p PatchFirst

PatchFirst · Vulnérabilités récentes

Vulnérabilités de la pile PHP · Page n° 39

Vulnérabilités publiées pour PHP au cours des 30 derniers jours : 216. Présentes dans le catalogue KEV : 2.

RSS ↗ JSON ↗
Filtrer les vulnérabilités
PHP

Alertes précoces

Signalements récents de vulnérabilités issus des annonces des éditeurs et de l’actualité de la sécurité. Ces alertes ne modifient pas la note de sécurité.

  1. php

    Aucun correctif publié

    PHP : exécution de code à distance

    Selon OpenNet, PHP présente une vulnérabilité d’exécution de code à distance (CVE-2026-115560). Les versions exactes affectées ne sont pas précisées. Le message ne précise pas de version corrigée.

    Que faire maintenant : Vérifiez si une mise à jour de sécurité de PHP contenant le correctif est disponible et installez-la.

    CVE-2026-115560

    opennet ↗the-hacker-news ↗

Vulnérabilités : 7231

  1. CVE-2026-13239

    Moyenne · CVSS 6.5EPSS 0,27%Correctif disponible

    WissKI - Critical - Access bypass - SA-CONTRIB-2026-059

    Missing Authorization vulnerability in Drupal WissKI allows Forceful Browsing. This issue affects WissKI versions: from 0.0.0 to 4.2.0.

    wisski drupal/wisskiPHP
    • Mettez à jour vers 4.2.0
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  2. CVE-2026-13238

    Moyenne · CVSS 4.8EPSS 0,22%Correctif disponible

    Commerce Realex / Global Payments - Moderately critical - Access Bypass - SA-CONTRIB-2026-058

    Incorrect Authorization vulnerability in Drupal Commerce Realex / Global Payments allows Forceful Browsing. This issue affects Commerce Realex / Global Payments versions: from 0.0.0 to 3.0.2.

    commerce realex / global payments drupal/commerce_realexPHP
    • Mettez à jour vers 3.0.2
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  3. CVE-2026-13237

    Moyenne · CVSS 4.8EPSS 0,22%Correctif disponible

    AI Agents - Moderately critical - Information disclosure, Access bypass - SA-CONTRIB-2026-057

    Incorrect Authorization vulnerability in Drupal AI Agents allows Forceful Browsing. This issue affects AI Agents versions: from 0.0.0 to 1.1.4, from 1.2.0 to 1.2.5, from 1.3.0 to 1.3.1.

    ai agents drupal/ai_agentsPHP
    • Mettez à jour vers 1.1.4
    • Mettez à jour vers 1.2.5
    • Mettez à jour vers 1.3.1
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  4. CVE-2026-13236

    Moyenne · CVSS 4.2EPSS 0,19%Correctif disponible

    AI Agents - Less critical - Access bypass - SA-CONTRIB-2026-056

    Missing Authorization vulnerability in Drupal AI Agents allows Forceful Browsing. This issue affects AI Agents versions: from 0.0.0 to 1.1.4, from 1.2.0 to 1.2.5, from 1.3.0 to 1.3.1.

    ai agents drupal/ai_agentsPHP
    • Mettez à jour vers 1.1.4
    • Mettez à jour vers 1.2.5
    • Mettez à jour vers 1.3.1
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  5. CVE-2026-13235

    Faible · CVSS 3.3EPSS 0,21%Correctif disponible

    AI (Artificial Intelligence) - Moderately critical - Access bypass - SA-CONTRIB-2026-055

    Missing Authorization vulnerability in Drupal AI (Artificial Intelligence) allows Forceful Browsing. This issue affects AI (Artificial Intelligence) versions: from 0.0.0 to 1.2.17, from 1.3.0 to 1.3.8, from 1.4.0 to 1.4.3.

    ai (artificial intelligence) drupal/aiPHP
    • Mettez à jour vers 1.2.17
    • Mettez à jour vers 1.3.8
    • Mettez à jour vers 1.4.3
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  6. CVE-2026-13234

    Moyenne · CVSS 6.1EPSS 0,25%Correctif disponible

    AI (Artificial Intelligence) - Moderately critical - Information Disclosure / Cross-site Scripting - SA-CONTRIB-2026-054

