Les sujets à surveiller, en un regard.
142 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 18 sujet(s) en rouge, 5 en orange.
Shopify
Recherche du sujet effectuée
La recherche dédiée sur Shopify n’a identifié aucun avis, correctif, vulnérabilité nouvelle, exploitation confirmée ni changement substantiel daté du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. Le résultat récent repéré pour Shopify App, CVE-2026-63414, est daté du 2026-10-30 et sa mise à jour affichée est du 2026-11-05 : ces dates sont antérieures à la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis de sécurité, correctif, exploitation confirmée ou changement substantiel concernant Wix, daté dans la période demandée (du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu). Les résultats retrouvés concernant des vulnérabilités Wix sont antérieurs à cette période; l’incident de service repéré est daté du 4 novembre et ne constitue pas un avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche web dédiée à Solocal n’a pas fait ressortir d’avis de sécurité, de correctif, d’exploitation ni de changement substantiel vérifiable attribuable à Solocal et daté dans la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. Les résultats non pertinents ou concernant d’autres entités n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a relevé quatre avis de sécurité Craft CMS publiés le 2026-11-06, correspondant aux CVE-2026-123488 à CVE-2026-123491. Les versions corrigées indiquées sont 4.18.9 et 5.11.2 ; aucune exploitation active n’est confirmée par les éléments consultés.
Craft CMS : injection SQL non authentifiée dans la recherche d’éléments
Une injection SQL non authentifiée dans le point d’accès de recherche d’éléments peut permettre la lecture et la modification de la base de données, jusqu’à la prise de contrôle d’un compte administrateur. Les versions concernées sont Craft CMS 4.0.0 à 4.18.8 et 5.0.0 à 5.11.1 ; mettez à niveau vers la version corrigée de votre branche.
Action recommandée : Mettre à niveau vers Craft CMS 4.18.9 ou 5.11.2 selon la branche utilisée.
Craft CMS : injection SQL aveugle via getNext() et getPrev()
Une injection SQL aveugle liée aux méthodes getNext() et getPrev() peut être déclenchée par un utilisateur authentifié du panneau de contrôle et exposer une oracle SQL conditionnelle. Les versions concernées sont Craft CMS 4.0.0 à 4.18.8 et 5.0.0 à 5.11.1 ; appliquez la mise à niveau correspondante.
Action recommandée : Mettre à niveau vers Craft CMS 4.18.9 ou 5.11.2 selon la branche utilisée.
Craft CMS : escalade de privilèges via getOwners()
Une escalade de privilèges affecte Craft CMS à partir de la version 5.8.17 et avant 5.11.2 : un utilisateur authentifié du panneau de contrôle peut faire appliquer des critères non nettoyés et promouvoir des comptes administrateur. Mettez à niveau vers Craft CMS 5.11.2 ou une version ultérieure.
Action recommandée : Mettre à niveau Craft CMS vers 5.11.2 ou une version ultérieure.
Craft CMS : injection SQL non authentifiée via l’eager-loading GraphQL
Le 6 novembre 2026, Craft CMS a publié un avis concernant une injection SQL dans l’eager-loading GraphQL, exploitable sans authentification pour accéder à des données de la base. Les versions 4.x antérieures à 4.18.9 et 5.x antérieures à 5.11.2 sont concernées ; mettre à jour vers la version corrigée correspondante.
Action recommandée : Mettre à jour Craft CMS vers la version 4.18.9 ou 5.11.2, selon la branche utilisée.
Ghost
Recherche du sujet effectuée
La recherche web a consulté les avis de sécurité GitHub de TryGhost et recherché des avis et publications Ghost datés du 6 novembre 2026. Aucun avis de sécurité, correctif, exploitation ni changement substantiel de sécurité Ghost daté de la période demandée n’a été vérifié; les avis retrouvés étaient datés d’autres périodes.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche n’a trouvé aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel Strapi daté du 2026-11-06 dans la période indiquée. Les résultats consultés signalent notamment une version publiée le 4 novembre et des avis antérieurs, qui ne sont pas inclus car hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
Dans les résultats consultés, je n’ai trouvé aucun avis, correctif, signalement d’exploitation ni changement substantiel Directus daté de la période du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu. L’avis Directus visible le plus récent dans les résultats était publié le 2026-10-30, hors période; les versions visibles sur la page des releases étaient antérieures à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche web dédiée a été effectuée. Les résultats consultés signalent notamment CVE-2026-119558, publiée le 2026-10-30 et modifiée le 2026-11-04, ainsi que des correctifs OpenCart associés à des CVE antérieures; aucun élément trouvé n'établit un nouvel avis, correctif, événement d'exploitation ou changement substantiel OpenCart daté dans la période demandée du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
Aucun avis ni correctif de sécurité cPanel daté du 2026-11-06 n’a été vérifié dans les sources consultées. La page de journal des modifications consultée indique une modification le 2026-11-05 et ne présente pas, dans les informations obtenues, d’événement de sécurité daté du 6 novembre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Vérification incomplète
La recherche a repéré une mise à jour NVD datée du 2026-11-06 pour CVE-2026-61848 (Crass), mais les éléments consultés ne permettent pas d’établir si elle correspond à un changement substantiel de sécurité plutôt qu’à une modification administrative. Aucun item n’est donc retenu sans preuve suffisante.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Bun
Recherche du sujet effectuée
La recherche des avis de sécurité de Bun, de ses publications de projet et de la fiche NVD fournie n’a établi aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté de la période demandée. Les avis Bun trouvés concernant Brotli et HTTP/3 sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
La recherche dédiée n’a pas permis d’établir de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ou de changement substantiel concernant Deno daté de la période demandée. Le candidat fourni concerne Zuke, un outil de build pour Deno, mais les informations disponibles datent sa publication au 2026-10-30; la seule mise à jour NVD indiquée au 2026-11-06 ne suffit pas à démontrer un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Niveau relevé : Critique
Deux avis de sécurité Go datés dans la période ont été retenus sur la base des dates et informations des fiches candidates : OSAC operator (CVE-2026-62284) et LXD (GHSA-9j25-mm2h-2f76, sans CVE indiquée). Les candidats plus anciens ou dont la date de publication n’est pas dans la période ont été exclus. Six avis GitHub publiés le 2026-11-06 concernent LXD/Incus, dont cinq sans CVE et un avis associé à CVE-2026-9639. Ils décrivent des problèmes d’injection d’arguments, d’écriture arbitraire, de déni de service et de contournement des restrictions de projet ; les versions corrigées sont celles indiquées individuellement dans les avis.
LXD : injection d’arguments dans la compression des sauvegardes
Une validation incomplète du paramètre d’algorithme de compression d’une sauvegarde permet à un utilisateur autorisé d’injecter des arguments et d’écrire un fichier arbitraire sur l’hôte, avec une possible exécution de commandes. La version corrigée indiquée est 0.0.0-20260630083100-c5184be310b1 ; mettre à niveau LXD au minimum vers cette version.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
LXD : écriture arbitraire de fichier via un en-tête de serveur d’images
Dans le client Incus, un serveur d’images malveillant peut fournir un en-tête Incus-Image-Hash forgé et provoquer une écriture arbitraire de fichier, susceptible d’aboutir à l’exécution de commandes en tant que root. L’avis indique comme version corrigée 0.0.0-20260630083100-c5184be310b1 ; mettre à niveau LXD vers cette version ou une version ultérieure.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
LXD : contournement des restrictions de projet via les instantanés
Les instantanés d’instances ne respectent pas le réglage restricted.containers.lowlevel=block, ce qui permet de contourner les restrictions de projet et d’exécuter des commandes arbitraires sur l’hôte. Mettre à niveau LXD vers la version corrigée 0.0.0-20260630083100-c5184be310b1 ou ultérieure.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
LXD : écriture de fichier sur l’hôte via le lien symbolique exec-output
L’avis GHSA-9j25-mm2h-2f76 décrit une écriture de fichiers sur l’hôte via un lien symbolique exec-output dans une image manipulée, exploitable par la fonction record-output de l’API exec de LXD. L’avis fourni indique comme version corrigée le commit 0.0.0-20260626085134-124f90100640; mettre à niveau vers cette version ou une version ultérieure.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée ou une version ultérieure; éviter les images non fiables.
LXD : contournement des restrictions de projet lors de la copie d’instances
Une vérification d’autorisation manquante lors de la copie d’une instance permet à un utilisateur connaissant le projet et l’instance source de copier celle-ci vers un projet accessible, exposant potentiellement ses données sensibles. Mettre à niveau LXD vers la version corrigée 0.0.0-20260630083100-c5184be310b1 ou ultérieure.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
LXD : contournement des restrictions de projet lors de la copie de volumes
Une vérification d’autorisation manquante lors de la copie d’un volume personnalisé permet de copier dans un projet accessible un volume d’un autre projet auquel l’utilisateur n’a pas accès. Mettre à niveau LXD vers la version corrigée 0.0.0-20260630083100-c5184be310b1 ou ultérieure.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
OSAC Operator : exécution de plug-in kubeconfig et SSRF dans le proxy de console
Une configuration kubeconfig contenant un plug-in `exec` peut conduire le proxy de console OSAC à exécuter un processus arbitraire dans son pod ; un serveur de cluster contrôlé par l’attaquant peut également provoquer une SSRF. Le problème concerne les déploiements en mode de cluster VM distant ou automatique et est corrigé dans la version 0.0.4.
Action recommandée : Mettre à niveau vers la version 0.0.4 ou ultérieure et restreindre l’accès aux Secrets lus par le proxy.
CVE-2026-9639 : arrêt du démon LXD lors de l’import d’une sauvegarde de volume
L’import d’une sauvegarde de volume personnalisé contenant un instantané sans valeur expires_at peut provoquer un déréférencement nil et faire planter le démon LXD. L’avis indique comme version corrigée 0.0.0-20260622081844-85f897013ccd ; mettre à niveau vers cette version ou une version ultérieure.
Action recommandée : Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
Kotlin
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié une vulnérabilité publiée le 2026-11-06 dans IntelliJ IDEA, liée aux téléchargements de dépendances déclenchés par des scripts Kotlin dans des projets non fiables. La version corrective indiquée est 2026.3. Aucun candidat distinct concernant ZAC n’a été retenu, car il décrit une application métier et non le langage Kotlin ou son écosystème.
IntelliJ IDEA : téléchargements de dépendances depuis des dépôts arbitraires via des scripts Kotlin
Dans les versions d’IntelliJ IDEA antérieures à 2026.3, des scripts Kotlin présents dans un projet non fiable pouvaient déclencher le téléchargement de dépendances depuis des dépôts arbitraires. Cela expose notamment l’utilisateur à des requêtes vers des sources non approuvées lorsqu’il ouvre un tel projet.
Action recommandée : Mettre à jour IntelliJ IDEA vers la version 2026.3 ou ultérieure.
Electron
Recherche du sujet effectuée
Niveau relevé : Moyenne
Un avis publié pendant la période concerne JupyterLab Desktop pour macOS : une configuration du fuse RunAsNode d’Electron peut permettre un contournement des protections TCC après une exécution de code locale préexistante. La version corrective indiquée est 4.6.2-1.
JupyterLab Desktop pour macOS : fuse RunAsNode d’Electron activé (CVE-2025-55002)
Sur macOS, une configuration d’Electron avec le fuse RunAsNode activé permet à un attaquant disposant déjà d’une capacité d’exécution de code locale d’exécuter du code dans le contexte de JupyterLab Desktop. Cela peut permettre d’accéder à des fichiers protégés par macOS sans nouvelle invite, si l’application a déjà reçu les autorisations TCC correspondantes.
Action recommandée : Mettre à jour JupyterLab Desktop vers la version 4.6.2-1 ou ultérieure.
jQuery
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis, correctif ou événement de sécurité concernant la bibliothèque jQuery daté de la période demandée. Le candidat fourni concerne une vulnérabilité de HumHub publiée le 3 novembre 2026 ; son utilisation de la méthode jQuery html() ne fait pas de jQuery le produit vulnérable, et la modification NVD du 6 novembre ne constitue pas en elle-même un nouvel événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Vérification incomplète
Les candidats fournis concernent FreeScout et 2FAuth, pas le framework Laravel : la mention de Laravel dans leur description désigne des mécanismes ou composants employés par ces applications. La recherche dédiée aux avis Laravel pour la période demandée n’a pas pu être menée à terme; aucune conclusion sur l’existence d’avis Laravel dans cette période n’est donc établie.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Svelte
Recherche du sujet effectuée
La recherche dédiée sur Svelte et SvelteKit n’a pas identifié de vulnérabilité nouvelle, d’avis ou correctif de sécurité, d’exploitation, ni de changement substantiel daté entre le 2026-11-06T00:00:00+02:00 inclus et le 2026-11-07T00:00:00+02:00 exclu. Les avis Svelte/SvelteKit repérés dans les sources consultées sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié huit CVE Symfony dont la première publication NVD est datée du 6 novembre 2026 dans la période demandée. Deux autres candidats NVD étaient des mises à jour de fiches initialement publiées le 4 novembre; les sources consultées ne démontrent pas de changement substantiel daté dans la fenêtre, donc ils ne sont pas retenus. Quatre nouvelles vulnérabilités Symfony ont une date de publication dans la période : elles concernent l’authentification programmatique, la correspondance des méthodes HTTP, la confiance dans les en-têtes transférés et la désérialisation des URI data:. Les autres candidats ont une date de publication antérieure; les informations fournies ne démontrent pas qu’une modification NVD dans la période correspond à un changement substantiel. Les quatre fiches NVD fournies indiquent des vulnérabilités Symfony publiées le 6 novembre 2026 : analyse YAML coûteuse, traitement de fichiers locaux comme téléversements, modification de propriétés imbriquées par le Serializer et résolution d'entités XML externes. Les versions corrigées indiquées sont propres à chaque CVE.
Symfony Serializer : lecture de fichiers locaux par confusion de casse du schéma data:
DataUriNormalizer reconnaissait le schéma data: avec une expression sensible à la casse, de sorte qu’un schéma écrit en majuscules pouvait être traité comme un chemin local. Une entrée désérialisée pouvait ainsi faire lire un fichier local accessible au processus PHP lorsque l’application utilise les types concernés.
Action recommandée : Mettre à jour vers une version corrigée et éviter de désérialiser des données non fiables vers ces types de fichiers sans validation.
Symfony Yaml : déni de service par analyse YAML inefficace
Une analyse YAML spécialement conçue peut monopoliser un processus PHP et provoquer un déni de service. Les versions antérieures aux correctifs indiqués sont concernées lorsque l’application analyse des données YAML non fiables.
Action recommandée : Mettre à niveau Symfony vers une version corrigée et éviter d’analyser des documents YAML non fiables avec les versions vulnérables.
Symfony Serializer : traitement de fichiers locaux comme téléversements
La désérialisation de données contrôlées par un attaquant peut faire traiter un fichier local comme un fichier téléversé lorsque la propriété visée utilise notamment un type dérivé tel que UploadedFile. Selon le traitement ultérieur du fichier, cela peut exposer ou déplacer des fichiers accessibles au processus PHP.
Action recommandée : Mettre à niveau Symfony vers une version corrigée et vérifier la configuration des sérialiseurs qui désérialisent des données non fiables.
Symfony HttpFoundation : des requêtes HEAD contournent des règles limitées à GET
Des restrictions configurées pour GET pouvaient ne pas s’appliquer à HEAD, alors que le routeur traite HEAD avec le gestionnaire GET. Une requête HEAD pouvait ainsi contourner des règles ou firewalls limités à GET.
Action recommandée : Mettre à jour vers une version corrigée et vérifier que les contrôles d’accès et firewalls couvrent correctement HEAD.
Modification de propriétés imbriquées par des chemins d’attribut dans Symfony Serializer
ObjectNormalizer peut interpréter des noms d’attribut contenant un point, ou un crochet à partir de Symfony 6.4, comme des chemins vers des propriétés imbriquées. Des données non fiables peuvent ainsi modifier des objets imbriqués et contourner leur métadonnée #[Ignore] dans les configurations concernées.
Action recommandée : Mettre à niveau vers une version corrigée et vérifier les points d'entrée qui lient des données non fiables à des objets.
Symfony Security : contrôle post-authentification omis lors de connexions programmatiques
L’authentification programmatique pouvait ignorer le contrôle checkPostAuth() d’un user checker personnalisé, permettant à un utilisateur normalement rejeté d’obtenir une session authentifiée. Le défaut concerne les applications réunissant ces deux conditions; le user checker par défaut n’est pas concerné.
Action recommandée : Mettre à jour vers une version corrigée; vérifier en priorité les connexions programmatiques et les user checkers personnalisés.
Symfony HttpKernel : confiance temporaire indue dans les en-têtes transférés
Pendant le traitement d’un sous-requête, le contexte du routeur pouvait faire confiance temporairement à des en-têtes Forwarded transmis par le client. Dans les déploiements concernés, ceux-ci pouvaient influencer les URL absolues générées ensuite et empoisonner des liens mis en cache ou envoyés par courriel.
Action recommandée : Mettre à jour vers une version corrigée et revoir la configuration des proxies de confiance et la transmission des en-têtes Forwarded.
Résolution d'entités XML externes dans Symfony Config XmlUtils
XmlUtils::parse() active la validation DTD avant de rejeter les documents contenant un doctype, ce qui peut provoquer une résolution d'entités XML externes lors du chargement. Selon le contenu XML et la configuration, un attaquant capable de fournir ce contenu peut détecter l'existence de fichiers locaux, provoquer un déni de service ou, dans certains cas, exfiltrer des données.
Action recommandée : Mettre à niveau vers une version corrigée et ne pas transmettre de XML non fiable à XmlUtils::parse() sur les versions affectées.
Flask
Recherche du sujet effectuée
La recherche dédiée sur Flask (le framework Pallets) n’a vérifié aucun avis ou changement de sécurité daté de la période demandée. Les deux candidats concernent pgAdmin 4, et non Flask : leur mise à jour NVD pendant la période ne suffit pas à en faire des vulnérabilités du sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
La recherche dédiée a repéré l’avis de sécurité Django du 3 novembre 2026 concernant six CVE, mais sa publication est antérieure à la période demandée et il n’est donc pas retenu. Aucune information vérifiée ne satisfait la fenêtre du 6 novembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun avis/correctif de sécurité, aucune exploitation ni mise à jour substantielle concernant FastAPI n’a été vérifié comme étant daté de la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. L’avis GitHub consulté est ancien, et les autres résultats pertinents repérés concernent des dates hors période ou des projets distincts de FastAPI.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
Aucun avis, correctif, événement d’exploitation ni changement substantiel concernant le framework Express n’a été vérifié dans la période du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu. Les candidats fournis portent sur des produits homonymes ou hors sujet.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche dédiée sur NestJS n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu. Les avis NestJS visibles dans les résultats consultés étaient datés du 2026-09-15 ou d’une date antérieure, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Pour MySQL (le produit), les sources consultées ne montrent pas de nouvel avis ou correctif de sécurité daté du 2026-11-06. Les candidats concernent des applications tierces utilisant MySQL, ou MariaDB, et non une vulnérabilité du produit MySQL lui-même. Aucune information pertinente sur une vulnérabilité du produit MySQL n’a été retenue parmi les candidats fournis.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Vérification incomplète
Niveau relevé : Critique
La recherche a identifié deux avis Babelfish pour PostgreSQL datés du 6 novembre 2026 (CVE-2026-119923 et CVE-2026-119924), ainsi qu’une mise à jour AWS datée du 6 novembre pour CVE-2026-119922, dont l’avis initial est du 3 novembre. Les éléments examinés concernant les autres candidats ne constituent pas une nouveauté de sécurité PostgreSQL dans la période, ou indiquent explicitement que PostgreSQL n’est pas affecté. Deux avis publiés dans la période concernent des vulnérabilités de l’extension Babelfish pour PostgreSQL : un débordement de tampon dans le parseur TDS prelogin et une lecture hors limites dans le parseur RPC TDS. Les correctifs et mesures de contournement sont décrits dans les fiches NVD citées.
Babelfish pour PostgreSQL : exécution de commandes par débordement dans le parseur TDS
Un débordement de tampon dans le parseur TDS prelogin de Babelfish peut permettre à un attaquant distant d’exécuter des commandes système avec les privilèges du processus de base de données en envoyant un paquet malformé au port TDS. Les versions concernées et les versions correctives sont indiquées dans l’avis; à défaut de mise à jour, restreindre l’accès réseau au port TDS, généralement 1433.
Action recommandée : Mettre à niveau Babelfish vers la version 4.10, 5.6 ou 6.1, ou ultérieure; pour Aurora PostgreSQL avec Babelfish, appliquer la version corrective correspondante indiquée dans l’avis.
Babelfish pour PostgreSQL : lecture hors limites dans le parseur RPC TDS
Une lecture hors limites dans le parseur de noms de procédures RPC TDS de Babelfish peut exposer de la mémoire adjacente au processus ou provoquer un déni de service via une requête TDS malformée; l’attaque requiert une authentification. Les versions concernées et les versions correctives sont indiquées dans l’avis; à défaut de mise à jour, restreindre l’accès réseau au port TDS, généralement 1433.
