Le journal DFS
Sécurité
-
RabbitMQ : déni de service par consommation excessive de mémoire via le parseur AMQP 1.0
P4 · Moyenne · CVE-2026-67414 — CVE-2026-67414 permet à un client AMQP 1.0 authentifié de provoquer une consommation excessive de mémoire en envoyant une trame contenant…
-
MCP Java SDK : épuisement mémoire via des corps HTTP sans limite
P3 · Élevée · CVE-2026-108395 — Une vulnérabilité affecte le Model Context Protocol Java SDK : certains transports serveur Servlet acceptent des corps HTTP sans limite…
-
SDK Python MCP : épuisement mémoire par corps de requête HTTP sans limite
P3 · Élevée · CVE-2026-109527 — Le SDK Python MCP tamponne intégralement les corps de requête HTTP sans imposer de taille maximale dans plusieurs composants serveur,…
-
Ludwig : extraction d’archives tar hors du répertoire prévu
P3 · Élevée · CVE-2026-104103 — Avant la version 0.17.8, Ludwig pouvait extraire une archive tar contenant des liens symboliques ou physiques qui échappaient au répertoire…
-
Exécution de commandes via les fichiers d’un dépôt dans Markdown Preview Enhanced
P3 · Élevée · CVE-2026-54566 — Markdown Preview Enhanced exécutait des fichiers de configuration et de parser contrôlés par le dépôt dans un contexte vm.runInNewContext qui…
-
Injection de commandes dans @offactory/compress-fonts
P3 · Élevée · CVE-2026-110648 — @offactory/compress-fonts présentait une injection de commandes système lorsque des chemins de polices contrôlés étaient intégrés sans échappement à une commande…
-
CVE-2026-108259 — Tina : injection de code dans le build d’aperçu
P3 · Élevée · CVE-2026-108259 — Avant Tina 3.0.0, @tinacms/cli pouvait incorporer une valeur de branche Git non fiable dans des littéraux de chaîne JavaScript générés,…
-
Markdown Preview Enhanced — appels de commandes non restreints depuis la webview
P3 · Élevée · CVE-2026-54702 — Markdown Preview Enhanced pour Visual Studio Code permet à du JavaScript déjà exécuté dans la webview d’appeler des commandes privilégiées…
-
Déni de service par boucle infinie dans le rendu serveur Angular
P3 · Élevée · CVE-2026-101895 — Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone…
-
affiliate-toolkit : exécution de code PHP via un modèle fourni par un utilisateur
P3 · Élevée · CVE-2026-86787 — Dans affiliate-toolkit, un utilisateur ayant au moins le rôle Contributor peut fournir un modèle que le moteur de rendu embarqué…