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal AI (Artificial Intelligence) allows Cross-Site Scripting (XSS). This issue affects AI (Artificial Intelligence) versions: from 0.0.0 to 1.2.17, from 1.3.0 to 1.3.8, from 1.4.0 to 1.4.3.

    ai (artificial intelligence) drupal/aiPHP
    • Mettez à jour vers 1.2.17
    • Mettez à jour vers 1.3.8
    • Mettez à jour vers 1.4.3
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  7. CVE-2026-13233

    Faible · CVSS 3.3EPSS 0,21%Correctif disponible

    OpenAI Provider - Moderately critical - Server-side Request Forgery - SA-CONTRIB-2026-053

    Server-Side Request Forgery (SSRF) vulnerability in Drupal OpenAI Provider allows Server Side Request Forgery. This issue affects OpenAI Provider versions: from 0.0.0 to 1.1.1, from 1.2.0 to 1.2.2.

    openai provider drupal/ai_provider_openaiPHP
    • Mettez à jour vers 1.1.1
    • Mettez à jour vers 1.2.2
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  8. CVE-2026-13232

    Faible · CVSS 3.1EPSS 0,21%Correctif disponible

    Advanced Content Feedback (aka admin_feedback) - Moderately critical - Access bypass / Insecure Direct Object Reference (IDOR) - SA-CONTRIB-2026-052

    Incorrect Authorization vulnerability in Drupal Advanced Content Feedback (aka admin_feedback) allows Forceful Browsing. This issue affects Advanced Content Feedback (aka admin_feedback) versions: from 0.0.0 to 2.8.0.

    advanced content feedback (aka admin_feedback) drupal/admin_feedbackPHP
    • Mettez à jour vers 2.8.0
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  9. CVE-2026-13231

    Moyenne · CVSS 6.1EPSS 0,25%Correctif disponible

    Advanced Content Feedback (aka admin_feedback) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-051

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Advanced Content Feedback (aka admin_feedback) allows Stored XSS. This issue affects Advanced Content Feedback (aka admin_feedback) versions: from 0.0.0 to 2.8.0.

    advanced content feedback (aka admin_feedback) drupal/admin_feedbackPHP
    • Mettez à jour vers 2.8.0
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  10. CVE-2026-55810

    Élevée · CVSS 8.1EPSS 0,43%Correctif disponible

    Plotly.js Graphing - Critical - PHP object injection - SA-CONTRIB-2026-050

    Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Plotly.js Graphing allows Object Injection. This issue affects Plotly.js Graphing versions: from 0.0.0 to 3.0.2.

    plotly.js graphing drupal/plotly_jsPHP
    • Mettez à jour vers 3.0.2
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  11. CVE-2026-55809

    Élevée · CVSS 8.1EPSS 0,43%Correctif disponible

    Flag attendance field - Critical - PHP object injection - SA-CONTRIB-2026-049

    Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Flag attendance field allows Object Injection. This issue affects Flag attendance field versions: from 0.0.0 to 1.2.

    flag attendance field drupal/flag_attendance_fieldPHP
    • Mettez à jour vers 1.2
    • Mettez à jour vers 1.2.0
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  12. CVE-2026-12535

    Critique · CVSS 9.8EPSS 0,56%Correctif disponible

    Formatter Field - Critical - PHP object injection - SA-CONTRIB-2026-048

    Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Formatter Field allows Object Injection. This issue affects Formatter Field versions: from 0.0.0 to 2.0.0.

    formatter field drupal/formatter_fieldPHP
    • Mettez à jour vers 2.0.0
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  13. CVE-2026-11909

    Faible · CVSS 3.3EPSS 0,21%Correctif disponible

    Examples for Developers - Moderately critical - Access bypass - SA-CONTRIB-2026-044

    Missing Authorization vulnerability in Drupal Examples for Developers allows Forceful Browsing. This issue affects Examples for Developers versions: from 0.0.0 to 4.0.6.

    examples for developers drupal/examplesPHP
    • Mettez à jour vers 4.0.6
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  14. CVE-2026-11908

    Moyenne · CVSS 5.4EPSS 0,23%Correctif disponible

    Tagify - Moderately critical - Cross-site scripting (XSS) - SA-CONTRIB-2026-043

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Tagify allows Stored XSS. This issue affects Tagify versions: from 0.0.0 to 1.2.52.

