Le journal DFS
Sécurité
-
Drupal Media Library Importer : traversée de chemin
P4 · Moyenne · CVE-2026-81163 — La fiche NVD signale une traversée de chemin dans Drupal Media Library Importer. Les versions 0.0.0 à 2.1.6 sont indiquées…
-
Un JSON profondément imbriqué peut faire échouer le parseur android-json
P4 · Moyenne · CVE-2026-110974 — Une entrée JSON profondément imbriquée peut provoquer un StackOverflowError lors de son analyse et faire échouer le thread qui la…
-
Pillow : fuite de mémoire obsolète lors de l’export Arrow
P4 · Moyenne · CVE-2026-114501 — Lorsque PILLOW_ALIGNMENT est supérieur à 1, l’export Arrow de Pillow peut inclure des données mémoire non initialisées ou des pixels…
-
fpdf2 : épuisement de ressources par expansion exponentielle de références SVG
P4 · Moyenne · CVE-2026-114610 — La résolution de références SVG imbriquées par fpdf2 peut dupliquer de façon exponentielle les objets graphiques et épuiser le processeur…
-
fpdf2 : chargement de ressources externes et de chemins locaux depuis un contenu contrôlé
P4 · Moyenne · CVE-2026-114609 — Lors du rendu de contenu non fiable, fpdf2 peut charger automatiquement des URL externes ou tenter d’ouvrir des chemins locaux…
-
Pylint — exécution de code via un cache de statistiques pickle modifiable
P4 · Moyenne · CVE-2026-114608 — Pylint peut charger avec pickle des fichiers de statistiques stockés dans un répertoire de cache prévisible. Un attaquant capable d’écrire…
-
OpenTelemetry Python — déni de service par analyse coûteuse de tracestate
P4 · Moyenne · CVE-2026-114603 — OpenTelemetry Python peut subir une forte consommation CPU lors de l’analyse d’un en-tête tracestate W3C malformé contenant une longue séquence…
-
Nodemailer : déni de service lors de la signature DKIM via des en-têtes pliés
P4 · Moyenne · CVE-2026-110871 — Le parseur DKIM de Nodemailer traite les lignes de continuation d’en-tête avec une complexité quadratique. Un en-tête très long comportant…
-
webpack-dev-server : divulgation de chemins locaux via open-editor
P4 · Moyenne · CVE-2026-114348 — L’endpoint open-editor peut contourner la validation de Host lorsqu’une valeur malformée commence par file: ou un schéma d’extension. Une requête…
-
stream-json : déni de service CPU via les filtres de chemin de FlexAssembler
P4 · Moyenne · CVE-2026-114129 — Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué…