’exécuter et accéder à une liste d’événements non initialisée, entraînant un déréférencement de pointeur nul et un Oops au démarr…
Source : NVD — CVE-2026-99247
Linux xiic : avertissements d’horloge lors du retrait du périphérique
Une conversion de la gestion runtime PM du pilote I²C xiic avait déséquilibré la désactivation de l’horloge lors du retrait du périphérique, pouvant provoquer des avertissements répétés du sous-système clock. Le correctif rétablit la gesti…
Source : NVD — CVE-2026-99248
Linux : attente de sortie d’un espace de noms PID compatible avec le gel
La sortie de l’init d’un espace de noms PID pouvait rester bloquée en attendant la libération de processus zombies suivis par un traceur extérieur, empêchant la mise en veille du système. Le correctif rend ces attentes compatibles avec le…
Source : NVD — CVE-2026-99249
Linux : lancement différé des threads de console NBCON
Le démarrage très précoce des threads NBCON de console pouvait interférer avec la configuration SMP et contribuer à des blocages au démarrage sur certains systèmes. Le correctif reporte leur lancement après les initcalls d’architecture.
Source : NVD — CVE-2026-99250
Linux : éviter une boucle infinie dans init_vp_index()
Dans init_vp_index(), l’absence de CPU de housekeeping gérant les interruptions sur un nœud NUMA pouvait entraîner une boucle de nouvelle tentative infinie. Le correctif ignore les nœuds concernés et vérifie la présence de CPU de housekeep…
Source : NVD — CVE-2026-99251
Linux io_uring : corriger le réveil de l’annulation des requêtes
Une course dans l’attente d’annulation des requêtes io_uring pouvait faire dormir une tâche alors qu’un travail local était en attente, sans réveil ultérieur. Le correctif réarme le réveil avant la mise en sommeil de la tâche.
Source : NVD — CVE-2026-99253
Linux io_uring : limiter les callbacks répétés pendant l’annulation
Lors de l’annulation io_uring, des callbacks task_work pouvaient être réémis en boucle tandis que la tâche exécutait la cancellation, consommant du temps processeur et retardant la sortie ou execve(). Le correctif temporise la réémission l…
Source : NVD — CVE-2026-99254
Linux : lecture après libération de mémoire lors de la recherche d’un trousseau nommé
Une course entre la recherche d’un trousseau nommé et un changement de propriétaire pouvait provoquer une lecture après libération de mémoire dans le noyau Linux. Le correctif vérifie l’UID stocké directement dans le trousseau, dont la dur…
Source : NVD — CVE-2026-99226
Linux : blocage possible à la sortie d’un thread avec io_uring/io-wq
À la sortie d’un thread, un worker io-wq pouvait perdre le signal destiné à interrompre un travail bloqué, par exemple l’ouverture d’un FIFO sans partenaire. Le correctif veille à ce que le signal soit pris en compte lorsqu’un travail born…
Source : NVD — CVE-2026-99228
Linux : boucle d’attente io_uring bloquée sur la liste de débordement CQ
Dans certaines situations, io_cqring_wait() pouvait tourner sans fin lorsque la liste de débordement des événements ne pouvait pas être vidée. Le correctif rend la main à l’application lorsque cette liste reste bloquée, afin qu’elle puisse…
Source : NVD — CVE-2026-99229
Linux : accès mémoire invalide possible après réutilisation d’une requête io_uring
La suppression d’une commande annulable io_uring laissait des valeurs poison dans son nœud de hachage, réutilisé ensuite par le cache de requêtes. Dans un scénario de réveil d’une attente futex vectorielle, cette valeur pouvait provoquer u…
Source : NVD — CVE-2026-99230
Linux : validation manquante d’adresses dans la copie des tampons syscall du tracing
La copie des tampons utilisateur de certains appels système instrumentés par tracing utilisait __copy_from_user(), qui ne vérifie pas que l’adresse est une adresse utilisateur valide. Le correctif utilise copy_from_user() pour rejeter les…
Source : NVD — CVE-2026-99232
Linux : histogramme tracing auxiliaire laissé actif après échec d’une commande
Lorsqu’une commande de création d’histogramme échouait après l’enregistrement d’un histogramme auxiliaire, celui-ci pouvait rester actif sans être correctement suivi. Le correctif désenregistre aussi ces histogrammes sur le chemin d’erreur…
Source : NVD — CVE-2026-99234
Debian publie une mise à jour de sécurité pour Squid
Debian a publié un avis de sécurité pour Squid signalant plusieurs problèmes pouvant, dans certaines conditions, permettre une désynchronisation de requêtes, des dépassements de tampon ou une injection de commandes FTP. L’avis concerne une…
Source : DSA-6606-1 squid – security update
Cloud & DevOps
3 alerte(s)Docker Desktop pour Windows : contournement seccomp AF_VSOCK avec WSL2
CVE-2026-112917 concerne Docker Desktop pour Windows avec le backend WSL2 : un conteneur Linux non privilégié peut contourner une restriction seccomp visant AF_VSOCK par l’intermédiaire de `socketcall` 32 bits. Le contournement peut expose…
Source : NVD — CVE-2026-112917
Docker Sandboxes : contournement du confinement des chemins lors de `sbx cp`
CVE-2026-103916 affecte la commande `sbx cp` : un lien symbolique créé ou remplacé par un sandbox peut rediriger une copie ultérieure hors de l’espace de travail partagé. Cela peut conduire à lire un fichier de l’hôte ou à y écrire avec le…
Source : NVD — CVE-2026-103916
Temporal Server : exécution de commandes via le fournisseur Kubernetes k8s
Une configuration Kubernetes fournie par l’appelant au fournisseur de calcul k8s peut conduire à l’exécution de commandes sur l’hôte du Worker Service. Temporal recommande de passer à la version corrigée ou, en attendant, de retirer k8s de…
Source : Fiche NVD — CVE-2026-120091