Action recommandée : Mettre à niveau Babelfish vers la version 4.10, 5.6 ou 6.1, ou ultérieure; pour Aurora PostgreSQL avec Babelfish, appliquer la version corrective correspondante indiquée dans l’avis.
MongoDB
Recherche du sujet effectuée
Niveau relevé : Élevée
Deux vulnérabilités liées à MongoDB ont été publiées pendant la période : une injection NoSQL dans Openwhyd (CVE-2026-123617) et une injection via variables de date dans les graphiques MongoDB de Chartbrew (CVE-2026-85726). Les autres candidats fournis concernent des fiches publiées avant la période ou des mises à jour NVD dont les éléments consultés ne démontrent pas un changement substantiel daté dans la période.
Injection NoSQL aveugle via les variables de date dans Chartbrew
Chartbrew avant la version 5.2.3 ne protège pas correctement certaines variables MongoDB de type date lorsqu’elles sont substituées dans un emplacement de requête entre guillemets. Un utilisateur non authentifié peut exploiter un graphique public, partagé ou intégré vulnérable pour déduire des données de la collection interrogée; mettre à jour Chartbrew vers la version 5.2.3 ou ultérieure.
Action recommandée : Mettre à jour Chartbrew vers la version 5.2.3 ou ultérieure; vérifier les graphiques MongoDB publics, partagés ou intégrés utilisant des variables de date.
Injection NoSQL dans la recherche d’utilisateurs d’Openwhyd
Openwhyd avant la version 1.65.1 présente une injection NoSQL dans la recherche d’utilisateurs : une requête non authentifiée vers `/api/user` peut fournir un objet JSON dans le paramètre `id` et manipuler la recherche MongoDB. L’impact rapporté est l’énumération de profils publics; mettre à jour Openwhyd vers la version 1.65.1 ou ultérieure.
Action recommandée : Mettre à jour Openwhyd vers la version 1.65.1 ou ultérieure.
Redis
Recherche du sujet effectuée
Dans la période figée du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00, la recherche dédiée sur les avis Redis, les avis GitHub et les publications CVE/NVD consultées n’a pas fait apparaître d’avis ou de correctif de sécurité Redis daté de cette période. Les candidats reçus concernent RAGFlow et Chartbrew, et non une vulnérabilité du produit Redis.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche a repéré la version Caddy 2.11.9, publiée le 2026-11-05, et des avis de sécurité Caddy publiés le 2026-11-04. Les avis repérés précèdent la période demandée; le résultat disponible ne permet pas d’établir qu’un nouvel avis ou un changement de sécurité admissible a été daté dans la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis de sécurité GitHub du projet SvelteKit et recherché des avis et CVE datés du 6 novembre 2026. Les résultats consultés ne font apparaître aucun nouvel avis, correctif, cas d’exploitation ou changement substantiel concernant SvelteKit dans la période demandée; les avis SvelteKit repérés sont datés d’autres jours.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
Aucune vulnérabilité, publication d’avis de sécurité, exploitation ou mise à jour substantielle de Babel datée du 2026-11-06 n’a été identifiée dans les résultats consultés. Les avis Babel trouvés sont antérieurs à la période; le billet du 2026-11-02 annonce Babel 8.1.0, mais ne constitue pas un événement de sécurité daté du 2026-11-06.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
Aucun avis de sécurité Elasticsearch daté du 6 novembre 2026 n’a été identifié dans les sources consultées. Les avis Elasticsearch visibles dans la rubrique officielle consultée sont datés du 3 novembre 2026; les trois candidats fournis concernent d’autres produits, et non une vulnérabilité d’Elasticsearch.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
Les sources RabbitMQ consultées ne montrent aucun nouvel avis de sécurité, correctif, signalement d’exploitation ni changement substantiel daté du 2026-11-06 dans la période demandée. Les avis visibles dans les résultats sont datés d’autres jours et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche dédiée n’a établi aucun événement Memcached admissible dans la période figée. Le candidat CVE-2026-13575 décrit une vulnérabilité publiée le 2026-11-01 ; sa mise à jour NVD indiquée au 2026-11-06 ne suffit pas, à elle seule, à établir un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Élevée
Une publication de sécurité pertinente pour GraphQL a été vérifiée dans la période : CVE-2026-123491, concernant une injection SQL non authentifiée dans Craft CMS et corrigée dans les versions 4.18.9 et 5.11.2. Les autres candidats fournis ne sont pas retenus comme nouveautés ou changements substantiels vérifiés dans cette période.
Craft CMS : injection SQL non authentifiée via l’eager-loading GraphQL
Le 6 novembre 2026, Craft CMS a publié un avis concernant une injection SQL dans l’eager-loading GraphQL, exploitable sans authentification pour accéder à des données de la base. Les versions 4.x antérieures à 4.18.9 et 5.x antérieures à 5.11.2 sont concernées ; mettre à jour vers la version corrigée correspondante.
Action recommandée : Mettre à jour Craft CMS vers la version 4.18.9 ou 5.11.2, selon la branche utilisée.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Élevée
Cinq publications de vulnérabilités liées à WooCommerce ou à ses extensions portent une date de publication située dans la période figée. Les candidats correspondant uniquement à des modifications NVD de fiches publiées avant la période ont été exclus, faute d’élément établissant un changement substantiel de sécurité daté dans la période. Cinq vulnérabilités WooCommerce ou concernant des extensions WooCommerce ont une date de première publication dans la période : exposition d’identifiants de paiement, exposition de données personnelles, injection de code PHP, contrôle d’accès manquant et injection de script stocké. Les deux autres candidats ont été exclus car leur première publication précède la période et le lot ne documente pas de changement substantiel à leur fiche pendant celle-ci.
Injection de code PHP dans CTX Feed
CVE-2026-87964 est une injection de code PHP dans CTX Feed, qui permet à des utilisateurs authentifiés disposant de droits de gestionnaire de boutique d’exécuter du code arbitraire sur le serveur. Toutes les versions jusqu’à 8.0.26 incluse sont concernées ; la voie décrite est activée par défaut et aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et limiter les rôles de gestionnaire de boutique.
CVE-2026-115431 : contrôle d’accès manquant dans Upsell Order Bump Offer
Upsell Order Bump Offer for WooCommerce présente une vulnérabilité de contrôle d’accès manquant. La source fournie indique les versions concernées, mais ne précise pas quelles opérations non autorisées sont possibles.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
ShopEngine : XSS stockée exploitable par un contributeur
Le plugin ShopEngine Gutenberg WooCommerce Builder Blocks Addon avant la version 2.4.4 ne vérifie pas correctement les droits de l’utilisateur ni la propriété de l’article dans une action AJAX, et ne neutralise pas la valeur stockée avant son insertion dans un contexte JavaScript. Un utilisateur ayant le rôle Contributeur ou un rôle supérieur peut ainsi injecter un script exécuté lorsqu’un utilisateur privilégié modifie l’article concerné.
Action recommandée : Mettre à jour le plugin vers la version 2.4.4 ou ultérieure.
Divulgation d’identifiants de paiement dans Travelly
Travelly – Tour & Travel Booking Manager for WooCommerce présente un contournement d’autorisation dans toutes les versions jusqu’à 2.3.11 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut accéder aux identifiants enregistrés des passerelles de paiement, notamment PayPal et Stripe.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier et renouveler les identifiants de paiement susceptibles d’avoir été exposés.
Divulgation de données personnelles dans Eventin
Eventin présente une exposition d’informations sensibles dans toutes les versions jusqu’à 4.1.29 incluse. Un utilisateur authentifié ayant le rôle Subscriber ou supérieur peut obtenir l’adresse e-mail et le numéro de téléphone d’un utilisateur WordPress en fournissant son identifiant dans le paramètre id.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
Simple:Press
Recherche du sujet effectuée
La recherche web dédiée n’a trouvé aucun avis de sécurité, correctif, signalement d’exploitation ni changement substantiel concernant Simple:Press daté de la période du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu. Les sources consultées affichent des informations historiques ou antérieures à cette période; elles ne constituent pas un événement retenu pour ce bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
La recherche dédiée a consulté les annonces de sécurité et les notes de version de Docker. Aucun avis ou correctif Docker dont la date de l’événement a pu être vérifiée dans la période du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu n’a été retenu. Les changements NVD signalés pour des failles Docker antérieurement publiées ne suffisent pas, à eux seuls, à établir un événement substantiel durant cette période. Aucun candidat ne documente une vulnérabilité ou un avis portant sur Docker lui-même. Les références à Docker Compose ou aux images Docker concernent le mode de déploiement de produits tiers.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
Niveau relevé : Élevée
Trois vulnérabilités Kubeflow Pipelines liées à des fonctionnalités et autorisations Kubernetes ont une publication NVD située dans la période demandée. La recherche dans le flux officiel Kubernetes n’a pas identifié de nouvel avis du projet Kubernetes daté de cette période; le CVE ingress-nginx cité dans ce flux avait été publié avant la période. Un avis de sécurité OSAC Operator publié pendant la période concerne l’exécution de plug-ins kubeconfig et une SSRF dans le proxy de console. Les trois fiches NVD fournies portent des dates de publication antérieures à la période ; leur seule date de mise à jour NVD ne permet pas d’établir un changement substantiel daté dans la période.
OSAC Operator : exécution de plug-in kubeconfig et SSRF dans le proxy de console
Une configuration kubeconfig contenant un plug-in `exec` peut conduire le proxy de console OSAC à exécuter un processus arbitraire dans son pod ; un serveur de cluster contrôlé par l’attaquant peut également provoquer une SSRF. Le problème concerne les déploiements en mode de cluster VM distant ou automatique et est corrigé dans la version 0.0.4.
Action recommandée : Mettre à niveau vers la version 0.0.4 ou ultérieure et restreindre l’accès aux Secrets lus par le proxy.
Kubeflow Pipelines : contrôle d’autorisation insuffisant sur les pipelines partagés
Dans Kubeflow Pipelines avant 2.16.1, le serveur API multi-utilisateurs n’applique pas correctement les contrôles d’autorisation Kubernetes pour modifier ou supprimer des pipelines partagés et leurs versions. Mettre à niveau vers 2.16.1 ou une version ultérieure.
Action recommandée : Mettre Kubeflow Pipelines à niveau vers 2.16.1 ou une version ultérieure.
XSS via des réponses HTML dans Kubeflow Pipelines
Des valeurs non fiables présentes dans certains paramètres de requête et détails d’erreur peuvent être incluses dans des réponses HTML des routes Kubernetes de Kubeflow Pipelines. Un lien spécialement conçu peut ainsi exécuter du JavaScript dans l’origine de l’interface lorsqu’un utilisateur accède à une réponse affectée; mettre à niveau vers la version corrigée.
Action recommandée : Mettre à niveau Kubeflow Pipelines vers 2.15.0 ou une version ultérieure.
Kubeflow Pipelines : risque de partage inter-espaces de noms dans le cache legacy
Dans les déploiements multi-utilisateurs de Kubeflow Pipelines antérieurs à 2.18.0, le cache d’exécution legacy V1/raw-Argo peut partager des résultats entre espaces de noms, permettant à un utilisateur capable de soumettre des workloads d’accéder à des sorties mises en cache ou d’en faire réutiliser. Mettre à niveau vers 2.18.0 ou une version ultérieure.
Action recommandée : Mettre Kubeflow Pipelines à niveau vers 2.18.0 ou une version ultérieure; examiner l’usage du cache legacy dans les déploiements multi-utilisateurs.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche a relevé trois avis Xen publiés le 6 novembre 2026 concernant des vulnérabilités du noyau Linux dans les pilotes xen-netback et xen-blkback : CVE-2026-100080, CVE-2026-100081 et CVE-2026-100082. Les candidats portant sur LXC et sur des fiches CVE plus anciennes modifiées dans NVD ont été exclus du périmètre ou faute d’élément montrant un changement substantiel dans la période. Aucun changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats décrivent des vulnérabilités publiées antérieurement et signalent des mises à jour NVD, sans préciser la nature d’un changement substantiel apporté aux fiches. Les candidats fournis sont des fiches NVD de vulnérabilités Linux publiées en 2025, dont la date de mise à jour indiquée tombe dans la période. Le lot ne documente aucun changement de sécurité substantiel pendant cette période : une mise à jour administrative de fiche NVD ne suffit pas à retenir un événement. Aucune nouveauté Linux noyau datée de la période demandée n’est établie par ce lot. Les candidats sont des fiches CVE publiées en août 2025 dont les seules dates d’actualisation fournies sont le 5 novembre 2026 à 22:17:20–21Z, avant le début de la période au fuseau +02:00; aucune modification substantielle datée du 6 novembre n’est indiquée. Les candidats fournis sont des mises à jour NVD datées du 2026-11-05T22:17Z, avant la période demandée. Leurs dates de publication sont en août 2025; aucune preuve fournie n’indique un événement substantiel dans la période du bulletin. Les candidats sont des fiches NVD de vulnérabilités publiées en 2025, modifiées le 6 novembre 2026 à partir de 00:17 (+02:00). Les éléments fournis ne montrent qu’une mise à jour administrative des fiches, sans changement substantiel daté de la période d…
Linux : XSA-526 corrige une utilisation après libération dans xen-netback
Le correctif XSA-526 corrige une utilisation après libération dans xen-netback : lors d’un démontage après erreur de connexion, des données de statistiques protégées par RCU pouvaient être libérées sans synchronisation, alors qu’elles étaient lues via sysfs. La source ne précise ni versions affectées ni version corrigée ; appliquer les mises à jour de noyau fournies par le distributeur.
Action recommandée : Installer la mise à jour de noyau publiée par le distributeur.
Linux : XSA-527 corrige le moment de libération d’une liste multicast dans xen-netback
Le correctif XSA-527 déplace la libération de la liste d’adresses multicast de xen-netback après le point de synchronisation du démontage, afin d’éviter qu’elle ne survienne pendant le traitement TX/RX. La source ne précise ni versions affectées ni version corrigée ; appliquer les mises à jour de noyau fournies par le distributeur.
Action recommandée : Installer la mise à jour de noyau publiée par le distributeur.
Linux : XSA-528 corrige une concurrence sur les statistiques dans xen-blkback
Le correctif XSA-528 corrige une condition de concurrence dans xen-blkback : la lecture des statistiques d’E/S via sysfs pouvait se produire simultanément au démontage du périphérique frontal, entraînant une utilisation après libération ou un déréférencement NULL. La source ne précise ni versions affectées ni version corrigée ; appliquer les mises à jour de noyau fournies par le distributeur.
Action recommandée : Installer la mise à jour de noyau publiée par le distributeur.
Debian
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche a identifié une nouvelle vulnérabilité publiée le 6 novembre 2026 dans FreedomBox, projet présenté comme un Debian Pure Blend. Les autres candidats fournis ne correspondent pas à une nouvelle vulnérabilité ou à un changement substantiel établi dans la période. Les candidats concernent des CVE du noyau Linux publiées en 2025. Leurs fiches NVD indiquent une mise à jour le 2026-11-05 à 22:17 UTC, mais les éléments fournis ne documentent aucun changement substantiel dans la période demandée ; une date de modification NVD seule ne suffit pas à établir une nouveauté de sécurité. Aucun candidat ne démontre une vulnérabilité nouvelle ni un changement substantiel daté dans la période. Les CVE décrites ont été publiées en 2025 ; les seuls événements datés de la période sont des mises à jour de fiches NVD, sans indication d’un changement substantiel. Les candidats sont des mises à jour de fiches NVD concernant des vulnérabilités publiées en septembre 2025. Les données fournies ne montrent aucun changement substantiel daté de la période demandée; la seule date récente indiquée est celle de mise à jour de la fiche. Aucune nouveauté Debian vérifiable dans ce lot pour la période demandée. Les candidats concernent des CVE du noyau Linux publiées en 2025 ; leur seule date dans la période est une mise à jour NVD, sans preuve fournie d’un changement substantiel pertinent. Aucun avis ou correctif de sécurité Debian daté de la période n’est établi par les candidats fournis. Ceux-ci décrivent des correctifs du noyau Linux générique et indiquent une mise à jour NVD, sans preuve d’un changement substantiel dans la période ni d’un avis Debian correspondant. Aucun candidat fourni n’établit une nouveauté, un correctif, un avis de sécurité, une exploitation ou un changement substanti…
FreedomBox : lecture et modification de fichiers via un lien symbolique dans authorized_keys
Une faille dans FreedomBox permet à un compte non privilégié de lire ou modifier des fichiers auxquels il n’a normalement pas accès, en faisant de son fichier authorized_keys un lien symbolique. Les versions antérieures à 26.15 sont concernées ; mettre à jour vers 26.15 ou une version ultérieure.
Action recommandée : Mettre à jour FreedomBox vers la version 26.15 ou ultérieure.
CERT-FR signale plusieurs vulnérabilités du noyau Linux de Debian
Le CERT-FR signale plusieurs vulnérabilités dans le noyau Linux de Debian. Elles pourraient permettre une élévation de privilèges, une atteinte à la confidentialité ou un déni de service.
Action recommandée : Consulter l’avis CERT-FR et appliquer les mises à jour Debian correspondantes dès qu’elles sont disponibles.
Alpine Linux
Vérification incomplète
Un signalement daté du 6 novembre 2026 rapporte l’exploitation de CVE-2026-123158 et un accès root réussi sur un honeypot Alpine Linux. Le correctif amont OpenSSH est la version 10.6p2.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Recherche du sujet effectuée
La recherche a confirmé la publication d’Apache HTTP Server 2.4.70 le 2026-11-06, mais les sources consultées ne permettent pas d’établir qu’il s’agissait d’un correctif ou avis de sécurité répondant aux critères de la période. Aucun nouvel événement de sécurité pertinent n’a donc été retenu. Le candidat fourni concerne le serveur HTTP d’un routeur Tenda, et non Apache HTTP Server.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant le projet Nginx n’a été confirmé dans la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. Les candidats fournis concernent Traefik, Symfony ou le projet distinct ingress-nginx, et ne sont donc pas retenus pour le sujet Nginx demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Vérification incomplète
Niveau relevé : Élevée
La recherche web dédiée sur PHP et PHP-FPM n’a pas permis d’établir de nouvelle vulnérabilité, de correctif/avis, d’exploitation ni de changement substantiel publié pendant la période demandée. Les avis PHP retrouvés sur les vulnérabilités CVE-2026-109618 et CVE-2026-109619 datent du 21 octobre 2026, donc sont antérieurs à la période. Les candidats fournis concernent des vulnérabilités de plugins ou d’applications utilisant PHP, pas le langage ou le runtime PHP/PHP-FPM, et sont hors sujet. Six avis publiés pendant la période concernent des applications PHP ou des composants Symfony : deux vulnérabilités Symfony, trois vulnérabilités FreeScout et une vulnérabilité 2FAuth. Les informations de versions corrigées et d’impact sont limitées aux éléments fournis dans les fiches NVD. Aucun candidat ne documente une vulnérabilité ou un avis concernant le langage PHP ou PHP-FPM. Les occurrences de « PHP » dans les noms de fichiers ou de produits ne suffisent pas à établir un lien avec le sujet demandé. Aucun élément du lot ne documente une vulnérabilité du langage PHP ou de PHP-FPM : les candidats portent sur des produits tiers, dont certains développés en PHP. Les dates fournies indiquent des mises à jour NVD, mais ne démontrent pas à elles seules un changement substantiel pertinent pour le sujet demandé. Aucun candidat fourni ne documente une vulnérabilité, un correctif ou un avis concernant PHP lui-même. Les candidats portent sur d’autres produits, et leurs seules dates de mise à jour NVD ne démontrent pas un changement substantiel admissible pour ce sujet. Aucun élément de ce lot ne documente une vulnérabilité, un correctif ou un avis touchant directement PHP ou PHP-FPM. Les candidats portent sur des applications tierces et indiquent seulement une mise à jour de fiche NVD, s…
Symfony Yaml : déni de service par analyse YAML inefficace
Une analyse YAML spécialement conçue peut monopoliser un processus PHP et provoquer un déni de service. Les versions antérieures aux correctifs indiqués sont concernées lorsque l’application analyse des données YAML non fiables.
Action recommandée : Mettre à niveau Symfony vers une version corrigée et éviter d’analyser des documents YAML non fiables avec les versions vulnérables.
Symfony Serializer : traitement de fichiers locaux comme téléversements
La désérialisation de données contrôlées par un attaquant peut faire traiter un fichier local comme un fichier téléversé lorsque la propriété visée utilise notamment un type dérivé tel que UploadedFile. Selon le traitement ultérieur du fichier, cela peut exposer ou déplacer des fichiers accessibles au processus PHP.
Action recommandée : Mettre à niveau Symfony vers une version corrigée et vérifier la configuration des sérialiseurs qui désérialisent des données non fiables.
