Les sujets à surveiller, en un regard.
128 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 17 sujet(s) en rouge, 5 en orange.
Shopify
Recherche du sujet effectuée
La vulnérabilité CVE-2026-63414 concerne shopify_app, mais son avis GitHub a été publié le 2026-10-29 et la CVE le 2026-10-30, avant la période demandée. La mise à jour NVD du 2026-11-05 ne suffit pas à établir un nouvel événement de sécurité ou un changement substantiel pendant cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié d’avis de sécurité, de vulnérabilité ou d’événement de sécurité Wix daté de la période demandée (du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu). Un incident opérationnel Wix signalé le 2026-11-04 est antérieur à cette période et ne constitue pas un événement de sécurité à retenir.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a vérifié aucun avis de sécurité, correctif, événement d’exploitation ni changement substantiel daté de la période 2026-11-05T00:00:00+02:00 à 2026-11-06T00:00:00+02:00. Les résultats pertinents consultés ne documentent pas d’événement admissible dans cette fenêtre; cela ne constitue pas une preuve qu’aucun événement n’a eu lieu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié de nouvel avis, correctif, exploitation ni changement substantiel concernant Craft CMS daté du 2026-11-05 dans la période demandée. Les résultats repérés concernaient des informations antérieures à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost (projet/CMS) n’a révélé aucun avis ou changement de sécurité daté de la période demandée dans les sources consultées. Les avis visibles sur le dépôt GitHub de Ghost sont antérieurs à cette période. Le candidat fourni concerne Akamai Ghost, un produit distinct, et non le projet Ghost demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée sur Strapi n’a identifié aucun nouvel avis, correctif ou événement de sécurité daté de la période demandée (du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu). Les résultats consultés renvoient notamment à des avis antérieurs et à une version Strapi publiée le 2026-11-04, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche ciblée n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel Directus daté dans la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les avis Directus repérés dans les résultats étaient antérieurs à cette période; aucune information postérieure à la borne de fin n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée n’a relevé aucun avis, correctif, signalement d’exploitation ni changement substantiel concernant OpenCart daté de la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. L’avis GitHub du projet ne présente aucun avis publié; la CVE fournie est publiée le 2026-10-30, et les éléments consultés ne permettent pas d’établir que sa mise à jour NVD correspond à un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvel avis, correctif de sécurité, exploitation ni changement substantiel concernant cPanel daté dans la période demandée. Le journal des modifications cPanel indique bien une modification le 2026-11-05, mais celle-ci concerne la maintenance de PHP TuxCare ELS et non la sécurité; les avis de sécurité visibles dans la rubrique cPanel renvoient à des dates antérieures ou ne fournissent pas de preuve d’un événement dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
La recherche web dédiée a été effectuée. Aucun candidat fourni n’a pu être retenu comme une nouveauté, un correctif ou un changement substantiel Ruby daté de la période demandée : les éléments vérifiés sont antérieurs à celle-ci, leur modification NVD n’est pas établie comme substantielle, ou ils concernent un paquet npm sans rapport avec le langage Ruby.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Bun et aux résultats CVE/NVD consultés n’a pas établi de nouvel avis, correctif ou autre événement de sécurité Bun daté de la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les avis Bun repérés dans les sources consultées sont antérieurs à cette période; le candidat fourni concerne Highflame ramparts, et non Bun.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Aucune vulnérabilité nouvelle, aucun avis/correctif de sécurité ni changement substantiel concernant Deno n’a pu être vérifié pour la période demandée. Les deux candidats portent sur Zuke et renvoient à des divulgations publiées le 2026-10-30 ; les éléments consultés ne montrent pas que la modification NVD du 2026-11-04 constituait un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Vérification incomplète
Niveau relevé : Critique
La recherche a relevé deux avis GitHub publiés dans la période et quatre rapports récents répertoriés par la Go Vulnerability Database au 2026-11-05. Les informations détaillées sur les versions corrigées et la gravité ne sont disponibles ici que pour les avis LXD et kaniko ; les autres rapports sont signalés comme non examinés ou insuffisamment détaillés. Les cinq candidats concernent des paquets de l’écosystème Go. Leurs avis ont tous été mis à jour le 2026-11-05 dans la période demandée ; leurs dates de publication sont antérieures. Les informations fournies identifient les versions corrigées pour chacun.
Incus : contournement des restrictions de projet pouvant mener à l’exécution de commandes sur l’hôte
Incus n’applique pas le réglage de restriction des fonctionnalités bas niveau lors de la restauration d’instantanés, ce qui peut permettre l’exécution de commandes arbitraires sur l’hôte avec les privilèges root. Les versions antérieures à 7.2.0 sont indiquées comme affectées et la version 7.2.0 comme corrigée ; mettez Incus à niveau.
Action recommandée : Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Incus : écriture de fichiers sur l’hôte via un lien symbolique dans une image
Un lien symbolique `exec-output` dans une image Incus spécialement construite peut faire écrire les sorties d’exécution à un emplacement arbitraire sur l’hôte, avec un risque d’exécution de commandes. Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Action recommandée : Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
kaniko : fuite possible de jetons Azure vers un hôte de registre usurpé
Une validation insuffisante du nom d’hôte dans l’assistant d’identifiants ACR de kaniko pouvait transmettre un jeton d’accès Azure à un registre contrôlé par un attaquant. Les versions de kaniko antérieures à 1.25.20 sont affectées ; reconstruire et déployer les composants depuis la version corrigée ou une version ultérieure.
Action recommandée : Reconstruire et déployer kaniko, son warmer et l’assistant ACR depuis la version 1.25.20 ou ultérieure ; protéger les identifiants Azure des constructions non fiables.
SiYuan : SSRF dans l’endpoint forwardProxy
Une validation insuffisante de l’URL dans l’endpoint authentifié `/api/network/forwardProxy` permet à un utilisateur authentifié de faire effectuer au serveur des requêtes HTTP vers des destinations arbitraires et d’en récupérer la réponse. Cela expose notamment les ressources internes et les services de métadonnées cloud ; mettre à niveau SiYuan vers la version 3.6.0 ou ultérieure.
Action recommandée : Mettre à niveau SiYuan vers la version 3.6.0 ou ultérieure.
Incus : contournement des restrictions de projet lors de la copie d’instances
Incus ne vérifie pas correctement les restrictions de projet lors de la copie d’une instance depuis un autre projet, ce qui peut exposer des secrets à un utilisateur non autorisé. Les versions antérieures à 7.2.0 sont indiquées comme affectées et la version 7.2.0 comme corrigée ; mettez Incus à niveau.
Action recommandée : Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
LXD : accès inter-invités aux volumes DevLXD
Une faille dans LXD permet à un invité d’attacher un volume personnalisé DevLXD appartenant à un autre invité et d’en lire ou modifier le contenu. Les versions affectées et le correctif sont indiqués dans l’avis GitHub ; mettre à niveau LXD vers la version corrigée.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
SiYuan : lecture de fichiers via une liste de chemins sensibles incomplète
La liste de chemins sensibles de SiYuan reste incomplète : certaines opérations de copie ou d’importation peuvent lire des fichiers situés dans des répertoires Linux non bloqués, notamment `/opt`, `/usr`, `/home`, `/mnt` et `/media`. La version corrigée indiquée est 3.6.2 ; mettre à niveau vers cette version ou ultérieure.
Action recommandée : Mettre à niveau SiYuan vers la version 3.6.2 ou ultérieure.
Kotlin
Recherche du sujet effectuée
La recherche web dédiée sur Kotlin n’a identifié aucun nouvel avis de sécurité, correctif, événement d’exploitation ou changement substantiel daté dans la période demandée. La page des avis de sécurité du dépôt Kotlin indique qu’aucun avis n’y est publié; les résultats consultés ne montrent pas d’avis Kotlin correspondant à cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
Niveau relevé : Élevée
Une nouvelle vulnérabilité publiée pendant la période concerne le serveur local de fichiers de l’application noname construite avec Electron. La recherche n’a pas trouvé d’avis Electron correspondant publié dans la période; CVE-2026-123208 concerne l’application noname, et non une vulnérabilité du framework Electron.
noname Electron : serveur local vulnérable permettant la modification de fichiers depuis un site malveillant
Dans les versions de bureau noname Electron 1.11.2 à 1.11.6.1, un serveur de fichiers local non authentifié avec CORS générique peut être sollicité par un site malveillant pour lire, modifier ou supprimer des fichiers d’installation. L’écrasement de scripts du renderer peut permettre l’exécution de JavaScript avec les privilèges Node.js de l’utilisateur local ; aucune version corrigée n’est précisée dans les éléments fournis.
Action recommandée : Mettre à jour noname vers une version corrigée dès qu’elle est disponible; la version corrigée n’a pas pu être établie à partir des sources consultées.
jQuery
Recherche du sujet effectuée
Les recherches ciblées dans les avis de sécurité GitHub du projet jQuery, les versions du dépôt et les résultats relatifs aux CVE/NVD n’ont pas identifié de vulnérabilité, correctif ou avis de sécurité jQuery daté de la période demandée. Les avis jQuery affichés dans les résultats consultés sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis ou de correctif Laravel daté de la période demandée (du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu). L’avis GHSA-63hm-g96r-2m2q repéré dans les avis GitHub de Laravel est daté du 2026-11-04, hors période. Les candidats NVD portent sur des vulnérabilités publiées en 2025 ; les modifications indiquées pour CVE-2025-63307 et CVE-2025-65345/CVE-2025-65346 ne constituent pas, d’après les éléments consultés, un événement de sécurité nouveau dans la fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle concernant Svelte n’a été vérifié pour la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les avis Svelte et SvelteKit trouvés dans la recherche sont antérieurs à cette période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
Niveau relevé : Élevée
Recherche dédiée effectuée sur Symfony, incluant les résultats des avis du projet, GitHub et NVD. La période comprend quatre nouvelles publications CVE datées du 2026-11-05 et deux mises à jour substantielles NVD de CVE publiées le 2026-11-04 ; les entrées NVD de type publication et modification pour un même CVE ont été dédoublonnées.
Symfony Security : mise à jour substantielle de la fiche sur l’extraction d’identifiant depuis un DN X.509
Symfony a corrigé une extraction de l’identifiant utilisateur depuis le DN du certificat client qui pouvait confondre des séparateurs échappés ou présents dans une valeur avec des frontières entre attributs. La fiche NVD a été mise à jour le 2026-11-05 ; les versions affectées et le correctif sont ceux indiqués par l’avis Symfony.
Action recommandée : Mettre à niveau vers une version corrigée et vérifier les configurations d’authentification X.509 concernées.
Symfony HttpClient : mise à jour substantielle de la fiche sur la fuite d’identifiants des scopes
ScopingHttpClient pouvait fusionner les options d’authentification du scope avant de résoudre une URL relative, puis conserver ces options lorsque la résolution aboutissait à une autre autorité. Une URL contrôlée pouvait ainsi transmettre des identifiants à un autre serveur ; mettre à niveau Symfony vers une version corrigée.
Action recommandée : Mettre à niveau vers une version corrigée et examiner les clients à base_uri configurés avec des identifiants.
Symfony Validator : des adresses internes pouvaient passer les modes filtrés de la contrainte Ip
Dans certains modes filtrés de la contrainte Ip, IpValidator pouvait accepter comme publiques des adresses internes ou des formes IPv6 intégrant une adresse IPv4 interne. Les applications qui s’appuient sur cette validation avant une requête côté serveur peuvent être exposées à une SSRF ; mettre à niveau Symfony vers une version corrigée.
Action recommandée : Mettre à niveau vers une version corrigée ; ne pas considérer la contrainte Ip affectée comme une protection suffisante contre l’accès aux adresses internes.
Symfony HttpClient : l’adresse IP vérifiée n’était pas épinglée pour les hôtes mis en cache
Dans NoPrivateNetworkHttpClient, les requêtes suivantes vers un hôte mis en cache pouvaient résoudre à nouveau son nom DNS sans épingler l’adresse IP préalablement vérifiée. Un attaquant contrôlant le DNS pouvait ainsi provoquer des connexions vers des adresses privées et inférer l’état de ports internes ; mettre à niveau Symfony vers une version corrigée.
Action recommandée : Mettre à niveau vers une version corrigée de Symfony.
Symfony HtmlSanitizer : contournement de listes d’hôtes avec certaines URL
UrlSanitizer pouvait interpréter certaines URL différemment des navigateurs et ne pas appliquer correctement les listes d’hôtes autorisés. Le problème concerne les configurations combinant une liste d’hôtes avec l’autorisation de liens ou médias relatifs ; mettre à niveau Symfony, ou éviter cette combinaison avant correction.
Action recommandée : Mettre à niveau vers une version corrigée ; vérifier les configurations utilisant les listes d’hôtes et l’autorisation de liens ou médias relatifs.
Symfony HtmlSanitizer : les attributs srcset et imagesrcset contournaient la politique des médias
HtmlSanitizer ne validait pas les URL présentes dans les attributs srcset et imagesrcset selon la politique appliquée aux médias. Un navigateur pouvait donc charger des ressources depuis des hôtes ou schémas interdits ; mettre à niveau Symfony, en particulier si l’application assainit du HTML non fiable avec ces listes d’autorisation.
Action recommandée : Mettre à niveau vers une version corrigée et vérifier l’usage des attributs srcset et imagesrcset dans le HTML assaini.
Flask
Recherche du sujet effectuée
La recherche dédiée sur Flask n’a identifié aucun nouvel avis, correctif ou événement de sécurité vérifié daté du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les deux candidats concernent des applications tierces utilisant Flask, et les éléments consultés ne montrent qu’une mise à jour NVD de fiches publiées en 2025.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée a identifié les avis de sécurité officiels Django publiés le 2026-11-03, hors de la période demandée. Aucun élément vérifié ne correspond à une nouveauté, un correctif, une exploitation ou un changement substantiel concernant Django pendant la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, publication d’avis, correction de sécurité ou exploitation concernant le projet FastAPI n’a été vérifiée pour la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les résultats repérés concernant fastapi-code-generator étaient datés du 2026-11-03, hors période, et concernent un projet distinct.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une vulnérabilité du paquet @modelcontextprotocol/express, ainsi que des paquets associés du MCP TypeScript SDK, a été publiée dans NVD pendant la période. Elle concerne l’acceptation possible de jetons bearer destinés à un autre service; l’avis GitHub initial est antérieur à la période.
Validation insuffisante de l’audience des jetons dans le SDK MCP TypeScript
L’authentification bearer côté serveur du SDK MCP TypeScript pouvait accepter un jeton valide destiné à un autre service lorsque l’audience n’était pas vérifiée. Il faut mettre à niveau le composant concerné et activer explicitement la validation de l’audience avec l’audience attendue.
Action recommandée : Mettre à niveau le paquet concerné et activer la validation de l’audience en configurant l’audience attendue; vérifier aussi verifyAccessToken().
NestJS
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis ou correctif de sécurité, aucune exploitation ni mise à jour substantielle concernant NestJS n’a été vérifié comme daté de la période demandée, du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu. Les avis NestJS et les versions consultés dans les résultats disponibles étaient antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Une publication NVD datée du 2026-11-05 concerne une injection SQL dans Apache OFBiz affectant les déploiements utilisant MySQL/MariaDB; le correctif est OFBiz 24.09.08. Aucun avis MySQL proprement dit daté de cette période n’a été confirmé par les sources consultées. Deux publications NVD datées dans la période concernent des vulnérabilités SQL pertinentes pour MySQL : une injection SQL dans EmployeeRecruitmentSystem, produit non maintenu, et une injection SQL dans Apache OFBiz sur les déploiements MySQL/MariaDB, corrigée en 24.09.08. Les autres candidats ne fournissent pas de preuve d’une nouvelle faille ou d’un changement substantiel daté dans la période. Aucun avis ou changement de sécurité concernant directement MySQL n’est établi par les candidats fournis pour la période. Le premier concerne MariaDB, et le second une vulnérabilité de HedgeDoc dont la mention de MySQL décrit seulement un comportement de base de données.
Injection SQL dans EmployeeRecruitmentSystem
Une injection SQL à distance a été signalée dans EmployeeRecruitmentSystem, dans le gestionnaire de mise à jour du tableau des exigences. La fiche indique que le produit concerné n’est plus maintenu et ne précise pas de version corrigée.
Action recommandée : Éviter d’exposer le produit vulnérable; aucun correctif n’est indiqué et le produit n’est plus maintenu.
Injection SQL dans Apache OFBiz sur MySQL/MariaDB
Apache OFBiz présente une injection SQL dans le service générique performFind de son moteur d’entités lorsque le déploiement utilise MySQL ou MariaDB. Un attaquant distant non authentifié peut provoquer la divulgation de lignes arbitraires de l’entité interrogée; le défaut est corrigé dans OFBiz 24.09.08.
Action recommandée : Mettre à niveau Apache OFBiz vers la version 24.09.08.
PostgreSQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée n’a vérifié aucun avis ou correctif de sécurité PostgreSQL daté de la période demandée. Les résultats pertinents repérés concernent PostgreSQL Anonymizer (avis publié le 28 octobre 2026) et psqlODBC (avis publié le 2 novembre 2026), donc hors période ; les modifications NVD du 5 novembre pour les CVE fournies ne suffisent pas, à elles seules, à établir un changement substantiel pendant la période. Un avis publié pendant la période concerne HedgeDoc utilisé avec PostgreSQL : des valeurs de permission invalides pouvaient provoquer un état en mémoire incohérent. Le correctif indiqué est HedgeDoc 1.11.1.
HedgeDoc : valeur de permission invalide pouvant élargir l’accès aux notes
Dans HedgeDoc, un propriétaire de note pouvait enregistrer une valeur de permission non prise en charge, ce qui pouvait élargir l’accès en lecture ou en écriture. Avec PostgreSQL, la base rejette la mise à jour, mais l’état en mémoire pouvait rester incohérent pour les utilisateurs connectés jusqu’au rechargement ou à l’éviction du cache.
Action recommandée : Mettre à niveau HedgeDoc vers la version 1.11.1 ou ultérieure.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
Un avis CERT-FR daté du 5 novembre 2026 signale plusieurs vulnérabilités dans MongoDB. Les éléments consultés ne permettent pas d’en déterminer les CVE ni les versions affectées ou corrigées.
Multiples vulnérabilités dans MongoDB
Le CERT-FR a publié le 5 novembre 2026 un avis signalant plusieurs vulnérabilités dans MongoDB, avec des risques pouvant inclure l’exécution de code à distance, le déni de service et une atteinte à la confidentialité. L’avis fourni ne précise pas ici les CVE ni les versions affectées ou corrigées ; consultez l’avis éditeur lié par le CERT-FR pour déterminer les produits concernés et appliquer les correctifs correspondants.
Action recommandée : Consulter le bulletin de sécurité MongoDB référencé dans l’avis CERT-FR afin d’identifier les versions affectées et d’installer les correctifs applicables.