    tagify drupal/tagifyPHP
    • Mettez à jour vers 1.2.52
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  15. CVE-2026-10770

    Moyenne · CVSS 6.1EPSS 0,26%Correctif disponible

    Anti-Spam by CleanTalk - Moderately critical - Cross site scripting - SA-CONTRIB-2026-042

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Anti-Spam by CleanTalk allows Reflected XSS. This issue affects Anti-Spam by CleanTalk versions: from 0.0.0 to 9.7.1.

    anti-spam by cleantalk drupal/cleantalkPHP
    • Mettez à jour vers 9.7.1
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  16. CVE-2026-10769

    Moyenne · CVSS 5.4EPSS 0,23%Correctif disponible

    Commerce Core - Moderately critical - Cross site scripting - SA-CONTRIB-2026-041

    Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Commerce Core allows Stored XSS. This issue affects Commerce Core versions: from 3.3.0 to 3.3.6.

    commerce core drupal/commercePHP
    • Mettez à jour vers 3.3.6
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  17. CVE-2026-10768

    Critique · CVSS 9.8EPSS 2,13%Code d’exploitation publicCorrectif disponible

    LocalGov Workflows - Moderately critical - Information disclosure - SA-CONTRIB-2026-039

    Missing Authorization vulnerability in Drupal LocalGov Workflows allows Forceful Browsing. This issue affects LocalGov Workflows versions: from 0.0.0 to 1.6.0.

    localgov workflows drupal/localgov_workflowsPHP
    • Mettez à jour vers 1.6.0
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

  18. CVE-2026-57584

    Élevée · CVSS 8.7EPSS 0,53%Correctif disponible

    Phalcon: Catastrophic backtracking (ReDoS) in the default Phalcon Router route lead to remote unauthenticated DoS

    Phalcon is a high-performance, full-stack PHP framework. Prior to 5.15.0, every Phalcon MVC application built with a default router registers a built-in route whose compiled PCRE pattern contains the nested quantifier (/.), and the same construct is produced by the /:params placeholder and the CLI router. Phalcon\Mvc\Router::handle() matches this pattern against the attacker-controlled request URI on every request, so a crafted path such as one containing repeated slashes followed by decoded newlines can trigger catastrophic backtracking and cause CPU exhaustion or route-matching failure. This issue is fixed in version 5.15.0.

    cphalcon phalcon/cphalconPHP
    • Mettez à jour vers 5.15.0
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗Avis original 3 ↗

  19. CVE-2026-54736

    Élevée · CVSS 8.2EPSS 0,18%Correctif disponible

    Phalcon: Non-constant-time HMAC verification in `Encryption\Crypt::decrypt` (timing side-channel)

    Phalcon is a high-performance, full-stack PHP framework. Prior to 5.14.1, Phalcon\Encryption\Crypt::decrypt compares the attacker-supplied HMAC tag against the freshly computed HMAC using PHP/Zephir identity comparison, which lowers to a byte-wise comparison that returns early on the first differing byte. This observable timing discrepancy can allow an attacker to recover a valid tag byte-by-byte and attach it to a chosen IV and ciphertext so that decrypt() accepts tampered encrypted content as authentic. This issue is fixed in version 5.14.1.

    cphalcon phalcon/cphalconPHP
    • Mettez à jour vers 5.14.1
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗Avis original 3 ↗

  20. CVE-2026-9726

    Critique · CVSS 9.8EPSS 0,56%Correctif disponible

    Drupal AlternativeCommerce (Basket) - Highly critical - Arbitrary PHP code execution - SA-CONTRIB-2026-038

    Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in Drupal Drupal AlternativeCommerce (Basket) allows Object Injection. This issue affects Drupal AlternativeCommerce (Basket) versions: from 0.0.0 to 2.1.17.

    drupal alternativecommerce (basket) drupal/basketPHP
    • Mettez à jour vers 2.1.17
    Publication Mise à jour
    Avis original 1 ↗Avis original 2 ↗

Vérifiez votre serveur

Comparez votre pile et les versions installées aux bases de vulnérabilités actuelles.

Vérifiez votre serveur →