FreeScout : requêtes serveur vers des hôtes internes insuffisamment contrôlées
Plusieurs chemins de requête sortante dans FreeScout ne vérifient pas systématiquement les hôtes restreints au niveau de la destination. Un utilisateur authentifié disposant des permissions nécessaires peut ainsi atteindre des services internes ou locaux; aucune voie non authentifiée n’est établie.
Action recommandée : Mettre à niveau FreeScout vers 1.8.230 ou une version ultérieure.
FreeScout : endpoint de maintenance exposé et essais de secrets sans limitation
Un point de maintenance de FreeScout est accessible sans contrôle d’accès approprié et peut révéler l’existence de fichiers ou répertoires selon les chemins fournis. Il permet également de tester sans limitation des candidats pour la clé applicative et le mot de passe de base de données.
Action recommandée : Mettre à niveau FreeScout vers 1.8.225 ou une version ultérieure.
FreeScout : traversée de chemin dans le visualiseur des journaux
Dans FreeScout, un administrateur connaissant APP_KEY peut exploiter le visualiseur des journaux pour lire des fichiers locaux accessibles au processus PHP. Le problème concerne les versions antérieures à 1.8.225.
Action recommandée : Mettre à niveau FreeScout vers 1.8.225 ou une version ultérieure.
2FAuth : contrôle d’autorisation manquant sur les destinataires de partage
Lorsque le partage de comptes est activé, un utilisateur authentifié de 2FAuth peut consulter les destinataires et relations de partage de comptes appartenant à d’autres utilisateurs. La vulnérabilité est corrigée en version 8.0.0.
Action recommandée : Mettre à niveau 2FAuth vers la version 8.0.0 ou une version ultérieure.
XSS stockée dans les listes modales de FacturaScripts
Une faille XSS stockée dans FacturaScripts permet d’exécuter du JavaScript lorsqu’un utilisateur ouvre les listes modales de variantes ou de sous-comptes. Elle concerne les versions jusqu’à 2026.1 et est corrigée dans la version 2026.2.
Action recommandée : Mettre à niveau FacturaScripts vers la version 2026.2 ou une version ultérieure.
WordPress
Vérification incomplète
Niveau relevé : Critique
Les candidats fournis signalent dix fiches CVE WordPress publiées le 6 novembre 2026, couvrant des injections SQL et de commandes, des XSS et des contournements ou prises de contrôle de comptes. La recherche web a également fait apparaître des avis WordPress datés de cette journée, mais les items ci-dessus sont limités aux dix candidats et leurs détails reprennent les fiches NVD fournies. Dix vulnérabilités affectant des extensions WordPress ont été publiées dans les fiches NVD fournies pour le 2026-11-06. Les versions correctives indiquées concernent Ever Accounting, MC4WP, PublishPress Revisions, AutomatorWP, Surfer, All-in-One Video Gallery et WCFM Membership. Dix fiches NVD WordPress publiées le 6 novembre 2026 dans la période demandée ont été examinées et retenues, couvrant les plugins iubenda, Cool Media Filter, ShopEngine, MC4WP, WP Libre Form, Order Tracking, Quick Event Manager et MDJM. Les éléments fournis décrivent des injections de scripts, des défauts de contrôle d’accès, des validations de paiement insuffisantes et un téléversement de fichier pouvant mener à l’exécution de code; aucune information fournie n’établit une exploitation active. Les candidats fournis correspondent à dix vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 6 novembre 2026 : XSS stockées, injection SQL, exposition de données et contournements d’autorisation. Les informations de versions affectées et d’impact sont celles indiquées dans les résumés des fiches; aucun correctif ni exploitation active n’est précisé dans les éléments fournis. Dix fiches NVD concernant des plugins WordPress ont été publiées le 2026-11-06 dans la période examinée. Elles décrivent des vulnérabilités d’autorisation, d’injection de code, de XSS, d’élévation de privilèges et de suppres…
Contournement de l’authentification dans le plugin Wurdey
Wurdey jusqu’à la version 1.0.0 ne vérifie pas la signature d’une requête avant de connecter un utilisateur, ce qui peut permettre à un attaquant non authentifié de se connecter comme administrateur s’il connaît le nom d’utilisateur de celui-ci. La fiche NVD publiée le 6 novembre 2026 ne précise pas de version corrigée ; vérifiez l’usage du plugin et appliquez un correctif dès qu’il est disponible.
Action recommandée : Mettre à jour le plugin si un correctif est publié ; à défaut, désactiver le plugin.
Modification non autorisée de comptes dans le plugin placester
Le plugin placester jusqu’à la version 1.4.3 ne vérifie ni les droits, ni le nonce, ni la propriété du compte lors d’une action AJAX de modification des coordonnées. Un attaquant non authentifié peut changer l’adresse e-mail d’un utilisateur, y compris celle d’un administrateur, et tenter une prise de contrôle via la procédure normale de réinitialisation du mot de passe ; la fiche NVD ne précise pas de version corrigée.
Action recommandée : Mettre à jour le plugin si un correctif est publié ; à défaut, désactiver le plugin.
Injection SQL et accès administrateur via GS JWT Authentication for WP REST API
GS JWT Authentication for WP REST API jusqu’à la version 1.0.0 ne paramètre pas des valeurs de requête utilisées dans des requêtes SQL sur plusieurs routes REST accessibles sans authentification. Un attaquant non authentifié peut exploiter une injection SQL et obtenir une session administrateur ; la fiche NVD ne précise pas de version corrigée.
Action recommandée : Mettre à jour le plugin si un correctif est publié ; à défaut, désactiver le plugin ou restreindre l’accès aux routes REST concernées.
WHIZZ : réinitialisation de mot de passe non autorisée
Le plugin WHIZZ jusqu’à la version 1.1.8 ne vérifie pas correctement la clé de réinitialisation du mot de passe et s’appuie sur un nonce exposé aux visiteurs non authentifiés. Un attaquant peut ainsi définir le mot de passe d’un utilisateur, y compris d’un administrateur, et prendre le contrôle de son compte.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin.
Static Snapshot : exécution de commandes à distance
Static Snapshot jusqu’à la version 0.2.1 ne filtre pas les métacaractères shell dans une valeur fournie par l’utilisateur avant de l’intégrer à des commandes système. Un attaquant non authentifié peut ainsi exécuter des commandes arbitraires sur l’hôte du serveur.
Action recommandée : Désactiver le plugin jusqu’à l’installation d’une version corrigée; limiter l’accès à l’administration ne suffit pas à prévenir l’exploitation décrite.
WP Libre Form : téléversement de fichier PHP et exécution de code à distance
La version 1.5.0.1 de WP Libre Form ne valide pas le type des fichiers reçus par les soumissions de formulaires. Un attaquant non authentifié peut téléverser un fichier PHP dans un emplacement accessible sur le Web et provoquer une exécution de code à distance.
Action recommandée : Désactiver ou retirer le plugin vulnérable jusqu’à l’installation d’une version corrigée; la source fournie n’indique pas de correctif.
MDJM : suppression non autorisée de rôles WordPress
MDJM Event Management et Mobile Events Manager traitent une requête de suppression de rôle à chaque chargement de page sans contrôle de capacité ni nonce, et le contrôle de protection des rôles ne porte pas sur la valeur effectivement supprimée. Un attaquant non authentifié peut supprimer n’importe quel rôle WordPress, y compris administrateur, ce qui prive les utilisateurs concernés de leurs capacités; désactiver les plugins jusqu’à l’installation d’un correctif.
Action recommandée : Désactiver les plugins concernés jusqu’à l’installation d’un correctif et vérifier les rôles et capacités des comptes.
Création possible de comptes administrateurs via BuddyForms
CVE-2026-107622 est une élévation de privilèges dans BuddyForms permettant, sous certaines conditions de configuration, à un attaquant non authentifié de créer un compte administrateur et de prendre le contrôle du site. Toutes les versions jusqu’à 2.10.5 incluse sont concernées ; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour BuddyForms dès qu’un correctif est disponible ; en attendant, désactiver l’inscription publique ou les formulaires publics concernés si possible.
Suppression arbitraire de fichiers dans ELEX WordPress HelpDesk
ELEX WordPress HelpDesk & Customer Ticketing System jusqu’à la version 3.3.8 incluse permet la suppression arbitraire de fichiers, avec une chaîne d’exploitation décrite comme accessible sans authentification. La suppression de fichiers critiques, notamment wp-config.php, peut conduire à une compromission du serveur; mettre à jour dès qu’un correctif est disponible et limiter l’exposition du plugin.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; à défaut, désactiver le plugin ou restreindre son exposition jusqu’à correction.
Injection de code PHP dans CTX Feed
CVE-2026-87964 est une injection de code PHP dans CTX Feed, qui permet à des utilisateurs authentifiés disposant de droits de gestionnaire de boutique d’exécuter du code arbitraire sur le serveur. Toutes les versions jusqu’à 8.0.26 incluse sont concernées ; la voie décrite est activée par défaut et aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et limiter les rôles de gestionnaire de boutique.
MCB WordPress : XSS stockée dans les statistiques d’administration
Le plugin WordPress MCB jusqu’à la version 1.0.0 ne neutralise pas les valeurs d’en-tête HTTP avant de les afficher dans la grille de statistiques d’administration, ce qui permet à un attaquant non authentifié d’y faire exécuter du JavaScript lorsqu’un administrateur consulte cette page. La version corrigée n’est pas indiquée dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est identifiée auprès de l’éditeur; en attendant, limiter l’accès à l’administration et éviter d’afficher la grille concernée.
Injection SQL dans le plugin WordPress Mail Mage
Mail Mage jusqu’à la version 0.0.25 ne traite pas correctement une valeur fournie par l’utilisateur avant de l’insérer dans une requête SQL, permettant une injection SQL par un attaquant non authentifié. La fiche NVD publiée le 6 novembre 2026 ne précise pas de version corrigée ; vérifiez l’utilisation du plugin et appliquez un correctif dès qu’il est disponible.
Action recommandée : Mettre à jour le plugin si un correctif est publié ; à défaut, désactiver le plugin ou limiter son exposition.
Cool Media Filter : élévation de privilèges jusqu’à administrateur
Tout utilisateur authentifié peut modifier les capacités d’un rôle sans contrôle approprié et, par exemple, s’accorder des privilèges d’administrateur. La faille peut conduire à la prise de contrôle du site.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est précisée dans la source fournie.
MDJM : modification non autorisée des comptes utilisateurs
MDJM Event Management et Mobile Events Manager ne vérifient pas les permissions ni la propriété de l’identifiant transmis lors de la mise à jour d’un profil client. Tout utilisateur authentifié peut modifier le mot de passe et l’adresse e-mail d’un autre compte, y compris celui d’un administrateur; la source ne précise pas de version corrective, il convient donc de désactiver les plugins en attendant un correctif confirmé.
Action recommandée : Désactiver les plugins concernés jusqu’à l’installation d’un correctif; vérifier les changements de mots de passe et d’adresses e-mail des comptes.
MDJM : injection de scripts via la création de rôles
MDJM Event Management et Mobile Events Manager permettent à un utilisateur authentifié de créer un rôle à partir d’un nom fourni dans la requête, sans vérification de capacité ni nonce, et enregistrent ce nom sans échappement. Un attaquant peut ainsi injecter des scripts exécutés lorsqu’un administrateur ouvre des écrans standards de gestion des utilisateurs; la source ne précise pas de version corrective, donc désactiver les plugins en attendant un correctif confirmé.
Action recommandée : Désactiver les plugins concernés jusqu’à l’installation d’un correctif; examiner les rôles créés et les écrans de gestion des utilisateurs.
XSS stockée dans Graphina pour WordPress
Graphina – Charts and Graphs For Elementor présente une XSS stockée exploitable sans authentification dans des versions jusqu’à 3.1.13 incluse. La charge injectée via un paramètre de police de nœud de graphique peut s’exécuter lorsqu’une page contenant le graphique est consultée.
XSS stockée dans le plugin WordPress MDTF
CVE-2026-110776 concerne une XSS stockée dans le plugin MDTF, via le paramètre « vars », permettant à un attaquant non authentifié d’injecter du script exécuté par les visiteurs. Sont concernées toutes les versions jusqu’à 1.4.1 incluse ; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible ; en attendant, évaluer la désactivation du plugin ou du shortcode concerné.
Élévation de privilèges dans Pubjet
CVE-2026-103479 est une élévation de privilèges dans Pubjet : un utilisateur authentifié peut remplacer le jeton API stocké par le plugin, puis accéder à des opérations normalement réservées. Toutes les versions jusqu’à 5.4.8 incluse sont concernées ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et limiter les comptes de faible privilège.
Injection d’objet PHP et risque d’exécution de code dans WPSyncSheets
CVE-2026-104010 concerne WPSyncSheets for Contact Form 7 : une soumission non authentifiée peut conduire à une injection d’objet PHP et, dans les conditions décrites, à l’exécution de code à distance. Toutes les versions jusqu’à 1.8.0 incluse sont concernées ; la chaîne RCE nécessite un jeton Google Sheets configuré, tandis que l’injection d’objet sous-jacente peut se produire indépendamment.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible ; si le connecteur n’est pas nécessaire, envisager de le désactiver et de retirer le jeton configuré.
Élévation de privilèges dans Advanced Members for ACF
Advanced Members for ACF jusqu’à la version 1.3.0 incluse présente une élévation de privilèges permettant à un utilisateur authentifié de niveau abonné ou supérieur de modifier le mot de passe du compte administrateur principal. Désactiver le plugin ou la fonctionnalité concernée jusqu’à l’installation d’un correctif, puis vérifier les comptes et mots de passe administrateurs.
Action recommandée : Désactiver le plugin ou la fonctionnalité vulnérable jusqu’à correction; après mise à jour, contrôler les comptes administrateurs et renouveler les mots de passe si nécessaire.
Téléversement arbitraire de fichiers dans Live2DWebCanvas
Live2DWebCanvas jusqu’à la version 2.2.1 incluse permet le téléversement de fichiers arbitraires sans authentification dans une configuration particulière du plugin. Si le mode custom-local est utilisé, un fichier exécutable téléversé peut conduire à une exécution de code à distance; mettre à jour dès qu’un correctif est disponible ou désactiver ce mode et le plugin en attendant.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; dans l’intervalle, désactiver le mode custom-local ou le plugin.
Advanced Custom Fields : XSS stockée via une définition de champ
Le plugin Advanced Custom Fields (ACF) avant la version 6.8.11 assainit incorrectement une définition de champ stockée modifiable via le traitement des commentaires. Un utilisateur non authentifié peut ainsi injecter un contenu exécuté comme JavaScript dans le navigateur des visiteurs ou administrateurs qui consultent une page affichant le champ concerné.
Action recommandée : Mettre à jour ACF vers la version 6.8.11 ou ultérieure.
CleanTalk : injection de script dans la revue des indésirables
Anti-Spam, Spam FireWall by CleanTalk avant la version 6.91 ne neutralise pas une valeur fournie par un commentateur avant de l’afficher dans l’écran administratif de revue des indésirables. Un visiteur non authentifié peut injecter un script qui s’exécute dans le navigateur d’un administrateur consultant les commentaires concernés.
Action recommandée : Mettre à jour le plugin vers la version 6.91 ou une version ultérieure.
iubenda : injection de script dans les pages du site
Un attaquant non authentifié peut injecter du script dans des pages traitées par le plugin, avec exécution dans la session des visiteurs qui les consultent. L’impact peut également concerner les administrateurs connectés qui visitent ces pages.
Action recommandée : Mettre à jour le plugin vers la version 3.13.7 ou ultérieure.
Ever Accounting : suppression de fichiers arbitraires
Ever Accounting avant la version 2.3.3 ne limite pas le chemin de fichier fourni à la procédure d’import CSV à un répertoire autorisé. Un utilisateur disposant du rôle Accounting Manager peut supprimer des fichiers arbitraires sur le serveur, notamment wp-config.php, et rendre le site indisponible.
Action recommandée : Mettre à jour vers la version 2.3.3 ou une version ultérieure.
All-in-One Video Gallery : XSS stockée depuis l’URL de miniature
Un utilisateur disposant au minimum du rôle Abonné peut provoquer une attaque XSS stockée visant les administrateurs. La faille concerne l’affichage de l’URL de miniature dans la liste d’administration et sa sanitisation lors de certains enregistrements.
Action recommandée : Mettre à jour All-in-One Video Gallery vers la version 5.1.0 ou ultérieure.
ShopEngine : XSS stockée exploitable par un contributeur
Le plugin ShopEngine Gutenberg WooCommerce Builder Blocks Addon avant la version 2.4.4 ne vérifie pas correctement les droits de l’utilisateur ni la propriété de l’article dans une action AJAX, et ne neutralise pas la valeur stockée avant son insertion dans un contexte JavaScript. Un utilisateur ayant le rôle Contributeur ou un rôle supérieur peut ainsi injecter un script exécuté lorsqu’un utilisateur privilégié modifie l’article concerné.
Action recommandée : Mettre à jour le plugin vers la version 2.4.4 ou ultérieure.
Divulgation d’identifiants de paiement dans Travelly
Travelly – Tour & Travel Booking Manager for WooCommerce présente un contournement d’autorisation dans toutes les versions jusqu’à 2.3.11 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut accéder aux identifiants enregistrés des passerelles de paiement, notamment PayPal et Stripe.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier et renouveler les identifiants de paiement susceptibles d’avoir été exposés.
Divulgation de données personnelles dans Eventin
Eventin présente une exposition d’informations sensibles dans toutes les versions jusqu’à 4.1.29 incluse. Un utilisateur authentifié ayant le rôle Subscriber ou supérieur peut obtenir l’adresse e-mail et le numéro de téléphone d’un utilisateur WordPress en fournissant son identifiant dans le paramètre id.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
GutenKit : XSS stockée via le CSS personnalisé d’un article
GutenKit avant la version 2.5.5 ne neutralise pas correctement le CSS personnalisé enregistré pour un article avant de l’insérer dans un bloc de style intégré. Un utilisateur ayant au moins le rôle Auteur peut injecter du JavaScript exécuté par les visiteurs de l’article concerné; l’exploitation est indiquée pour les sites utilisant WordPress dans une version antérieure à 7.0.
Action recommandée : Mettre à jour GutenKit vers la version 2.5.5 ou ultérieure.
MC4WP : exécution de shortcodes contrôlés par une requête
Dans certaines configurations, un visiteur non authentifié peut faire exécuter des shortcodes enregistrés avec des attributs choisis par lui. La faille exige que le propriétaire du site ait ajouté une balise de contenu dérivée d’une requête au formulaire et que celui-ci soit intégré avec le bloc plutôt qu’avec le shortcode classique.
Action recommandée : Mettre à jour MC4WP vers la version 4.15.0 ou ultérieure; vérifier aussi les formulaires utilisant des balises de contenu dérivées de requêtes intégrés avec le bloc.
Order Tracking : commandes marquées payées sans paiement valide
Un attaquant non authentifié peut faire marquer des commandes comme payées sans paiement correspondant au montant dû. Le plugin ne vérifie pas que la notification PayPal provient du compte du marchand ni que son montant correspond à celui de la commande.
Action recommandée : Mettre à jour Order Tracking vers la version 3.6.0 ou ultérieure.
Quick Event Manager : inscriptions marquées payées sans paiement
Des attaquants non authentifiés peuvent faire marquer des inscriptions à des événements comme payées sans effectuer de paiement. Le plugin ne vérifie pas l’authenticité des notifications de paiement PayPal avant de valider les inscriptions.
Action recommandée : Mettre à jour Quick Event Manager vers la version 9.19 ou ultérieure.
MC4WP : inscriptions détournées vers une autre audience Mailchimp
MC4WP: Mailchimp for WordPress avant la version 4.15.0 ne vérifie pas que l’audience choisie par un formulaire ou une intégration correspond à celle configurée par le propriétaire du site. Un visiteur non authentifié peut faire inscrire des adresses électroniques à d’autres audiences du compte Mailchimp associé au site.
Action recommandée : Mettre à jour vers la version 4.15.0 ou une version ultérieure.
PublishPress Revisions : contournement de l’approbation éditoriale
PublishPress Revisions avant la version 4.3.1 ne restreint pas correctement les utilisateurs autorisés à publier du contenu. Des utilisateurs tels que les contributeurs peuvent rendre publics des articles ou des pages sans le contrôle éditorial prévu.
Action recommandée : Mettre à jour vers la version 4.3.1 ou une version ultérieure.
PublishPress Revisions : divulgation de contenu via la comparaison de révisions
PublishPress Revisions avant la version 4.3.1 ne vérifie pas qu’un utilisateur est autorisé à lire un article avant de renvoyer son contenu via la comparaison de révisions. Tout utilisateur authentifié, y compris un abonné, peut ainsi consulter le titre, le contenu et l’extrait d’articles privés, brouillons, en attente, planifiés ou supprimés.
Action recommandée : Mettre à jour vers la version 4.3.1 ou une version ultérieure.