Redis
Recherche du sujet effectuée
La recherche dédiée a porté sur les avis et dépôts officiels Redis ainsi que sur les candidats fournis. Aucun élément vérifié ne correspond à une nouveauté, un correctif, un avis de sécurité, une exploitation ou une mise à jour substantielle de Redis daté de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
Niveau relevé : Faible
Une nouvelle publication NVD pour Caddy, CVE-2026-55458, est datée de la période demandée. Elle décrit une fuite d’en-têtes hop-by-hop dans le traitement des réponses WebSocket 101 et indique une correction dans Caddy 2.11.5.
Caddy — fuite d’en-têtes hop-by-hop lors des mises à niveau WebSocket
CVE-2026-55458 concerne le reverse proxy de Caddy : lors d’une réponse de mise à niveau WebSocket (HTTP 101), des en-têtes hop-by-hop provenant de l’amont peuvent être transmis au client sans le filtrage appliqué aux réponses ordinaires. La faille touche les versions antérieures à 2.11.5 ; mettre à niveau vers 2.11.5 ou une version ultérieure corrige le problème.
Action recommandée : Mettre à niveau Caddy vers la version 2.11.5 ou ultérieure.
SvelteKit
Recherche du sujet effectuée
La recherche web dédiée a été effectuée pour SvelteKit. Les avis SvelteKit apparus dans les résultats consultés portent des dates antérieures au 2026-11-05; aucun résultat consulté n’établit une nouveauté, un correctif, une exploitation ou une mise à jour substantielle dans la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
Recherche web effectuée sur Babel, notamment les avis de sécurité et les publications du dépôt Babel sur GitHub. Les avis Babel trouvés étaient datés d’avant la période demandée; aucun avis, correctif ou événement de sécurité Babel daté du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00 n’a été identifié dans les résultats consultés.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche dédiée a été réalisée pour Elasticsearch. Les avis Elastic repérés dans les résultats étaient datés du 3 novembre 2026, donc antérieurs à la période demandée ; aucun événement Elasticsearch daté du 5 novembre 2026 (du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu) n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche web dédiée à RabbitMQ n’a identifié aucun avis ou événement de sécurité publié dans la période demandée. Les avis RabbitMQ visibles dans les sources consultées sont datés du 25 octobre 2026 ou d’avant, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
Pour Memcached, les sources consultées font état de vulnérabilités et d’avis antérieurs à la période demandée, mais aucune nouveauté, correction, exploitation ni mise à jour substantielle datée du 2026-11-05 dans la fenêtre spécifiée n’a été vérifiée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié trois avis GraphQL publiés par le NVD le 2026-11-05 dans la fenêtre demandée : HeyForm, Altair et GraphQL Tools. Les éléments NVD « modified » correspondant aux trois CVE renvoient aux mêmes avis; aucun élément fourni n’atteste d’exploitation confirmée.
HeyForm : téléversement de HTML actif pouvant mener à une XSS persistante
Une validation insuffisante des fichiers téléversés peut permettre à un utilisateur ordinaire de déposer du HTML actif, servi depuis l’origine HeyForm, et d’exécuter du script dans le navigateur d’une victime. Les versions antérieures à 3.0.1 sont concernées; mettre à jour vers 3.0.1 ou une version ultérieure.
Action recommandée : Mettre à jour HeyForm vers la version 3.0.1 ou ultérieure; examiner les fichiers téléversés et les journaux d’accès.
CVE-2026-114604 : modification possible de Object.prototype lors de la fusion de résultats GraphQL
Dans les versions de @graphql-tools/utils concernées, mergeIncrementalResult ne validait pas le type des segments du chemin d’un résultat GraphQL incrémental, ce qui pouvait permettre à une réponse amont malveillante ou compromise de modifier Object.prototype dans le processus Node.js consommateur. La faille a été publiée le 2026-11-05 à 23:18:37 +02:00 ; mettre à jour vers la version 12.0.2.
Action recommandée : Mettre à jour @graphql-tools/utils vers la version 12.0.2 et éviter de fusionner des résultats incrémentaux non fiables avec les versions affectées.
Altair : exécution de script via l’URL directe de l’iframe-sandbox
Une navigation directe vers une URL spécialement construite de l’iframe-sandbox d’Altair peut charger un script fourni par un attaquant dans l’origine qui sert Altair. Les versions de 7.2.4 à 8.5.7 sont concernées; la correction est disponible dans la version 8.5.8.
Action recommandée : Mettre à jour Altair vers la version 8.5.8 ou ultérieure.
WooCommerce
Vérification incomplète
Niveau relevé : Critique
La recherche a confirmé des avis publiés le 2026-11-05 concernant des extensions WooCommerce, notamment Customer Reviews, LiteSpeed Cache, plusieurs extensions Dokan, Subscriptions for WooCommerce, YITH Gift Cards et Security For WooCommerce. Deux modifications NVD de CVE antérieures au jour du bulletin ont été examinées et exclues comme simples mises à jour de fiches, sans preuve d’un changement substantiel dans la période. Les candidats publiés le 2026-11-05 signalent des vulnérabilités dans Customer Reviews for WooCommerce, LiteSpeed Cache, Dokan et Subscriptions for WooCommerce. Les autres candidats du lot ne sont que des mises à jour NVD de fiches publiées antérieurement ; les éléments fournis ne démontrent pas de changement substantiel daté dans la période. Deux vulnérabilités concernant des extensions WooCommerce sont indiquées comme publiées par le NVD le 2026-11-05 : une condition de concurrence dans YITH WooCommerce Gift Cards et une création non authentifiée de comptes administrateurs dans Security For WooCommerce.
Security For WooCommerce : création non authentifiée de comptes administrateurs
Une action accessible sans authentification permet de créer des comptes sans contrôle de capacité et laisse l’appelant choisir leur rôle. Les versions 1.0.10 à 1.0.16 de Security For WooCommerce sont concernées; un attaquant peut créer un compte administrateur et prendre le contrôle du site.
Action recommandée : Mettre à jour le plugin vers une version corrigée; aucune version corrigée n’est précisée dans les données fournies.
Fuite de données clients WooCommerce via LiteSpeed Cache
LiteSpeed Cache peut exposer sans authentification des données personnelles et des informations de session WooCommerce lorsque Cache REST est activé. Toutes les versions jusqu’à 7.9.1 inclusivement sont indiquées comme concernées; la source ne précise ni version corrigée ni contournement.
Action recommandée : Mettre à jour LiteSpeed Cache dès qu’un correctif est disponible; examiner la configuration Cache REST et éviter la mise en cache publique des réponses personnalisées.
XSS stockée dans Customer Reviews for WooCommerce
Customer Reviews for WooCommerce présente une XSS stockée via le paramètre `slides_to_show`, exploitable par un utilisateur authentifié ayant au moins le rôle Contributor. Les versions jusqu’à 5.126.0 inclusivement sont concernées; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
CVE-2026-107774 : usurpation de l’adresse d’expéditeur dans Dokan
Dokan avant la version 5.3.3 utilise l’adresse fournie par un visiteur non authentifié comme expéditeur d’un message transmis aux vendeurs. Cela peut permettre l’usurpation d’une adresse du domaine du site ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour Dokan vers la version 5.3.3 ou ultérieure et vérifier la configuration des messages du formulaire de contact.
CVE-2026-107775 : contrôle d’autorisation insuffisant pour les vendeurs dans Dokan
Dokan avant la version 5.3.3 ne vérifie pas correctement qu’un administrateur de sous-site WordPress Multisite peut gérer chaque utilisateur sélectionné avant de lui accorder le statut de vendeur. Un administrateur de sous-site peut ainsi activer la vente pour des utilisateurs hors de son périmètre de gestion ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour Dokan vers la version 5.3.3 ou ultérieure et vérifier les droits d’administration des sous-sites.
Subscriptions for WooCommerce : contournement des restrictions de contenu
Subscriptions for WooCommerce applique ses restrictions de contenu aux seules consultations ordinaires du site frontal, laissant d’autres routes révéler le contenu complet des publications et pages protégées. Des utilisateurs non authentifiés peuvent ainsi contourner la restriction ; mettre à jour vers la version 2.1.1 ou ultérieure.
Action recommandée : Mettre à jour Subscriptions for WooCommerce vers la version 2.1.1 ou ultérieure.
YITH WooCommerce Gift Cards : dépense concurrente d’une carte cadeau
YITH WooCommerce Gift Cards ne verrouille pas et ne met pas à jour atomiquement le solde d’une carte cadeau lors de son utilisation à la caisse. Un détenteur du code peut potentiellement dépenser plus que le montant crédité en lançant des paiements simultanés ; mettre à jour vers la version 4.38.1 ou ultérieure.
Action recommandée : Mettre à jour YITH WooCommerce Gift Cards vers la version 4.38.1 ou ultérieure.
CVE-2026-107773 : contrôles d’autorisation insuffisants dans Dokan
Dokan avant la version 5.3.3 vérifie incorrectement l’autorisation d’accès à une commande et à ses notes, ce qui peut permettre à un attaquant non authentifié de consulter des informations de commande et de client. Selon les données fournies, certaines commandes peuvent aussi être affectées par l’ajout ou la suppression de notes ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour Dokan vers la version 5.3.3 ou ultérieure et vérifier les accès aux commandes ainsi que les notes de commande.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée à Simple:Press n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté dans la période du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu. Les informations de sécurité trouvées dans les sources consultées sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche a relevé un avis général concernant Docker Buildx et Docker Desktop, mais la source consultée le date du 4 novembre 2026, hors de la période figée qui commence le 5 novembre à 00:00 (+02:00). Les sources consultées ne permettent pas de vérifier qu’un avis Docker nouveau ou une mise à jour substantielle a été publié dans la période demandée. Aucun candidat ne décrit une vulnérabilité, un correctif ou un avis de sécurité du produit Docker pendant la période. Le candidat kaniko concerne un outil distinct de construction d’images ; les autres concernent SiYuan et Dolibarr, même si leurs descriptions mentionnent des déploiements Docker.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Critique
Cinq vulnérabilités ou avis de sécurité datés de la période ont été retenus concernant des logiciels ou composants déployés avec Kubernetes : GPUStack, Kyverno, deux charts Eclipse BaSyx et ingress-nginx. Aucun de ces éléments n’établit une exploitation active connue. Deux vulnérabilités liées à Kubernetes ont une publication documentée dans la période : un contournement de validation dans Kyverno et l’exposition de mots de passe dans le chart Helm `basyx` d’Eclipse BaSyx. Les deux fiches fournies indiquent des versions corrigées.
Kyverno : contournement de validation de chemin dans les appels API de Policy
Dans Kyverno 1.19.1, la validation de urlPath nettoyait le chemin mais l’exécution utilisait la valeur brute, permettant de dissimuler des segments ../ derrière un fragment ou une requête. Un utilisateur autorisé à créer une Policy dans un namespace pouvait ainsi atteindre des endpoints Kubernetes à portée cluster avec les droits du ServiceAccount Kyverno, jusqu’à une élévation aux privilèges d’administrateur du cluster.
Action recommandée : Mettre à niveau Kyverno vers 1.19.2 et examiner les Policies utilisant context.apiCall.
Eclipse BaSyx : secret client Keycloak exposé dans une ConfigMap
Dans la version 2.2.0 du chart aas-basyx-v2-full, lorsque Keycloak intégré était activé, le secret client OAuth du compte technique basyx-technical-user était également inscrit en clair dans une ConfigMap. Un principal pouvant lire cette ConfigMap pouvait obtenir un jeton associé au rôle administrateur; aucun correctif pour ce chart n’est indiqué, et la migration vers le chart basyx est recommandée.
Action recommandée : Migrer vers le chart basyx ou désactiver le Keycloak intégré, puis renouveler le secret client.
Eclipse BaSyx : mots de passe Keycloak exposés dans une ConfigMap
Dans les versions 3.0.0-rc.1 à 3.12.1 du chart Helm basyx, lorsque Keycloak intégré était activé, les mots de passe des utilisateurs créés par le chart étaient stockés en clair dans une ConfigMap. Un principal pouvant lire les ConfigMaps du namespace pouvait notamment récupérer le mot de passe de l’administrateur Keycloak; le correctif déplace ces données dans un Secret.
Action recommandée : Mettre à niveau le chart basyx vers 3.12.2 et renouveler les mots de passe des utilisateurs créés par le chart.
GPUStack : contrôle d’autorisation insuffisant dans le proxy Kubernetes
Dans GPUStack 2.2.0 à 2.2.1, un utilisateur authentifié non administrateur pouvait utiliser le proxy vers un cluster Kubernetes sans vérification d’autorisation au niveau des ressources. Selon les permissions du ServiceAccount du worker, cela pouvait exposer ou modifier des ressources, voire permettre l’exécution de code via des workloads contrôlés par l’attaquant.
Action recommandée : Mettre à niveau GPUStack vers la version 2.2.2 ou ultérieure et examiner les droits des ServiceAccounts concernés.
ingress-nginx : déni de service via l’annotation mirror-target
Un utilisateur autorisé à créer un Ingress pouvait exploiter l’annotation mirror-target pour écrire dans une API de configuration non authentifiée du contrôleur ingress-nginx, provoquant une interruption du trafic et, en théorie, une redirection. Le projet Kubernetes n’émettra pas de correctif, car la maintenance d’ingress-nginx a pris fin en mars 2026; l’avis recommande des mesures d’admission ou le correctif de la version forkée de SUSE.
Action recommandée : Migrer depuis ingress-nginx ou appliquer les mesures d’admission indiquées; les utilisateurs du fork SUSE peuvent passer à 1.15.2-prime1.
Linux (noyau)
Recherche du sujet effectuée
Recherche web dédiée effectuée pour le noyau Linux. Aucun avis, correctif ou changement substantiel daté du 2026-11-05 dans la période demandée n’a pu être confirmé à partir des résultats consultés; les candidats fournis correspondent à des fiches publiées en 2023 ou 2024 dont seule la date de mise à jour NVD est dans la période. Les candidats sont des mises à jour de fiches NVD datées du 2026-11-05, mais les informations fournies ne démontrent aucun changement substantiel lié à une vulnérabilité, à un correctif, à un avis de sécurité ou à une exploitation. Ils sont donc exclus du bulletin plutôt que présentés comme des nouveautés. Les candidats fournis sont des fiches NVD initialement publiées en 2024, dont la date de mise à jour indiquée est le 2026-11-05. Les éléments fournis ne décrivent, pour cette période, qu’une modification de fiche NVD et n’établissent aucun changement substantiel correspondant aux critères du bulletin. Les candidats fournis sont des fiches de vulnérabilités Linux publiées en décembre 2024. Leurs mises à jour NVD du 5 novembre 2026 ne documentent, dans les éléments fournis, qu’une modification de fiche; aucune nouvelle information substantielle datée de la période n’est établie. Aucune vulnérabilité nouvelle, aucun correctif/avis de sécurité, aucune exploitation ni aucun changement substantiel du noyau Linux daté de la période demandée n’est établi par les candidats fournis. Les entrées sont des modifications NVD datées du 2026-11-05, mais les informations fournies décrivent des vulnérabilités et correctifs publiés en 2024 ou 2025 ; elles ne montrent pas de changement substantiel survenu pendant la période. Les candidats fournis sont des fiches NVD dont la date de mise à jour tombe dans la période, mais leurs informations décrivent des vulnéra…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Debian
Vérification incomplète
Niveau relevé : Critique
La liste officielle des avis LTS de Debian répertorie quatre avis de sécurité datés du 2026-11-05 : DLA-4882-1 (chromium), DLA-4883-1 (ntfs-3g), DLA-4884-1 (puppet-agent) et DLA-4885-1 (trapperkeeper-authorization-clojure). Les résumés techniques, CVE éventuelles, versions affectées et correctifs précis n’ont pas pu être vérifiés dans les pages d’avis individuelles. Aucun candidat ne fournit la preuve d’un nouvel avis Debian, d’un correctif Debian, d’une exploitation ou d’un changement substantiel intervenu pendant la période. Les mises à jour NVD datées du 5 novembre ne suffisent pas, à elles seules, à établir un événement de sécurité admissible pour Debian. Les candidats fournis sont des modifications de fiches NVD datées du 2026-11-05, mais les éléments disponibles ne documentent pas de changement substantiel propre à cette date concernant ces vulnérabilités Linux. Ils ne permettent pas d’établir une nouveauté de sécurité Debian dans la période. Aucun événement Debian admissible n’est établi par ce lot pour la période demandée. Les candidats sont des mises à jour de fiches NVD relatives à des vulnérabilités du noyau Linux publiées en mai 2025 ; leur modification le 5 novembre 2026 ne documente pas, à elle seule, un nouvel avis Debian ni un changement substantiel de sécurité dans la période. Les candidats fournis sont des mises à jour de fiches NVD datées du 2026-11-05, mais les éléments présentés décrivent des correctifs Linux publiés en mai 2025. Aucun changement substantiel propre à Debian ni nouvel avis de sécurité Debian dans la période demandée n’est établi par ces données. Aucun avis ni changement substantiel concernant Debian n’est établi pour cette période par les candidats fournis. Ils signalent des mises à jour de fiches NVD le 2026-11-05, mais les descrip…
Incus : contournement des restrictions de projet pouvant mener à l’exécution de commandes sur l’hôte
Incus n’applique pas le réglage de restriction des fonctionnalités bas niveau lors de la restauration d’instantanés, ce qui peut permettre l’exécution de commandes arbitraires sur l’hôte avec les privilèges root. Les versions antérieures à 7.2.0 sont indiquées comme affectées et la version 7.2.0 comme corrigée ; mettez Incus à niveau.
Action recommandée : Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Incus : contournement des restrictions de projet lors de la copie d’instances
Incus ne vérifie pas correctement les restrictions de projet lors de la copie d’une instance depuis un autre projet, ce qui peut exposer des secrets à un utilisateur non autorisé. Les versions antérieures à 7.2.0 sont indiquées comme affectées et la version 7.2.0 comme corrigée ; mettez Incus à niveau.
Action recommandée : Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Debian LTS : DLA-4885-1 corrige Trapperkeeper Authorization
Une validation insuffisante des ACL d’hôte dans le service d’autorisation Trapperkeeper pourrait permettre à un client Puppet de télécharger le catalogue d’un autre hôte. Debian a publié DLA-4885-1 ; installez la mise à jour de sécurité Debian applicable.
Action recommandée : Installer la mise à jour de sécurité Debian applicable.
Debian LTS : DLA-4884-1 corrige puppet-agent
Une validation manquante des données d’événement dans l’agent Puppet pourrait entraîner l’exécution de code sur le serveur Puppet. Debian a publié DLA-4884-1 ; installez la mise à jour de sécurité Debian applicable.
