#Security

Sécurité

Analyse technique de la CVE-2026-2599, une vulnérabilité critique d'injection d'objets PHP non authentifiée (CVSS 9,8) dans l'extension WordPress « Contact Form Entries » (≤ 1.4.7). La fonction download_csv désérialise des entrées utilisateur non fiables sans restriction allowed_classes. Combinée avec WordPress 6.4.0-6.4.1, la classe native WP_HTML_Token fournit une chaîne POP entièrement publique menant à une exécution de code à distance (RCE) complète via deux requêtes HTTP non authentifiées.

Sécurité

La CVE-2025-68461 (CVSS 7,2) permet à des balises SVG animate de contourner le sanitizer de Roundcube grâce aux préfixes d'espace de noms. PoC, analyse du correctif, détection avec Nuclei et mesures d'atténuation.

Sécurité

Analyse de GHSA-cr3w-cw5w-h3fj, une vulnérabilité critique XSS-vers-RCE de score CVSS 9.7 dans Saltcorn (≤ 1.5.0-beta.19). Deux failles enchaînées, un XSS réfléchi dans les paramètres de route et une injection de commandes dans la génération des sauvegardes, permettent l'exécution de code à distance via le phishing d'un administrateur.

Sécurité

Analyse technique de la CVE-2026-26019, une vulnérabilité SSRF de sévérité moyenne (CVSS 4,1) dans le paquet JavaScript LangChain Community (< 1.1.14). La classe RecursiveUrlLoader valide les URL explorées avec une simple vérification de préfixe de chaîne, ce qui permet à un attaquant de contourner la restriction preventOutside par défaut avec un domaine suffixé et de rediriger le crawler vers des actifs du réseau interne, avec un risque d'exposition d'identifiants sensibles et de points de terminaison de métadonnées.

Sécurité

Un guide orienté mobile du règlement DORA et de la conformité DORA pour les équipes BFSI. Apprenez à définir votre périmètre, à simplifier votre processus de release et à éviter les pièges qui créent un travail de conformité inutile.

Sécurité

Analyse technique de la CVE-2025-64712, une vulnérabilité critique (CVSS 9,8) de path traversal menant à une exécution de code à distance dans la bibliothèque Python Unstructured (< 0.18.18). Les noms de fichiers joints non assainis dans le traitement des fichiers MSG d'Outlook permettent un path traversal, ce qui autorise un attaquant à écraser des fichiers arbitraires via un fichier MSG forgé et à obtenir une exécution de code.

Sécurité

Analyse technique de la CVE-2026-1357, une vulnérabilité critique (CVSS 9,8) d'exécution de code à distance non authentifiée dans le plugin WPvivid Backup & Migration (≤ 0.9.123). Deux failles chaînées, un fail-open cryptographique et un path traversal non assaini, permettent une écriture de fichier arbitraire sans identifiants.

Sécurité

PentestGPT, PentAGI, HexStrike AI, Strix, CAI, Nebula, NeuroSploit, Deadend CLI et RedAmon comparés : fonctionnalités clés de chaque agent de pentest IA, étoiles GitHub et licences.

Sécurité

À partir de 2026, les appareils Android certifiés pourront bloquer les applications de développeurs non vérifiés. Ce qui change pour le sideloading, qui est concerné et comment Google répond aux critiques.

Sécurité

Étude de cas : le moteur de pentest IA d'Ostorlab découvre un pont JavaScript de WebView Android accessible via des deep links et l'enchaîne en manipulation de l'interface native.