AutomatorWP : détournement des connexions Zoom et AWeber
AutomatorWP avant la version 6.0.7 ne vérifie pas que l’utilisateur qui termine la connexion des intégrations Zoom ou AWeber est autorisé à le faire. Un attaquant non authentifié peut remplacer les identifiants d’intégration et détourner vers son propre compte les données transmises par le site; l’exploitation nécessite une intégration déjà connectée et la connaissance de l’identifiant client OAuth du site.
Action recommandée : Mettre à jour vers la version 6.0.7 ou une version ultérieure.
Surfer : divulgation d’identifiant d’API et élévation de privilèges
Surfer avant la version 1.8.1.759 divulgue un identifiant d’API sensible aux utilisateurs disposant de faibles privilèges dans l’éditeur d’articles. Le plugin utilise également cet identifiant comme unique autorisation pour son API REST privilégiée, ce qui peut permettre à ces utilisateurs de publier des articles arbitraires et d’effectuer d’autres actions privilégiées.
Action recommandée : Mettre à jour vers la version 1.8.1.759 ou une version ultérieure.
All-in-One Video Gallery : modification non autorisée des métadonnées de publications
Des visiteurs non authentifiés peuvent modifier les métadonnées de durée et de compteur de vues de publications, y compris privées ou en brouillon. Cela peut notamment permettre de falsifier les compteurs de vues.
Action recommandée : Mettre à jour All-in-One Video Gallery vers la version 5.1.0 ou ultérieure.
WCFM Membership : activation gratuite d’une adhésion vendeur
Un utilisateur authentifié ayant le rôle Abonné ou Client peut activer gratuitement une adhésion payante de vendeur. Cette faille peut lui conférer le rôle de vendeur sur la place de marché sans paiement validé.
Action recommandée : Mettre à jour WCFM Membership vers la version 2.12.1 ou ultérieure.
XSS stockée dans Posts Table with Search & Sort
Posts Table with Search & Sort présente une XSS stockée dans le paramètre date_format, dans toutes les versions jusqu’à 1.4.14 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter un script qui s’exécute lorsqu’une page affectée est consultée.
XSS stockée dans UsersWP
UsersWP présente une XSS stockée via le paramètre badge dans toutes les versions jusqu’à 1.2.80 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script, susceptible notamment de s’exécuter lorsqu’un utilisateur privilégié prévisualise un contenu en attente.
XSS stockée dans Permalink Manager Lite
Permalink Manager Lite présente une XSS stockée via le paramètre « slug » : un attaquant authentifié disposant au moins du rôle d’auteur peut injecter du JavaScript qui s’exécute dans le navigateur d’un administrateur. Toutes les versions jusqu’à 2.6.1 incluse sont concernées ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter les droits d’auteur et contrôler les slugs soumis.
Injection SQL dans YaySMTP
YaySMTP présente une injection SQL temporelle via params[searchKey] dans toutes les versions jusqu’à 2.7.8 incluse. L’exploitation nécessite un compte authentifié disposant du rôle Administrator ou supérieur et peut permettre d’extraire des informations sensibles de la base de données.
Contournement d’autorisation dans VOD Infomaniak
CVE-2026-115831 est un contournement d’autorisation dans VOD Infomaniak, qui permet à des utilisateurs authentifiés de lancer des imports vidéo non autorisés avec les identifiants API du propriétaire. L’exploitation peut consommer le quota VOD et insérer des entrées faisant afficher du contenu vidéo choisi par l’attaquant ; les versions jusqu’à 1.5.15 incluse sont concernées.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible et limiter les comptes disposant d’un accès au site.
XSS stockée dans WP User Manager via l’API REST
CVE-2026-120550 est une XSS stockée dans WP User Manager : un utilisateur authentifié peut injecter un script dans le champ « display_name » via l’API REST WordPress. Les versions jusqu’à 2.10.2 incluse sont concernées ; la voie REST contourne l’assainissement appliqué au formulaire frontal du plugin.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible.
Contournement d’autorisation dans Redirection for Contact Form 7
CVE-2026-120659 est un contournement d’autorisation dans Redirection for Contact Form 7, permettant à un attaquant non authentifié d’écrire des métadonnées arbitraires sur de nouveaux leads et de copier certains fichiers serveur vers le répertoire d’envoi du plugin. Toutes les versions jusqu’à 3.2.14 incluse sont concernées ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour le plugin lorsqu’un correctif est disponible ; si possible, désactiver l’action Save Entry sur les formulaires concernés.
XSS stockée dans le bloc calendrier de WP Parsidate
CVE-2026-97642 est une XSS stockée dans WP Parsidate, déclenchée par l’attribut « theme » du bloc calendrier Gutenberg. Les versions jusqu’à 6.4 incluse sont concernées ; la valeur est intégrée à un attribut de classe HTML sans échappement adapté et aucun correctif n’est indiqué.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible.
Exécution de shortcodes arbitraires dans AMP for WP
CVE-2026-103908 permet l’exécution de shortcodes arbitraires dans AMP for WP en l’absence de validation appropriée avant l’appel à do_shortcode(). Toutes les versions jusqu’à 1.1.18 incluse sont concernées ; le bloc de sortie concerné dépend d’un réglage activé par défaut.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et examiner la désactivation du réglage concerné si elle est possible.
XSS stockée dans le plugin BuddyForms
BuddyForms jusqu’à la version 2.10.5 incluse présente une XSS stockée exploitable sans authentification, sous certaines conditions de configuration des formulaires publics et du thème. Mettre à jour vers une version corrigée dès qu’elle est disponible et, dans l’intervalle, désactiver les soumissions publiques si elles ne sont pas nécessaires.
Action recommandée : Mettre à jour BuddyForms dès qu’un correctif est disponible; désactiver les soumissions publiques des formulaires si elles ne sont pas indispensables.
XSS stockée DOM dans All-in-One Video Gallery
All-in-One Video Gallery jusqu’à la version 5.0.0 incluse présente une XSS stockée DOM exploitable par un utilisateur authentifié disposant au moins du rôle abonné. Le chemin vulnérable nécessite que le lecteur soit configuré sur Plyr/Vidstack; mettre à jour dès qu’un correctif est disponible et éviter cette configuration dans l’intervalle.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible; dans l’intervalle, éviter la configuration Plyr/Vidstack et limiter les comptes à faibles privilèges.
XSS stockée dans WP Customer Area
WP Customer Area jusqu’à la version 8.4.0 incluse présente une XSS stockée via le paramètre display_name, accessible à des utilisateurs authentifiés ayant au moins le rôle abonné. Mettre à jour dès qu’un correctif est disponible et limiter les comptes pouvant modifier les profils concernés.
Action recommandée : Mettre à jour WP Customer Area dès qu’un correctif est disponible et limiter les comptes authentifiés au strict nécessaire.
XSS stockée dans Smart Cookie Kit
Smart Cookie Kit jusqu’à la version 2.3.2 incluse comporte une XSS stockée liée au paramètre comment; l’attaque nécessite notamment l’approbation du commentaire par un administrateur et l’affichage du contenu concerné. Mettre à jour dès qu’un correctif est disponible et modérer les commentaires suspects avant leur approbation.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et examiner avec prudence les commentaires avant approbation.
XSS stockée dans AAA Autoload Optimizer
AAA Autoload Optimizer jusqu’à la version 1.7.0 incluse présente une XSS stockée exploitable par un utilisateur authentifié de niveau abonné ou supérieur lorsque le suivi des options est en mode Legacy. Mettre à jour dès qu’un correctif est disponible et, en attendant, désactiver le mode Legacy si possible.
Action recommandée : Mettre à jour le plugin dès qu’un correctif est disponible et désactiver le mode Legacy si cette option est utilisée.
XSS stockée via les titres de flux dans Feedzy RSS Aggregator
Feedzy RSS Aggregator jusqu’à la version 5.2.13 incluse peut enregistrer une XSS provenant du titre d’un élément de flux, lorsque l’administrateur a configuré un import Feed-to-Post vers une source contrôlée par un attaquant. Mettre à jour dès qu’un correctif est disponible et vérifier les sources de flux configurées.
Action recommandée : Mettre à jour Feedzy dès qu’un correctif est disponible et contrôler les URL des flux Feed-to-Post configurés.
Accès et suppression non autorisés d’entrées dans Everest Forms
Everest Forms jusqu’à la version 3.6.2 incluse présente une référence directe non sécurisée permettant à un utilisateur authentifié disposant d’un accès personnalisé ou supérieur de consulter et supprimer des formulaires et entrées appartenant à d’autres utilisateurs. Mettre à jour dès qu’un correctif est disponible et limiter strictement les rôles disposant de cet accès.
Action recommandée : Mettre à jour Everest Forms dès qu’un correctif est disponible et restreindre les privilèges personnalisés aux utilisateurs de confiance.
PublishPress Revisions : accès au contenu d’articles d’autrui
PublishPress Revisions avant la version 4.3.1 ne vérifie pas qu’un utilisateur a accès à l’article qu’il demande à dupliquer ou réviser. Un utilisateur doté d’un accès de niveau contributeur ou supérieur peut copier dans son propre contenu un article privé, brouillon, en attente ou planifié appartenant à quelqu’un d’autre, et en lire le contenu.
Action recommandée : Mettre à jour vers la version 4.3.1 ou une version ultérieure.
PrestaShop
Vérification incomplète
La recherche web a été lancée, mais les pages des sources prioritaires n’ont pas pu être consultées directement et une tentative de recherche complémentaire a échoué. Les résultats obtenus affichent des avis PrestaShop antérieurs à la période, notamment des avis du 18 août 2026 et une alerte de skimmer publiée le 17 février 2026 ; ils ne suffisent pas à établir s’il y a eu ou non un événement pertinent entre le 6 novembre 2026 à 00:00 et le 7 novembre 2026 à 00:00 (+02:00).
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Cockpit
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ou de changement substantiel concernant Cockpit daté de la période demandée. Les éléments trouvés pour les CVE candidates renvoient à des publications antérieures à la période ou à des mises à jour NVD dont le caractère substantiel pendant celle-ci n’est pas établi.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
CloudPanel
Recherche du sujet effectuée
Aucune nouveauté de sécurité CloudPanel datée du 2026-11-06 n’a été vérifiée dans les sources consultées. Le signalement GitHub concernant la confiance accordée à X-Real-IP est daté du 2026-11-01, hors de la période demandée; les avis de version trouvés ne sont pas datés de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité GitHub du projet, les avis pertinents et les résultats de recherche CVE/NVD. Aucun avis ou correctif de sécurité Uptime Kuma daté du 2026-11-06 (dans la période demandée, fuseau +02:00) n’a été vérifié : les avis de projet affichés dans les résultats sont datés des 2026-11-02 ou avant, donc antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
Niveau relevé : Critique
Une nouvelle vulnérabilité publiée dans la période concerne Chartbrew et comporte une voie d’injection SQL dans les contextes MariaDB; le correctif indiqué est Chartbrew 5.2.1. Les autres candidats portent sur des publications antérieures à la période ou sur de simples mises à jour NVD sans preuve d’un événement de sécurité substantiel daté dans la période.
Chartbrew : injection SQL via les variables de tableaux de bord
Chartbrew avant 5.2.1 comporte une injection SQL dans la substitution de variables de tableaux de bord, pouvant être déclenchée par des valeurs de filtre d’URL non authentifiées sur un graphique public ou intégré utilisant une requête SQL. La fiche distingue une faiblesse de chaînes de remplacement JavaScript applicable aux connecteurs SQL et un problème d’échappement des barres obliques inverses pour MySQL et MariaDB.
Action recommandée : Mettre à niveau Chartbrew vers la version 5.2.1 ou ultérieure; limiter l’exposition publique des graphiques utilisant des variables d’URL en attendant la mise à niveau.
phpMyAdmin
Recherche du sujet effectuée
La recherche dédiée n’a pas établi de nouvel avis, correctif, exploitation ou changement substantiel concernant phpMyAdmin dans la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. Les deux candidats fournis concernent des CVE publiées le 2026-10-30 et indiquent des mises à jour NVD le 2026-11-05, antérieures au début de la période; aucune preuve consultée ne montre un événement substantiel les concernant le 6 novembre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée a identifié les CVE-2026-116238 à CVE-2026-116247 parmi les candidats. Les notes de version officielles de pgAdmin attribuent les correctifs concernés à la version 9.19, publiée le 2026-10-29, et les fiches NVD fournies indiquent une publication antérieure au 2026-11-06 ; les mises à jour NVD datées du 2026-11-06 ne suffisent pas, à elles seules, à établir un nouvel avis, correctif ou changement substantiel dans la période demandée. Aucun item ne répond donc aux critères temporels. Les cinq fiches NVD indiquent une publication le 30 octobre 2026 et une modification le 6 novembre 2026. Les éléments fournis ne permettent pas d’établir que ces modifications constituent un changement substantiel de sécurité daté de la période demandée, plutôt qu’une mise à jour administrative; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée sur Virtualmin n’a pas identifié de vulnérabilité, d’avis de sécurité, de correctif de sécurité, d’exploitation ni de changement substantiel daté dans la période demandée. Le résultat Virtualmin daté du 6 novembre consulté concerne un signalement de bogue fonctionnel, sans indication de sécurité; l’avis de sécurité repéré dans le forum est daté du 23 octobre, donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel concernant Webmin daté de la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00 n’a été établi par la recherche. La vulnérabilité CVE-2025-61541 est documentée dans l’avis du projet Webmin daté du 2025-10-09 ; le candidat fourni signale une modification NVD, sans preuve qu’elle corresponde à un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche web dédiée à Vue.js n’a pas fait ressortir de vulnérabilité, d’avis de sécurité, de correctif ou d’évolution substantielle daté du 2026-11-06 dans la période demandée. Les avis Vue.js repérés portent des dates antérieures; le résultat Nuxt repéré concerne un projet distinct, et les informations disponibles ne permettent pas de le retenir comme événement Vue.js dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité de Vite et au journal de versions du projet n’a pas identifié de vulnérabilité, d’avis ou de correctif de sécurité daté dans la période demandée. Le journal consulté indique Vite 8.3.6 au 2026-11-05, hors de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
Niveau relevé : Élevée
Une vulnérabilité de déni de service dans Nuxt Content, CVE-2026-102650, a été publiée le 6 novembre 2026 et corrigée en version 3.15.2.
Nuxt Content : déni de service par requêtes SQLite coûteuses
Nuxt Content expose, dans les versions affectées, un point d’accès POST non authentifié qui accepte des expressions SQLite contrôlées par l’attaquant et peut effectuer des calculs coûteux. Une requête peut consommer le processeur et la mémoire et bloquer la boucle d’événements Node.js; mettre à niveau vers 3.15.2, la version corrigée indiquée.
Action recommandée : Mettre à niveau Nuxt Content vers la version 3.15.2.
Next.js
Recherche du sujet effectuée
Aucune nouveauté Next.js datée du 2026-11-06 n’a été vérifiée dans les sources consultées. La page des avis GitHub du projet répertorie des avis publiés le 2026-11-03, hors de la période demandée; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a identifié quatre CVE publiés le 2026-11-06 concernant des composants de KendoReact : une pollution de prototype et trois failles XSS. KendoReact est une bibliothèque de composants pour React; ces avis ne signalent pas une faille du cœur React lui-même. Le candidat concernant React Native a été exclu car sa mise à jour NVD date du 2026-11-05, hors période; les autres candidats dupliquaient les CVE déjà retenus.
KendoReact : pollution de prototype dans l’utilitaire setter
Une pollution de prototype dans l’utilitaire `setter` de KendoReact peut être déclenchée si un utilisateur fortement privilégié contrôle un chemin de champ transmis à cet utilitaire, directement ou via Form, Scheduler ou Gantt. Elle peut affecter de façon limitée la confidentialité, l’intégrité et la disponibilité; la fiche CVE indique que les versions 3.5.0 à 16.0.0 sont concernées.
Action recommandée : Mettre à niveau vers une version corrigée indiquée par Progress; vérifier l’avis de l’éditeur pour les consignes et éventuelles mesures transitoires.
XSS dans le composant Menu de KendoReact
Le composant Menu de KendoReact est affecté par une XSS lorsqu’un utilisateur à faibles privilèges peut influencer les données d’un élément de menu et y placer une URL dangereuse. Le script s’exécute dans l’origine de l’application lorsque l’utilisateur sélectionne l’élément ; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et valider les URL fournies aux éléments de menu.
XSS dans le composant Chat de KendoReact
Le composant Chat de KendoReact permet une XSS via une URL dangereuse dans une action rapide openUrl, à partir de messages fournis par un utilisateur à faibles privilèges. Le script peut s’exécuter dans l’origine de l’application lorsque la victime clique sur l’action ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les URL des actions rapides.
XSS dans le composant Editor de KendoReact
Le composant Editor de KendoReact est affecté par une XSS lorsque du contenu soumis par un utilisateur à faibles privilèges contient un lien avec une URL dangereuse. Le script s’exécute lorsque la victime clique sur le lien ; les versions 2.7.0 à 16.1.0 sont concernées et aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les URL intégrées au contenu.
Angular
Vérification incomplète
Niveau relevé : Moyenne
La recherche dédiée a repéré trois avis publiés le 2026-11-06 concernant des composants de Kendo UI for Angular : deux failles XSS et une pollution de prototype. Les avis Angular du projet consultés dans les résultats de recherche étaient datés d’autres jours et n’ont pas été retenus pour cette période.
XSS dans le composant Chat de Kendo UI for Angular
Le composant Chat de Kendo UI for Angular présente une XSS via une action rapide openUrl contenant une URL dangereuse dans un message fourni par un utilisateur à faibles privilèges. Le script s’exécute dans le navigateur d’un autre utilisateur lorsqu’il clique sur l’action ; les versions antérieures à 25.3.0 sont concernées.
Action recommandée : Mettre à jour vers la version 25.3.0 ou ultérieure.
XSS dans le composant Editor de Kendo UI for Angular
Le composant Editor de Kendo UI for Angular est vulnérable à une XSS lorsque du contenu fourni par un utilisateur à faibles privilèges contient un lien ou une image avec une URL dangereuse. Le JavaScript peut s’exécuter lorsque l’utilisateur interagit avec ce contenu ; les versions antérieures à 25.3.0 sont concernées.
Action recommandée : Mettre à jour vers la version 25.3.0 ou ultérieure.
Pollution de prototype dans le Scheduler de Kendo UI for Angular
Une pollution de prototype dans le composant Scheduler peut être déclenchée par un attaquant disposant de privilèges élevés et capable de contrôler un chemin de champ traité par le composant. Les versions de Kendo UI for Angular antérieures à 25.1.0 sont indiquées comme affectées ; mettre à niveau vers 25.1.0 ou une version ultérieure.
Action recommandée : Mettre à niveau Kendo UI for Angular vers la version 25.1.0 ou ultérieure.
Astro
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Astro, aux CVE et au dépôt GitHub n’a identifié aucune vulnérabilité, aucun correctif ni avis de sécurité Astro publié ou substantiellement mis à jour pendant la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. Les avis affichés dans le dépôt GitHub consulté portent des dates antérieures à cette fenêtre; les autres résultats datés du 6 novembre ne fournissent pas de preuve d’un événement de sécurité Astro dans la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
Niveau relevé : Élevée
Trois vulnérabilités du SDK TypeScript Model Context Protocol ont été publiées par la NVD pendant la période : épuisement de mémoire lors de la validation HTTP, fuite de données lors de redirections inter-origines et mélange de messages entre clients utilisant des instances serveur partagées. Les avis GitHub consultés correspondent à ces vulnérabilités, mais leur date affichée est antérieure à la période; les événements retenus sont les publications NVD horodatées dans la fenêtre demandée. Les modifications NVD des fiches tsParticles fournies n’ont pas été retenues : les éléments consultés ne permettent pas d’établir qu’elles correspondent à un changement substantiel daté dans la période.
Épuisement mémoire possible dans le SDK TypeScript Model Context Protocol
Une requête HTTP contenant un grand nombre d’éléments de tableau ou de clés d’objet peut épuiser la mémoire du processus lors de la validation des entrées. Mettre à niveau les paquets concernés et configurer aussi une limite sur les éléments d’entrée et une limite de taille du corps de requête.
Action recommandée : Mettre à niveau les deux paquets vers leurs versions corrigées et activer/configurer les limites de validation et de taille des requêtes.
Fuite de messages entre clients via des instances MCP HTTP partagées
Un serveur HTTP MCP réutilisant une même instance sans état du transport ou du serveur pouvait associer les messages de plusieurs clients et livrer des réponses ou notifications au mauvais client. Mettre à niveau et créer les instances de serveur ou de transport selon le modèle requis par la version corrigée; les serveurs stdio et les instances créées par requête ou session ne sont pas concernés.
Action recommandée : Mettre à niveau et revoir la création des transports et serveurs pour éviter leur partage entre clients HTTP.