Action recommandée : Installer la mise à jour de sécurité Debian applicable.
ntfs-3g : dépassement de tampon dans ntfscat (CVE-2026-42616)
Un dépassement de tampon sur le tas dans `cat()` de ntfscat peut corrompre la mémoire du processus lors de la lecture d’un fichier NTFS préparé. L’avis Debian LTS DLA-4883-1 corrige le problème ; mettez à jour ntfs-3g depuis les dépôts Debian concernés.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : dépassement de tampon dans ntfs_ir_truncate (CVE-2026-42617)
Un dépassement de tampon sur le tas dans `ntfs_ir_truncate()` peut corrompre la mémoire du processus ntfs-3g privilégié lors de l’extension d’un répertoire sur un système de fichiers NTFS préparé. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : dépassement de tampon dans ntfs_decompress (CVE-2026-42618)
Un dépassement de tampon sur le tas dans `ntfs_decompress()` peut corrompre un octet de mémoire lors de la lecture d’un fichier d’une image NTFS préparée. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : dépassement de tampon dans ntfs_ib_copy_tail (CVE-2026-46569)
Un dépassement de tampon sur le tas dans `ntfs_ib_copy_tail()` peut corrompre la mémoire lors de l’extension d’un répertoire sur une image NTFS préparée. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : dépassement de tampon dans ntfs_index_walk_down (CVE-2026-46570)
Un dépassement de tampon sur le tas dans `ntfs_index_walk_down()` peut corrompre la mémoire lors de la lecture de métadonnées de fichier préparées. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : lecture hors limites dans ntfs_fix_file_name (CVE-2026-46571)
Une lecture hors limites dans `ntfs_fix_file_name()` peut divulguer de la mémoire du processus lors d’un `readlink` sur un fichier corrompu dans une image NTFS préparée. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : dépassement de tampon dans ntfs_ib_cut_tail (CVE-2026-46572)
Un dépassement de tampon sur le tas dans `ntfs_ib_cut_tail()` peut corrompre la mémoire lors de la création d’un fichier dans un répertoire préparé d’une image NTFS. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : dépassement de tampon lors du traitement des ACL (CVE-2026-56135)
Un dépassement de tampon sur le tas lors du traitement des ACL dans `build_inherited_id()` peut corrompre la mémoire de ntfs-3g privilégié lors de la création d’un fichier dans un répertoire préparé. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
ntfs-3g : lecture hors limites dans ntfs_ir_lookup (CVE-2026-56136)
Une lecture hors limites dans `ntfs_ir_lookup()` peut divulguer de la mémoire du processus lors de la création d’un fichier portant un nom préparé sur une image NTFS. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Action recommandée : Installer la mise à jour ntfs-3g fournie par Debian.
Debian LTS : DLA-4882-1 corrige des problèmes de sécurité dans Chromium
Des problèmes de sécurité dans Chromium pourraient entraîner l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. Debian a publié DLA-4882-1 ; installez la mise à jour de sécurité applicable depuis les dépôts Debian.
Action recommandée : Installer la mise à jour de sécurité Chromium fournie par Debian.
Alpine Linux
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis de sécurité Alpine daté du 5 novembre 2026 concerne un contournement conditionnel de l’authentification par mot de passe dans openssh-server sur musl sans PAM. Des versions corrigées sont publiées pour les branches Alpine 3.16 à 3.24 et edge.
Alpine Linux : contournement de l’authentification par mot de passe OpenSSH (CVE-2026-123158)
Le 5 novembre 2026, Alpine a publié un avis concernant un contournement de l’authentification par mot de passe dans sshd sur musl sans PAM : dans certaines configurations de comptes, une connexion peut réussir avec un mot de passe de 256 à 1024 caractères. Le risque concerne notamment les serveurs Alpine exposés remplissant les conditions de l’avis ; mettre à jour le paquet openssh vers la version corrigée de la branche et redémarrer sshd.
Action recommandée : Mettre à jour openssh vers la version corrigée correspondant à la branche Alpine, puis redémarrer sshd. Vérifier particulièrement les serveurs exposés utilisant musl sans PAM et l’authentification par mot de passe.
Apache HTTP Server
Vérification incomplète
Une pull request de sécurité du projet Apache HTTP Server, ouverte le 5 novembre 2026, propose un correctif pour un contournement d’authentification dans mod_auth_t_jwt. Aucun des candidats fournis n’a été retenu : leurs dates de publication sont antérieures à la période, ils concernent des produits hors sujet, ou les éléments consultés ne permettent pas d’établir qu’une modification NVD datée dans la période constitue un changement substantiel.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Nginx
Vérification incomplète
Deux événements liés à Nginx ont été vérifiés pour la période : l’avis Kubernetes du 5 novembre sur ingress-nginx (CVE-2026-116472) et l’avis Ubuntu USN-8955-2, publié le même jour, qui apporte notamment un correctif pour CVE-2026-42533. Les CVE concernant ModSecurity ont été écartées : elles portent sur ce produit, et la mention de Nginx comme plateforme ne suffit pas à les attribuer au sujet Nginx.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
PHP
Recherche du sujet effectuée
Niveau relevé : Exploitation active
La recherche dédiée sur PHP et PHP-FPM n’a pas permis de vérifier de nouvel avis, correctif, exploitation ou changement substantiel daté de la période demandée. Les avis PHP et GitHub repérés dans les résultats de recherche concernent des publications antérieures à cette période; aucun item n’est donc retenu. Les candidats examinés concernent ModSecurity, des composants Symfony, SuiteCRM et JReviews, et non une vulnérabilité ou un correctif du langage ou du moteur PHP. La fiche ModSecurity précise que le parseur multipart natif de PHP n’est pas affecté. Aucun candidat ne concerne le langage, l’interpréteur ou les composants PHP eux-mêmes : les vulnérabilités décrites portent sur SuiteCRM et OpenEMR. Elles sont donc hors du sujet demandé. Aucune vulnérabilité du sujet PHP n’est établie parmi les candidats fournis. Les avis concernent OpenEMR ou gnuboard, et non PHP lui-même. Aucun élément du lot ne concerne une vulnérabilité du langage PHP ou de PHP-FPM. Les candidats décrivent des failles dans des applications distinctes développées en PHP ou portant PHP dans leur nom; les dates indiquées correspondent à des modifications administratives de fiches NVD, sans preuve d’un changement substantiel pertinent pour le sujet. Aucun élément du lot ne documente une nouveauté vérifiée concernant PHP lui-même dans la période demandée. Les mises à jour NVD datées du 2026-11-05 sont des modifications de fiches pour des vulnérabilités déjà publiées, sans preuve fournie d’un changement substantiel ; les produits cités sont des applications distinctes, et non PHP. Aucun candidat ne concerne une vulnérabilité du langage ou de l’environnement d’exécution PHP : les entrées décrivent des vulnérabilités de produits tiers, même lorsque leur description mentionne un fichier PHP ou l’exécution d…
PHP : risque d’exécution de code à distance lors du traitement d’erreurs mémoire (CVE-2026-109618)
PHP peut, dans certains chemins de gestion d’erreur mémoire insuffisamment réinitialisés, laisser une mémoire de requête dans un état non initialisé avant une allocation. Le nettoyage de la requête peut ensuite lire cet état, avec un risque d’exécution de code à distance selon la description fournie.
Action recommandée : Consulter l’avis PHP officiel et appliquer une version corrigée dès qu’elle est identifiée ; la source fournie ne précise ni versions affectées ni correctif.
PHP : état global périmé pouvant mener à une exécution de code à distance (CVE-2026-109619)
PHP peut conserver un état global qui pointe vers la mémoire d’une requête après sa libération, ou le repeupler après sa réinitialisation. Une requête ultérieure peut consulter cet état périmé avant son initialisation complète, ce qui pourrait conduire à une exécution de code à distance selon plusieurs scénarios décrits.
Action recommandée : Consulter l’avis PHP officiel et appliquer une version corrigée dès qu’elle est identifiée ; la source fournie ne précise ni versions affectées ni correctif.
WordPress
Vérification incomplète
Niveau relevé : Exploitation active
La recherche web a relevé des fiches NVD publiées le 2026-11-05 pour dix vulnérabilités de plugins WordPress : XSS, suppression de fichiers, élévation de privilèges, exposition de données WooCommerce et lecture SQL. Les CVE-2025-15701 et CVE-2025-15702 sont retenues en raison de leur publication NVD pendant la période, et non de l’année figurant dans leur identifiant. Les fiches NVD fournies signalent dix vulnérabilités de plugins WordPress publiées pendant la période : accès non autorisé à des données, défauts d’autorisation, injection SQL, XSS stockée, usurpation de publications et contournement de la connexion sans mot de passe. Les versions correctrices sont indiquées uniquement lorsque la source fournie les précise; aucun élément fourni ne confirme une exploitation active. Onze fiches CVE concernant des extensions WordPress ont été publiées par le NVD pendant la période : trois concernent Essential Real Estate, deux FV Flowplayer Video Player et les autres Tutor LMS, WP Event Manager, Community Events, Subscriptions for WooCommerce et YITH WooCommerce Gift Cards. Les descriptions fournies indiquent les versions corrigées ; aucune information de score CVSS ni d’exploitation active n’est établie dans les éléments examinés. Six nouvelles fiches CVE WordPress ont été publiées par la NVD durant la période : deux concernant Essential Real Estate, ainsi que des vulnérabilités dans EWWW Image Optimizer, Security For WooCommerce, Dokan et Content Egg. Les trois candidats portant sur des mises à jour NVD de fiches antérieures à la période ne sont pas retenus comme nouveautés ou changements substantiels sur la seule base des informations fournies. Aucun élément du lot ne permet d’établir une nouvelle vulnérabilité, un correctif ou un changement substantiel pendant la période…
WordPress : exploitation active signalée pour une RCE pendant les mises à niveau
Wordfence rapporte le 2026-11-05 que des attaquants ciblent activement CVE-2026-119977 et que son pare-feu a bloqué plus de 240 000 tentatives d’exploitation. Cette vulnérabilité de WordPress Core permet à un attaquant non authentifié d’exécuter du code pendant la fenêtre d’une mise à niveau complète; mettez à jour vers la version corrigée de votre branche.
Action recommandée : Mettre à jour sans délai vers la version corrigée correspondant à la branche installée.
Security For WooCommerce : création non authentifiée de comptes administrateurs
Une action accessible sans authentification permet de créer des comptes sans contrôle de capacité et laisse l’appelant choisir leur rôle. Les versions 1.0.10 à 1.0.16 de Security For WooCommerce sont concernées; un attaquant peut créer un compte administrateur et prendre le contrôle du site.
Action recommandée : Mettre à jour le plugin vers une version corrigée; aucune version corrigée n’est précisée dans les données fournies.
Fuite de données clients WooCommerce via LiteSpeed Cache
LiteSpeed Cache peut exposer sans authentification des données personnelles et des informations de session WooCommerce lorsque Cache REST est activé. Toutes les versions jusqu’à 7.9.1 inclusivement sont indiquées comme concernées; la source ne précise ni version corrigée ni contournement.
Action recommandée : Mettre à jour LiteSpeed Cache dès qu’un correctif est disponible; examiner la configuration Cache REST et éviter la mise en cache publique des réponses personnalisées.
Suppression non autorisée de fichiers dans Motors
Motors – Car Dealership & Classified Listings peut permettre à un utilisateur authentifié de supprimer des images appartenant à d’autres utilisateurs dans le répertoire des téléversements. Les versions jusqu’à 1.4.128 inclusivement sont concernées; aucun correctif ni contournement n’est indiqué dans la source fournie.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
Élévation de privilèges via les réglages de GiveWP
GiveWP permet à un gestionnaire disposant de `manage_give_settings` de configurer l’attribution de rôles privilégiés aux nouveaux comptes donateurs. Les versions jusqu’à 4.19.1 inclusivement sont touchées; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour GiveWP dès qu’un correctif est disponible et limiter l’accès aux réglages et à l’import JSON.
XSS stockée dans Customer Reviews for WooCommerce
Customer Reviews for WooCommerce présente une XSS stockée via le paramètre `slides_to_show`, exploitable par un utilisateur authentifié ayant au moins le rôle Contributor. Les versions jusqu’à 5.126.0 inclusivement sont concernées; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
XSS stockée dans Redux Framework via `multi_media`
Redux Framework présente une XSS stockée via une clé du tableau `multi_media`, exploitable par un utilisateur authentifié ayant au moins le rôle Subscriber. Toutes les versions sont indiquées comme concernées; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Redux Framework dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
XSS stockée dans Redux Framework via `theme_opts`
Redux Framework présente une XSS stockée liée au paramètre `theme_opts`, exploitable par un utilisateur authentifié ayant au moins le rôle Subscriber si le thème enregistre certains champs Redux émettant du CSS. Les versions jusqu’à 4.5.16 inclusivement sont concernées; aucun correctif n’est indiqué dans la source fournie.
Action recommandée : Mettre à jour Redux Framework dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
Content Egg : exposition de données produit de publications non publiées
La route REST de rendu de blocs de Content Egg peut exposer les données produit de publications non publiées lorsqu’elle est appelée sans nonce. Les versions antérieures à 12.1.0 sont concernées; les données divulguées peuvent inclure des titres, des liens affiliés, des informations de marchand et des descriptions.
Action recommandée : Mettre à jour Content Egg vers la version 12.1.0 ou ultérieure.
Dokan : incohérence de rapprochement des paiements de commissions
Dokan ne rapproche pas le montant porté au crédit du registre de retrait inversé d’un vendeur du montant réellement perçu pour la commande de paiement. Avant la version 5.3.3, un vendeur peut réduire une dette de commissions en appliquant un coupon et en payant moins que le solde dû.
Action recommandée : Mettre à jour Dokan vers la version 5.3.3 ou ultérieure.
CVE-2026-107774 : usurpation de l’adresse d’expéditeur dans Dokan
Dokan avant la version 5.3.3 utilise l’adresse fournie par un visiteur non authentifié comme expéditeur d’un message transmis aux vendeurs. Cela peut permettre l’usurpation d’une adresse du domaine du site ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour Dokan vers la version 5.3.3 ou ultérieure et vérifier la configuration des messages du formulaire de contact.
CVE-2026-107775 : contrôle d’autorisation insuffisant pour les vendeurs dans Dokan
Dokan avant la version 5.3.3 ne vérifie pas correctement qu’un administrateur de sous-site WordPress Multisite peut gérer chaque utilisateur sélectionné avant de lui accorder le statut de vendeur. Un administrateur de sous-site peut ainsi activer la vente pour des utilisateurs hors de son périmètre de gestion ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour Dokan vers la version 5.3.3 ou ultérieure et vérifier les droits d’administration des sous-sites.
Subscriptions for WooCommerce : contournement des restrictions de contenu
Subscriptions for WooCommerce applique ses restrictions de contenu aux seules consultations ordinaires du site frontal, laissant d’autres routes révéler le contenu complet des publications et pages protégées. Des utilisateurs non authentifiés peuvent ainsi contourner la restriction ; mettre à jour vers la version 2.1.1 ou ultérieure.
Action recommandée : Mettre à jour Subscriptions for WooCommerce vers la version 2.1.1 ou ultérieure.
YITH WooCommerce Gift Cards : dépense concurrente d’une carte cadeau
YITH WooCommerce Gift Cards ne verrouille pas et ne met pas à jour atomiquement le solde d’une carte cadeau lors de son utilisation à la caisse. Un détenteur du code peut potentiellement dépenser plus que le montant crédité en lançant des paiements simultanés ; mettre à jour vers la version 4.38.1 ou ultérieure.
Action recommandée : Mettre à jour YITH WooCommerce Gift Cards vers la version 4.38.1 ou ultérieure.
CVE-2026-107773 : contrôles d’autorisation insuffisants dans Dokan
Dokan avant la version 5.3.3 vérifie incorrectement l’autorisation d’accès à une commande et à ses notes, ce qui peut permettre à un attaquant non authentifié de consulter des informations de commande et de client. Selon les données fournies, certaines commandes peuvent aussi être affectées par l’ajout ou la suppression de notes ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour Dokan vers la version 5.3.3 ou ultérieure et vérifier les accès aux commandes ainsi que les notes de commande.
CVE-2026-105971 : accès non authentifié à des contenus non publiés dans Car Dealer
Le plugin Car Dealer (Dealership) and Vehicle sales jusqu’à la version 4.73 permet à un attaquant non authentifié de consulter le titre, le contenu et les métadonnées de contenus privés, brouillons, en attente, programmés ou supprimés. La fiche NVD indique cette vulnérabilité comme publiée pendant la période ; aucune version corrigée ni mesure de contournement n’est précisée dans les données fournies.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; dans l’intervalle, limiter l’accès au plugin et surveiller les requêtes visant des contenus non publiés.
CVE-2026-107786 : injection SQL dans CatFolders
CatFolders avant la version 2.5.7 ne nettoie ni n’échappe correctement un paramètre de tri contrôlé par l’utilisateur avant de l’insérer dans une requête SQL. Un utilisateur authentifié disposant au moins de la capacité d’envoi de fichiers peut ainsi effectuer une injection SQL ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour CatFolders vers la version 2.5.7 ou ultérieure et limiter les comptes disposant de capacités d’envoi de fichiers.
CVE-2026-107787 : action de maintenance non autorisée dans CatFolders
CatFolders avant la version 2.5.7 ne vérifie pas les autorisations sur une action de maintenance des dossiers. Un utilisateur ayant un rôle aussi limité que celui d’abonné peut réinitialiser la propriété des dossiers médias pour tous les utilisateurs et désactiver le réglage de restriction par utilisateur ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour CatFolders vers la version 2.5.7 ou ultérieure et vérifier les paramètres de restriction des dossiers médias.
WP PageNavi Style : XSS persistante via des paramètres non protégés contre CSRF
WP PageNavi Style jusqu’à la version 1.4 ne nettoie ni n’échappe correctement certains paramètres et ne vérifie pas les requêtes CSRF lors de leur enregistrement. Un attaquant peut ainsi faire enregistrer du JavaScript par un administrateur connecté, qui s’exécutera dans le navigateur des visiteurs du site; aucune version corrigée n’est indiquée dans les données fournies.
Action recommandée : Désactiver ou retirer le plugin si aucune version corrigée n’est disponible; éviter les modifications de paramètres déclenchées par des requêtes non fiables.
CVE-2026-16304 : modification et publication de contenus via WP Event Manager
WP Event Manager avant la version 3.4.2 ne valide pas correctement la propriété ni le type des identifiants de publications traités par un formulaire frontal. Un utilisateur abonné ou de rôle supérieur peut réattribuer à son compte la paternité de publications arbitraires et les forcer à être publiées, si la fonctionnalité concernée est activée ; aucune mesure de contournement n’est précisée.
Action recommandée : Mettre à jour WP Event Manager vers la version 3.4.2 ou ultérieure et désactiver la fonctionnalité frontale concernée si elle n’est pas nécessaire.
CVE-2026-19256 : tentatives de deviner le code de connexion dans All In One Login
All In One Login avant la version 2.5.0 limite insuffisamment les tentatives de deviner le court code numérique utilisé pour la connexion par courriel sans mot de passe. Les échecs ne sont pas pris en compte par sa protection anti-force brute, ce qui peut permettre à un attaquant non authentifié de prendre le contrôle d’un compte, y compris administrateur.
Action recommandée : Mettre à jour All In One Login vers la version 2.5.0 ou ultérieure et, dans l’intervalle, désactiver la connexion par code si possible.
