Le journal DFS
Sécurité
-
Conductor : SSRF lors de la récupération d’une fiche d’agent
P4 · Moyenne · CVE-2026-109403 — Conductor-oss Conductor jusqu’à 3.32.5 comporte une SSRF dans A2AService.getAgentCard : l’argument agentUrl peut être manipulé pour faire effectuer des requêtes…
-
Firefox pour iOS — injection JavaScript dans le contexte privilégié
P3 · Élevée · CVE-2026-103418 — Firefox pour iOS interpolait directement l’attribut HTML de langue d’une page dans le JavaScript de traduction, permettant à un contenu…
-
OpenRemote : divulgation d’informations utilisateur entre royaumes
P3 · Élevée · CVE-2026-54641 — Avant OpenRemote 1.24.2, plusieurs points d’accès de lecture des utilisateurs ne vérifiaient pas que l’utilisateur demandé appartenait au royaume de…
-
OpenRemote : résolution d’entités externes lors de l’import KNX
P3 · Élevée · CVE-2026-54640 — Avant OpenRemote 1.24.2, l’import d’un projet ETS pouvait traiter un fichier XML avec des parseurs autorisant la résolution d’entités externes.…
-
CVE-2025-71339 — Picklescan : gadget pickle non détecté pouvant conduire à une exécution de code
P3 · Élevée · CVE-2025-71339 — Picklescan, avant la version 0.0.33, ne détecte pas un gadget lié à `numpy.f2py.crackfortran._eval_length` dans certaines méthodes `__reduce__` de pickle. Un…
-
Injection dans une classe d’énumération générée
P3 · Élevée · CVE-2026-108385 — Dans dataclasses-avroschema, les symboles d’énumération issus du schéma pouvaient être utilisés comme noms de membres générés sans validation d’identifiant, permettant…
-
Exécution de code par une valeur aliases malformée dans un schéma Avro
P3 · Élevée · CVE-2026-108384 — Dans dataclasses-avroschema, une valeur aliases de type chaîne fournie dans un schéma pouvait être interpolée comme expression Python non citée…
-
Injection dans le code généré à partir d’une valeur par défaut d’énumération
P3 · Élevée · CVE-2026-108383 — Dans dataclasses-avroschema, une valeur par défaut d’énumération contrôlée par le schéma pouvait être insérée dans le code généré sans validation…
-
Injection de code lors de la génération d’énumérations Avro
P3 · Élevée · CVE-2026-108382 — Dans dataclasses-avroschema, des symboles d’énumération contrôlés par le schéma pouvaient injecter du code Python dans une classe d’énumération générée, exécuté…
-
dataclasses-avroschema : injection de code via une annotation Pydantic générée
P3 · Élevée · CVE-2026-108381 — Dans les générateurs Pydantic et AvroDantic de dataclasses-avroschema, une valeur pydantic-class contrôlée par le schéma est incorporée sans restriction dans…