Redirections inter-origines susceptibles de divulguer des données du client MCP
Les transports HTTP et certaines requêtes OAuth pouvaient suivre une redirection vers une autre origine en conservant des en-têtes personnalisés et, pour les redirections HTTP 307/308, le corps de la requête. Cela pouvait divulguer des données de session ou des secrets OAuth au serveur de destination; mettre à niveau les paquets et éviter de rétablir le suivi non restreint des redirections.
Action recommandée : Mettre à niveau les paquets affectés et conserver les protections contre les redirections inter-origines.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée a identifié onze publications NVD datées de la période portant sur des vulnérabilités pertinentes pour JavaScript, dont des XSS dans des projets et composants JavaScript, des extensions WordPress et des produits logiciels. Les versions corrigées et actions indiquées sont limitées aux éléments établis par les informations consultées; lorsque le correctif n’était pas établi, le champ correspondant est laissé vide. Les candidats retenus dans cette période décrivent des failles XSS ou d’exécution de JavaScript dans Kendo UI, FreeScout, le micrologiciel VIDAA, GeoNode et JupyterLab Desktop. Les correctifs explicitement indiqués concernent Kendo UI for Angular, FreeScout, GeoNode et JupyterLab Desktop ; les autres champs de correction restent non précisés lorsqu’aucune version n’est donnée dans les candidats. Aucune nouveauté JavaScript n’est établie par les éléments du lot : les candidats indiquent une mise à jour NVD, sans décrire de changement substantiel daté dans la période. Leurs dates de publication sont antérieures à la période visée. Les candidats portent sur des vulnérabilités publiées en 2025. Les données fournies indiquent une mise à jour de fiches NVD, mais ne documentent aucun changement substantiel pendant la période retenue. Les candidats fournis sont des modifications de fiches NVD datées de la période, mais les informations disponibles ne montrent aucun changement substantiel, nouvel avis, correctif ou événement d’exploitation. Ils ne sont donc pas retenus. Aucun avis, correctif, fait d’exploitation ou changement substantiel daté de la période n’est établi par les éléments fournis. Les candidats signalent des mises à jour de fiches NVD, mais ne documentent pas de changement substantiel de sécurité; ces modifications seules ne constituent…
Chartbrew : injection SQL via les variables de tableaux de bord
Chartbrew avant 5.2.1 comporte une injection SQL dans la substitution de variables de tableaux de bord, pouvant être déclenchée par des valeurs de filtre d’URL non authentifiées sur un graphique public ou intégré utilisant une requête SQL. La fiche distingue une faiblesse de chaînes de remplacement JavaScript applicable aux connecteurs SQL et un problème d’échappement des barres obliques inverses pour MySQL et MariaDB.
Action recommandée : Mettre à niveau Chartbrew vers la version 5.2.1 ou ultérieure; limiter l’exposition publique des graphiques utilisant des variables d’URL en attendant la mise à niveau.
JupyterLab Desktop : injection JavaScript pouvant mener à l’exécution de code
JupyterLab Desktop avant 4.6.2-1 insère des URL de serveurs distants sans encodage sûr dans des vues rendues par l’application; une URL spécialement conçue peut conduire à l’exécution de JavaScript dans le rendu Welcome et à l’exécution de code avec les privilèges de l’utilisateur. La fiche signale aussi un chemin distinct via des titres de flux RSS mal rendus, qui nécessite le contrôle du contenu du flux ou de ses données en cache.
Action recommandée : Mettre à niveau JupyterLab Desktop vers la version 4.6.2-1 ou ultérieure.
MCB WordPress : XSS stockée dans les statistiques d’administration
Le plugin WordPress MCB jusqu’à la version 1.0.0 ne neutralise pas les valeurs d’en-tête HTTP avant de les afficher dans la grille de statistiques d’administration, ce qui permet à un attaquant non authentifié d’y faire exécuter du JavaScript lorsqu’un administrateur consulte cette page. La version corrigée n’est pas indiquée dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est identifiée auprès de l’éditeur; en attendant, limiter l’accès à l’administration et éviter d’afficher la grille concernée.
Hisense VIDAA : service WebDriver exposé sans authentification
Une version QA du moteur Cobalt dans le firmware VIDAA concerné expose sans authentification un service WebDriver accessible sur le réseau local, permettant notamment d’exécuter du JavaScript et d’accéder à des données ou fonctions du téléviseur. La fiche NVD indique la version V0000.01.00a.P0220 comme affectée; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour le firmware vers une version corrigée dès qu’elle est disponible et limiter l’accès réseau au téléviseur; la source fournie ne précise pas de version corrigée.
Advanced Custom Fields : XSS stockée via une définition de champ
Le plugin Advanced Custom Fields (ACF) avant la version 6.8.11 assainit incorrectement une définition de champ stockée modifiable via le traitement des commentaires. Un utilisateur non authentifié peut ainsi injecter un contenu exécuté comme JavaScript dans le navigateur des visiteurs ou administrateurs qui consultent une page affichant le champ concerné.
Action recommandée : Mettre à jour ACF vers la version 6.8.11 ou ultérieure.
Épuisement mémoire possible dans le SDK TypeScript Model Context Protocol
Une requête HTTP contenant un grand nombre d’éléments de tableau ou de clés d’objet peut épuiser la mémoire du processus lors de la validation des entrées. Mettre à niveau les paquets concernés et configurer aussi une limite sur les éléments d’entrée et une limite de taille du corps de requête.
Action recommandée : Mettre à niveau les deux paquets vers leurs versions corrigées et activer/configurer les limites de validation et de taille des requêtes.
XSS dans l’affichage des détails de travaux échoués de FreeScout
FreeScout avant la version 1.8.230 est affecté par une XSS stockée dans les détails d’un travail d’alerte échoué, sous une combinaison de conditions comprenant le suivi d’activité, l’échec d’envoi et l’interaction d’un administrateur. Un attaquant non authentifié peut y faire transiter du HTML via une valeur d’adresse e-mail de connexion échouée ; l’ouverture de la page de détails par un administrateur peut alors permettre l’exécution de JavaScript et des actions dans son contexte.
Action recommandée : Mettre à jour FreeScout vers la version 1.8.230 ou ultérieure.
ShopEngine : XSS stockée exploitable par un contributeur
Le plugin ShopEngine Gutenberg WooCommerce Builder Blocks Addon avant la version 2.4.4 ne vérifie pas correctement les droits de l’utilisateur ni la propriété de l’article dans une action AJAX, et ne neutralise pas la valeur stockée avant son insertion dans un contexte JavaScript. Un utilisateur ayant le rôle Contributeur ou un rôle supérieur peut ainsi injecter un script exécuté lorsqu’un utilisateur privilégié modifie l’article concerné.
Action recommandée : Mettre à jour le plugin vers la version 2.4.4 ou ultérieure.
XSS via des réponses HTML dans Kubeflow Pipelines
Des valeurs non fiables présentes dans certains paramètres de requête et détails d’erreur peuvent être incluses dans des réponses HTML des routes Kubernetes de Kubeflow Pipelines. Un lien spécialement conçu peut ainsi exécuter du JavaScript dans l’origine de l’interface lorsqu’un utilisateur accède à une réponse affectée; mettre à niveau vers la version corrigée.
Action recommandée : Mettre à niveau Kubeflow Pipelines vers 2.15.0 ou une version ultérieure.
GutenKit : XSS stockée via le CSS personnalisé d’un article
GutenKit avant la version 2.5.5 ne neutralise pas correctement le CSS personnalisé enregistré pour un article avant de l’insérer dans un bloc de style intégré. Un utilisateur ayant au moins le rôle Auteur peut injecter du JavaScript exécuté par les visiteurs de l’article concerné; l’exploitation est indiquée pour les sites utilisant WordPress dans une version antérieure à 7.0.
Action recommandée : Mettre à jour GutenKit vers la version 2.5.5 ou ultérieure.
XSS stockée dans Permalink Manager Lite
Permalink Manager Lite présente une XSS stockée via le paramètre « slug » : un attaquant authentifié disposant au moins du rôle d’auteur peut injecter du JavaScript qui s’exécute dans le navigateur d’un administrateur. Toutes les versions jusqu’à 2.6.1 incluse sont concernées ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter les droits d’auteur et contrôler les slugs soumis.
XSS dans le composant Menu de KendoReact
Le composant Menu de KendoReact est affecté par une XSS lorsqu’un utilisateur à faibles privilèges peut influencer les données d’un élément de menu et y placer une URL dangereuse. Le script s’exécute dans l’origine de l’application lorsque l’utilisateur sélectionne l’élément ; aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et valider les URL fournies aux éléments de menu.
XSS dans le composant Chat de KendoReact
Le composant Chat de KendoReact permet une XSS via une URL dangereuse dans une action rapide openUrl, à partir de messages fournis par un utilisateur à faibles privilèges. Le script peut s’exécuter dans l’origine de l’application lorsque la victime clique sur l’action ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les URL des actions rapides.
XSS dans le composant Editor de KendoReact
Le composant Editor de KendoReact est affecté par une XSS lorsque du contenu soumis par un utilisateur à faibles privilèges contient un lien avec une URL dangereuse. Le script s’exécute lorsque la victime clique sur le lien ; les versions 2.7.0 à 16.1.0 sont concernées et aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les URL intégrées au contenu.
XSS dans le composant Chat de Kendo UI for Angular
Le composant Chat de Kendo UI for Angular présente une XSS via une action rapide openUrl contenant une URL dangereuse dans un message fourni par un utilisateur à faibles privilèges. Le script s’exécute dans le navigateur d’un autre utilisateur lorsqu’il clique sur l’action ; les versions antérieures à 25.3.0 sont concernées.
Action recommandée : Mettre à jour vers la version 25.3.0 ou ultérieure.
XSS dans le composant Editor de Kendo UI for Angular
Le composant Editor de Kendo UI for Angular est vulnérable à une XSS lorsque du contenu fourni par un utilisateur à faibles privilèges contient un lien ou une image avec une URL dangereuse. Le JavaScript peut s’exécuter lorsque l’utilisateur interagit avec ce contenu ; les versions antérieures à 25.3.0 sont concernées.
Action recommandée : Mettre à jour vers la version 25.3.0 ou ultérieure.
XSS réfléchie dans la page d’erreur de connexion/SSO d’INFINITT ULite
INFINITT ULite est affecté par une XSS réfléchie sur la page d’erreur de connexion/SSO, exploitable sans authentification au moyen d’un lien spécialement conçu. Un paramètre de requête non assaini est renvoyé sans encodage de sortie ; la version corrigée indiquée est ULite 5.0.2.1 BN50.
Action recommandée : Mettre à niveau vers ULite 5.0.2.1 BN50.
XSS dans mailbox/detach.cgi de Usermin
Usermin jusqu’à la version 2.570 présente une XSS dans mailbox/detach.cgi : un attaquant distant peut contourner le filtrage JavaScript à l’aide du paramètre « type ». Un destinataire amené à ouvrir un lien vers une pièce jointe HTML piégée peut subir l’exécution de script dans sa session Usermin authentifiée ; aucun correctif n’est indiqué dans les éléments fournis.
Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; éviter l’ouverture de pièces jointes ou liens suspects dans Usermin.
XSS dans le composant Editor de Kendo UI for Vue
Le composant Editor de Kendo UI for Vue présente une XSS via une URL dangereuse saisie dans la boîte de dialogue d’insertion d’un lien ou d’une image. Le JavaScript s’exécute lorsque l’utilisateur clique sur le lien résultant ; les versions 2.7.1 à 10.0.0 sont concernées et aucun correctif n’est précisé dans les éléments fournis.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les URL insérées dans le contenu.
GeoNode : XSS persistante dans les métadonnées de document
Dans GeoNode avant la version 5.0.3, un utilisateur distant disposant de faibles privilèges peut enregistrer du HTML et du JavaScript dans les métadonnées d’abstract d’un document. Le contenu peut ensuite s’exécuter dans le navigateur d’un autre utilisateur qui consulte la page du document; la version 5.0.3 corrige le problème.
Action recommandée : Mettre à niveau GeoNode vers la version 5.0.3 ou ultérieure.
HTML5
Vérification incomplète
Une source consultée signale, le 6 novembre 2026, une vulnérabilité de Loofah liée à la sanitisation HTML5 de références SVG (CVE-2026-73490). Le candidat FacturaScripts a été exclu : son avis date du 14 juillet 2026 et la seule mise à jour indiquée dans le candidat, le 6 novembre, ne démontre pas un changement substantiel de sécurité pendant la période.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CSS3
Recherche du sujet effectuée
La recherche web ciblée sur CSS3 n’a pas fait apparaître de vulnérabilité, d’avis de sécurité, de correctif ni d’événement d’exploitation attribuable à ce sujet dans la période du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu. Les résultats concernant CSS dans Chrome repérés pendant la recherche portent sur des événements antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Aucune vulnérabilité, exploitation ni publication de sécurité concernant Tailwind CSS n’a été vérifiée dans la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. La version v4.3.5 est bien parue le 6 novembre, mais ses notes de version consultées décrivent des corrections fonctionnelles et ne signalent pas de correctif de sécurité; les paquets malveillants aux noms voisins repérés ne sont pas Tailwind CSS.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée à Bootstrap (framework twbs) n’a identifié aucun avis de sécurité correspondant à la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. La page GitHub des avis de sécurité de twbs/bootstrap indiquait qu’aucun avis n’était publié. Les candidats fournis concernent d’autres produits ou emploient « bootstrap » dans un sens différent.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche web dédiée sur webpack n’a vérifié aucune vulnérabilité, aucun avis/correctif de sécurité ni changement substantiel correspondant à la période demandée. Les résultats consultés montrent notamment des avis webpack antérieurs à la période et des changements ordinaires du projet, qui ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a identifié aucun nouvel avis de sécurité, correctif, signalement d’exploitation ni changement substantiel daté dans la période demandée. Les avis de sécurité repérés sur le dépôt officiel sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche web dédiée n’a pas identifié de nouvelle vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel concernant le projet Parcel pendant la période du 2026-11-06T00:00:00+02:00 au 2026-11-07T00:00:00+02:00. Les résultats trouvés ne documentent pas un événement Parcel admissible dans cette fenêtre; aucune information postérieure à la borne de fin n’a été retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Recherche du sujet effectuée
Niveau relevé : Élevée
La recherche dédiée a confirmé plusieurs avis undici publiés le 2026-11-06, portant notamment sur le cache partagé, les redirections, les en-têtes et la vérification SRI ; les correctifs indiqués sont undici 7.30.2 et 8.12.4. Les candidats Parse Server et Nuxt Content sont retenus d’après leurs fiches NVD fournies, dont les dates de publication sont dans la fenêtre. Les candidats DDEV et JupyterLab Desktop sont exclus : ils concernent respectivement un outil de développement local et une application de bureau, et non une vulnérabilité du sujet Node.js demandé. Les candidats vérifiés comprennent une vulnérabilité du parseur plist pouvant faire planter un processus Node.js et quatre vulnérabilités d’undici publiées le 2026-11-06. Les autres candidats ont été écartés car ils ne documentent pas une nouveauté Node.js datée dans la période, ou parce que le lot ne permet pas d’établir un changement substantiel à la date de mise à jour NVD. Les sources datées dans la période décrivent six vulnérabilités pertinentes pour l’écosystème Node.js : deux défauts de cache dans undici, un déni de service dans Parse Server, un dans Nuxt Content, une écriture hors répertoire dans DDEV et un épuisement mémoire dans plist.js. Le candidat vm2 a été exclu : son avis a été publié en mai 2026 et sa mise à jour connue précède la période; aucune nouveauté de la période n’est établie par les données fournies.
Nuxt Content : déni de service par requêtes SQLite coûteuses
Nuxt Content expose, dans les versions affectées, un point d’accès POST non authentifié qui accepte des expressions SQLite contrôlées par l’attaquant et peut effectuer des calculs coûteux. Une requête peut consommer le processeur et la mémoire et bloquer la boucle d’événements Node.js; mettre à niveau vers 3.15.2, la version corrigée indiquée.
Action recommandée : Mettre à niveau Nuxt Content vers la version 3.15.2.
CVE-2026-116592 : contournement des règles de cache lors de redirections dans undici
Plusieurs défauts d’`undici` publiés le 2026-11-06 affectent le cache de redirections, le traitement d’erreurs lors de la relecture du cache, la suppression d’en-têtes sensibles et la vérification SRI. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, selon la branche utilisée, ou une version ultérieure.
Action recommandée : Mettre à niveau `undici` vers 7.30.2 ou 8.12.4, ou une version ultérieure.
Parse Server : déni de service par validation coûteuse d’adresse e-mail
Parse Server utilise, pour valider les adresses e-mail, une expression régulière dont le temps d’exécution croît quadratiquement avec la longueur de l’entrée, sans limite de longueur. Une requête d’inscription non authentifiée (avec l’identifiant d’application) ou la modification de l’adresse par un utilisateur connecté peut bloquer la boucle d’événements Node.js; mettre à niveau vers une version corrigée.
Action recommandée : Mettre à niveau Parse Server vers 8.6.115 ou une version corrigée de la branche 9.
plist.js : épuisement mémoire par références récursives dans un plist binaire
Le parseur de plist binaire de plist.js antérieur à 5.0.1 peut résoudre de façon répétée des références partagées récursives, entraînant une croissance exponentielle des opérations et de la mémoire. Une entrée conçue à cet effet peut faire planter un processus Node.js; mettre à niveau le paquet vers 5.0.1 ou une version ultérieure.
Action recommandée : Mettre à niveau le paquet plist vers 5.0.1 ou une version ultérieure.
CVE-2026-120222 : crash du processus lors de la relecture d’une réponse en cache dans undici
Une exception levée pendant la relecture d’une réponse mise en cache par `undici` pouvait échapper au traitement et arrêter le processus Node.js. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, ou une version ultérieure.
Action recommandée : Mettre à niveau `undici` vers 7.30.2 ou 8.12.4, ou une version ultérieure.
CVE-2026-120415 : divulgation possible d’en-têtes sensibles lors d’une redirection undici
Dans certaines configurations d’`undici`, des en-têtes sensibles fournis sous forme de tableaux de paires pouvaient être conservés lors d’une redirection vers une autre origine. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, ou une version ultérieure.
Action recommandée : Mettre à niveau `undici` vers 7.30.2 ou 8.12.4, ou une version ultérieure.
CVE-2026-120423 : contournement de la vérification SRI dans undici
La vérification SRI d’`undici` pouvait accepter une réponse dont le condensat ne correspondait pas aux métadonnées lorsque celles-ci contenaient des espaces ASCII autres qu’un espace simple. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, ou une version ultérieure.
Action recommandée : Mettre à niveau `undici` vers 7.30.2 ou 8.12.4, ou une version ultérieure.
undici : divulgation inter-utilisateurs via le cache partagé après redirection
Dans undici, l’association du redirect interceptor et d’un cache de réponses partagé peut enregistrer sous la clé de la requête initiale la réponse privée d’une requête authentifiée redirigée vers une cible de même origine. Un utilisateur anonyme ou différent peut ensuite recevoir cette réponse mise en cache; mettre à niveau undici vers 7.30.2 ou 8.12.4, ou une version ultérieure.
Action recommandée : Mettre à niveau undici vers 7.30.2, 8.12.4 ou une version ultérieure.
undici : revalidation inter-origines pouvant divulguer une réponse authentifiée
Dans undici, la composition des intercepteurs de redirection et de cache partagé peut permettre à un 304 provenant d’une autre origine de valider une réponse authentifiée conservée en cache. Un appelant non authentifié peut alors recevoir cette réponse; mettre à niveau vers undici 7.30.2 ou 8.12.4, ou une version ultérieure.
Action recommandée : Mettre à niveau undici vers 7.30.2, 8.12.4 ou une version ultérieure; à défaut, appliquer l’une des mesures de contournement indiquées.
DDEV : écriture hors du répertoire d’extraction par lien symbolique tar
Dans DDEV 1.25.2 à 1.25.3, l’extraction d’une archive tar peut créer un lien symbolique absolu hors du répertoire prévu, puis permettre à une entrée de fichier de remplacer des fichiers sur l’hôte. Le défaut est accessible notamment par des imports ou la récupération d’extensions; mettre à niveau vers 1.25.4.
Action recommandée : Mettre à niveau DDEV vers la version 1.25.4.
Python
Vérification incomplète
Niveau relevé : Critique
La recherche a vérifié des avis et fiches publiés dans la période concernant filelock, Vulnerability-Lookup, CodeChecker, CPython et Snowflake Connector for Python. Un changement NVD de CVE-2025-46148 a été exclu car il s’agissait d’une mise à jour administrative de fiche, pas d’une nouvelle faille ni d’un changement substantiel établi. Aucun événement substantiel concernant Python n’est établi par les éléments fournis pour la période. Les candidats correspondent à des mises à jour de fiches NVD dont les dates tombent dans la période, mais les données fournies ne démontrent pas qu’elles signalent une nouvelle vulnérabilité, un correctif ou un changement substantiel. Les candidats sont des mises à jour de fiches NVD. Les données fournies n’établissent aucun changement substantiel daté dans la période ; une modification de fiche à elle seule ne suffit pas à retenir un événement. Deux vulnérabilités publiées dans la période concernent des logiciels Python : un déni de service dans Vulnerability-Lookup et une amplification de ressources dans CodeChecker. Pour les autres candidats, les données fournies signalent des modifications NVD pendant la période, mais ne permettent pas d’établir si elles correspondent à un changement substantiel plutôt qu’à une mise à jour administrative. Deux éléments datés de la période concernent l’écosystème Python : une vulnérabilité d’injection SQL dans Snowflake Connector for Python, corrigée dans des versions précisées par l’avis, et un avis signalant un paquet PyPI malveillant.