CVE-2026-85346 : divulgation de données de stockage cloud dans FV Flowplayer Video Player
FV Flowplayer Video Player avant la version 7.5.56.7212 ne vérifie ni les autorisations ni les jetons CSRF sur plusieurs gestionnaires de navigation de médias cloud. Un utilisateur authentifié disposant de permissions minimales peut ainsi divulguer la configuration et la liste des fichiers des comptes cloud connectés au site.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.56.7212 ou ultérieure et vérifier les comptes ayant accès à l’administration WordPress.
XSS stockée via les réglages d’Easy Social Icons
Easy Social Icons ne nettoie pas et n’échappe pas certains réglages avant leur affichage, ce qui peut conduire à une XSS stockée par des utilisateurs à privilèges élevés lorsque `unfiltered_html` est désactivé. Les versions antérieures à 4.0.3 sont concernées; la version 4.0.3 est indiquée comme seuil de correction.
Action recommandée : Mettre à jour Easy Social Icons vers la version 4.0.3 ou ultérieure.
Stockage de scripts malveillants dans Cloud Blocks
Cloud Blocks n’effectue pas de contrôle d’autorisation ni d’assainissement lors de l’enregistrement des URL d’actifs de blocs, permettant le stockage de scripts malveillants. Les versions jusqu’à 1.1.8 sont concernées; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Mettre à jour Cloud Blocks dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
Lecture de données par injection SQL dans IVPAY payments
IVPAY payments accepte une clé API vide et ne nettoie pas une valeur de rappel de paiement utilisée dans une requête SQL, ce qui peut permettre la lecture non authentifiée de données arbitraires de la base. Les versions jusqu’à 1.0.8 sont concernées; aucun correctif n’est précisé dans la source fournie.
Action recommandée : Mettre à jour IVPAY payments dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
XSS via téléversement de SVG dans Easy Social Icons
Easy Social Icons autorise le téléversement de SVG sans les assainir, ce qui peut permettre une XSS via un fichier malveillant. Les versions antérieures à 4.0.3 sont concernées; la source indique 4.0.3 comme seuil de correction.
Action recommandée : Mettre à jour Easy Social Icons vers la version 4.0.3 ou ultérieure.
Essential Real Estate : activation indue de forfaits payants
La faille permet à un client inscrit d’activer sans paiement un forfait payant, car une action AJAX ne vérifie pas que le forfait est gratuit ni que l’utilisateur y a droit. Les versions d’Essential Real Estate antérieures à 5.3.5 sont concernées.
Action recommandée : Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
Essential Real Estate : accès aux factures d’autres utilisateurs
Une action AJAX d’Essential Real Estate peut afficher des factures sans vérifier que l’utilisateur en est propriétaire. Un utilisateur authentifié disposant de faibles privilèges peut ainsi consulter des données personnelles et financières d’autres utilisateurs; les versions antérieures à 5.3.5 sont concernées.
Action recommandée : Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
EWWW Image Optimizer : contournement de l’assainissement de scripts
Une valeur du contenu d’un article n’est pas suffisamment assainie ni restreinte avant d’être utilisée pour charger et exécuter dynamiquement un script. Un utilisateur authentifié ayant au moins le rôle d’auteur peut injecter un script exécuté dans la session des personnes qui consultent la page; les versions 8.7.4 à 8.9.0 d’EWWW Image Optimizer restent concernées.
Action recommandée : Mettre à jour vers EWWW Image Optimizer 8.9.1 ou ultérieur.
FV Flowplayer Video Player : injection de script via une valeur non assainie
Dans FV Flowplayer Video Player, une valeur fournie par l’utilisateur n’est pas assainie avant d’être affichée, ce qui peut permettre une injection de script exécutée lorsqu’un utilisateur plus privilégié consulte la page. Le défaut concerne les versions antérieures à 7.5.56.7212 ; mettre à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.56.7212 ou ultérieure.
FV Flowplayer Video Player : SSRF via une URL non validée
FV Flowplayer Video Player ne valide pas une URL fournie par l’utilisateur avant d’effectuer une requête côté serveur, puis de stocker et servir publiquement le corps de la réponse. Des utilisateurs ayant le rôle Contributor ou supérieur peuvent ainsi tenter une SSRF et, dans certaines conditions de réponse, accéder à une ressource interne ; mettre à jour vers la version 7.5.56.7212 ou ultérieure.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.56.7212 ou ultérieure.
Tutor LMS : divulgation des réponses correctes aux quiz
Tutor LMS inclut les bonnes réponses aux questions de quiz dans la page servie à l’étudiant, même lorsque le réglage correspondant devrait en contrôler la révélation. Un étudiant inscrit peut les consulter avant de soumettre sa tentative ; mettre à jour vers la version 4.2.0 ou ultérieure.
Action recommandée : Mettre à jour Tutor LMS vers la version 4.2.0 ou ultérieure.
WP Event Manager : accès et modification de contenus non publiés
WP Event Manager ne vérifie pas la propriété ni le type d’un article à partir d’un identifiant fourni dans le flux de soumission d’événements. Un attaquant non authentifié peut lire et écraser le contenu de publications ou pages non publiées et les convertir en événements ; mettre à jour vers la version 3.4.2 ou ultérieure.
Action recommandée : Mettre à jour WP Event Manager vers la version 3.4.2 ou ultérieure.
Community Events : divulgation de soumissions en attente de modération
Une action AJAX de Community Events ne comporte ni contrôle d’autorisation ni vérification de nonce suffisants. Des utilisateurs non authentifiés peuvent récupérer des détails de soumissions d’événements en attente de modération ; mettre à jour vers la version 1.6.0 ou ultérieure.
Action recommandée : Mettre à jour Community Events vers la version 1.6.0 ou ultérieure.
Essential Real Estate : divulgation d’annonces non publiées et de données d’agents
Une action AJAX d’Essential Real Estate ne vérifie ni l’autorisation ni le statut de publication des annonces. Des utilisateurs non authentifiés peuvent consulter le contenu intégral d’annonces non publiées ainsi que des coordonnées privées de l’agent ; mettre à jour vers la version 5.3.5 ou ultérieure.
Action recommandée : Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
Essential Real Estate : envoi de courriels à des destinataires arbitraires
Essential Real Estate ne restreint pas le destinataire d’une action d’envoi de courriel. Des utilisateurs non authentifiés peuvent envoyer, par l’intermédiaire du site, des messages à des adresses arbitraires avec un en-tête d’expéditeur et un corps contrôlés par l’attaquant ; mettre à jour vers la version 5.3.5 ou ultérieure.
Action recommandée : Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
Essential Real Estate : accès aux images d’annonces non publiées
Deux actions AJAX d’Essential Real Estate ne vérifient pas l’autorisation de l’appelant ni le statut de publication des annonces. Des utilisateurs non authentifiés peuvent récupérer les images attachées à des annonces non publiées ; mettre à jour vers la version 5.3.5 ou ultérieure.
Action recommandée : Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
La recherche web a été effectuée. Les pages et résultats consultés montrent des avis et correctifs PrestaShop publiés avant la période, mais aucun élément de sécurité vérifié comme nouveau ou substantiellement mis à jour entre le 2026-11-05T00:00:00+02:00 et le 2026-11-06T00:00:00+02:00. Une issue du dépôt core ouverte le 5 novembre apparaît dans les résultats, mais son impact de sécurité n’est pas étayé; elle n’est donc pas retenue comme vulnérabilité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Vérification incomplète
Un avis daté du 2026-11-05 concernant cockpit-files et CVE-2026-91205 a été repéré. Les candidats NVD portant sur des CVE antérieures n’ont pas été retenus : leur date de modification seule ne démontre pas un nouvel avis, un correctif ou un changement substantiel dans la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Recherche du sujet effectuée
Aucune nouveauté CloudPanel datée de la période demandée n’a été vérifiée dans les sources consultées. Les résultats pertinents trouvés concernent des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée sur Uptime Kuma a consulté les avis de sécurité et les pages GitHub du projet. Les avis visibles dans les résultats consultés sont datés du 31 octobre et du 2 novembre 2026, donc hors de la période demandée; aucun événement admissible daté du 5 novembre n’a été vérifié dans ces sources.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
Niveau relevé : Élevée
Un avis de sécurité MariaDB publié pendant la période a été vérifié : CVE-2026-102523 concerne le traitement des noms de partitions lors d’une conversion de table et peut permettre à un utilisateur authentifié d’accéder à des fichiers de tables non autorisés.
CVE-2026-102523 — accès non autorisé à des fichiers de tables via des noms de partitions
Une validation insuffisante des noms de partitions dans `ALTER TABLE … CONVERT … PARTITION` peut permettre à un utilisateur authentifié de faire lire ou modifier des fichiers de tables auxquels il n’est pas autorisé à accéder. Les versions correctives indiquées sont 10.11.19, 11.4.13, 11.8.9, 12.3.3 et 13.0.2 ; il est recommandé de mettre à jour vers la version corrigée correspondant à sa branche.
Action recommandée : Mettre à jour MariaDB vers la version corrective correspondant à la branche utilisée.
phpMyAdmin
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ni avis de sécurité phpMyAdmin daté de la période vérifiée (du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu) n’a été identifié dans les sources consultées. La CVE candidate concerne une vulnérabilité publiée le 2026-10-30; sa mise à jour NVD est antérieure au début de la période en UTC et aucun changement substantiel daté de la période n’a été établi.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée sur pgAdmin n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-05 dans la période demandée. Les avis trouvés sur la page de sécurité pgAdmin sont datés antérieurement à cette période; cette conclusion porte sur les sources consultées et ne constitue pas une affirmation d’exhaustivité sur l’ensemble du Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin n’a fait ressortir, dans les sources consultées, aucun avis de sécurité, correctif de sécurité, signalement d’exploitation ni changement substantiel daté du 2026-11-05 dans la période demandée. Le changelog officiel consulté affiche des publications antérieures à cette période; cela ne constitue pas une preuve d’absence de toute information sur le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche dédiée a identifié une publication NVD pendant la période pour CVE-2026-102337. L’avis éditeur correspondant date du 2026-07-30; aucun autre événement Webmin daté de la période n’a été suffisamment vérifié pour être inclus.
Webmin : SSRF dans les modules File Manager et Upload and Download
Webmin présentait une vulnérabilité SSRF dans les modules File Manager et Upload and Download : des utilisateurs non fiables disposant d’un accès à ces modules pouvaient faire effectuer par le serveur des requêtes vers des adresses réseau non publiques. La version 2.652 corrige le problème; limiter les destinations de téléchargement autorisées et mettre à jour Webmin.
Action recommandée : Mettre à jour Webmin vers 2.652 ou une version ultérieure et restreindre les destinations de téléchargement URL pour les comptes non fiables.
Vue.js
Recherche du sujet effectuée
Les sources consultées signalent une version Vue.js 3.5.45 publiée le 2026-11-05, avec des corrections générales, mais ne la présentent pas comme un correctif de sécurité. L’avis de sécurité Vue.js repéré est daté du 2026-08-31, hors de la période demandée ; aucun item admissible n’a été établi pour la période figée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée sur Vite n’a pas identifié d’avis, de correctif ou d’autre événement de sécurité dont la date de publication ou de mise à jour soit établie dans la période demandée. Les résultats trouvés concernent des avis antérieurs au 5 novembre 2026, ou ne permettent pas de confirmer un événement dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche dédiée sur Nuxt n’a identifié aucun avis, correctif de sécurité, cas d’exploitation ou changement substantiel daté de la période demandée, du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu. Les avis Nuxt visibles dans les sources consultées étaient datés du 2026-11-02 ou de dates antérieures et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche dédiée sur Next.js a consulté les avis de sécurité GitHub du projet et des résultats concernant la publication de sécurité de novembre. Les avis affichés sont datés du 3 novembre 2026, donc antérieurs à la période demandée ; aucun élément nouveau répondant aux critères n’a été identifié pour la période du 5 novembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
La recherche web dédiée sur React a été effectuée. Les avis et versions de sécurité trouvés dans les résultats consultés sont datés d’avant la période demandée; aucun élément de la période figée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche a retrouvé un avis Angular lié à CVE-2026-111753, mais l’avis du projet GitHub est daté du 16 octobre 2026, hors de la période demandée. Les éléments consultés ne permettent pas d’établir une nouvelle vulnérabilité, un correctif ou un changement substantiel Angular daté du 5 novembre 2026; la date de publication NVD indiquée dans le candidat ne suffit pas à elle seule à établir un nouvel événement de sécurité dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité ni aucun avis/correctif de sécurité Astro daté de la période examinée n’a été vérifié. La page des versions GitHub indique des publications Astro le 5 novembre 2026, mais les notes consultées décrivent des corrections fonctionnelles et ne permettent pas d’établir qu’il s’agit de correctifs de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié six CVE liées à des projets TypeScript dont la publication NVD est datée dans la période figée : quatre concernant tsParticles, une Angular et une le SDK TypeScript MCP. Deux autres candidats sont des modifications de fiches NVD pour des CVE publiées avant la période; les éléments consultés ne démontrent pas de changement substantiel, elles sont donc exclues. Quatre informations de sécurité concernant des projets TypeScript ont été retenues sur la base des candidats: deux mises à jour NVD substantielles concernant tsParticles, et deux nouvelles fiches CVE publiées pour Angular et le SDK MCP TypeScript. L’avis Budibase est antérieur à la période; son horodatage de mise à jour seul ne démontre pas un changement substantiel daté dans la fenêtre.
CVE-2026-63655 : épuisement mémoire dans le serveur HTTP de @tsparticles/mcp-server
Avant la version 4.3.1, le serveur HTTP de @tsparticles/mcp-server acceptait des requêtes POST /mcp sans authentification et accumulait sans limite leur corps en mémoire, permettant à distance d’épuiser la mémoire du processus Node.js et d’interrompre le service. La faille a été publiée le 2026-11-05 à 00:18:07 +02:00 ; mettre à jour vers la version 4.3.1.
Action recommandée : Mettre à jour @tsparticles/mcp-server vers la version 4.3.1.
Exécution de commandes lors de la publication stable de tsParticles
La publication stable de tsParticles pouvait exécuter des commandes shell lors du traitement de notes de version contrôlées par un contributeur. Le problème concerne les versions 4.0.0 à 4.3.1 et est corrigé en 4.3.2.
Action recommandée : Mettre à niveau tsParticles vers la version 4.3.2 ou ultérieure.
CVE-2026-76892 : arrêt du serveur MCP par JSON malformé
Avant la version 4.3.1, une requête POST /mcp contenant un JSON malformé pouvait provoquer une exception SyntaxError non interceptée et arrêter le processus Node.js. La faille a été publiée le 2026-11-05 à 01:17:58 +02:00 ; mettre à jour vers la version 4.3.1.
Action recommandée : Mettre à jour @tsparticles/mcp-server vers la version 4.3.1.
Validation insuffisante de l’audience des jetons dans le SDK MCP TypeScript
L’authentification bearer côté serveur du SDK MCP TypeScript pouvait accepter un jeton valide destiné à un autre service lorsque l’audience n’était pas vérifiée. Il faut mettre à niveau le composant concerné et activer explicitement la validation de l’audience avec l’audience attendue.
Action recommandée : Mettre à niveau le paquet concerné et activer la validation de l’audience en configurant l’audience attendue; vérifier aussi verifyAccessToken().
Les clients MCP indépendants peuvent être empêchés d’ouvrir une session dans tsParticles
Le mode HTTP de `@tsparticles/mcp-server` réutilisait un transport avec état partagé entre les clients; un premier client non authentifié pouvait ainsi empêcher les suivants d’établir leur session jusqu’au redémarrage du processus. La version 4.3.2 corrige le problème; mettre à niveau les déploiements concernés.
Action recommandée : Mettre à niveau `@tsparticles/mcp-server` vers la version 4.3.2 ou ultérieure.
Angular : fuite possible du jeton XSRF via une URL mal normalisée
Lorsque la protection XSRF est activée, l’intercepteur `xsrfInterceptorFn` d’Angular peut traiter à tort certaines URL contrôlées par un attaquant comme relatives et de même origine, puis leur joindre le jeton `X-XSRF-TOKEN`. Avec une configuration CORS permissive pour cet en-tête, le jeton peut être exposé et utilisé pour une attaque CSRF; les versions corrigées sont 20.3.34 et 21.0.3.
Action recommandée : Mettre à niveau vers Angular 20.3.34 ou 21.0.3, selon la branche utilisée, et éviter une configuration CORS permissive pour l’en-tête concerné.
JavaScript
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a repéré des publications NVD datées du 5 novembre 2026 (fuseau +02:00) concernant des vulnérabilités où JavaScript est directement impliqué : XSS, ponts JavaScript exposés dans des WebView, accès aux fichiers depuis un webview privilégié, exécution d’agent sans approbation et capture d’écran depuis du JavaScript intégré. Les versions correctrices sont indiquées lorsqu’elles étaient précisées dans les informations consultées; aucune exploitation active n’est établie ici. Quatre nouvelles vulnérabilités liées à JavaScript ont été publiées dans la période : HomeBox, noname Electron, Angular et dcmjs. Les mises à jour NVD d’anciennes CVE du lot ne fournissent pas d’élément établissant une évolution de sécurité substantielle pendant cette période. Les candidats fournis indiquent des mises à jour de fiches NVD le 2026-11-05, mais aucun élément ne permet d’établir qu’il s’agissait d’un changement substantiel dans la période plutôt que d’une modification administrative. Aucun événement admissible n’est retenu. Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle datée de la période n’est établie par les candidats fournis. Les candidats sont des modifications de fiches NVD pour des CVE publiées antérieurement; les horodatages de mise à jour indiqués sont administratifs et ne démontrent pas un changement substantiel lié à JavaScript. Aucun événement substantiel lié à JavaScript n’est établi par les éléments fournis pour la période. Les fiches NVD indiquent une mise à jour le 2026-11-05, mais le lot ne précise aucun changement de contenu; une date de modification seule ne suffit pas à établir une nouvelle faille, un correctif ou un changement substantiel. Aucun candidat ne documente une vulnérabilité, u…
OpenHuman : exécution de commandes sans approbation via Yuanbao
OpenHuman peut exécuter des commandes JavaScript et système à la suite d’un message direct Yuanbao, sans demander l’approbation attendue, lorsque les conditions décrites sont réunies. Le problème concerne notamment la politique Supervised par défaut avec Node activé; la faille est corrigée en version 0.57.13.
Action recommandée : Mettre à niveau vers OpenHuman 0.57.13 ou une version ultérieure.
dcmjs : valeurs numériques DICOM invalides acceptées par le parseur
Dans dcmjs, le traitement de valeurs DICOM DS et IS peut produire `Infinity` ou `NaN`, et IntegerString accepte aussi des notations exponentielles ou des valeurs hors plage. Les applications qui utilisent ces résultats peuvent effectuer des calculs incorrects ou perturber le traitement d’images; la correction est disponible en version 0.52.0.
