Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
La National Vulnerability Database (NVD) a publié 8 CVE notées Critique sous CVSS v3 au cours des 26 heures précédant ce rapport. Les descriptions ci-dessous sont citées directement de la NVD. Les scores sont des scores de base NVD ou CNA ; confirmez toujours auprès de l’avis du fournisseur avant de prioriser.
CVE critiques (NVD)
| CVE | CVSS | Description (NVD) |
|---|---|---|
| CVE-2026-119145 | 9.9 | Frappe avant 15.121.0 et 16.x avant 16.34.0 contient une vulnérabilité de traversée de chemin car la gestion de certains téléchargements de fichiers ne valide pas le chemin de destination avant l’écriture sur le disque. Des attaquants authentifiés peuvent télécharger des fichiers forgés vers des emplacements en dehors du répertoire de stockage prévu pour exécuter du code à distance sur le serveur. |
| CVE-2026-107327 | 9.9 | IBM Langflow OSS 1.0.0 à 1.12.4 pourrait permettre à un attaquant distant authentifié d’exécuter du code arbitraire en raison d’une autorisation manquante. |
| CVE-2026-107328 | 9.9 | IBM Langflow OSS 1.0.0 à 1.12.4 pourrait permettre à un attaquant distant authentifié d’exécuter du code arbitraire en raison d’une neutralisation incorrecte du code dans eval/exec. |
| CVE-2026-107329 | 9.9 | IBM Langflow OSS 1.0.0 à 1.12.4 pourrait permettre à un attaquant distant authentifié d’exécuter du code arbitraire en raison d’un contrôle incorrect de la génération de code. |
| CVE-2026-103039 | 9.8 | Le plugin Gravity Forms pour WordPress est vulnérable à l’injection d’objets PHP dans toutes les versions jusqu’à 3.1.2 incluse via un champ personnalisé de publication (Post Custom Field) dont le type de saisie est List. Cela est dû au fait que GFFormsModel::create_post() transmet la valeur soumise à la fonction globale non restreinte maybe_unserialize() de WordPress au lieu de la propre fonction durcie GFCommon::maybe_unserialize() du plugin, qui a été ajoutée dans la version 3.1.1 et transmet allowed_classes =>… |
| CVE-2026-93680 | 9.8 | IBM Langflow OSS 1.0.0 à 1.12.8 pourrait permettre à un attaquant distant de contourner les restrictions de sécurité en raison d’une authentification incorrecte. |
| CVE-2026-110186 | 9.8 | IBM Langflow OSS 1.0.0 à 1.12.8 pourrait permettre à un attaquant distant d’exécuter du code arbitraire en raison d’un contrôle incorrect de la génération de code. |
| CVE-2026-104339 | 9.8 | IBM Langflow OSS 1.0.0 à 1.12.3 pourrait permettre à un attaquant distant d’exécuter du code arbitraire en raison d’une neutralisation incorrecte des éléments spéciaux utilisés dans une commande système (OS). |
Nouveaux avis des CERTs et des fournisseurs
Canonical (Ubuntu)
Centre canadien pour la cybersécurité
CERT-FR
- Vulnérabilité dans les produits NetApp (29 octobre 2026)
- Multiples vulnérabilités dans Elastic Cloud Enterprise (29 octobre 2026)
- Multiples vulnérabilités dans Veeam Backup for Microsoft 365 (29 octobre 2026)
- Multiples vulnérabilités dans PostgreSQL Anonymizer (29 octobre 2026)
- Vulnérabilité dans les produits Kaspersky (29 octobre 2026)
- Vulnérabilité dans Mattermost Server (29 octobre 2026)
- Multiples vulnérabilités dans les produits Juniper Networks (29 octobre 2026)
- Multiples vulnérabilités dans WordPress (29 octobre 2026)
- Multiples vulnérabilités dans Apache Kafka (29 octobre 2026)
- Vulnérabilité dans les produits ESET (29 octobre 2026)
- Vulnérabilité dans les produits Cisco (29 octobre 2026)
- Multiples vulnérabilités dans Foxit Online Services (29 octobre 2026)