Paquet PyPI malveillant hello-bat-fwi9
Un paquet malveillant publié sur PyPI, `hello-bat-fwi9`, embarque un fichier BAT obfusqué qui délivre un RAT à l’aide de son propre runtime Python et de fichiers PTH. L’action malveillante nécessite un déclenchement manuel ; les versions signalées sont 0.1.0 et 0.1.1.
Action recommandée : Éviter d’installer les versions 0.1.0 et 0.1.1. Si elles sont présentes, les retirer et examiner les systèmes concernés pour détecter une exécution du paquet ou une compromission.
CPython — régression d’application FIPS dans hashlib
Une régression dans l’application des algorithmes FIPS du module hashlib affecte uniquement Python 3.14.10 lorsque OpenSSL fonctionne en mode FIPS. Le correctif est indiqué dans Python 3.14.11; les autres versions Python ne sont pas concernées selon l’avis.
Action recommandée : Si Python 3.14.10 est utilisé avec OpenSSL en mode FIPS, passer à Python 3.14.11.
Injection SQL dans Snowflake Connector for Python via write_pandas()
Une injection SQL pouvait se produire dans `write_pandas()` lorsque l’échappement des identifiants était désactivé par une configuration non standard et que des noms de colonnes contrôlés par un attaquant étaient transmis. Selon le rôle Snowflake de l’application, les requêtes ajoutées pouvaient permettre de lire, modifier ou supprimer des données ; mettre à niveau manuellement vers une version corrigée.
Action recommandée : Mettre à niveau Snowflake Connector for Python vers 4.8.1 ou ultérieur, et Snowflake Connector for Python (Universal Core) vers 5.2.0 ou ultérieur.
filelock — permissions insuffisantes sur les répertoires de claims POSIX
Sous POSIX, les répertoires de coordination et de claims des verrous stricts peuvent hériter de permissions trop permissives. Un autre utilisateur local peut perturber les claims et compromettre l’exclusion mutuelle ou empêcher l’acquisition; filelock corrige le problème en 4.2.1.
Action recommandée : Mettre à niveau filelock vers 4.2.1 ou une version ultérieure.
filelock — ACL trop permissives sur les fichiers de verrou Windows
Sous Windows, filelock ne respecte pas le mode demandé pour certains fichiers de verrou et la base SQLite, ce qui peut exposer leurs données aux comptes locaux bénéficiant des ACL héritées. Le défaut concerne WindowsFileLock et ReadWriteLock; UnixFileLock n’est pas touché et la version 4.2.1 corrige le problème.
Action recommandée : Mettre à niveau filelock vers 4.2.1 ou une version ultérieure.
filelock — substitution de lien symbolique dans les claims POSIX
Sous POSIX, une course entre validation et utilisation du répertoire de claims peut permettre à un compte local de substituer un lien symbolique. Cela peut détourner ou bloquer des claims, et une récupération forcée peut affecter un autre verrou strict; le correctif est dans filelock 4.2.1.
Action recommandée : Mettre à niveau filelock vers 4.2.1 ou une version ultérieure.
Vulnerability-Lookup : déni de service par modèles de webhook
Dans Vulnerability-Lookup 5.5.1 à 6.4.0, un utilisateur connecté pouvait provoquer une consommation mémoire disproportionnée en enregistrant ou en faisant traiter un modèle de notification webhook conçu à cet effet. La version 6.4.1 limite la taille et la profondeur des modèles ainsi que les valeurs de formatage ; mettez à niveau vers cette version.
Action recommandée : Mettre à niveau Vulnerability-Lookup vers la version 6.4.1.
CodeChecker : amplification de ressources lors de la décompression de statistiques
CodeChecker 6.29.0 pouvait allouer et écrire une quantité de données décompressées sans limite lors du traitement de statistiques d’analyse envoyées par un client disposant de l’autorisation PRODUCT_STORE. L’activation de la fonctionnalité concernée est nécessaire ; vérifiez sa configuration et appliquez le correctif indiqué par le mainteneur, dont la version n’est pas précisée dans les données fournies.
Action recommandée : Désactiver store.analysis_statistics_dir si la fonctionnalité n’est pas nécessaire et appliquer le correctif du mainteneur dès qu’il est disponible.
filelock — blocage d’acquisition d’un verrou logiciel sous Windows
Sur Windows, un autre compte local peut empêcher la rupture d’un marqueur de verrou obsolète et faire attendre l’acquisition au-delà du délai prévu. Le correctif est disponible dans filelock 4.2.1.
Action recommandée : Mettre à niveau filelock vers 4.2.1 ou une version ultérieure.
filelock — fichiers auxiliaires SQLite manipulables sous Windows
Sous Windows, ReadWriteLock et AsyncReadWriteLock peuvent être perturbés par des fichiers SQLite auxiliaires placés par un autre compte local dans un répertoire accessible en écriture. Dans certains cas, les acquisitions échouent ou la récupération du journal peut supprimer une cible accessible au compte du verrou; filelock corrige le défaut en 4.2.1.
Action recommandée : Mettre à niveau filelock vers 4.2.1 ou une version ultérieure.
Java
Vérification incomplète
Niveau relevé : Élevée
Les fiches NVD fournies font état, dans la période, d’avis concernant Apache Axis 1.x, GROBID et JSON-java. La faille Keycloak a été écartée car la source Red Hat consultée indique qu’elle était déjà publique le 2026-11-05, avant la période; les trois autres candidats de type mise à jour NVD portent des dates du 2026-11-05 et ne constituent pas des événements nouveaux dans la fenêtre. Aucune nouveauté Java vérifiable dans ce lot pour la période demandée. Les deux premières fiches ont été modifiées avant le début de la période ; les autres ne fournissent qu’une date de modification NVD, sans élément établissant un changement substantiel pendant la période. Leurs descriptions concernent Android, et non une vulnérabilité du produit ou de la plateforme Java. Les candidats fournis sont des fiches NVD publiées avant la période. Le lot indique des dates de mise à jour dans la période, mais ne fournit pas de preuve d’un changement substantiel; aucune nouveauté Java vérifiable n’est retenue. Aucun élément du lot ne permet de vérifier une nouveauté, un correctif, un avis de sécurité, une exploitation ou un changement substantiel relatif à Java pendant la période demandée. Les CVE Apache Wicket étaient déjà publiées avant la période, et les candidats ne documentent que leur date de mise à jour NVD sans préciser les changements effectués. Les autres candidats concernent des composants Android et ne sont pas établis ici comme des vulnérabilités de l’écosystème Java. Les candidats fournis sont des mises à jour de fiches NVD publiées avant la période. Les informations disponibles ne démontrent pas qu’elles correspondent à un changement substantiel daté dans la période plutôt qu’à une modification administrative; aucune vulnérabilité n’est donc retenue. Les sources fournies signalent…
GROBID : épuisement des threads via l’endpoint d’entraînement
Avant GROBID 0.9.1, l’endpoint non authentifié /api/modelTraining crée un exécuteur à chaque requête et laisse ses threads actifs. Des requêtes répétées peuvent épuiser les ressources en threads et dégrader ou arrêter le traitement des requêtes ; le problème est corrigé en version 0.9.1.
Action recommandée : Mettre à niveau vers GROBID 0.9.1 ou une version ultérieure corrigée.
JSON-java : déni de service par conversion de grands nombres
Dans JSON-java de la version 20150729 à 20260522, la conversion de tokens numériques sans limite de longueur peut consommer un temps CPU disproportionné lors de l’analyse de JSON ou XML contrôlé par un attaquant. Cela peut bloquer des threads de traitement et provoquer un déni de service ; la limite est ajoutée dans la version 20260719.
Action recommandée : Mettre à niveau vers JSON-java 20260719 ou une version ultérieure corrigée.
Keycloak : injection de rôles dans des jetons
CVE-2026-97848 concerne la validation de claims structurés dans Keycloak : un protocole mapper configuré pour émettre des claims JSON peut permettre d’injecter de faux rôles client dans les jetons. Cela peut donner accès à des ressources protégées ; la source fournie ne précise ni versions affectées ni correctif.
Action recommandée : Évaluer les configurations de protocol mapper émettant des claims JSON et appliquer un correctif éditeur dès qu’il est disponible.
xxyopen novel : contournement d’autorisation dans l’accès au contenu d’un livre
Dans xxyopen/201206030 novel jusqu’à la version 3.5.0, la fonction getBookContentAbout ne contrôle pas correctement l’autorisation associée à chapterId. Un attaquant distant peut contourner cette autorisation ; la source indique qu’un exploit a été rendu public et recommande d’appliquer le correctif identifié.
Action recommandée : Appliquer le correctif identifié par le commit 966c4bdde3521dc0a165d15a2acff66ee33eaaa7.
xxyopen novel : contournement d’autorisation dans la lecture d’un chapitre
Dans xxyopen/201206030 novel jusqu’à la version 3.5.0, getBookChapter ne vérifie pas correctement l’autorisation liée à chapterId. Un attaquant distant peut contourner cette autorisation ; la source signale un exploit rendu public et conseille d’installer le correctif identifié.
Action recommandée : Appliquer le correctif identifié par le commit b8134e774820e0971fa9d8074405b49a01c99bdc.
Apache Axis 1.x : instanciation de classe à distance via une faute SOAP
Apache Axis 1.x désérialise certaines données de faute SOAP entrantes et peut charger puis instancier une classe contrôlée par l’entrée avant de vérifier qu’il s’agit d’une AxisFault. Si une classe appropriée est présente dans le classpath, cela peut conduire à une exécution de code à distance sans authentification, et les gestionnaires d’authentification configurés au niveau du service ne protègent pas contre ce traitement préalable.
Action recommandée : Migrer hors d’Axis 1.x ou appliquer le correctif mentionné par le projet ; ne pas compter sur l’authentification configurée au niveau du service comme protection contre ce chemin.
GROBID : injection de commande dans la conversion PDF sous Linux
Avant GROBID 0.9.1, le chemin Linux de conversion PDF hors serveur insère un nom de fichier contrôlé par l’utilisateur dans une commande bash -c. Un nom de fichier contenant une apostrophe peut permettre l’exécution de commandes avec les privilèges du processus GROBID ; le chemin du serveur REST intégré n’est pas affecté et le problème est corrigé en 0.9.1.
Action recommandée : Mettre à niveau vers GROBID 0.9.1 ou une version ultérieure corrigée ; éviter le chemin de conversion PDF Linux hors serveur tant que le correctif n’est pas appliqué.
TYPO3
Recherche du sujet effectuée
La recherche dédiée sur TYPO3 n’a identifié aucun nouvel avis de sécurité, correctif, signalement d’exploitation ou changement substantiel daté dans la période demandée. Les annonces visibles consultées sont datées du 3 novembre et du 22 octobre 2026, avant la période du 6 novembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée n’a vérifié aucun avis Drupal ni autre événement substantiel daté du 2026-11-06. Les candidats fournis indiquent des publications initiales au 2026-10-30; leur seule mise à jour NVD le 2026-11-06 ne suffit pas à établir une nouvelle vulnérabilité ou un changement substantiel pendant la période. Aucun élément du lot ne fournit de preuve d’une nouvelle vulnérabilité, d’un correctif, d’un avis de sécurité, d’une exploitation ou d’un changement substantiel daté de la période. Les candidats signalent seulement des mises à jour NVD; leur publication initiale est antérieure à la période et aucun changement substantiel n’est décrit dans les données fournies. Les candidats fournis concernent des fiches CVE publiées le 2026-10-30, dont les fiches NVD ont été modifiées le 2026-11-06. Les informations fournies n’établissent pas que ces modifications correspondent à un changement substantiel admissible pendant la période ; aucune vulnérabilité n’est donc retenue. Les dix candidats sont des mises à jour de fiches NVD dont les dates de publication indiquées précèdent la période. Les données fournies ne décrivent aucun changement substantiel daté dans la période ; une modification administrative NVD seule ne suffit donc pas à retenir ces vulnérabilités. Les candidats sont des modifications de fiches NVD pour des CVE publiées le 2026-10-30. Les éléments fournis ne documentent aucun changement substantiel daté de la période demandée; une mise à jour administrative NVD ne suffit pas à établir une nouveauté. Aucun élément retenu : les dix candidats sont des modifications de fiches NVD pour des CVE publiées avant la période, et les données fournies ne démontrent pas de changement substantiel de sécurité pendant celle-ci. Les candidats fournis sont des modifications de f…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Joomla. Aucun événement de sécurité vérifiable ne satisfait la période du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu : les avis éditeur retrouvés pour Gridbox sont datés du 2026-11-04, et les fiches CVE des autres candidats ont été publiées avant la période. Les seules dates dans la fenêtre signalées pour ces candidats sont des mises à jour NVD; aucune preuve consultée n’établit qu’elles correspondent à un changement substantiel, et une modification NVD seule ne suffit pas à retenir un item.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ni avis de sécurité Magento daté de la période demandée n’a été vérifié. L’avis Adobe APSB26-92 repéré est daté du 11 août 2026; le bulletin APSB26-138 est daté du 8 septembre 2026. Les résultats Adobe datés du 8 novembre 2026 sont postérieurs à la période et ont été exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
Recherche dédiée à Adobe Commerce effectuée pour la période du 2026-11-06T00:00:00+02:00 inclus au 2026-11-07T00:00:00+02:00 exclu. Aucune nouvelle vulnérabilité, publication de correctif ou d’avis de sécurité, exploitation, ni mise à jour substantielle datée dans cette période n’a été vérifiée dans les sources consultées. Les avis trouvés concernaient des événements antérieurs à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
Aucune nouveauté de sécurité Fooocus datée du 2026-11-06 n’a été vérifiée dans les résultats consultés. CVE-2025-31114, la vulnérabilité Fooocus repérée au cours de la recherche, est antérieure à la période demandée et n’est donc pas retenue.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
18 alerte(s)JupyterLab Desktop : injection JavaScript pouvant mener à l’exécution de code
JupyterLab Desktop avant 4.6.2-1 insère des URL de serveurs distants sans encodage sûr dans des vues rendues par l’application; une URL spécialement conçue peut conduire à l’exécution de JavaScript dans le rendu Welcome et à l’exécution de…
Source : NVD — CVE-2026-102530
Hisense VIDAA : service WebDriver exposé sans authentification
Une version QA du moteur Cobalt dans le firmware VIDAA concerné expose sans authentification un service WebDriver accessible sur le réseau local, permettant notamment d’exécuter du JavaScript et d’accéder à des données ou fonctions du télé…
Source : NVD — CVE-2026-123993
Épuisement mémoire possible dans le SDK TypeScript Model Context Protocol
Une requête HTTP contenant un grand nombre d’éléments de tableau ou de clés d’objet peut épuiser la mémoire du processus lors de la validation des entrées. Mettre à niveau les paquets concernés et configurer aussi une limite sur les élémen…
Source : NVD — CVE-2026-111768
Fuite de messages entre clients via des instances MCP HTTP partagées
Un serveur HTTP MCP réutilisant une même instance sans état du transport ou du serveur pouvait associer les messages de plusieurs clients et livrer des réponses ou notifications au mauvais client. Mettre à niveau et créer les instances de…
Source : NVD — CVE-2026-111770
XSS dans l’affichage des détails de travaux échoués de FreeScout
FreeScout avant la version 1.8.230 est affecté par une XSS stockée dans les détails d’un travail d’alerte échoué, sous une combinaison de conditions comprenant le suivi d’activité, l’échec d’envoi et l’interaction d’un administrateur. Un a…
Source : NVD — CVE-2026-85742
JupyterLab Desktop pour macOS : fuse RunAsNode d’Electron activé (CVE-2025-55002)
Sur macOS, une configuration d’Electron avec le fuse RunAsNode activé permet à un attaquant disposant déjà d’une capacité d’exécution de code locale d’exécuter du code dans le contexte de JupyterLab Desktop. Cela peut permettre d’accéder à…
Source : NVD — CVE-2025-55002
KendoReact : pollution de prototype dans l’utilitaire setter
Une pollution de prototype dans l’utilitaire `setter` de KendoReact peut être déclenchée si un utilisateur fortement privilégié contrôle un chemin de champ transmis à cet utilitaire, directement ou via Form, Scheduler ou Gantt. Elle peut a…
Source : CVE-2026-106127 — fiche NVD
XSS dans le composant Menu de KendoReact
Le composant Menu de KendoReact est affecté par une XSS lorsqu’un utilisateur à faibles privilèges peut influencer les données d’un élément de menu et y placer une URL dangereuse. Le script s’exécute dans l’origine de l’application lorsque…
Source : NVD — CVE-2026-106134
XSS dans le composant Chat de KendoReact
Le composant Chat de KendoReact permet une XSS via une URL dangereuse dans une action rapide openUrl, à partir de messages fournis par un utilisateur à faibles privilèges. Le script peut s’exécuter dans l’origine de l’application lorsque l…
Source : NVD — CVE-2026-106136
XSS dans le composant Editor de KendoReact
Le composant Editor de KendoReact est affecté par une XSS lorsque du contenu soumis par un utilisateur à faibles privilèges contient un lien avec une URL dangereuse. Le script s’exécute lorsque la victime clique sur le lien ; les versions…
Source : NVD — CVE-2026-106142
XSS dans le composant Chat de Kendo UI for Angular
Le composant Chat de Kendo UI for Angular présente une XSS via une action rapide openUrl contenant une URL dangereuse dans un message fourni par un utilisateur à faibles privilèges. Le script s’exécute dans le navigateur d’un autre utilisa…
Source : NVD — CVE-2026-106135
XSS dans le composant Editor de Kendo UI for Angular
Le composant Editor de Kendo UI for Angular est vulnérable à une XSS lorsque du contenu fourni par un utilisateur à faibles privilèges contient un lien ou une image avec une URL dangereuse. Le JavaScript peut s’exécuter lorsque l’utilisate…
Source : NVD — CVE-2026-106141
Pollution de prototype dans le Scheduler de Kendo UI for Angular
Une pollution de prototype dans le composant Scheduler peut être déclenchée par un attaquant disposant de privilèges élevés et capable de contrôler un chemin de champ traité par le composant. Les versions de Kendo UI for Angular antérieure…
Source : NVD — CVE-2026-106144
Redirections inter-origines susceptibles de divulguer des données du client MCP
Les transports HTTP et certaines requêtes OAuth pouvaient suivre une redirection vers une autre origine en conservant des en-têtes personnalisés et, pour les redirections HTTP 307/308, le corps de la requête. Cela pouvait divulguer des don…
Source : NVD — CVE-2026-111769
XSS réfléchie dans la page d’erreur de connexion/SSO d’INFINITT ULite
INFINITT ULite est affecté par une XSS réfléchie sur la page d’erreur de connexion/SSO, exploitable sans authentification au moyen d’un lien spécialement conçu. Un paramètre de requête non assaini est renvoyé sans encodage de sortie ; la v…
Source : NVD — CVE-2026-19876
XSS dans mailbox/detach.cgi de Usermin
Usermin jusqu’à la version 2.570 présente une XSS dans mailbox/detach.cgi : un attaquant distant peut contourner le filtrage JavaScript à l’aide du paramètre « type ». Un destinataire amené à ouvrir un lien vers une pièce jointe HTML piégé…
Source : NVD — CVE-2026-123622
XSS dans le composant Editor de Kendo UI for Vue
Le composant Editor de Kendo UI for Vue présente une XSS via une URL dangereuse saisie dans la boîte de dialogue d’insertion d’un lien ou d’une image. Le JavaScript s’exécute lorsque l’utilisateur clique sur le lien résultant ; les version…
Source : NVD — CVE-2026-106143
GeoNode : XSS persistante dans les métadonnées de document
Dans GeoNode avant la version 5.0.3, un utilisateur distant disposant de faibles privilèges peut enregistrer du HTML et du JavaScript dans les métadonnées d’abstract d’un document. Le contenu peut ensuite s’exécuter dans le navigateur d’un…
Source : NVD — CVE-2026-55649
Backend & données
55 alerte(s)Paquet PyPI malveillant hello-bat-fwi9
Un paquet malveillant publié sur PyPI, `hello-bat-fwi9`, embarque un fichier BAT obfusqué qui délivre un RAT à l’aide de son propre runtime Python et de fichiers PTH. L’action malveillante nécessite un déclenchement manuel ; les versions s…
LXD : injection d’arguments dans la compression des sauvegardes
Une validation incomplète du paramètre d’algorithme de compression d’une sauvegarde permet à un utilisateur autorisé d’injecter des arguments et d’écrire un fichier arbitraire sur l’hôte, avec une possible exécution de commandes. La versio…
LXD : écriture arbitraire de fichier via un en-tête de serveur d’images
Dans le client Incus, un serveur d’images malveillant peut fournir un en-tête Incus-Image-Hash forgé et provoquer une écriture arbitraire de fichier, susceptible d’aboutir à l’exécution de commandes en tant que root. L’avis indique comme v…
Source : GHSA-pjff-c2wc-f6jm — LXD has arbitrary file write on client due to trusted image hash
LXD : contournement des restrictions de projet via les instantanés
Les instantanés d’instances ne respectent pas le réglage restricted.containers.lowlevel=block, ce qui permet de contourner les restrictions de projet et d’exécuter des commandes arbitraires sur l’hôte. Mettre à niveau LXD vers la version c…
Source : GHSA-47w9-6r3f-938g — LXD has restricted project bypass leading to arbitrary command execution
LXD : écriture de fichier sur l’hôte via le lien symbolique exec-output
L’avis GHSA-9j25-mm2h-2f76 décrit une écriture de fichiers sur l’hôte via un lien symbolique exec-output dans une image manipulée, exploitable par la fonction record-output de l’API exec de LXD. L’avis fourni indique comme version corrigée…
Babelfish pour PostgreSQL : exécution de commandes par débordement dans le parseur TDS
Un débordement de tampon dans le parseur TDS prelogin de Babelfish peut permettre à un attaquant distant d’exécuter des commandes système avec les privilèges du processus de base de données en envoyant un paquet malformé au port TDS. Les v…
Source : CVE-2026-119923 — NVD
Chartbrew : injection SQL via les variables de tableaux de bord
Chartbrew avant 5.2.1 comporte une injection SQL dans la substitution de variables de tableaux de bord, pouvant être déclenchée par des valeurs de filtre d’URL non authentifiées sur un graphique public ou intégré utilisant une requête SQL.…
Source : NVD — CVE-2026-54349
Craft CMS : injection SQL non authentifiée via l’eager-loading GraphQL
Le 6 novembre 2026, Craft CMS a publié un avis concernant une injection SQL dans l’eager-loading GraphQL, exploitable sans authentification pour accéder à des données de la base. Les versions 4.x antérieures à 4.18.9 et 5.x antérieures à 5…
Source : NVD — CVE-2026-123491
LXD : contournement des restrictions de projet lors de la copie d’instances
Une vérification d’autorisation manquante lors de la copie d’une instance permet à un utilisateur connaissant le projet et l’instance source de copier celle-ci vers un projet accessible, exposant potentiellement ses données sensibles. Mett…
Source : GHSA-qx75-2p3r-pwm5 — LXD has project restriction bypass in instance copy across projects
LXD : contournement des restrictions de projet lors de la copie de volumes
Une vérification d’autorisation manquante lors de la copie d’un volume personnalisé permet de copier dans un projet accessible un volume d’un autre projet auquel l’utilisateur n’a pas accès. Mettre à niveau LXD vers la version corrigée 0.0…
Source : GHSA-7mr3-28h5-m5vx — LXD has project restriction bypass for custom volume copy across projects
OSAC Operator : exécution de plug-in kubeconfig et SSRF dans le proxy de console
Une configuration kubeconfig contenant un plug-in `exec` peut conduire le proxy de console OSAC à exécuter un processus arbitraire dans son pod ; un serveur de cluster contrôlé par l’attaquant peut également provoquer une SSRF. Le problème…
Symfony Serializer : lecture de fichiers locaux par confusion de casse du schéma data:
DataUriNormalizer reconnaissait le schéma data: avec une expression sensible à la casse, de sorte qu’un schéma écrit en majuscules pouvait être traité comme un chemin local. Une entrée désérialisée pouvait ainsi faire lire un fichier local…
Source : NVD — CVE-2026-121623
Symfony Yaml : déni de service par analyse YAML inefficace
Une analyse YAML spécialement conçue peut monopoliser un processus PHP et provoquer un déni de service. Les versions antérieures aux correctifs indiqués sont concernées lorsque l’application analyse des données YAML non fiables.