Action recommandée : Mettre à niveau vers dcmjs 0.52.0 ou une version ultérieure et valider les valeurs numériques exploitées en aval.
noname Electron : serveur local vulnérable permettant la modification de fichiers depuis un site malveillant
Dans les versions de bureau noname Electron 1.11.2 à 1.11.6.1, un serveur de fichiers local non authentifié avec CORS générique peut être sollicité par un site malveillant pour lire, modifier ou supprimer des fichiers d’installation. L’écrasement de scripts du renderer peut permettre l’exécution de JavaScript avec les privilèges Node.js de l’utilisateur local ; aucune version corrigée n’est précisée dans les éléments fournis.
Action recommandée : Mettre à jour noname vers une version corrigée dès qu’elle est disponible; la version corrigée n’a pas pu être établie à partir des sources consultées.
Readest : accès arbitraire à des fichiers depuis le webview privilégié
Dans les versions desktop Tauri de Readest antérieures à 0.11.10, des commandes accessibles depuis le webview acceptaient des chemins contrôlés par celui-ci sans vérification suffisante du périmètre de fichiers. Si du JavaScript s’exécute dans l’origine privilégiée de l’application, il peut provoquer la lecture ou l’écriture de fichiers accessibles au processus; installer Readest 0.11.10 ou une version ultérieure.
Action recommandée : Mettre à niveau vers Readest 0.11.10 ou ultérieur; limiter également l’exécution de JavaScript non fiable dans l’origine privilégiée de l’application.
Angular : fuite possible du jeton XSRF via une URL mal normalisée
Lorsque la protection XSRF est activée, l’intercepteur `xsrfInterceptorFn` d’Angular peut traiter à tort certaines URL contrôlées par un attaquant comme relatives et de même origine, puis leur joindre le jeton `X-XSRF-TOKEN`. Avec une configuration CORS permissive pour cet en-tête, le jeton peut être exposé et utilisé pour une attaque CSRF; les versions corrigées sont 20.3.34 et 21.0.3.
Action recommandée : Mettre à niveau vers Angular 20.3.34 ou 21.0.3, selon la branche utilisée, et éviter une configuration CORS permissive pour l’en-tête concerné.
VitaFit cloud API : XSS stocké via des SVG
La VitaFit cloud API avant le 2026-10-30 permettait à un utilisateur authentifié de téléverser un SVG contenant du JavaScript, ensuite exécuté lorsqu’une victime ouvrait directement le fichier. Le défaut concerne le stockage et le service des fichiers SVG sans neutralisation du script ni forçage du téléchargement; mettre à niveau vers une version corrigée et empêcher le service de SVG actifs depuis le stockage partagé.
Action recommandée : Mettre à niveau vers une version corrigée; jusqu’alors, empêcher le téléversement ou l’ouverture directe de SVG non fiables depuis le stockage partagé.
Huginn : XSS stockée via le nom d’affichage d’un compte OAuth
Huginn présente une XSS stockée dans `service_label` : un utilisateur authentifié peut relier un compte OAuth doté d’un nom ou d’une adresse contrôlés, puis le partager pour faire exécuter du JavaScript lorsque des victimes l’associent à des Agents et les consultent. Les données accessibles peuvent inclure Credentials, Agents et Events, et les actions d’administration si la victime est administratrice.
Action recommandée : Mettre à niveau vers Huginn 2026.11.05 ou une version ultérieure.
OpenHuman sur macOS : capture du bureau depuis une vue intégrée
Sur macOS, du JavaScript exécuté dans une origine intégrée autorisée peut obtenir une capture réelle du bureau par `getDisplayMedia` sans nouveau geste de l’utilisateur. Cela requiert que l’application ait déjà l’autorisation macOS d’enregistrement d’écran; OpenHuman corrige le problème en version 0.56.0.
Action recommandée : Mettre à niveau vers OpenHuman 0.56.0 ou une version ultérieure et limiter l’exécution de contenu non fiable dans les origines intégrées autorisées.
HomeBox : XSS via un lien `javascript:` dans un champ personnalisé
Dans HomeBox, un utilisateur authentifié peut enregistrer dans un champ personnalisé un lien Markdown utilisant le schéma `javascript:`. Si un autre utilisateur authentifié clique sur ce lien rendu comme ancre, le script s’exécute dans l’origine HomeBox, avec un risque de vol de session, de prise de compte ou d’exfiltration de données.
Action recommandée : Mettre à niveau vers HomeBox 0.27.0 ou une version ultérieure.
WP PageNavi Style : XSS persistante via des paramètres non protégés contre CSRF
WP PageNavi Style jusqu’à la version 1.4 ne nettoie ni n’échappe correctement certains paramètres et ne vérifie pas les requêtes CSRF lors de leur enregistrement. Un attaquant peut ainsi faire enregistrer du JavaScript par un administrateur connecté, qui s’exécutera dans le navigateur des visiteurs du site; aucune version corrigée n’est indiquée dans les données fournies.
Action recommandée : Désactiver ou retirer le plugin si aucune version corrigée n’est disponible; éviter les modifications de paramètres déclenchées par des requêtes non fiables.
Apache OFBiz : XSS dans le visualiseur d’images du catalogue
Le visualiseur d’images du catalogue Apache OFBiz 24.09 présente une faille XSS permettant à un attaquant non authentifié d’exécuter du JavaScript dans la session d’un utilisateur connecté au back-office. La version 24.09.08 corrige le problème; il est recommandé de mettre à niveau.
Action recommandée : Mettre Apache OFBiz à niveau vers la version 24.09.08.
Chewy pour Android : validation insuffisante de l’hôte d’un lien profond et divulgation de profils
Dans Chewy pour Android 26.23.0, un lien profond vers une page dont l’hôte n’est pas correctement vérifié peut charger un site contrôlé par un attaquant dans une WebView disposant d’une interface JavaScript privilégiée. Si l’utilisateur ouvre le lien piégé alors qu’il est connecté, des informations de profil de ses animaux peuvent être divulguées; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Éviter d’ouvrir les liens profonds non fiables et installer une version corrigée dès qu’elle sera disponible.
NewsBreak pour Android : validation d’origine insuffisante dans le pont JavaScript de WebView
NewsBreak pour Android 26.21.0 considère certaines URL data:text/html comme des origines fiables pour son pont JavaScript de WebView. Un lien profond malveillant ouvert par un utilisateur connecté peut invoquer une fonction native et divulguer des informations de compte ainsi que son jeton de session; aucune version corrigée n’est précisée dans les données fournies.
Action recommandée : Ne pas ouvrir de liens profonds non fiables et installer une version corrigée dès qu’elle sera disponible.
ReelShort pour Android : interfaces JavaScript accessibles depuis une page non fiable
ReelShort pour Android 3.8.55 chargeait dans un WebView une URL activityUrl fournie par un lien profond sans vérifier l’origine, tout en exposant des ponts JavaScript Android et Offerwall. Après ouverture d’un lien préparé, une page malveillante pouvait appeler ces interfaces pour obtenir des métadonnées utilisateur et un contenu d’identifiant chiffré; la version corrigée n’est pas précisée dans les éléments consultés.
Action recommandée : Appliquer une version corrigée lorsqu’elle est publiée; ne pas ouvrir de liens profonds non fiables avant correction.
HTML5
Recherche du sujet effectuée
La recherche web dédiée au sujet HTML5 a été effectuée. Parmi les résultats consultés, aucun avis ou correctif de sécurité vérifiable n’a pu être confirmé comme concernant spécifiquement HTML5 et comme étant daté de la période demandée ; cela ne permet pas de conclure à l’absence de nouveauté.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CSS3
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif, signalement d’exploitation ou changement substantiel vérifié concernant CSS3 dans la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
La recherche dédiée a porté sur Tailwind CSS et les sources de sécurité trouvées. Aucun avis, correctif ou événement de sécurité correspondant à la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00 n’a été identifié dans les résultats consultés. Un résultat concernant des paquets npm aux noms liés à Tailwind est daté du 4 novembre et se situe hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis de sécurité ou correction concernant le framework Bootstrap n’a été vérifiée pour la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les candidats fournis concernent BaSyx, Metasploit, TAKO AI Agent et filecoin-pin, et non Bootstrap.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée sur Webpack n’a pas identifié de nouvelle vulnérabilité, d’avis de sécurité, d’exploitation signalée ni de changement substantiel de sécurité daté du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu. Les avis Webpack repérés dans les résultats consultés sont datés hors de cette période; les changements ordinaires du dépôt repérés pour le 5 novembre ne constituent pas des avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche web dédiée sur esbuild n’a pas fait apparaître de vulnérabilité nouvelle, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période demandée (du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu). Les avis esbuild repérés dans les résultats sont datés du 2025-02-08 ou du 2026-06-11, donc hors période; les résultats consultés ne permettent pas de les retenir pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité Parcel daté de la période demandée, du 2026-11-05T00:00:00+02:00 inclus au 2026-11-06T00:00:00+02:00 exclu. Un avis React mentionnant react-server-dom-parcel a été repéré, mais il date du 2026-10-14 et est donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié sept avis CVE pour nvm, corrigés dans la version 0.41.0, ainsi que deux vulnérabilités du serveur HTTP MCP de tsParticles corrigées en 4.3.1. Les publications et mises à jour retenues sont datées dans la période demandée après conversion en fuseau +02:00. L’avis ModSecurity fourni est exclu : le produit concerné est ModSecurity, et Node.js n’y est mentionné qu’à titre de comparaison de comportement d’analyse. Une nouvelle vulnérabilité publiée pendant la période concerne @graphql-tools/utils et peut entraîner une pollution de prototype dans un processus Node.js consommateur. Le correctif indiqué est la version 12.0.2. Aucun événement admissible n’est établi pour Node.js dans la période. Les candidats fournis sont des fiches NVD publiées avant la période; leur seule date de mise à jour dans la période ne démontre pas un changement substantiel. Les entrées concernant nvm portent sur Node Version Manager, et non sur Node.js lui-même. Trois vulnérabilités Node.js nouvellement publiées pendant la période concernent le serveur HTTP de @tsparticles/mcp-server et @graphql-tools/utils. Un avis déjà publié sur une injection de commandes dans @siteboon/claude-code-ui a également reçu une mise à jour substantielle pendant cette période.
GHSA-f2fc-vc88-6w7q : mise à jour de l’avis sur l’injection de commandes dans @siteboon/claude-code-ui
L’avis GHSA-f2fc-vc88-6w7q décrit une injection de commandes dans plusieurs API Git de @siteboon/claude-code-ui, où des paramètres contrôlés par l’utilisateur étaient interpolés dans des commandes shell. L’avis a été mis à jour le 2026-11-05 à 19:56:40 +02:00 avec des détails de correction ; la version corrigée indiquée est 1.24.0.
Action recommandée : Mettre à jour @siteboon/claude-code-ui vers la version 1.24.0 ou ultérieure.
CVE-2026-114604 : modification possible de Object.prototype lors de la fusion de résultats GraphQL
Dans les versions de @graphql-tools/utils concernées, mergeIncrementalResult ne validait pas le type des segments du chemin d’un résultat GraphQL incrémental, ce qui pouvait permettre à une réponse amont malveillante ou compromise de modifier Object.prototype dans le processus Node.js consommateur. La faille a été publiée le 2026-11-05 à 23:18:37 +02:00 ; mettre à jour vers la version 12.0.2.
Action recommandée : Mettre à jour @graphql-tools/utils vers la version 12.0.2 et éviter de fusionner des résultats incrémentaux non fiables avec les versions affectées.
CVE-2026-63655 : épuisement mémoire dans le serveur HTTP de @tsparticles/mcp-server
Avant la version 4.3.1, le serveur HTTP de @tsparticles/mcp-server acceptait des requêtes POST /mcp sans authentification et accumulait sans limite leur corps en mémoire, permettant à distance d’épuiser la mémoire du processus Node.js et d’interrompre le service. La faille a été publiée le 2026-11-05 à 00:18:07 +02:00 ; mettre à jour vers la version 4.3.1.
Action recommandée : Mettre à jour @tsparticles/mcp-server vers la version 4.3.1.
CVE-2026-76892 : arrêt du serveur MCP par JSON malformé
Avant la version 4.3.1, une requête POST /mcp contenant un JSON malformé pouvait provoquer une exception SyntaxError non interceptée et arrêter le processus Node.js. La faille a été publiée le 2026-11-05 à 01:17:58 +02:00 ; mettre à jour vers la version 4.3.1.
Action recommandée : Mettre à jour @tsparticles/mcp-server vers la version 4.3.1.
nvm : écriture à travers un lien symbolique .nvmrc
Dans nvm 0.40.0 à 0.40.8, les commandes `nvm use –save` et `nvm install –save` pouvaient suivre un lien symbolique `.nvmrc` et écraser le fichier ciblé avec le numéro de version. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui refuse d’écrire lorsque `.nvmrc` est un lien symbolique.
Action recommandée : Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
nvm : affichage involontaire du contenu d’un fichier via .nvmrc symbolique
Dans nvm 0.2.0 à 0.40.8, un `.nvmrc` symbolique pouvait amener certaines commandes à afficher le contenu du fichier visé dans un message d’erreur ou de version. Mettre à jour vers nvm 0.41.0, qui n’affiche plus ce contenu et valide les valeurs lues ; les utilisateurs de l’ancien hook bash `cdnvm` doivent également actualiser leur copie selon l’avis.
Action recommandée : Mettre à jour nvm vers la version 0.41.0 ou ultérieure et actualiser l’ancien hook bash `cdnvm` si utilisé.
nvm : motif de version interprété comme option de grep
Dans nvm 0.5.0 à 0.40.8, un motif de version commençant par un tiret était transmis à grep sans protection contre son interprétation comme option. Un dépôt ou fichier `.nvmrc` malveillant pouvait ainsi provoquer la lecture puis l’affichage de données locales limitées ; mettre à jour vers nvm 0.41.0, qui transmet le motif avec `-e`.
Action recommandée : Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
nvm : divulgation locale du jeton NVM_AUTH_HEADER
Dans nvm 0.40.0 à 0.40.8, lorsque NVM_AUTH_HEADER est défini, le jeton d’accès pouvait apparaître dans les arguments de curl ou wget et être lu par un autre utilisateur local pendant un téléchargement. Mettre à jour vers nvm 0.41.0 ou ultérieur ; BusyBox wget reste concerné par l’exposition en ligne de commande.
Action recommandée : Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
nvm : modification de fichiers de configuration détournée par .npmrc
Dans nvm 0.27.0 à 0.40.8, `nvm use –delete-prefix` pouvait laisser le fichier `.npmrc` du projet déterminer quel fichier de configuration npm serait modifié. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui empêche le `.npmrc` du projet de choisir le fichier affecté.
Action recommandée : Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
nvm : archive rejetée réutilisable depuis le cache hors ligne
Dans nvm 0.40.5 à 0.40.8, une archive dont la somme de contrôle échouait pouvait rester dans le cache puis être installée par une commande hors ligne ultérieure sans nouvelle vérification. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui ne place l’archive en cache qu’après validation de sa somme.
Action recommandée : Mettre à jour nvm vers la version 0.41.0 ou ultérieure.
nvm : exécution de commandes via une valeur LTS malveillante
Dans nvm 0.39.6 à 0.40.8, des valeurs reçues depuis l’index d’un miroir Node.js pouvaient être évaluées comme expressions arithmétiques shell lors de la résolution des alias LTS. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui valide les valeurs avant leur utilisation ; l’exploitation décrite suppose notamment un miroir hostile ou compromis.
Action recommandée : Mettre à jour nvm vers la version 0.41.0 ou ultérieure et vérifier la fiabilité du miroir configuré.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié des publications NVD datées du 2026-11-05 concernant h5io, PyMoDAQ, LMFDB, Pillow, l’action GitHub de Black et OAuthLib. Pour CVE-2026-112899, une source Red Hat consultée indique une divulgation antérieure au début de la période ; l’item distingue cette date de la publication NVD du 5 novembre. Aucun élément de ce lot ne documente une vulnérabilité nouvellement publiée, un correctif ou avis de sécurité, une exploitation, ni un changement substantiel intervenu dans la période demandée. Les dates fournies indiquent des mises à jour de fiches NVD pour des vulnérabilités publiées antérieurement, sans preuve dans les données fournies que ces modifications soient substantielles; elles ne sont donc pas retenues comme événements du bulletin. Les éléments retenus concernent des vulnérabilités publiées le 5 novembre 2026 dans h5io, PyMoDAQ, LMFDB, Pillow et Black. Les deux mises à jour NVD concernant Ultralytics portent sur des vulnérabilités publiées avant la période; les candidats ModSecurity et Emissary ne concernent pas le sujet Python demandé. L’avis GHSA-64vx-6h2c-rjh7, publié et mis à jour le 5 novembre 2026, signale une vulnérabilité d’exécution de code arbitraire dans Banks, corrigée en version 2.4.3.
LMFDB : injection de modèle permettant l’exécution de commandes
LMFDB avant le commit 01829bd présente une injection de modèle côté serveur dans `render_knowl`, exploitable par des requêtes construites pour atteindre les fonctions Python et exécuter des commandes système. Appliquer le correctif correspondant au commit 01829bd ou une version qui l’intègre.
Action recommandée : Appliquer le correctif du commit 01829bd ou mettre à niveau vers une version qui l’inclut.
h5io : exécution de code lors de la lecture de fichiers HDF5 malveillants
h5io antérieur à 0.2.6 peut exécuter du code lors de la lecture d’un fichier HDF5 construit à cet effet, notamment via des données évaluées avec `eval()`, des modules importés ou des objets désérialisés. Mettre à jour vers h5io 0.2.6 ou une version ultérieure et éviter d’ouvrir des fichiers non fiables avec les versions affectées.
Action recommandée : Mettre à jour h5io vers la version 0.2.6 ou ultérieure et ne pas traiter de fichiers HDF5 non fiables avec une version affectée.
PyMoDAQ : exécution de code via des fichiers malveillants
Des fichiers construits à cet effet peuvent provoquer l’exécution de code lors de leur ouverture ou lecture par les versions affectées de PyMoDAQ et de ses composants. Mettre à jour chaque paquet concerné vers la version corrigée correspondant à sa branche et éviter de charger des fichiers non fiables.
Action recommandée : Mettre à jour PyMoDAQ et les composants pymodaq concernés vers leurs versions corrigées et ne charger que des fichiers de confiance.
Pillow : lecture mémoire invalide dans l’encodeur TIFF
Dans Pillow jusqu’à la version 12.3.0, l’encodeur TIFF libtiff peut transmettre à `TIFFSetField()` des arguments incompatibles avec la définition du champ, entraînant une lecture mémoire invalide lors du traitement de métadonnées contrôlées par un attaquant. Mettre à jour vers Pillow 13.0.0 ou ultérieur et éviter de réencoder des images TIFF non fiables avec leurs métadonnées préservées tant que le correctif n’est pas appliqué.
Action recommandée : Mettre à jour vers Pillow 13.0.0 ou ultérieur et éviter le réencodage de fichiers non fiables avec les versions affectées.
