Alertes CVE par stack

Résumé IA :
Cette vulnérabilité présente dans la version 0.4.0 de la bibliothèque lmammino oidc-authorizer permet à un attaquant distant de provoquer un déni de service en envoyant un jeton malformé dans la fonction parsetokenfromheader. Un exploit est déjà disponible publiquement et l'auteur du projet n'a pas répondu pour corriger le problème. Il est donc fortement recommandé de remplacer cette bibliothèque non maintenue par une alternative sécurisée pour la gestion de vos jetons d'autorisation.

Résumé IA :
Cette vulnérabilité dans la dépendance oidc-authorizer jusqu'à la version 0.4.0 permet à un attaquant distant d'exploiter une désérialisation non sécurisée en manipulant le paramètre jwtClaims dans le fichier src/handler.rs. Un exploit est déjà disponible publiquement et le créateur du projet n'a apporté aucun correctif. La recommandation principale est de supprimer ou remplacer immédiatement cette dépendance par une alternative maintenue et sécurisée.

Résumé IA :
Une vulnérabilité d'injection SQL distante a été identifiée dans le fichier viewdoctorconsultancycharge.php du système Hospital Management System 1.0 via le paramètre delid. Étant donné qu'un exploit est publiquement disponible, cette faille permet à un attaquant de manipuler ou de lire le contenu de la base de données à distance. La recommandation principale est de sécuriser votre code en utilisant impérativement des requêtes préparées paramétrées plutôt que de concaténer directement la variable delid dans vos requêtes SQL.

Résumé IA :
Cette faille réside dans le moteur d'expressions régulières de Perl, où un dépassement d'entier lors du calcul de la taille du cache provoque une allocation sous-dimensionnée sur le tas. Un attaquant fournissant une chaîne de caractères très longue peut exploiter cela pour effectuer des lectures et écritures hors limites, entraînant un plantage ou une corruption de la mémoire. La recommandation principale est de mettre à jour Perl vers une version supérieure à 5.45.1 ou de limiter la taille des données utilisateur soumises aux expressions régulières.

Résumé IA :
La vulnérabilité CVE-2026-19361 touche le point d'entrée /sso/getAuthCode du module mall-portal dans macrozheng mall, permettant à un attaquant distant de compromettre le processus de récupération de mot de passe en exploitant la faiblesse des codes générés. En l'absence de correctif officiel de la part de l'éditeur, la recommandation principale est de revoir et sécuriser vous-même la logique de génération et de validation de ces codes d'autorisation dans votre code source.

Résumé IA :
La faille CVE-2026-19360 permet à un attaquant distant d'exploiter une mauvaise gestion des privilèges dans le gestionnaire Lambda ExcelLexBotS3TriggerFunction de l'outil ExcelLexBot jusqu'à la version 0.0.3. Ce composant n'étant plus maintenu ni corrigé par son éditeur, la recommandation principale est de supprimer immédiatement ce projet de votre infrastructure ou de remplacer cette fonction Lambda par une alternative sécurisée.

Résumé IA :
Cette vulnérabilité permet à un attaquant distant d'exploiter un défaut de contrôle d'accès dans la fonction Lambda SitewiseCustomFunction du projet nxp-auto-goldvip gvip jusqu'à la version 1.4.0, en raison de permissions IAM mal configurées. La recommandation principale est de mettre immédiatement à jour le composant concerné vers la version 1.15.0 ou une version ultérieure afin de corriger ces autorisations.

Résumé IA :
La faille CVE-2026-19358 touche la fonction DefaultFunction de 3CORESec Trapdoor (versions 1.2.2 et inférieures) et permet à un attaquant distant de contourner les contrôles d'accès. Ce défaut de gestion des permissions expose l'application à des actions non autorisées exécutées à travers le réseau. Recommandation principale : Mettez à jour 3CORESec Trapdoor vers une version supérieure à 1.2.2 (ou appliquez le correctif éditeur) et restreignez les accès distants à ce service.

Résumé IA :
Cette vulnérabilité permet à un attaquant distant d'exfiltrer des données sensibles via l'endpoint /mdiy/form/get de MingSoft MCMS (versions 3.0.6 et inférieures). Un exploit est déjà publiquement disponible et l'éditeur n'a fourni aucun correctif. Recommandation principale : En l'absence de patch officiel, bloquez immédiatement l'accès à la route /mdiy/form/get (via votre WAF ou la configuration de votre serveur web) ou désactivez le composant ms-mdiy.

Résumé IA :
Cette vulnérabilité est une injection SQL à distance présente dans MingSoft MCMS (versions 3.0.6 et inférieures), exploitable publiquement via le paramètre formFields sur l'endpoint /mdiy/form/data/list.do. L'éditeur n'ayant fourni aucun correctif, la recommandation principale est d'assainir manuellement le code en utilisant des requêtes préparées pour la fonction queryDiyFormData, ou de bloquer temporairement l'accès à cet endpoint via un WAF (Web Application Firewall).