Source : NVD — CVE-2026-123792
Symfony Serializer : traitement de fichiers locaux comme téléversements
La désérialisation de données contrôlées par un attaquant peut faire traiter un fichier local comme un fichier téléversé lorsque la propriété visée utilise notamment un type dérivé tel que UploadedFile. Selon le traitement ultérieur du fic…
Source : NVD — CVE-2026-118515
Babelfish pour PostgreSQL : lecture hors limites dans le parseur RPC TDS
Une lecture hors limites dans le parseur de noms de procédures RPC TDS de Babelfish peut exposer de la mémoire adjacente au processus ou provoquer un déni de service via une requête TDS malformée; l’attaque requiert une authentification. L…
Source : CVE-2026-119924 — NVD
Injection NoSQL aveugle via les variables de date dans Chartbrew
Chartbrew avant la version 5.2.3 ne protège pas correctement certaines variables MongoDB de type date lorsqu’elles sont substituées dans un emplacement de requête entre guillemets. Un utilisateur non authentifié peut exploiter un graphique…
Source : NVD — CVE-2026-85726
FreeScout : requêtes serveur vers des hôtes internes insuffisamment contrôlées
Plusieurs chemins de requête sortante dans FreeScout ne vérifient pas systématiquement les hôtes restreints au niveau de la destination. Un utilisateur authentifié disposant des permissions nécessaires peut ainsi atteindre des services int…
Source : NVD — CVE-2026-85743
Nuxt Content : déni de service par requêtes SQLite coûteuses
Nuxt Content expose, dans les versions affectées, un point d’accès POST non authentifié qui accepte des expressions SQLite contrôlées par l’attaquant et peut effectuer des calculs coûteux. Une requête peut consommer le processeur et la mém…
Source : NVD — CVE-2026-102650
CVE-2026-116592 : contournement des règles de cache lors de redirections dans undici
Plusieurs défauts d’`undici` publiés le 2026-11-06 affectent le cache de redirections, le traitement d’erreurs lors de la relecture du cache, la suppression d’en-têtes sensibles et la vérification SRI. Mettre à niveau vers `undici` 7.30.2…
Source : NVD — CVE-2026-116592
Parse Server : déni de service par validation coûteuse d’adresse e-mail
Parse Server utilise, pour valider les adresses e-mail, une expression régulière dont le temps d’exécution croît quadratiquement avec la longueur de l’entrée, sans limite de longueur. Une requête d’inscription non authentifiée (avec l’iden…
Source : NVD — CVE-2026-123487
plist.js : épuisement mémoire par références récursives dans un plist binaire
Le parseur de plist binaire de plist.js antérieur à 5.0.1 peut résoudre de façon répétée des références partagées récursives, entraînant une croissance exponentielle des opérations et de la mémoire. Une entrée conçue à cet effet peut faire…
Source : NVD — CVE-2026-124078
CPython — régression d’application FIPS dans hashlib
Une régression dans l’application des algorithmes FIPS du module hashlib affecte uniquement Python 3.14.10 lorsque OpenSSL fonctionne en mode FIPS. Le correctif est indiqué dans Python 3.14.11; les autres versions Python ne sont pas concer…
Source : NVD — CVE-2026-119170
Injection SQL dans Snowflake Connector for Python via write_pandas()
Une injection SQL pouvait se produire dans `write_pandas()` lorsque l’échappement des identifiants était désactivé par une configuration non standard et que des noms de colonnes contrôlés par un attaquant étaient transmis. Selon le rôle Sn…
Source : NVD — CVE-2026-123859
GROBID : épuisement des threads via l’endpoint d’entraînement
Avant GROBID 0.9.1, l’endpoint non authentifié /api/modelTraining crée un exécuteur à chaque requête et laisse ses threads actifs. Des requêtes répétées peuvent épuiser les ressources en threads et dégrader ou arrêter le traitement des req…
Source : NVD — CVE-2026-123356
CVE-2026-9639 : arrêt du démon LXD lors de l’import d’une sauvegarde de volume
L’import d’une sauvegarde de volume personnalisé contenant un instantané sans valeur expires_at peut provoquer un déréférencement nil et faire planter le démon LXD. L’avis indique comme version corrigée 0.0.0-20260622081844-85f897013ccd ;…
Source : GHSA-j93m-3j9p-m5m8 — LXD has CreateCustomVolumeFromBackup nil-pointer dereference
IntelliJ IDEA : téléchargements de dépendances depuis des dépôts arbitraires via des scripts Kotlin
Dans les versions d’IntelliJ IDEA antérieures à 2026.3, des scripts Kotlin présents dans un projet non fiable pouvaient déclencher le téléchargement de dépendances depuis des dépôts arbitraires. Cela expose notamment l’utilisateur à des re…
Source : NVD — CVE-2026-123310
Symfony HttpFoundation : des requêtes HEAD contournent des règles limitées à GET
Des restrictions configurées pour GET pouvaient ne pas s’appliquer à HEAD, alors que le routeur traite HEAD avec le gestionnaire GET. Une requête HEAD pouvait ainsi contourner des règles ou firewalls limités à GET.
Source : NVD — CVE-2026-118514
Modification de propriétés imbriquées par des chemins d’attribut dans Symfony Serializer
ObjectNormalizer peut interpréter des noms d’attribut contenant un point, ou un crochet à partir de Symfony 6.4, comme des chemins vers des propriétés imbriquées. Des données non fiables peuvent ainsi modifier des objets imbriqués et conto…
Source : NVD — CVE-2026-122053
Injection NoSQL dans la recherche d’utilisateurs d’Openwhyd
Openwhyd avant la version 1.65.1 présente une injection NoSQL dans la recherche d’utilisateurs : une requête non authentifiée vers `/api/user` peut fournir un objet JSON dans le paramètre `id` et manipuler la recherche MongoDB. L’impact ra…
Source : NVD — CVE-2026-123617
FreeScout : endpoint de maintenance exposé et essais de secrets sans limitation
Un point de maintenance de FreeScout est accessible sans contrôle d’accès approprié et peut révéler l’existence de fichiers ou répertoires selon les chemins fournis. Il permet également de tester sans limitation des candidats pour la clé a…
Source : NVD — CVE-2026-62850
FreeScout : traversée de chemin dans le visualiseur des journaux
Dans FreeScout, un administrateur connaissant APP_KEY peut exploiter le visualiseur des journaux pour lire des fichiers locaux accessibles au processus PHP. Le problème concerne les versions antérieures à 1.8.225.
Source : NVD — CVE-2026-62855
2FAuth : contrôle d’autorisation manquant sur les destinataires de partage
Lorsque le partage de comptes est activé, un utilisateur authentifié de 2FAuth peut consulter les destinataires et relations de partage de comptes appartenant à d’autres utilisateurs. La vulnérabilité est corrigée en version 8.0.0.
Source : NVD — CVE-2026-63437
CVE-2026-120222 : crash du processus lors de la relecture d’une réponse en cache dans undici
Une exception levée pendant la relecture d’une réponse mise en cache par `undici` pouvait échapper au traitement et arrêter le processus Node.js. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, ou une version ultérieure.
Source : NVD — CVE-2026-120222
CVE-2026-120415 : divulgation possible d’en-têtes sensibles lors d’une redirection undici
Dans certaines configurations d’`undici`, des en-têtes sensibles fournis sous forme de tableaux de paires pouvaient être conservés lors d’une redirection vers une autre origine. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, ou une versio…
Source : NVD — CVE-2026-120415
CVE-2026-120423 : contournement de la vérification SRI dans undici
La vérification SRI d’`undici` pouvait accepter une réponse dont le condensat ne correspondait pas aux métadonnées lorsque celles-ci contenaient des espaces ASCII autres qu’un espace simple. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4,…
Source : NVD — CVE-2026-120423
undici : divulgation inter-utilisateurs via le cache partagé après redirection
Dans undici, l’association du redirect interceptor et d’un cache de réponses partagé peut enregistrer sous la clé de la requête initiale la réponse privée d’une requête authentifiée redirigée vers une cible de même origine. Un utilisateur…
Source : NVD — CVE-2026-120474
undici : revalidation inter-origines pouvant divulguer une réponse authentifiée
Dans undici, la composition des intercepteurs de redirection et de cache partagé peut permettre à un 304 provenant d’une autre origine de valider une réponse authentifiée conservée en cache. Un appelant non authentifié peut alors recevoir…
Source : NVD — CVE-2026-116630
DDEV : écriture hors du répertoire d’extraction par lien symbolique tar
Dans DDEV 1.25.2 à 1.25.3, l’extraction d’une archive tar peut créer un lien symbolique absolu hors du répertoire prévu, puis permettre à une entrée de fichier de remplacer des fichiers sur l’hôte. Le défaut est accessible notamment par de…
Source : NVD — CVE-2026-108262
filelock — permissions insuffisantes sur les répertoires de claims POSIX
Sous POSIX, les répertoires de coordination et de claims des verrous stricts peuvent hériter de permissions trop permissives. Un autre utilisateur local peut perturber les claims et compromettre l’exclusion mutuelle ou empêcher l’acquisiti…
Source : NVD — CVE-2026-112908
filelock — ACL trop permissives sur les fichiers de verrou Windows
Sous Windows, filelock ne respecte pas le mode demandé pour certains fichiers de verrou et la base SQLite, ce qui peut exposer leurs données aux comptes locaux bénéficiant des ACL héritées. Le défaut concerne WindowsFileLock et ReadWriteLo…
Source : NVD — CVE-2026-112910
filelock — substitution de lien symbolique dans les claims POSIX
Sous POSIX, une course entre validation et utilisation du répertoire de claims peut permettre à un compte local de substituer un lien symbolique. Cela peut détourner ou bloquer des claims, et une récupération forcée peut affecter un autre…
Source : NVD — CVE-2026-112938
Vulnerability-Lookup : déni de service par modèles de webhook
Dans Vulnerability-Lookup 5.5.1 à 6.4.0, un utilisateur connecté pouvait provoquer une consommation mémoire disproportionnée en enregistrant ou en faisant traiter un modèle de notification webhook conçu à cet effet. La version 6.4.1 limite…
Source : NVD — CVE-2026-123660
CodeChecker : amplification de ressources lors de la décompression de statistiques
CodeChecker 6.29.0 pouvait allouer et écrire une quantité de données décompressées sans limite lors du traitement de statistiques d’analyse envoyées par un client disposant de l’autorisation PRODUCT_STORE. L’activation de la fonctionnalité…
Source : NVD — CVE-2026-84161
JSON-java : déni de service par conversion de grands nombres
Dans JSON-java de la version 20150729 à 20260522, la conversion de tokens numériques sans limite de longueur peut consommer un temps CPU disproportionné lors de l’analyse de JSON ou XML contrôlé par un attaquant. Cela peut bloquer des thre…
Source : NVD — CVE-2026-59171
Keycloak : injection de rôles dans des jetons
CVE-2026-97848 concerne la validation de claims structurés dans Keycloak : un protocole mapper configuré pour émettre des claims JSON peut permettre d’injecter de faux rôles client dans les jetons. Cela peut donner accès à des ressources p…
Source : NVD — CVE-2026-97848
xxyopen novel : contournement d’autorisation dans l’accès au contenu d’un livre
Dans xxyopen/201206030 novel jusqu’à la version 3.5.0, la fonction getBookContentAbout ne contrôle pas correctement l’autorisation associée à chapterId. Un attaquant distant peut contourner cette autorisation ; la source indique qu’un expl…
Source : NVD — CVE-2026-123676
Symfony Security : contrôle post-authentification omis lors de connexions programmatiques
L’authentification programmatique pouvait ignorer le contrôle checkPostAuth() d’un user checker personnalisé, permettant à un utilisateur normalement rejeté d’obtenir une session authentifiée. Le défaut concerne les applications réunissant…
Source : NVD — CVE-2026-123746
Symfony HttpKernel : confiance temporaire indue dans les en-têtes transférés
Pendant le traitement d’un sous-requête, le contexte du routeur pouvait faire confiance temporairement à des en-têtes Forwarded transmis par le client. Dans les déploiements concernés, ceux-ci pouvaient influencer les URL absolues générées…
Source : NVD — CVE-2026-123339
Résolution d'entités XML externes dans Symfony Config XmlUtils
XmlUtils::parse() active la validation DTD avant de rejeter les documents contenant un doctype, ce qui peut provoquer une résolution d'entités XML externes lors du chargement. Selon le contenu XML et la configuration, un attaquant capable…
Source : NVD — CVE-2026-123824
XSS stockée dans les listes modales de FacturaScripts
Une faille XSS stockée dans FacturaScripts permet d’exécuter du JavaScript lorsqu’un utilisateur ouvre les listes modales de variantes ou de sous-comptes. Elle concerne les versions jusqu’à 2026.1 et est corrigée dans la version 2026.2.
Source : GHSA-3x7p-v8hj-xh5m — FacturaScripts
filelock — blocage d’acquisition d’un verrou logiciel sous Windows
Sur Windows, un autre compte local peut empêcher la rupture d’un marqueur de verrou obsolète et faire attendre l’acquisition au-delà du délai prévu. Le correctif est disponible dans filelock 4.2.1.
Source : NVD — CVE-2026-112907
filelock — fichiers auxiliaires SQLite manipulables sous Windows
Sous Windows, ReadWriteLock et AsyncReadWriteLock peuvent être perturbés par des fichiers SQLite auxiliaires placés par un autre compte local dans un répertoire accessible en écriture. Dans certains cas, les acquisitions échouent ou la réc…
Source : NVD — CVE-2026-112913
xxyopen novel : contournement d’autorisation dans la lecture d’un chapitre
Dans xxyopen/201206030 novel jusqu’à la version 3.5.0, getBookChapter ne vérifie pas correctement l’autorisation liée à chapterId. Un attaquant distant peut contourner cette autorisation ; la source signale un exploit rendu public et conse…
Source : NVD — CVE-2026-123677
Apache Axis 1.x : instanciation de classe à distance via une faute SOAP
Apache Axis 1.x désérialise certaines données de faute SOAP entrantes et peut charger puis instancier une classe contrôlée par l’entrée avant de vérifier qu’il s’agit d’une AxisFault. Si une classe appropriée est présente dans le classpath…
Source : NVD — CVE-2026-90436
GROBID : injection de commande dans la conversion PDF sous Linux
Avant GROBID 0.9.1, le chemin Linux de conversion PDF hors serveur insère un nom de fichier contrôlé par l’utilisateur dans une commande bash -c. Un nom de fichier contenant une apostrophe peut permettre l’exécution de commandes avec les p…
Source : NVD — CVE-2026-123357
CMS & e-commerce
61 alerte(s)Contournement de l’authentification dans le plugin Wurdey
Wurdey jusqu’à la version 1.0.0 ne vérifie pas la signature d’une requête avant de connecter un utilisateur, ce qui peut permettre à un attaquant non authentifié de se connecter comme administrateur s’il connaît le nom d’utilisateur de cel…
Source : NVD — CVE-2026-110955
Modification non autorisée de comptes dans le plugin placester
Le plugin placester jusqu’à la version 1.4.3 ne vérifie ni les droits, ni le nonce, ni la propriété du compte lors d’une action AJAX de modification des coordonnées. Un attaquant non authentifié peut changer l’adresse e-mail d’un utilisate…
Source : NVD — CVE-2026-113584
Injection SQL et accès administrateur via GS JWT Authentication for WP REST API
GS JWT Authentication for WP REST API jusqu’à la version 1.0.0 ne paramètre pas des valeurs de requête utilisées dans des requêtes SQL sur plusieurs routes REST accessibles sans authentification. Un attaquant non authentifié peut exploiter…
Source : NVD — CVE-2026-113615
WHIZZ : réinitialisation de mot de passe non autorisée
Le plugin WHIZZ jusqu’à la version 1.1.8 ne vérifie pas correctement la clé de réinitialisation du mot de passe et s’appuie sur un nonce exposé aux visiteurs non authentifiés. Un attaquant peut ainsi définir le mot de passe d’un utilisateu…
Source : NVD — CVE-2026-115230
Static Snapshot : exécution de commandes à distance
Static Snapshot jusqu’à la version 0.2.1 ne filtre pas les métacaractères shell dans une valeur fournie par l’utilisateur avant de l’intégrer à des commandes système. Un attaquant non authentifié peut ainsi exécuter des commandes arbitrair…
Source : NVD — CVE-2026-116533
WP Libre Form : téléversement de fichier PHP et exécution de code à distance
La version 1.5.0.1 de WP Libre Form ne valide pas le type des fichiers reçus par les soumissions de formulaires. Un attaquant non authentifié peut téléverser un fichier PHP dans un emplacement accessible sur le Web et provoquer une exécuti…
Source : NVD — CVE-2026-118423
MDJM : suppression non autorisée de rôles WordPress
MDJM Event Management et Mobile Events Manager traitent une requête de suppression de rôle à chaque chargement de page sans contrôle de capacité ni nonce, et le contrôle de protection des rôles ne porte pas sur la valeur effectivement supp…
Source : NVD — CVE-2026-88800
Création possible de comptes administrateurs via BuddyForms
CVE-2026-107622 est une élévation de privilèges dans BuddyForms permettant, sous certaines conditions de configuration, à un attaquant non authentifié de créer un compte administrateur et de prendre le contrôle du site. Toutes les versions…
Source : NVD — CVE-2026-107622
Suppression arbitraire de fichiers dans ELEX WordPress HelpDesk
ELEX WordPress HelpDesk & Customer Ticketing System jusqu’à la version 3.3.8 incluse permet la suppression arbitraire de fichiers, avec une chaîne d’exploitation décrite comme accessible sans authentification. La suppression de fichiers cr…
Source : NVD — CVE-2026-114630
Craft CMS : injection SQL non authentifiée dans la recherche d’éléments
Une injection SQL non authentifiée dans le point d’accès de recherche d’éléments peut permettre la lecture et la modification de la base de données, jusqu’à la prise de contrôle d’un compte administrateur. Les versions concernées sont Craf…
Source : Fiche NVD CVE-2026-123488
Injection de code PHP dans CTX Feed
CVE-2026-87964 est une injection de code PHP dans CTX Feed, qui permet à des utilisateurs authentifiés disposant de droits de gestionnaire de boutique d’exécuter du code arbitraire sur le serveur. Toutes les versions jusqu’à 8.0.26 incluse…
Source : NVD — CVE-2026-87964
CVE-2026-115431 : contrôle d’accès manquant dans Upsell Order Bump Offer
Upsell Order Bump Offer for WooCommerce présente une vulnérabilité de contrôle d’accès manquant. La source fournie indique les versions concernées, mais ne précise pas quelles opérations non autorisées sont possibles.