Black : exécution de code par la GitHub Action via pyproject.toml
Avant la version 26.10.1, la GitHub Action de Black configurée avec `use_pyproject: true` ne valide pas la valeur `tool.black.required-version` du fichier pyproject.toml, ce qui peut conduire à installer et exécuter du code contrôlé par un contributeur de pull request. Mettre à jour Black vers la version 26.10.1 ou ultérieure et vérifier les changements de configuration soumis dans les pull requests.
Action recommandée : Mettre à jour Black vers 26.10.1 ou ultérieur et contrôler les modifications de pyproject.toml apportées aux pull requests.
OAuthLib : obtention possible d’un jeton sans validation du code d’appareil
Dans le flux d’autorisation par appareil RFC 8628, OAuthLib 3.3.0 à 4.0.0 ne vérifie pas correctement la présence et la validité de device_code lors de la demande de jeton. Sous les conditions décrites, un client autorisé pourrait obtenir un jeton porteur sans achever l’autorisation de l’appareil ; mettre à niveau vers 4.0.1.
Action recommandée : Mettre à niveau OAuthLib vers 4.0.1 ou ultérieur et vérifier la validation des demandes de jeton du flux par appareil.
Banks : exécution de code arbitraire via l’import non sécurisé d’un outil
Une vulnérabilité dans Banks permet à un attaquant de faire exécuter du code arbitraire dans le processus hébergeant l’application lorsque des données de tool malveillantes sont traitées. Les versions jusqu’à 2.4.2 sont affectées ; mettre à niveau vers Banks 2.4.3.
Action recommandée : Mettre à niveau Banks vers la version 2.4.3 ou ultérieure.
Pillow : consommation excessive de ressources lors du rendu EPS
Dans Pillow jusqu’à la version 12.3.0, le rendu EPS ne valide pas les dimensions de l’image mise à l’échelle avant de lancer Ghostscript, ce qui peut entraîner une consommation excessive de CPU et d’espace disque temporaire. Mettre à jour vers Pillow 13.0.0 ou ultérieur et, en attendant, éviter de traiter des fichiers EPS ou PostScript non fiables avec une échelle supérieure à un.
Action recommandée : Mettre à jour vers Pillow 13.0.0 ou ultérieur; limiter entre-temps le rendu de fichiers EPS ou PostScript non fiables.
Java
Vérification incomplète
Niveau relevé : Critique
Recherche web dédiée effectuée pour Java et les logiciels Java concernés. Plusieurs nouvelles fiches NVD publiées le 2026-11-05 ont été vérifiées pour vault-java-driver, Apache Juneau, Apache OFBiz et Emissary ; aucun des candidats hors période ou sans événement substantiel daté dans la période n’a été retenu. Aucun élément du lot ne permet d’établir une vulnérabilité nouvelle, un correctif, un avis de sécurité, une exploitation ou un changement substantiel daté de la période. Les candidats mis à jour le 5 novembre sont signalés comme des modifications de fiches NVD, sans preuve fournie d’un changement substantiel; les autres mises à jour sont antérieures à la période. Aucune vulnérabilité nouvelle ni aucun changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats sont des mises à jour de fiches NVD; aucun détail ne permet de distinguer une modification substantielle d’une mise à jour administrative, qui ne constitue pas à elle seule un événement à retenir. Aucun événement vérifiable concernant Java n’est retenu pour la période. Les candidats sont des modifications de fiches NVD relatives à des composants Android ; les éléments fournis ne démontrent pas de changement substantiel daté de la période ni de lien avec Java en tant que sujet. Aucune nouveauté vérifiée concernant Java dans ce lot. Les candidats sont des vulnérabilités Android signalées par des modifications de fiches NVD ; les données fournies ne démontrent pas qu’il s’agit de vulnérabilités du sujet Java ni que les mises à jour NVD correspondent à un changement substantiel admissible. Aucun candidat ne fournit de preuve d’une vulnérabilité nouvelle, d’un correctif ou d’un changement substantiel daté dans la période. Les candidats indiquent une date de mise à jour NVD, mai…
Apache Juneau : initialisation de classes contrôlée par des données analysées
Apache Juneau pouvait initialiser une classe nommée par une valeur analysée lorsqu’elle était affectée à une propriété de type java.lang.Class, ce qui exécutait son initialiseur statique. Le défaut affecte Juneau jusqu’à la version 9.2.0 ; mettre à niveau vers 9.2.1.
Action recommandée : Mettre à niveau Apache Juneau vers la version 9.2.1.
vault-java-driver : vérification TLS désactivée dans certains cas
Le client Java vault-java-driver désactive la vérification des certificats TLS et des noms d’hôte dans certains cas où elle a été demandée, ce qui peut permettre à un attaquant situé sur le réseau d’intercepter le jeton Vault et les secrets, ou de falsifier les réponses. Les versions 5.2.0 à 6.2.3 sont affectées ; mettre à niveau vers 7.0.0.
Action recommandée : Mettre à niveau vault-java-driver vers la version 7.0.0 et vérifier la configuration TLS du pilote.
Apache OFBiz : contrôle d’autorisation manquant dans XmlDsDump
Dans Apache OFBiz 24.09 avant 24.09.08, XmlDsDump ne contrôlait pas correctement les permissions avant d’exporter des données d’entité vers un chemin fourni par l’utilisateur. Un attaquant distant authentifié doté des permissions webtools de base peut notamment exporter des données vers des fichiers accessibles au processus OFBiz ; mettre à niveau vers 24.09.08.
Action recommandée : Mettre à niveau Apache OFBiz vers la version 24.09.08.
Apache OFBiz CMS : injection de code dans ModelFormField
Dans le greffon CMS d’Apache OFBiz, une entrée contrôlée par un utilisateur authentifié disposant d’un accès d’éditeur de contenu pouvait être évaluée comme code et permettre l’exécution de commandes sous le compte du processus OFBiz. Les versions antérieures à 24.09.08 sont concernées ; mettre à jour vers 24.09.08.
Action recommandée : Mettre à jour Apache OFBiz vers la version 24.09.08.
vault-java-driver : épuisement de pile avec des réponses JSON profondément imbriquées
Le parseur JSON embarqué dans vault-java-driver ne limite pas la profondeur d’imbrication ; une réponse Vault profondément imbriquée peut provoquer une StackOverflowError et faire échouer les lectures ultérieures du chemin concerné via le pilote. Les versions 5.2.0 à 6.2.3 sont affectées dans le contexte de Vault 1.19.x ou antérieur ; le correctif est disponible dans vault-java-driver 7.0.0.
Action recommandée : Mettre à niveau vault-java-driver vers la version 7.0.0 ; tenir compte de la condition liée aux versions de Vault indiquée dans l’avis.
Apache OFBiz : requêtes sortantes et lecture de fichiers via ViewDataFile
Dans Apache OFBiz 24.09 avant 24.09.08, l’action ViewDataFile pouvait émettre des requêtes HTTP arbitraires depuis le serveur et, avec des permissions supplémentaires, lire des fichiers locaux. Un attaquant distant authentifié disposant des permissions webtools de base peut déclencher l’action ; mettre à niveau vers 24.09.08.
Action recommandée : Mettre à niveau Apache OFBiz vers la version 24.09.08.
Emissary : validation insuffisante des liens de navigation
Emissary acceptait des URL relatives au protocole comme liens de navigation configurés, que le navigateur peut normaliser vers une origine externe. L’avis associé signale un risque de redirection ouverte, de SSRF et d’accès aux métadonnées cloud ; les versions antérieures à 8.51.0 sont corrigées en 8.51.0.
Action recommandée : Mettre à jour Emissary vers la version 8.51.0.
TYPO3
Recherche du sujet effectuée
La recherche ciblée n’a identifié aucun avis, correctif, signalement d’exploitation ni changement substantiel TYPO3 daté du 2026-11-05 dans les résultats consultés. L’annonce TYPO3 trouvée est datée du 2026-11-03, hors de la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée dans les avis de sécurité Drupal n’a relevé aucun nouvel avis ou changement substantiel daté du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les avis repérés dans les résultats consultés sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié des publications de vulnérabilités Joomla portant sur Gridbox, Advanced Custom Fields, Smile Pack et JReviews dans la période demandée. La mise à jour de CVE-2026-102776 est exclue : sa publication initiale date du 2026-10-05 et le seul événement candidat est une modification NVD, sans preuve d’un changement substantiel daté dans la période. Aucun événement Joomla répondant aux critères de la période n’est établi par les éléments fournis : ils signalent des modifications de fiches NVD, sans preuve que ces modifications correspondent à une nouveauté substantielle datée dans la période.
Advanced Custom Fields et Smile Pack : XSS stockée dans les marqueurs de carte
Une faille de XSS stockée dans les extensions Joomla Advanced Custom Fields et Smile Pack peut être déclenchée par une étiquette de marqueur de carte modifiable par un utilisateur autorisé, tel qu’un auteur d’article. Le script peut s’exécuter lorsqu’un utilisateur consulte ce marqueur; la version corrective n’est pas établie par les sources consultées.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et mettre à jour dès sa publication.
JReviews : exposition web de paramètres et secrets mis en cache
JReviews met en cache des paramètres sensibles, dont le secret Joomla et des clés ou secrets d’API de tiers, dans un fichier sérialisé accessible depuis le web. Les versions 1.0.0–5.12.0 et 6.0.0–6.6.9 sont signalées comme affectées; la version corrective n’est pas établie par les sources consultées.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée, restreindre l’accès web au cache et renouveler les secrets potentiellement exposés.
Gridbox : XSS stockée dans le widget de commentaires et d’avis
Une faille de XSS stockée dans le widget « Recent Comments / Recent Reviews » de Gridbox permet à un visiteur non authentifié d’injecter du contenu exécuté dans le navigateur d’un utilisateur qui le consulte. Le fournisseur indique Gridbox 2.20.5.0 comme version corrective.
Action recommandée : Mettre à jour Gridbox vers la version 2.20.5.0 ou ultérieure.
Gridbox : suppression arbitraire de fichiers par traversée de chemin
Une faille de traversée de chemin permet à un attaquant non authentifié de supprimer arbitrairement des fichiers via Gridbox. Le fournisseur indique Gridbox 2.20.5.0 comme version corrective.
Action recommandée : Mettre à jour Gridbox vers la version 2.20.5.0 ou ultérieure.
Gridbox : XSS stockée dans les avis
Une incohérence de nettoyage des données permet une XSS stockée dans les avis de Gridbox. Le fournisseur indique Gridbox 2.20.5.0 comme version corrective.
Action recommandée : Mettre à jour Gridbox vers la version 2.20.5.0 ou ultérieure.
Gridbox : suppression non autorisée de fichiers de soumission ou de champs
Une faille de contrôle d’accès permet la suppression non autorisée de fichiers liés aux soumissions ou aux champs dans Gridbox. Le fournisseur indique Gridbox 2.20.5.0 comme version corrective.
Action recommandée : Mettre à jour Gridbox vers la version 2.20.5.0 ou ultérieure.
Advanced Custom Fields et Smile Pack : suppression non autorisée de fichiers
Une faille de contrôle d’accès permet la suppression sans connexion d’images dans les dossiers Gallery d’Advanced Custom Fields et de Smile Pack. Pour certaines versions d’Advanced Custom Fields, elle expose également les téléversements non enregistrés d’autres utilisateurs; les sources consultées ne précisent pas la version corrective.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et mettre à jour dès sa publication.
Magento
Recherche du sujet effectuée
La recherche web dédiée n’a pas fait ressortir d’avis, de correctif, d’exploitation ni de changement substantiel concernant Magento daté dans la période demandée. Les informations repérées sur des événements antérieurs à cette période n’ont pas été retenues.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
La recherche web dédiée n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel Adobe Commerce daté dans la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les résultats consultés concernaient des publications antérieures à cette période; aucun candidat n’avait été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
Aucune vulnérabilité nouvelle, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle concernant Fooocus n’a été vérifié comme étant daté de la période du 2026-11-05T00:00:00+02:00 au 2026-11-06T00:00:00+02:00. Les résultats repérés sur CVE-2025-31114 sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
15 alerte(s)OpenHuman : exécution de commandes sans approbation via Yuanbao
OpenHuman peut exécuter des commandes JavaScript et système à la suite d’un message direct Yuanbao, sans demander l’approbation attendue, lorsque les conditions décrites sont réunies. Le problème concerne notamment la politique Supervised…
Source : NVD — CVE-2026-54141
dcmjs : valeurs numériques DICOM invalides acceptées par le parseur
Dans dcmjs, le traitement de valeurs DICOM DS et IS peut produire `Infinity` ou `NaN`, et IntegerString accepte aussi des notations exponentielles ou des valeurs hors plage. Les applications qui utilisent ces résultats peuvent effectuer de…
Source : NVD — CVE-2026-46350
noname Electron : serveur local vulnérable permettant la modification de fichiers depuis un site malveillant
Dans les versions de bureau noname Electron 1.11.2 à 1.11.6.1, un serveur de fichiers local non authentifié avec CORS générique peut être sollicité par un site malveillant pour lire, modifier ou supprimer des fichiers d’installation. L’écr…
Source : CVE-2026-123208 — NVD
Exécution de commandes lors de la publication stable de tsParticles
La publication stable de tsParticles pouvait exécuter des commandes shell lors du traitement de notes de version contrôlées par un contributeur. Le problème concerne les versions 4.0.0 à 4.3.1 et est corrigé en 4.3.2.
Source : NVD — CVE-2026-76826
Readest : accès arbitraire à des fichiers depuis le webview privilégié
Dans les versions desktop Tauri de Readest antérieures à 0.11.10, des commandes accessibles depuis le webview acceptaient des chemins contrôlés par celui-ci sans vérification suffisante du périmètre de fichiers. Si du JavaScript s’exécute…
Source : NVD — CVE-2026-57567
Les clients MCP indépendants peuvent être empêchés d’ouvrir une session dans tsParticles
Le mode HTTP de `@tsparticles/mcp-server` réutilisait un transport avec état partagé entre les clients; un premier client non authentifié pouvait ainsi empêcher les suivants d’établir leur session jusqu’au redémarrage du processus. La vers…
Source : NVD — CVE-2026-76893
Angular : fuite possible du jeton XSRF via une URL mal normalisée
Lorsque la protection XSRF est activée, l’intercepteur `xsrfInterceptorFn` d’Angular peut traiter à tort certaines URL contrôlées par un attaquant comme relatives et de même origine, puis leur joindre le jeton `X-XSRF-TOKEN`. Avec une conf…
Source : NVD — CVE-2026-111753
VitaFit cloud API : XSS stocké via des SVG
La VitaFit cloud API avant le 2026-10-30 permettait à un utilisateur authentifié de téléverser un SVG contenant du JavaScript, ensuite exécuté lorsqu’une victime ouvrait directement le fichier. Le défaut concerne le stockage et le service…
Source : NVD — CVE-2026-54380
Huginn : XSS stockée via le nom d’affichage d’un compte OAuth
Huginn présente une XSS stockée dans `service_label` : un utilisateur authentifié peut relier un compte OAuth doté d’un nom ou d’une adresse contrôlés, puis le partager pour faire exécuter du JavaScript lorsque des victimes l’associent à d…
Source : NVD — CVE-2026-123094
OpenHuman sur macOS : capture du bureau depuis une vue intégrée
Sur macOS, du JavaScript exécuté dans une origine intégrée autorisée peut obtenir une capture réelle du bureau par `getDisplayMedia` sans nouveau geste de l’utilisateur. Cela requiert que l’application ait déjà l’autorisation macOS d’enreg…
Source : NVD — CVE-2026-54144
HomeBox : XSS via un lien `javascript:` dans un champ personnalisé
Dans HomeBox, un utilisateur authentifié peut enregistrer dans un champ personnalisé un lien Markdown utilisant le schéma `javascript:`. Si un autre utilisateur authentifié clique sur ce lien rendu comme ancre, le script s’exécute dans l’o…
Source : NVD — CVE-2026-75599
Apache OFBiz : XSS dans le visualiseur d’images du catalogue
Le visualiseur d’images du catalogue Apache OFBiz 24.09 présente une faille XSS permettant à un attaquant non authentifié d’exécuter du JavaScript dans la session d’un utilisateur connecté au back-office. La version 24.09.08 corrige le pro…
Source : NVD — CVE-2026-114229
Chewy pour Android : validation insuffisante de l’hôte d’un lien profond et divulgation de profils
Dans Chewy pour Android 26.23.0, un lien profond vers une page dont l’hôte n’est pas correctement vérifié peut charger un site contrôlé par un attaquant dans une WebView disposant d’une interface JavaScript privilégiée. Si l’utilisateur ou…
Source : NVD — CVE-2026-106714
NewsBreak pour Android : validation d’origine insuffisante dans le pont JavaScript de WebView
NewsBreak pour Android 26.21.0 considère certaines URL data:text/html comme des origines fiables pour son pont JavaScript de WebView. Un lien profond malveillant ouvert par un utilisateur connecté peut invoquer une fonction native et divul…
Source : NVD — CVE-2026-106715
ReelShort pour Android : interfaces JavaScript accessibles depuis une page non fiable
ReelShort pour Android 3.8.55 chargeait dans un WebView une URL activityUrl fournie par un lien profond sans vérifier l’origine, tout en exposant des ponts JavaScript Android et Offerwall. Après ouverture d’un lien préparé, une page malvei…
Source : NVD — CVE-2026-106716
Backend & données
50 alerte(s)PHP : risque d’exécution de code à distance lors du traitement d’erreurs mémoire (CVE-2026-109618)
PHP peut, dans certains chemins de gestion d’erreur mémoire insuffisamment réinitialisés, laisser une mémoire de requête dans un état non initialisé avant une allocation. Le nettoyage de la requête peut ensuite lire cet état, avec un risqu…
Source : NVD — CVE-2026-109618
PHP : état global périmé pouvant mener à une exécution de code à distance (CVE-2026-109619)
PHP peut conserver un état global qui pointe vers la mémoire d’une requête après sa libération, ou le repeupler après sa réinitialisation. Une requête ultérieure peut consulter cet état périmé avant son initialisation complète, ce qui pour…
Source : NVD — CVE-2026-109619
Incus : contournement des restrictions de projet pouvant mener à l’exécution de commandes sur l’hôte
Incus n’applique pas le réglage de restriction des fonctionnalités bas niveau lors de la restauration d’instantanés, ce qui peut permettre l’exécution de commandes arbitraires sur l’hôte avec les privilèges root. Les versions antérieures à…
Source : GHSA-48q5-w887-33wv — Incus has a restricted project bypass leading to arbitrary command execution
Incus : écriture de fichiers sur l’hôte via un lien symbolique dans une image
