Le journal DFS
Sécurité
-
GHSA-v853-p72q-4cfw — Quart 0.23.0 divulgue les corps de requête dans stdout
P3 · Élevée — Quart 0.23.0 affiche sur stdout le corps brut de toute requête dont le corps est lu, ce qui peut exposer dans les…
-
Langflow : exécution de code via Smart Transform
P3 · Élevée · CVE-2026-7700 — Langflow 1.3.0 à 1.10.2 permet à un auteur de flux de provoquer l’exécution de code dans le processus via Smart…
-
Hydra : résolution non sûre de fabriques Python dans la configuration de journalisation
P3 · Élevée · CVE-2026-106441 — Hydra transmettait sa configuration de journalisation à `logging.config.dictConfig()`, qui peut résoudre et invoquer des classes ou fabriques Python définies dans…
-
Hydra Optuna Sweeper : exécution de fonctions choisies par une configuration non fiable
P3 · Élevée · CVE-2026-106440 — `hydra-optuna-sweeper` résolvait un chemin de méthode fourni par la configuration avec `get_method()`, puis appelait la fonction obtenue sans appliquer la…
-
Hydra : modification de la politique mutable d’instanciation pour contourner le blocage de cibles
P3 · Élevée · CVE-2026-106439 — Les politiques d’exécution de Hydra reposaient sur des collections mutables au niveau du module, qu’une configuration pouvait modifier avant de…
-
openapi-python-client — injection de code dans le client Python généré (CVE-2026-105801)
P3 · Élevée · CVE-2026-105801 — openapi-python-client ne neutralisait pas correctement certains contenus malveillants d’un document OpenAPI avant de générer du code Python. Le client généré…
-
Scrapy — une valeur Referrer-Policy malveillante peut arrêter un crawler (CVE-2026-105782)
P3 · Élevée · CVE-2026-105782 — Le RefererMiddleware de Scrapy pouvait interpréter une valeur malveillante de Referrer-Policy comme un chemin d’import Python, puis appeler l’objet correspondant.…
-
vm2 : arrêt possible du processus hôte via une promesse rejetée dans le chemin constructeur
P3 · Élevée · CVE-2026-100722 — Dans vm2, un script non fiable peut faire passer une promesse native rejetée par une fonction hôte exposée au constructeur…
-
@vue/server-renderer : XSS SSR via un retour chariot dans un nom d’attribut
P3 · Élevée — Dans le rendu côté serveur de Vue, un retour chariot dans un nom d’attribut peut être réinterprété par le navigateur comme un…
-
Payload : exécution de JavaScript via des téléversements XML
P3 · Élevée · CVE-2026-105868 — Dans Payload, une configuration locale de téléversement acceptant les fichiers XML peut stocker un XML et une feuille de style…