Le journal DFS
Sécurité
-
node-forge : épuisement de pile pendant le traitement des enregistrements TLS
P3 · Élevée · CVE-2026-119187 — Dans node-forge jusqu’à 1.4.0, le traitement récursif des enregistrements TLS peut épuiser la pile et faire planter un processus Node.js.…
-
node-forge : contournement de vérifications d’intégrité PKCS#12
P3 · Élevée · CVE-2026-118782 — Dans node-forge avant 1.4.1, un nombre d’itérations PKCS#12 nul ou négatif pouvait entraîner la génération d’une clé constante indépendante du…
-
node-forge : déni de service par expressions régulières lors du décodage PEM
P3 · Élevée · CVE-2026-118779 — Dans node-forge jusqu’à 1.4.0, le décodage PEM peut effectuer un traitement polynomial ou quadratique sur certaines entrées malformées. Rejeter les…
-
node-forge : consommation excessive de ressources lors du décodage ASN.1
P3 · Élevée · CVE-2026-119191 — Le décodage de BIT STRING ASN.1 imbriqués ne respectait pas toujours la limite maxDepth et conservait des copies récursives, ce…
-
node-forge : validation incorrecte d’extensions de certificats
P3 · Élevée · CVE-2026-119190 — Une validation incorrecte d’extensions de certificats dépréciées peut faire accepter un certificat comme autorité de certification et permettre l’usurpation de…
-
joi : traitement quadratique des espaces dans la validation d’adresses e-mail multiples
P3 · Élevée · CVE-2026-118772 — Dans certaines versions de joi, la validation d’une valeur contenant une longue séquence d’espaces avec string().email({ multiple: true }) peut…
-
SD-JWT JS : divulgations altérées ignorées silencieusement
P3 · Élevée · CVE-2026-62374 — Le décodeur SD-JWT peut ignorer silencieusement une divulgation altérée et renvoyer un ensemble réduit de revendications comme si le traitement…
-
sigstore-js : divulgation d’identifiants lors d’un téléversement d’artefact
P3 · Élevée · CVE-2026-118763 — Dans sigstore-js, un serveur de registre malveillant ou compromis peut fournir une URL d’envoi externe et recevoir des identifiants d’authentification…
-
Injection SQL dans vTables
P3 · Élevée · CVE-2026-89216 — Une injection SQL non authentifiée affecte vTables avant la version 0.3 et peut permettre l’extraction de données de la base.…
-
CVE-2026-86794 — XSS stockée dans Community Events
P3 · Élevée · CVE-2026-86794 — Community Events avant 1.6.0 ne vérifie pas l’autorisation ni le nonce lors du traitement des événements soumis publiquement et n’échappe…