Un lien symbolique `exec-output` dans une image Incus spécialement construite peut faire écrire les sorties d’exécution à un emplacement arbitraire sur l’hôte, avec un risque d’exécution de commandes. Mettre à niveau Incus vers la version…
kaniko : fuite possible de jetons Azure vers un hôte de registre usurpé
Une validation insuffisante du nom d’hôte dans l’assistant d’identifiants ACR de kaniko pouvait transmettre un jeton d’accès Azure à un registre contrôlé par un attaquant. Les versions de kaniko antérieures à 1.25.20 sont affectées ; recon…
Source : Avis GitHub GHSA-5q7h-w9jf-cx97
GHSA-f2fc-vc88-6w7q : mise à jour de l’avis sur l’injection de commandes dans @siteboon/claude-code-ui
L’avis GHSA-f2fc-vc88-6w7q décrit une injection de commandes dans plusieurs API Git de @siteboon/claude-code-ui, où des paramètres contrôlés par l’utilisateur étaient interpolés dans des commandes shell. L’avis a été mis à jour le 2026-11-…
LMFDB : injection de modèle permettant l’exécution de commandes
LMFDB avant le commit 01829bd présente une injection de modèle côté serveur dans `render_knowl`, exploitable par des requêtes construites pour atteindre les fonctions Python et exécuter des commandes système. Appliquer le correctif corresp…
Source : NVD — CVE-2026-123198
Apache Juneau : initialisation de classes contrôlée par des données analysées
Apache Juneau pouvait initialiser une classe nommée par une valeur analysée lorsqu’elle était affectée à une propriété de type java.lang.Class, ce qui exécutait son initialiseur statique. Le défaut affecte Juneau jusqu’à la version 9.2.0 ;…
Source : NVD — CVE-2026-73098
SiYuan : SSRF dans l’endpoint forwardProxy
Une validation insuffisante de l’URL dans l’endpoint authentifié `/api/network/forwardProxy` permet à un utilisateur authentifié de faire effectuer au serveur des requêtes HTTP vers des destinations arbitraires et d’en récupérer la réponse…
Source : GHSA-56cv-c5p2-j2wg — SiYuan has a Full-Read SSRF via /api/network/forwardProxy
Incus : contournement des restrictions de projet lors de la copie d’instances
Incus ne vérifie pas correctement les restrictions de projet lors de la copie d’une instance depuis un autre projet, ce qui peut exposer des secrets à un utilisateur non autorisé. Les versions antérieures à 7.2.0 sont indiquées comme affec…
Source : GHSA-c9f5-j9c3-mhrg — Incus has a project restriction bypass in instance copy across projects
LXD : accès inter-invités aux volumes DevLXD
Une faille dans LXD permet à un invité d’attacher un volume personnalisé DevLXD appartenant à un autre invité et d’en lire ou modifier le contenu. Les versions affectées et le correctif sont indiqués dans l’avis GitHub ; mettre à niveau LX…
Source : Avis GitHub GHSA-hhf9-qw4v-72xp
Symfony Security : mise à jour substantielle de la fiche sur l’extraction d’identifiant depuis un DN X.509
Symfony a corrigé une extraction de l’identifiant utilisateur depuis le DN du certificat client qui pouvait confondre des séparateurs échappés ou présents dans une valeur avec des frontières entre attributs. La fiche NVD a été mise à jour…
Source : NVD — CVE-2026-118513
Symfony HttpClient : mise à jour substantielle de la fiche sur la fuite d’identifiants des scopes
ScopingHttpClient pouvait fusionner les options d’authentification du scope avant de résoudre une URL relative, puis conserver ces options lorsque la résolution aboutissait à une autre autorité. Une URL contrôlée pouvait ainsi transmettre…
Source : NVD — CVE-2026-121971
HeyForm : téléversement de HTML actif pouvant mener à une XSS persistante
Une validation insuffisante des fichiers téléversés peut permettre à un utilisateur ordinaire de déposer du HTML actif, servi depuis l’origine HeyForm, et d’exécuter du script dans le navigateur d’une victime. Les versions antérieures à 3.…
Source : NVD — CVE-2026-102615
CVE-2026-114604 : modification possible de Object.prototype lors de la fusion de résultats GraphQL
Dans les versions de @graphql-tools/utils concernées, mergeIncrementalResult ne validait pas le type des segments du chemin d’un résultat GraphQL incrémental, ce qui pouvait permettre à une réponse amont malveillante ou compromise de modif…
Source : NVD — CVE-2026-114604
CVE-2026-102523 — accès non autorisé à des fichiers de tables via des noms de partitions
Une validation insuffisante des noms de partitions dans `ALTER TABLE … CONVERT … PARTITION` peut permettre à un utilisateur authentifié de faire lire ou modifier des fichiers de tables auxquels il n’est pas autorisé à accéder. Les vers…
Source : NVD — CVE-2026-102523
CVE-2026-63655 : épuisement mémoire dans le serveur HTTP de @tsparticles/mcp-server
Avant la version 4.3.1, le serveur HTTP de @tsparticles/mcp-server acceptait des requêtes POST /mcp sans authentification et accumulait sans limite leur corps en mémoire, permettant à distance d’épuiser la mémoire du processus Node.js et d…
Source : NVD — CVE-2026-63655
CVE-2026-76892 : arrêt du serveur MCP par JSON malformé
Avant la version 4.3.1, une requête POST /mcp contenant un JSON malformé pouvait provoquer une exception SyntaxError non interceptée et arrêter le processus Node.js. La faille a été publiée le 2026-11-05 à 01:17:58 +02:00 ; mettre à jour v…
Source : NVD — CVE-2026-76892
h5io : exécution de code lors de la lecture de fichiers HDF5 malveillants
h5io antérieur à 0.2.6 peut exécuter du code lors de la lecture d’un fichier HDF5 construit à cet effet, notamment via des données évaluées avec `eval()`, des modules importés ou des objets désérialisés. Mettre à jour vers h5io 0.2.6 ou un…
Source : NVD — CVE-2026-120499
PyMoDAQ : exécution de code via des fichiers malveillants
Des fichiers construits à cet effet peuvent provoquer l’exécution de code lors de leur ouverture ou lecture par les versions affectées de PyMoDAQ et de ses composants. Mettre à jour chaque paquet concerné vers la version corrigée correspon…
Source : NVD — CVE-2026-120859
Pillow : lecture mémoire invalide dans l’encodeur TIFF
Dans Pillow jusqu’à la version 12.3.0, l’encodeur TIFF libtiff peut transmettre à `TIFFSetField()` des arguments incompatibles avec la définition du champ, entraînant une lecture mémoire invalide lors du traitement de métadonnées contrôlée…
Source : NVD — CVE-2026-112902
Black : exécution de code par la GitHub Action via pyproject.toml
Avant la version 26.10.1, la GitHub Action de Black configurée avec `use_pyproject: true` ne valide pas la valeur `tool.black.required-version` du fichier pyproject.toml, ce qui peut conduire à installer et exécuter du code contrôlé par un…
Source : NVD — CVE-2026-114134
OAuthLib : obtention possible d’un jeton sans validation du code d’appareil
Dans le flux d’autorisation par appareil RFC 8628, OAuthLib 3.3.0 à 4.0.0 ne vérifie pas correctement la présence et la validité de device_code lors de la demande de jeton. Sous les conditions décrites, un client autorisé pourrait obtenir…
Source : NVD — CVE-2026-49272
Banks : exécution de code arbitraire via l’import non sécurisé d’un outil
Une vulnérabilité dans Banks permet à un attaquant de faire exécuter du code arbitraire dans le processus hébergeant l’application lorsque des données de tool malveillantes sont traitées. Les versions jusqu’à 2.4.2 sont affectées ; mettre…
Source : GHSA-64vx-6h2c-rjh7 — Banks
vault-java-driver : vérification TLS désactivée dans certains cas
Le client Java vault-java-driver désactive la vérification des certificats TLS et des noms d’hôte dans certains cas où elle a été demandée, ce qui peut permettre à un attaquant situé sur le réseau d’intercepter le jeton Vault et les secret…
Source : NVD — CVE-2026-109408
Apache OFBiz : contrôle d’autorisation manquant dans XmlDsDump
Dans Apache OFBiz 24.09 avant 24.09.08, XmlDsDump ne contrôlait pas correctement les permissions avant d’exporter des données d’entité vers un chemin fourni par l’utilisateur. Un attaquant distant authentifié doté des permissions webtools…
Source : NVD — CVE-2026-82916
Apache OFBiz CMS : injection de code dans ModelFormField
Dans le greffon CMS d’Apache OFBiz, une entrée contrôlée par un utilisateur authentifié disposant d’un accès d’éditeur de contenu pouvait être évaluée comme code et permettre l’exécution de commandes sous le compte du processus OFBiz. Les…
Source : NVD — CVE-2026-82960
SiYuan : lecture de fichiers via une liste de chemins sensibles incomplète
La liste de chemins sensibles de SiYuan reste incomplète : certaines opérations de copie ou d’importation peuvent lire des fichiers situés dans des répertoires Linux non bloqués, notamment `/opt`, `/usr`, `/home`, `/mnt` et `/media`. La ve…
Symfony Validator : des adresses internes pouvaient passer les modes filtrés de la contrainte Ip
Dans certains modes filtrés de la contrainte Ip, IpValidator pouvait accepter comme publiques des adresses internes ou des formes IPv6 intégrant une adresse IPv4 interne. Les applications qui s’appuient sur cette validation avant une requê…
Source : NVD — CVE-2026-123125
Validation insuffisante de l’audience des jetons dans le SDK MCP TypeScript
L’authentification bearer côté serveur du SDK MCP TypeScript pouvait accepter un jeton valide destiné à un autre service lorsque l’audience n’était pas vérifiée. Il faut mettre à niveau le composant concerné et activer explicitement la val…
Source : NVD — CVE-2026-111771
Injection SQL dans EmployeeRecruitmentSystem
Une injection SQL à distance a été signalée dans EmployeeRecruitmentSystem, dans le gestionnaire de mise à jour du tableau des exigences. La fiche indique que le produit concerné n’est plus maintenu et ne précise pas de version corrigée.
Source : NVD — CVE-2026-122038
HedgeDoc : valeur de permission invalide pouvant élargir l’accès aux notes
Dans HedgeDoc, un propriétaire de note pouvait enregistrer une valeur de permission non prise en charge, ce qui pouvait élargir l’accès en lecture ou en écriture. Avec PostgreSQL, la base rejette la mise à jour, mais l’état en mémoire pouv…
Source : CVE-2026-102927 — NVD
Altair : exécution de script via l’URL directe de l’iframe-sandbox
Une navigation directe vers une URL spécialement construite de l’iframe-sandbox d’Altair peut charger un script fourni par un attaquant dans l’origine qui sert Altair. Les versions de 7.2.4 à 8.5.7 sont concernées; la correction est dispon…
Source : NVD — CVE-2026-110802
nvm : écriture à travers un lien symbolique .nvmrc
Dans nvm 0.40.0 à 0.40.8, les commandes `nvm use –save` et `nvm install –save` pouvaient suivre un lien symbolique `.nvmrc` et écraser le fichier ciblé avec le numéro de version. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui refuse d’é…
Source : NVD — CVE-2026-121746
nvm : affichage involontaire du contenu d’un fichier via .nvmrc symbolique
Dans nvm 0.2.0 à 0.40.8, un `.nvmrc` symbolique pouvait amener certaines commandes à afficher le contenu du fichier visé dans un message d’erreur ou de version. Mettre à jour vers nvm 0.41.0, qui n’affiche plus ce contenu et valide les val…
Source : NVD — CVE-2026-121747
nvm : motif de version interprété comme option de grep
Dans nvm 0.5.0 à 0.40.8, un motif de version commençant par un tiret était transmis à grep sans protection contre son interprétation comme option. Un dépôt ou fichier `.nvmrc` malveillant pouvait ainsi provoquer la lecture puis l’affichage…
Source : NVD — CVE-2026-121749
Pillow : consommation excessive de ressources lors du rendu EPS
Dans Pillow jusqu’à la version 12.3.0, le rendu EPS ne valide pas les dimensions de l’image mise à l’échelle avant de lancer Ghostscript, ce qui peut entraîner une consommation excessive de CPU et d’espace disque temporaire. Mettre à jour…
Source : NVD — CVE-2026-112899
vault-java-driver : épuisement de pile avec des réponses JSON profondément imbriquées
Le parseur JSON embarqué dans vault-java-driver ne limite pas la profondeur d’imbrication ; une réponse Vault profondément imbriquée peut provoquer une StackOverflowError et faire échouer les lectures ultérieures du chemin concerné via le…
Source : NVD — CVE-2026-112072
Apache OFBiz : requêtes sortantes et lecture de fichiers via ViewDataFile
Dans Apache OFBiz 24.09 avant 24.09.08, l’action ViewDataFile pouvait émettre des requêtes HTTP arbitraires depuis le serveur et, avec des permissions supplémentaires, lire des fichiers locaux. Un attaquant distant authentifié disposant de…
Source : NVD — CVE-2026-82902
Emissary : validation insuffisante des liens de navigation
Emissary acceptait des URL relatives au protocole comme liens de navigation configurés, que le navigateur peut normaliser vers une origine externe. L’avis associé signale un risque de redirection ouverte, de SSRF et d’accès aux métadonnées…
Source : NVD — CVE-2026-54442
Symfony HttpClient : l’adresse IP vérifiée n’était pas épinglée pour les hôtes mis en cache
Dans NoPrivateNetworkHttpClient, les requêtes suivantes vers un hôte mis en cache pouvaient résoudre à nouveau son nom DNS sans épingler l’adresse IP préalablement vérifiée. Un attaquant contrôlant le DNS pouvait ainsi provoquer des connex…
Source : NVD — CVE-2026-123119
Symfony HtmlSanitizer : contournement de listes d’hôtes avec certaines URL
UrlSanitizer pouvait interpréter certaines URL différemment des navigateurs et ne pas appliquer correctement les listes d’hôtes autorisés. Le problème concerne les configurations combinant une liste d’hôtes avec l’autorisation de liens ou…
Source : NVD — CVE-2026-118517
Symfony HtmlSanitizer : les attributs srcset et imagesrcset contournaient la politique des médias
HtmlSanitizer ne validait pas les URL présentes dans les attributs srcset et imagesrcset selon la politique appliquée aux médias. Un navigateur pouvait donc charger des ressources depuis des hôtes ou schémas interdits ; mettre à niveau Sym…
Source : NVD — CVE-2026-121949
Caddy — fuite d’en-têtes hop-by-hop lors des mises à niveau WebSocket
CVE-2026-55458 concerne le reverse proxy de Caddy : lors d’une réponse de mise à niveau WebSocket (HTTP 101), des en-têtes hop-by-hop provenant de l’amont peuvent être transmis au client sans le filtrage appliqué aux réponses ordinaires. L…
Source : NVD — CVE-2026-55458
nvm : divulgation locale du jeton NVM_AUTH_HEADER
Dans nvm 0.40.0 à 0.40.8, lorsque NVM_AUTH_HEADER est défini, le jeton d’accès pouvait apparaître dans les arguments de curl ou wget et être lu par un autre utilisateur local pendant un téléchargement. Mettre à jour vers nvm 0.41.0 ou ulté…
Source : NVD — CVE-2026-121745
nvm : modification de fichiers de configuration détournée par .npmrc
Dans nvm 0.27.0 à 0.40.8, `nvm use –delete-prefix` pouvait laisser le fichier `.npmrc` du projet déterminer quel fichier de configuration npm serait modifié. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui empêche le `.npmrc` du projet de…
Source : NVD — CVE-2026-121748
nvm : archive rejetée réutilisable depuis le cache hors ligne
Dans nvm 0.40.5 à 0.40.8, une archive dont la somme de contrôle échouait pouvait rester dans le cache puis être installée par une commande hors ligne ultérieure sans nouvelle vérification. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui ne…
Source : NVD — CVE-2026-121750
nvm : exécution de commandes via une valeur LTS malveillante
Dans nvm 0.39.6 à 0.40.8, des valeurs reçues depuis l’index d’un miroir Node.js pouvaient être évaluées comme expressions arithmétiques shell lors de la résolution des alias LTS. Mettre à jour vers nvm 0.41.0 ou ultérieur, qui valide les v…
Source : NVD — CVE-2026-121751
Injection SQL dans Apache OFBiz sur MySQL/MariaDB
Apache OFBiz présente une injection SQL dans le service générique performFind de son moteur d’entités lorsque le déploiement utilise MySQL ou MariaDB. Un attaquant distant non authentifié peut provoquer la divulgation de lignes arbitraires…
Source : NVD — CVE-2026-81815
Multiples vulnérabilités dans MongoDB
Le CERT-FR a publié le 5 novembre 2026 un avis signalant plusieurs vulnérabilités dans MongoDB, avec des risques pouvant inclure l’exécution de code à distance, le déni de service et une atteinte à la confidentialité. L’avis fourni ne préc…
Source : Multiples vulnérabilités dans MongoDB — CERT-FR, CERTFR-2026-AVI-1462
CMS & e-commerce
44 alerte(s)WordPress : exploitation active signalée pour une RCE pendant les mises à niveau
Wordfence rapporte le 2026-11-05 que des attaquants ciblent activement CVE-2026-119977 et que son pare-feu a bloqué plus de 240 000 tentatives d’exploitation. Cette vulnérabilité de WordPress Core permet à un attaquant non authentifié d’ex…
Source : CISA KEV
Security For WooCommerce : création non authentifiée de comptes administrateurs
Une action accessible sans authentification permet de créer des comptes sans contrôle de capacité et laisse l’appelant choisir leur rôle. Les versions 1.0.10 à 1.0.16 de Security For WooCommerce sont concernées; un attaquant peut créer un…
Source : NVD — CVE-2026-100109
Fuite de données clients WooCommerce via LiteSpeed Cache
LiteSpeed Cache peut exposer sans authentification des données personnelles et des informations de session WooCommerce lorsque Cache REST est activé. Toutes les versions jusqu’à 7.9.1 inclusivement sont indiquées comme concernées; la sourc…
Source : NVD — CVE-2026-93389
Suppression non autorisée de fichiers dans Motors
Motors – Car Dealership & Classified Listings peut permettre à un utilisateur authentifié de supprimer des images appartenant à d’autres utilisateurs dans le répertoire des téléversements. Les versions jusqu’à 1.4.128 inclusivement sont co…
Source : NVD — CVE-2026-116617
Élévation de privilèges via les réglages de GiveWP
GiveWP permet à un gestionnaire disposant de `manage_give_settings` de configurer l’attribution de rôles privilégiés aux nouveaux comptes donateurs. Les versions jusqu’à 4.19.1 inclusivement sont touchées; aucun correctif ni contournement…
Source : NVD — CVE-2026-118193
Advanced Custom Fields et Smile Pack : XSS stockée dans les marqueurs de carte
Une faille de XSS stockée dans les extensions Joomla Advanced Custom Fields et Smile Pack peut être déclenchée par une étiquette de marqueur de carte modifiable par un utilisateur autorisé, tel qu’un auteur d’article. Le script peut s’exéc…
Source : NVD — CVE-2026-115452
JReviews : exposition web de paramètres et secrets mis en cache
JReviews met en cache des paramètres sensibles, dont le secret Joomla et des clés ou secrets d’API de tiers, dans un fichier sérialisé accessible depuis le web. Les versions 1.0.0–5.12.0 et 6.0.0–6.6.9 sont signalées comme affectées; la ve…
Source : NVD — CVE-2026-118494
Gridbox : XSS stockée dans le widget de commentaires et d’avis
Une faille de XSS stockée dans le widget « Recent Comments / Recent Reviews » de Gridbox permet à un visiteur non authentifié d’injecter du contenu exécuté dans le navigateur d’un utilisateur qui le consulte. Le fournisseur indique Gridbox…
Source : NVD — CVE-2026-105607
Gridbox : suppression arbitraire de fichiers par traversée de chemin
Une faille de traversée de chemin permet à un attaquant non authentifié de supprimer arbitrairement des fichiers via Gridbox. Le fournisseur indique Gridbox 2.20.5.0 comme version corrective.
