Le journal DFS
Sécurité
-
py2ops : paquet PyPI malveillant exécutant du code téléchargé
P3 · Critique — L’avis signale un paquet PyPI malveillant qui installe la commande `python2` et communique avec un serveur distant pour récupérer puis exécuter du…
-
CVE-2020-37279 — injection de commande dans easy-pdf-merge
P3 · Critique · CVE-2020-37279 — easy-pdf-merge utilise une commande shell construite à partir des chemins source et destination ou de l’option maxHeap ; des valeurs…
-
Logiciel malveillant signalé dans @airbnb-extended/typescript-config
P3 · Critique — GitHub Advisory Database signale comme malveillant le paquet npm `@airbnb-extended/typescript-config`. L’avis recommande de retirer le paquet et de considérer comme compromis tout…
-
Mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 : paquet npm malveillant usurpant une intégration NestJS Swagger
P3 · Critique — Une mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 signale un paquet npm malveillant se faisant passer pour une intégration NestJS Swagger. Lors de…
-
Square Squash : désérialisation YAML non sûre via l’API de symbolication
P3 · Critique · CVE-2026-109391 — Square Squash permet à un utilisateur non authentifié d’enregistrer des données YAML contrôlées via l’API de symbolication; ces données peuvent…
-
Python : plantage ou usage d’un pointeur libéré dans un serveur TLS
P4 · CVE-2026-19445 — Un client TLS distant et non authentifié pouvait provoquer le plantage d’un serveur ou un appel via un pointeur libéré si son…
-
Python : déni de service par expressions régulières dans `csv.Sniffer`
P4 · CVE-2026-18503 — Des échantillons CSV contrôlés par un attaquant pouvaient déclencher une correspondance superlinéaire par expression régulière dans `csv.Sniffer.sniff()`. Le traitement de tels échantillons…
-
Python : vérification incorrecte de tables Unicode dans `stringprep`
P4 · CVE-2026-17084 — Le module `stringprep` utilisait les propriétés Unicode actuelles des points de code au lieu de celles de Unicode 3.2.0, exigées par la…
-
Python : transmission d’identifiants HTTPS sur une connexion HTTP
P4 · CVE-2026-15806 — `urllib.request.HTTPPasswordMgr` et ses sous-classes ne tenaient pas compte du schéma de l’URL lors de la recherche des identifiants enregistrés. Des identifiants destinés…
-
Python : épuisement de mémoire lors de la décompression d’archives ZIP
P4 · CVE-2026-15310 — Lors de la décompression d’archives ZIP utilisant bzip2 ou LZMA, `zipfile` pouvait se servir d’une taille contrôlée par l’attaquant pour préallouer de…