Le journal DFS
Sécurité
-
virtualenv : contournement de la comparaison de condensat lors du téléchargement par pip
P4 · Faible · CVE-2026-113717 — Avant virtualenv 21.14.9, le chemin d’installation utilisant `–seeder pip –download` pouvait contourner la vérification du condensat SHA-256 de PyPI pour…
-
virtualenv : injection de paramètres lors de la relecture de configuration
P4 · Faible · CVE-2026-113715 — Avec le créateur venv de virtualenv, un chemin de destination contenant un séparateur de ligne reconnu peut être réinterprété lors…
-
virtualenv : vérification insuffisante de certains paquets téléchargés
P4 · Faible · CVE-2026-113714 — Avant virtualenv 21.14.9, le téléchargement d’un paquet pouvait laisser dans le cache un fichier rejeté sans vérification, dans certaines conditions…
-
filelock : redirection d’écritures dans l’arborescence SoftReadWriteLock
P4 · Faible · CVE-2026-112941 — Dans filelock, SoftReadWriteLock et AsyncSoftReadWriteLock réutilisent une vérification antérieure de l’arborescence `.rw`, puis résolvent de nouveau ses noms lors des…
-
fast-uri : une référence relative peut sortir de son répertoire attendu
P4 · Faible · CVE-2026-110095 — La normalisation d’une référence relative peut supprimer un segment « .. » et la faire pointer hors du répertoire attendu.…
-
ApostropheCMS : modification ou suppression non autorisée de notifications
P4 · Faible · CVE-2026-113665 — Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB…
-
uploadfs : traversée de chemin dans le backend de stockage local
P4 · Faible · CVE-2026-113651 — Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire…
-
sanitize-html : contournement de la protection des URL dans certains SVG
P4 · Faible · CVE-2026-113657 — Dans sanitize-html 2.17.7 à 2.17.x, une configuration autorisant certains éléments SVG d’animation préfixés par un espace de noms et des…
-
fast-uri — injection de schéma via un deux-points non échappé
P4 · Faible · CVE-2026-110725 — Avec l’option non standard `reference: ‘suffix’`, `fast-uri` peut sérialiser un deux-points non échappé dans le premier segment d’une référence relative…
-
Vite : exécution de script inter-origines via un middleware personnalisé
P4 · Faible · CVE-2026-112945 — Dans certaines configurations de serveur de développement Vite utilisant un middleware personnalisé, une URL contrôlée par un site malveillant peut…