Source : NVD — CVE-2026-107129
Gridbox : XSS stockée dans les avis
Une incohérence de nettoyage des données permet une XSS stockée dans les avis de Gridbox. Le fournisseur indique Gridbox 2.20.5.0 comme version corrective.
Source : NVD — CVE-2026-107903
XSS stockée dans Customer Reviews for WooCommerce
Customer Reviews for WooCommerce présente une XSS stockée via le paramètre `slides_to_show`, exploitable par un utilisateur authentifié ayant au moins le rôle Contributor. Les versions jusqu’à 5.126.0 inclusivement sont concernées; aucun c…
Source : NVD — CVE-2026-120553
XSS stockée dans Redux Framework via `multi_media`
Redux Framework présente une XSS stockée via une clé du tableau `multi_media`, exploitable par un utilisateur authentifié ayant au moins le rôle Subscriber. Toutes les versions sont indiquées comme concernées; aucun correctif ni contournem…
Source : NVD — CVE-2026-104812
XSS stockée dans Redux Framework via `theme_opts`
Redux Framework présente une XSS stockée liée au paramètre `theme_opts`, exploitable par un utilisateur authentifié ayant au moins le rôle Subscriber si le thème enregistre certains champs Redux émettant du CSS. Les versions jusqu’à 4.5.16…
Source : NVD — CVE-2026-120533
Content Egg : exposition de données produit de publications non publiées
La route REST de rendu de blocs de Content Egg peut exposer les données produit de publications non publiées lorsqu’elle est appelée sans nonce. Les versions antérieures à 12.1.0 sont concernées; les données divulguées peuvent inclure des…
Source : NVD — CVE-2026-119751
Gridbox : suppression non autorisée de fichiers de soumission ou de champs
Une faille de contrôle d’accès permet la suppression non autorisée de fichiers liés aux soumissions ou aux champs dans Gridbox. Le fournisseur indique Gridbox 2.20.5.0 comme version corrective.
Source : NVD — CVE-2026-107130
Advanced Custom Fields et Smile Pack : suppression non autorisée de fichiers
Une faille de contrôle d’accès permet la suppression sans connexion d’images dans les dossiers Gallery d’Advanced Custom Fields et de Smile Pack. Pour certaines versions d’Advanced Custom Fields, elle expose également les téléversements no…
Source : NVD — CVE-2026-115451
Dokan : incohérence de rapprochement des paiements de commissions
Dokan ne rapproche pas le montant porté au crédit du registre de retrait inversé d’un vendeur du montant réellement perçu pour la commande de paiement. Avant la version 5.3.3, un vendeur peut réduire une dette de commissions en appliquant…
Source : NVD — CVE-2026-107776
CVE-2026-107774 : usurpation de l’adresse d’expéditeur dans Dokan
Dokan avant la version 5.3.3 utilise l’adresse fournie par un visiteur non authentifié comme expéditeur d’un message transmis aux vendeurs. Cela peut permettre l’usurpation d’une adresse du domaine du site ; aucune mesure de contournement…
Source : NVD — CVE-2026-107774
CVE-2026-107775 : contrôle d’autorisation insuffisant pour les vendeurs dans Dokan
Dokan avant la version 5.3.3 ne vérifie pas correctement qu’un administrateur de sous-site WordPress Multisite peut gérer chaque utilisateur sélectionné avant de lui accorder le statut de vendeur. Un administrateur de sous-site peut ainsi…
Source : NVD — CVE-2026-107775
Subscriptions for WooCommerce : contournement des restrictions de contenu
Subscriptions for WooCommerce applique ses restrictions de contenu aux seules consultations ordinaires du site frontal, laissant d’autres routes révéler le contenu complet des publications et pages protégées. Des utilisateurs non authentif…
Source : NVD — CVE-2026-87856
YITH WooCommerce Gift Cards : dépense concurrente d’une carte cadeau
YITH WooCommerce Gift Cards ne verrouille pas et ne met pas à jour atomiquement le solde d’une carte cadeau lors de son utilisation à la caisse. Un détenteur du code peut potentiellement dépenser plus que le montant crédité en lançant des…
Source : NVD — CVE-2026-88814
CVE-2026-107773 : contrôles d’autorisation insuffisants dans Dokan
Dokan avant la version 5.3.3 vérifie incorrectement l’autorisation d’accès à une commande et à ses notes, ce qui peut permettre à un attaquant non authentifié de consulter des informations de commande et de client. Selon les données fourni…
Source : NVD — CVE-2026-107773
CVE-2026-105971 : accès non authentifié à des contenus non publiés dans Car Dealer
Le plugin Car Dealer (Dealership) and Vehicle sales jusqu’à la version 4.73 permet à un attaquant non authentifié de consulter le titre, le contenu et les métadonnées de contenus privés, brouillons, en attente, programmés ou supprimés. La…
Source : NVD — CVE-2026-105971
CVE-2026-107786 : injection SQL dans CatFolders
CatFolders avant la version 2.5.7 ne nettoie ni n’échappe correctement un paramètre de tri contrôlé par l’utilisateur avant de l’insérer dans une requête SQL. Un utilisateur authentifié disposant au moins de la capacité d’envoi de fichiers…
Source : NVD — CVE-2026-107786
CVE-2026-107787 : action de maintenance non autorisée dans CatFolders
CatFolders avant la version 2.5.7 ne vérifie pas les autorisations sur une action de maintenance des dossiers. Un utilisateur ayant un rôle aussi limité que celui d’abonné peut réinitialiser la propriété des dossiers médias pour tous les u…
Source : NVD — CVE-2026-107787
WP PageNavi Style : XSS persistante via des paramètres non protégés contre CSRF
WP PageNavi Style jusqu’à la version 1.4 ne nettoie ni n’échappe correctement certains paramètres et ne vérifie pas les requêtes CSRF lors de leur enregistrement. Un attaquant peut ainsi faire enregistrer du JavaScript par un administrateu…
Source : NVD — CVE-2026-109150
CVE-2026-16304 : modification et publication de contenus via WP Event Manager
WP Event Manager avant la version 3.4.2 ne valide pas correctement la propriété ni le type des identifiants de publications traités par un formulaire frontal. Un utilisateur abonné ou de rôle supérieur peut réattribuer à son compte la pate…
Source : NVD — CVE-2026-16304
CVE-2026-19256 : tentatives de deviner le code de connexion dans All In One Login
All In One Login avant la version 2.5.0 limite insuffisamment les tentatives de deviner le court code numérique utilisé pour la connexion par courriel sans mot de passe. Les échecs ne sont pas pris en compte par sa protection anti-force br…
Source : NVD — CVE-2026-19256
CVE-2026-85346 : divulgation de données de stockage cloud dans FV Flowplayer Video Player
FV Flowplayer Video Player avant la version 7.5.56.7212 ne vérifie ni les autorisations ni les jetons CSRF sur plusieurs gestionnaires de navigation de médias cloud. Un utilisateur authentifié disposant de permissions minimales peut ainsi…
Source : NVD — CVE-2026-85346
XSS stockée via les réglages d’Easy Social Icons
Easy Social Icons ne nettoie pas et n’échappe pas certains réglages avant leur affichage, ce qui peut conduire à une XSS stockée par des utilisateurs à privilèges élevés lorsque `unfiltered_html` est désactivé. Les versions antérieures à 4…
Source : NVD — CVE-2025-15701
Stockage de scripts malveillants dans Cloud Blocks
Cloud Blocks n’effectue pas de contrôle d’autorisation ni d’assainissement lors de l’enregistrement des URL d’actifs de blocs, permettant le stockage de scripts malveillants. Les versions jusqu’à 1.1.8 sont concernées; aucun correctif n’es…
Source : NVD — CVE-2025-15702
Lecture de données par injection SQL dans IVPAY payments
IVPAY payments accepte une clé API vide et ne nettoie pas une valeur de rappel de paiement utilisée dans une requête SQL, ce qui peut permettre la lecture non authentifiée de données arbitraires de la base. Les versions jusqu’à 1.0.8 sont…
Source : NVD — CVE-2026-100144
XSS via téléversement de SVG dans Easy Social Icons
Easy Social Icons autorise le téléversement de SVG sans les assainir, ce qui peut permettre une XSS via un fichier malveillant. Les versions antérieures à 4.0.3 sont concernées; la source indique 4.0.3 comme seuil de correction.
Source : NVD — CVE-2026-105259
Essential Real Estate : activation indue de forfaits payants
La faille permet à un client inscrit d’activer sans paiement un forfait payant, car une action AJAX ne vérifie pas que le forfait est gratuit ni que l’utilisateur y a droit. Les versions d’Essential Real Estate antérieures à 5.3.5 sont con…
Source : NVD — CVE-2026-90966
Essential Real Estate : accès aux factures d’autres utilisateurs
Une action AJAX d’Essential Real Estate peut afficher des factures sans vérifier que l’utilisateur en est propriétaire. Un utilisateur authentifié disposant de faibles privilèges peut ainsi consulter des données personnelles et financières…
Source : NVD — CVE-2026-90967
EWWW Image Optimizer : contournement de l’assainissement de scripts
Une valeur du contenu d’un article n’est pas suffisamment assainie ni restreinte avant d’être utilisée pour charger et exécuter dynamiquement un script. Un utilisateur authentifié ayant au moins le rôle d’auteur peut injecter un script exé…
Source : NVD — CVE-2026-91049
FV Flowplayer Video Player : injection de script via une valeur non assainie
Dans FV Flowplayer Video Player, une valeur fournie par l’utilisateur n’est pas assainie avant d’être affichée, ce qui peut permettre une injection de script exécutée lorsqu’un utilisateur plus privilégié consulte la page. Le défaut concer…
Source : NVD — CVE-2026-85347
FV Flowplayer Video Player : SSRF via une URL non validée
FV Flowplayer Video Player ne valide pas une URL fournie par l’utilisateur avant d’effectuer une requête côté serveur, puis de stocker et servir publiquement le corps de la réponse. Des utilisateurs ayant le rôle Contributor ou supérieur p…
Source : NVD — CVE-2026-85351
Tutor LMS : divulgation des réponses correctes aux quiz
Tutor LMS inclut les bonnes réponses aux questions de quiz dans la page servie à l’étudiant, même lorsque le réglage correspondant devrait en contrôler la révélation. Un étudiant inscrit peut les consulter avant de soumettre sa tentative ;…
Source : NVD — CVE-2026-85570
WP Event Manager : accès et modification de contenus non publiés
WP Event Manager ne vérifie pas la propriété ni le type d’un article à partir d’un identifiant fourni dans le flux de soumission d’événements. Un attaquant non authentifié peut lire et écraser le contenu de publications ou pages non publié…
Source : NVD — CVE-2026-86442
Community Events : divulgation de soumissions en attente de modération
Une action AJAX de Community Events ne comporte ni contrôle d’autorisation ni vérification de nonce suffisants. Des utilisateurs non authentifiés peuvent récupérer des détails de soumissions d’événements en attente de modération ; mettre à…
Source : NVD — CVE-2026-86795
Essential Real Estate : divulgation d’annonces non publiées et de données d’agents
Une action AJAX d’Essential Real Estate ne vérifie ni l’autorisation ni le statut de publication des annonces. Des utilisateurs non authentifiés peuvent consulter le contenu intégral d’annonces non publiées ainsi que des coordonnées privée…
Source : NVD — CVE-2026-90963
Essential Real Estate : envoi de courriels à des destinataires arbitraires
Essential Real Estate ne restreint pas le destinataire d’une action d’envoi de courriel. Des utilisateurs non authentifiés peuvent envoyer, par l’intermédiaire du site, des messages à des adresses arbitraires avec un en-tête d’expéditeur e…
Source : NVD — CVE-2026-90964
Essential Real Estate : accès aux images d’annonces non publiées
Deux actions AJAX d’Essential Real Estate ne vérifient pas l’autorisation de l’appelant ni le statut de publication des annonces. Des utilisateurs non authentifiés peuvent récupérer les images attachées à des annonces non publiées ; mettre…
Source : NVD — CVE-2026-90965
Systèmes & serveurs
14 alerte(s)Alpine Linux : contournement de l’authentification par mot de passe OpenSSH (CVE-2026-123158)
Le 5 novembre 2026, Alpine a publié un avis concernant un contournement de l’authentification par mot de passe dans sshd sur musl sans PAM : dans certaines configurations de comptes, une connexion peut réussir avec un mot de passe de 256 à…
Source : NVD — CVE-2026-123158
Webmin : SSRF dans les modules File Manager et Upload and Download
Webmin présentait une vulnérabilité SSRF dans les modules File Manager et Upload and Download : des utilisateurs non fiables disposant d’un accès à ces modules pouvaient faire effectuer par le serveur des requêtes vers des adresses réseau…
Source : NVD — CVE-2026-102337
Debian LTS : DLA-4885-1 corrige Trapperkeeper Authorization
Une validation insuffisante des ACL d’hôte dans le service d’autorisation Trapperkeeper pourrait permettre à un client Puppet de télécharger le catalogue d’un autre hôte. Debian a publié DLA-4885-1 ; installez la mise à jour de sécurité De…
Source : DLA-4885-1 trapperkeeper-authorization-clojure – security update
Debian LTS : DLA-4884-1 corrige puppet-agent
Une validation manquante des données d’événement dans l’agent Puppet pourrait entraîner l’exécution de code sur le serveur Puppet. Debian a publié DLA-4884-1 ; installez la mise à jour de sécurité Debian applicable.
ntfs-3g : dépassement de tampon dans ntfscat (CVE-2026-42616)
Un dépassement de tampon sur le tas dans `cat()` de ntfscat peut corrompre la mémoire du processus lors de la lecture d’un fichier NTFS préparé. L’avis Debian LTS DLA-4883-1 corrige le problème ; mettez à jour ntfs-3g depuis les dépôts Deb…
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : dépassement de tampon dans ntfs_ir_truncate (CVE-2026-42617)
Un dépassement de tampon sur le tas dans `ntfs_ir_truncate()` peut corrompre la mémoire du processus ntfs-3g privilégié lors de l’extension d’un répertoire sur un système de fichiers NTFS préparé. Debian a publié DLA-4883-1 pour corriger n…
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : dépassement de tampon dans ntfs_decompress (CVE-2026-42618)
Un dépassement de tampon sur le tas dans `ntfs_decompress()` peut corrompre un octet de mémoire lors de la lecture d’un fichier d’une image NTFS préparée. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicab…
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : dépassement de tampon dans ntfs_ib_copy_tail (CVE-2026-46569)
Un dépassement de tampon sur le tas dans `ntfs_ib_copy_tail()` peut corrompre la mémoire lors de l’extension d’un répertoire sur une image NTFS préparée. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicabl…
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : dépassement de tampon dans ntfs_index_walk_down (CVE-2026-46570)
Un dépassement de tampon sur le tas dans `ntfs_index_walk_down()` peut corrompre la mémoire lors de la lecture de métadonnées de fichier préparées. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jour applicable.
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : lecture hors limites dans ntfs_fix_file_name (CVE-2026-46571)
Une lecture hors limites dans `ntfs_fix_file_name()` peut divulguer de la mémoire du processus lors d’un `readlink` sur un fichier corrompu dans une image NTFS préparée. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise…
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : dépassement de tampon dans ntfs_ib_cut_tail (CVE-2026-46572)
Un dépassement de tampon sur le tas dans `ntfs_ib_cut_tail()` peut corrompre la mémoire lors de la création d’un fichier dans un répertoire préparé d’une image NTFS. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à jo…
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : dépassement de tampon lors du traitement des ACL (CVE-2026-56135)
Un dépassement de tampon sur le tas lors du traitement des ACL dans `build_inherited_id()` peut corrompre la mémoire de ntfs-3g privilégié lors de la création d’un fichier dans un répertoire préparé. Debian a publié DLA-4883-1 pour corrige…
Source : DLA-4883-1 ntfs-3g – security update
ntfs-3g : lecture hors limites dans ntfs_ir_lookup (CVE-2026-56136)
Une lecture hors limites dans `ntfs_ir_lookup()` peut divulguer de la mémoire du processus lors de la création d’un fichier portant un nom préparé sur une image NTFS. Debian a publié DLA-4883-1 pour corriger ntfs-3g ; installez la mise à j…
Source : DLA-4883-1 ntfs-3g – security update
Debian LTS : DLA-4882-1 corrige des problèmes de sécurité dans Chromium
Des problèmes de sécurité dans Chromium pourraient entraîner l’exécution de code arbitraire, un déni de service ou une divulgation d’informations. Debian a publié DLA-4882-1 ; installez la mise à jour de sécurité applicable depuis les dépô…
Cloud & DevOps
5 alerte(s)Kyverno : contournement de validation de chemin dans les appels API de Policy
Dans Kyverno 1.19.1, la validation de urlPath nettoyait le chemin mais l’exécution utilisait la valeur brute, permettant de dissimuler des segments ../ derrière un fragment ou une requête. Un utilisateur autorisé à créer une Policy dans un…
Source : NVD — CVE-2026-122310
Eclipse BaSyx : secret client Keycloak exposé dans une ConfigMap
Dans la version 2.2.0 du chart aas-basyx-v2-full, lorsque Keycloak intégré était activé, le secret client OAuth du compte technique basyx-technical-user était également inscrit en clair dans une ConfigMap. Un principal pouvant lire cette C…
Source : NVD — CVE-2026-123059
Eclipse BaSyx : mots de passe Keycloak exposés dans une ConfigMap
Dans les versions 3.0.0-rc.1 à 3.12.1 du chart Helm basyx, lorsque Keycloak intégré était activé, les mots de passe des utilisateurs créés par le chart étaient stockés en clair dans une ConfigMap. Un principal pouvant lire les ConfigMaps d…
Source : NVD — CVE-2026-123047
GPUStack : contrôle d’autorisation insuffisant dans le proxy Kubernetes
Dans GPUStack 2.2.0 à 2.2.1, un utilisateur authentifié non administrateur pouvait utiliser le proxy vers un cluster Kubernetes sans vérification d’autorisation au niveau des ressources. Selon les permissions du ServiceAccount du worker, c…
Source : NVD — CVE-2026-103002
ingress-nginx : déni de service via l’annotation mirror-target
Un utilisateur autorisé à créer un Ingress pouvait exploiter l’annotation mirror-target pour écrire dans une API de configuration non authentifiée du contrôleur ingress-nginx, provoquant une interruption du trafic et, en théorie, une redir…
Source : NVD — CVE-2026-116472