Source : NVD — CVE-2026-115431
MCB WordPress : XSS stockée dans les statistiques d’administration
Le plugin WordPress MCB jusqu’à la version 1.0.0 ne neutralise pas les valeurs d’en-tête HTTP avant de les afficher dans la grille de statistiques d’administration, ce qui permet à un attaquant non authentifié d’y faire exécuter du JavaScr…
Source : NVD — CVE-2026-110525
Injection SQL dans le plugin WordPress Mail Mage
Mail Mage jusqu’à la version 0.0.25 ne traite pas correctement une valeur fournie par l’utilisateur avant de l’insérer dans une requête SQL, permettant une injection SQL par un attaquant non authentifié. La fiche NVD publiée le 6 novembre…
Source : NVD — CVE-2026-110532
Cool Media Filter : élévation de privilèges jusqu’à administrateur
Tout utilisateur authentifié peut modifier les capacités d’un rôle sans contrôle approprié et, par exemple, s’accorder des privilèges d’administrateur. La faille peut conduire à la prise de contrôle du site.
Source : NVD — CVE-2026-87784
MDJM : modification non autorisée des comptes utilisateurs
MDJM Event Management et Mobile Events Manager ne vérifient pas les permissions ni la propriété de l’identifiant transmis lors de la mise à jour d’un profil client. Tout utilisateur authentifié peut modifier le mot de passe et l’adresse e-…
Source : NVD — CVE-2026-88799
MDJM : injection de scripts via la création de rôles
MDJM Event Management et Mobile Events Manager permettent à un utilisateur authentifié de créer un rôle à partir d’un nom fourni dans la requête, sans vérification de capacité ni nonce, et enregistrent ce nom sans échappement. Un attaquant…
Source : NVD — CVE-2026-88801
XSS stockée dans Graphina pour WordPress
Graphina – Charts and Graphs For Elementor présente une XSS stockée exploitable sans authentification dans des versions jusqu’à 3.1.13 incluse. La charge injectée via un paramètre de police de nœud de graphique peut s’exécuter lorsqu’une p…
Source : NVD — CVE-2026-110291
XSS stockée dans le plugin WordPress MDTF
CVE-2026-110776 concerne une XSS stockée dans le plugin MDTF, via le paramètre « vars », permettant à un attaquant non authentifié d’injecter du script exécuté par les visiteurs. Sont concernées toutes les versions jusqu’à 1.4.1 incluse ;…
Source : NVD — CVE-2026-110776
Élévation de privilèges dans Pubjet
CVE-2026-103479 est une élévation de privilèges dans Pubjet : un utilisateur authentifié peut remplacer le jeton API stocké par le plugin, puis accéder à des opérations normalement réservées. Toutes les versions jusqu’à 5.4.8 incluse sont…
Source : NVD — CVE-2026-103479
Injection d’objet PHP et risque d’exécution de code dans WPSyncSheets
CVE-2026-104010 concerne WPSyncSheets for Contact Form 7 : une soumission non authentifiée peut conduire à une injection d’objet PHP et, dans les conditions décrites, à l’exécution de code à distance. Toutes les versions jusqu’à 1.8.0 incl…
Source : NVD — CVE-2026-104010
Élévation de privilèges dans Advanced Members for ACF
Advanced Members for ACF jusqu’à la version 1.3.0 incluse présente une élévation de privilèges permettant à un utilisateur authentifié de niveau abonné ou supérieur de modifier le mot de passe du compte administrateur principal. Désactiver…
Source : NVD — CVE-2026-116624
Téléversement arbitraire de fichiers dans Live2DWebCanvas
Live2DWebCanvas jusqu’à la version 2.2.1 incluse permet le téléversement de fichiers arbitraires sans authentification dans une configuration particulière du plugin. Si le mode custom-local est utilisé, un fichier exécutable téléversé peut…
Source : NVD — CVE-2026-92895
Craft CMS : injection SQL aveugle via getNext() et getPrev()
Une injection SQL aveugle liée aux méthodes getNext() et getPrev() peut être déclenchée par un utilisateur authentifié du panneau de contrôle et exposer une oracle SQL conditionnelle. Les versions concernées sont Craft CMS 4.0.0 à 4.18.8 e…
Source : Fiche NVD CVE-2026-123489
Craft CMS : escalade de privilèges via getOwners()
Une escalade de privilèges affecte Craft CMS à partir de la version 5.8.17 et avant 5.11.2 : un utilisateur authentifié du panneau de contrôle peut faire appliquer des critères non nettoyés et promouvoir des comptes administrateur. Mettez…
Source : Fiche NVD CVE-2026-123490
Advanced Custom Fields : XSS stockée via une définition de champ
Le plugin Advanced Custom Fields (ACF) avant la version 6.8.11 assainit incorrectement une définition de champ stockée modifiable via le traitement des commentaires. Un utilisateur non authentifié peut ainsi injecter un contenu exécuté com…
Source : NVD — CVE-2026-110813
CleanTalk : injection de script dans la revue des indésirables
Anti-Spam, Spam FireWall by CleanTalk avant la version 6.91 ne neutralise pas une valeur fournie par un commentateur avant de l’afficher dans l’écran administratif de revue des indésirables. Un visiteur non authentifié peut injecter un scr…
Source : NVD — CVE-2026-115673
iubenda : injection de script dans les pages du site
Un attaquant non authentifié peut injecter du script dans des pages traitées par le plugin, avec exécution dans la session des visiteurs qui les consultent. L’impact peut également concerner les administrateurs connectés qui visitent ces p…
Source : NVD — CVE-2026-86606
Ever Accounting : suppression de fichiers arbitraires
Ever Accounting avant la version 2.3.3 ne limite pas le chemin de fichier fourni à la procédure d’import CSV à un répertoire autorisé. Un utilisateur disposant du rôle Accounting Manager peut supprimer des fichiers arbitraires sur le serve…
Source : NVD — CVE-2026-118045
All-in-One Video Gallery : XSS stockée depuis l’URL de miniature
Un utilisateur disposant au minimum du rôle Abonné peut provoquer une attaque XSS stockée visant les administrateurs. La faille concerne l’affichage de l’URL de miniature dans la liste d’administration et sa sanitisation lors de certains e…
Source : NVD — CVE-2026-120408
ShopEngine : XSS stockée exploitable par un contributeur
Le plugin ShopEngine Gutenberg WooCommerce Builder Blocks Addon avant la version 2.4.4 ne vérifie pas correctement les droits de l’utilisateur ni la propriété de l’article dans une action AJAX, et ne neutralise pas la valeur stockée avant…
Source : NVD — CVE-2026-92396
Divulgation d’identifiants de paiement dans Travelly
Travelly – Tour & Travel Booking Manager for WooCommerce présente un contournement d’autorisation dans toutes les versions jusqu’à 2.3.11 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut accéder aux identifia…
Source : NVD — CVE-2026-121794
Divulgation de données personnelles dans Eventin
Eventin présente une exposition d’informations sensibles dans toutes les versions jusqu’à 4.1.29 incluse. Un utilisateur authentifié ayant le rôle Subscriber ou supérieur peut obtenir l’adresse e-mail et le numéro de téléphone d’un utilisa…
Source : NVD — CVE-2026-109994
GutenKit : XSS stockée via le CSS personnalisé d’un article
GutenKit avant la version 2.5.5 ne neutralise pas correctement le CSS personnalisé enregistré pour un article avant de l’insérer dans un bloc de style intégré. Un utilisateur ayant au moins le rôle Auteur peut injecter du JavaScript exécut…
Source : NVD — CVE-2026-114427
MC4WP : exécution de shortcodes contrôlés par une requête
Dans certaines configurations, un visiteur non authentifié peut faire exécuter des shortcodes enregistrés avec des attributs choisis par lui. La faille exige que le propriétaire du site ait ajouté une balise de contenu dérivée d’une requêt…
Source : NVD — CVE-2026-118166
Order Tracking : commandes marquées payées sans paiement valide
Un attaquant non authentifié peut faire marquer des commandes comme payées sans paiement correspondant au montant dû. Le plugin ne vérifie pas que la notification PayPal provient du compte du marchand ni que son montant correspond à celui…
Source : NVD — CVE-2026-121633
Quick Event Manager : inscriptions marquées payées sans paiement
Des attaquants non authentifiés peuvent faire marquer des inscriptions à des événements comme payées sans effectuer de paiement. Le plugin ne vérifie pas l’authenticité des notifications de paiement PayPal avant de valider les inscriptions.
Source : NVD — CVE-2026-121636
MC4WP : inscriptions détournées vers une autre audience Mailchimp
MC4WP: Mailchimp for WordPress avant la version 4.15.0 ne vérifie pas que l’audience choisie par un formulaire ou une intégration correspond à celle configurée par le propriétaire du site. Un visiteur non authentifié peut faire inscrire de…
Source : NVD — CVE-2026-118167
PublishPress Revisions : contournement de l’approbation éditoriale
PublishPress Revisions avant la version 4.3.1 ne restreint pas correctement les utilisateurs autorisés à publier du contenu. Des utilisateurs tels que les contributeurs peuvent rendre publics des articles ou des pages sans le contrôle édit…
Source : NVD — CVE-2026-118186
PublishPress Revisions : divulgation de contenu via la comparaison de révisions
PublishPress Revisions avant la version 4.3.1 ne vérifie pas qu’un utilisateur est autorisé à lire un article avant de renvoyer son contenu via la comparaison de révisions. Tout utilisateur authentifié, y compris un abonné, peut ainsi cons…
Source : NVD — CVE-2026-118188
AutomatorWP : détournement des connexions Zoom et AWeber
AutomatorWP avant la version 6.0.7 ne vérifie pas que l’utilisateur qui termine la connexion des intégrations Zoom ou AWeber est autorisé à le faire. Un attaquant non authentifié peut remplacer les identifiants d’intégration et détourner v…
Source : NVD — CVE-2026-118239
Surfer : divulgation d’identifiant d’API et élévation de privilèges
Surfer avant la version 1.8.1.759 divulgue un identifiant d’API sensible aux utilisateurs disposant de faibles privilèges dans l’éditeur d’articles. Le plugin utilise également cet identifiant comme unique autorisation pour son API REST pr…
Source : NVD — CVE-2026-118639
All-in-One Video Gallery : modification non autorisée des métadonnées de publications
Des visiteurs non authentifiés peuvent modifier les métadonnées de durée et de compteur de vues de publications, y compris privées ou en brouillon. Cela peut notamment permettre de falsifier les compteurs de vues.
Source : NVD — CVE-2026-119259
WCFM Membership : activation gratuite d’une adhésion vendeur
Un utilisateur authentifié ayant le rôle Abonné ou Client peut activer gratuitement une adhésion payante de vendeur. Cette faille peut lui conférer le rôle de vendeur sur la place de marché sans paiement validé.
Source : NVD — CVE-2026-12967
XSS stockée dans Posts Table with Search & Sort
Posts Table with Search & Sort présente une XSS stockée dans le paramètre date_format, dans toutes les versions jusqu’à 1.4.14 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter un script qui s’exécute…
Source : NVD — CVE-2026-118189
XSS stockée dans UsersWP
UsersWP présente une XSS stockée via le paramètre badge dans toutes les versions jusqu’à 1.2.80 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script, susceptible notamment de s’exécuter lorsqu’…
Source : NVD — CVE-2026-120671
XSS stockée dans Permalink Manager Lite
Permalink Manager Lite présente une XSS stockée via le paramètre « slug » : un attaquant authentifié disposant au moins du rôle d’auteur peut injecter du JavaScript qui s’exécute dans le navigateur d’un administrateur. Toutes les versions…
Source : NVD — CVE-2026-122222
Injection SQL dans YaySMTP
YaySMTP présente une injection SQL temporelle via params[searchKey] dans toutes les versions jusqu’à 2.7.8 incluse. L’exploitation nécessite un compte authentifié disposant du rôle Administrator ou supérieur et peut permettre d’extraire de…
Source : NVD — CVE-2026-109977
Contournement d’autorisation dans VOD Infomaniak
CVE-2026-115831 est un contournement d’autorisation dans VOD Infomaniak, qui permet à des utilisateurs authentifiés de lancer des imports vidéo non autorisés avec les identifiants API du propriétaire. L’exploitation peut consommer le quota…
Source : NVD — CVE-2026-115831
XSS stockée dans WP User Manager via l’API REST
CVE-2026-120550 est une XSS stockée dans WP User Manager : un utilisateur authentifié peut injecter un script dans le champ « display_name » via l’API REST WordPress. Les versions jusqu’à 2.10.2 incluse sont concernées ; la voie REST conto…
Source : NVD — CVE-2026-120550
Contournement d’autorisation dans Redirection for Contact Form 7
CVE-2026-120659 est un contournement d’autorisation dans Redirection for Contact Form 7, permettant à un attaquant non authentifié d’écrire des métadonnées arbitraires sur de nouveaux leads et de copier certains fichiers serveur vers le ré…
Source : NVD — CVE-2026-120659
XSS stockée dans le bloc calendrier de WP Parsidate
CVE-2026-97642 est une XSS stockée dans WP Parsidate, déclenchée par l’attribut « theme » du bloc calendrier Gutenberg. Les versions jusqu’à 6.4 incluse sont concernées ; la valeur est intégrée à un attribut de classe HTML sans échappement…
Source : NVD — CVE-2026-97642
Exécution de shortcodes arbitraires dans AMP for WP
CVE-2026-103908 permet l’exécution de shortcodes arbitraires dans AMP for WP en l’absence de validation appropriée avant l’appel à do_shortcode(). Toutes les versions jusqu’à 1.1.18 incluse sont concernées ; le bloc de sortie concerné dépe…
Source : NVD — CVE-2026-103908
XSS stockée dans le plugin BuddyForms
BuddyForms jusqu’à la version 2.10.5 incluse présente une XSS stockée exploitable sans authentification, sous certaines conditions de configuration des formulaires publics et du thème. Mettre à jour vers une version corrigée dès qu’elle es…
Source : NVD — CVE-2026-107658
XSS stockée DOM dans All-in-One Video Gallery
All-in-One Video Gallery jusqu’à la version 5.0.0 incluse présente une XSS stockée DOM exploitable par un utilisateur authentifié disposant au moins du rôle abonné. Le chemin vulnérable nécessite que le lecteur soit configuré sur Plyr/Vids…
Source : NVD — CVE-2026-116545
XSS stockée dans WP Customer Area
WP Customer Area jusqu’à la version 8.4.0 incluse présente une XSS stockée via le paramètre display_name, accessible à des utilisateurs authentifiés ayant au moins le rôle abonné. Mettre à jour dès qu’un correctif est disponible et limiter…
Source : NVD — CVE-2026-116551
XSS stockée dans Smart Cookie Kit
Smart Cookie Kit jusqu’à la version 2.3.2 incluse comporte une XSS stockée liée au paramètre comment; l’attaque nécessite notamment l’approbation du commentaire par un administrateur et l’affichage du contenu concerné. Mettre à jour dès qu…
Source : NVD — CVE-2026-119178
XSS stockée dans AAA Autoload Optimizer
AAA Autoload Optimizer jusqu’à la version 1.7.0 incluse présente une XSS stockée exploitable par un utilisateur authentifié de niveau abonné ou supérieur lorsque le suivi des options est en mode Legacy. Mettre à jour dès qu’un correctif es…
Source : NVD — CVE-2026-119211
XSS stockée via les titres de flux dans Feedzy RSS Aggregator
Feedzy RSS Aggregator jusqu’à la version 5.2.13 incluse peut enregistrer une XSS provenant du titre d’un élément de flux, lorsque l’administrateur a configuré un import Feed-to-Post vers une source contrôlée par un attaquant. Mettre à jour…
Source : NVD — CVE-2026-120035
Accès et suppression non autorisés d’entrées dans Everest Forms
Everest Forms jusqu’à la version 3.6.2 incluse présente une référence directe non sécurisée permettant à un utilisateur authentifié disposant d’un accès personnalisé ou supérieur de consulter et supprimer des formulaires et entrées apparte…
Source : NVD — CVE-2026-89101
PublishPress Revisions : accès au contenu d’articles d’autrui
PublishPress Revisions avant la version 4.3.1 ne vérifie pas qu’un utilisateur a accès à l’article qu’il demande à dupliquer ou réviser. Un utilisateur doté d’un accès de niveau contributeur ou supérieur peut copier dans son propre contenu…
Source : NVD — CVE-2026-118187
Systèmes & serveurs
5 alerte(s)FreedomBox : lecture et modification de fichiers via un lien symbolique dans authorized_keys
Une faille dans FreedomBox permet à un compte non privilégié de lire ou modifier des fichiers auxquels il n’a normalement pas accès, en faisant de son fichier authorized_keys un lien symbolique. Les versions antérieures à 26.15 sont concer…
Source : NVD — CVE-2026-123962
Linux : XSA-526 corrige une utilisation après libération dans xen-netback
Le correctif XSA-526 corrige une utilisation après libération dans xen-netback : lors d’un démontage après erreur de connexion, des données de statistiques protégées par RCU pouvaient être libérées sans synchronisation, alors qu’elles étai…
Source : NVD — CVE-2026-100080
Linux : XSA-527 corrige le moment de libération d’une liste multicast dans xen-netback
Le correctif XSA-527 déplace la libération de la liste d’adresses multicast de xen-netback après le point de synchronisation du démontage, afin d’éviter qu’elle ne survienne pendant le traitement TX/RX. La source ne précise ni versions aff…
Source : NVD — CVE-2026-100081
Linux : XSA-528 corrige une concurrence sur les statistiques dans xen-blkback
Le correctif XSA-528 corrige une condition de concurrence dans xen-blkback : la lecture des statistiques d’E/S via sysfs pouvait se produire simultanément au démontage du périphérique frontal, entraînant une utilisation après libération ou…
Source : NVD — CVE-2026-100082
CERT-FR signale plusieurs vulnérabilités du noyau Linux de Debian
Le CERT-FR signale plusieurs vulnérabilités dans le noyau Linux de Debian. Elles pourraient permettre une élévation de privilèges, une atteinte à la confidentialité ou un déni de service.
Source : Multiples vulnérabilités dans le noyau Linux de Debian (06 novembre 2026)
Cloud & DevOps
3 alerte(s)Kubeflow Pipelines : contrôle d’autorisation insuffisant sur les pipelines partagés
Dans Kubeflow Pipelines avant 2.16.1, le serveur API multi-utilisateurs n’applique pas correctement les contrôles d’autorisation Kubernetes pour modifier ou supprimer des pipelines partagés et leurs versions. Mettre à niveau vers 2.16.1 ou…
Source : NVD — CVE-2026-88984
XSS via des réponses HTML dans Kubeflow Pipelines
Des valeurs non fiables présentes dans certains paramètres de requête et détails d’erreur peuvent être incluses dans des réponses HTML des routes Kubernetes de Kubeflow Pipelines. Un lien spécialement conçu peut ainsi exécuter du JavaScrip…
Source : NVD — CVE-2026-88986
Kubeflow Pipelines : risque de partage inter-espaces de noms dans le cache legacy
Dans les déploiements multi-utilisateurs de Kubeflow Pipelines antérieurs à 2.18.0, le cache d’exécution legacy V1/raw-Argo peut partager des résultats entre espaces de noms, permettant à un utilisateur capable de soumettre des workloads d…
Source : NVD — CVE-2026-88982