Le journal DFS
Sécurité
-
ZongXR SuperMarket : défaut d’authentification dans la suppression de commande
P3 · Moyenne · CVE-2026-103538 — Dans ZongXR SuperMarket 1.0.0.0, la suppression de commande ne vérifie pas correctement l’authentification liée au paramètre orderId. Le défaut est…
-
ZongXR Supermarket : défaut d’authentification dans l’ajout de commande
P3 · Moyenne · CVE-2026-103536 — Dans ZongXR Supermarket 1.0.0.0, l’endpoint d’ajout de commande ne vérifie pas correctement l’authentification associée au paramètre userId. Une attaque à…
-
DHIS2 : exécution de code à distance par désérialisation Java
P3 · Critique · CVE-2026-55083 — DHIS2 est vulnérable à une exécution de code à distance par désérialisation Java non sûre dans les versions 2.42.0 à…
-
vm2 : exposition de connexions HTTPS hôtes via globalAgent
P3 · Critique · CVE-2026-92940 — Autoriser `https` dans vm2 3.11.6 expose à la sandbox le `https.globalAgent` hôte partagé, dont les événements peuvent révéler des options…
-
vm2 : contournement de la liste noire child_process par le préfixe node:
P3 · Critique · CVE-2026-92957 — Une entrée de liste noire `-node:child_process` ne bloque pas le builtin canonique `child_process` dans certaines configurations wildcard de `NodeVM`. Le…
-
vm2 : évasion de sandbox via les promesses sur Node.js 26
P3 · Critique · CVE-2026-92944 — Untrusted JavaScript in vm2 can escape the sandbox on Node.js 26 because a stale V8 protector allows `Promise.prototype.finally()` to bypass…
-
vm2 : modification de la confiance TLS de l’hôte depuis une sandbox NodeVM
P3 · Critique · CVE-2026-92941 — Dans vm2 3.11.3 à 3.11.6, un programme exécuté dans `NodeVM` peut, si les modules intégrés `tls` et `url` sont autorisés,…
-
CVE-2026-92948 : évasion du bac à sable vm2 via node:test
P3 · Critique · CVE-2026-92948 — Une configuration de vm2 qui autorise le module intégré `node:test` peut permettre à du code exécuté dans un `NodeVM` de…
-
vm2 : contournement de la liste d’autorisation des modules externes
P3 · Critique · CVE-2026-92951 — Dans vm2, la vérification de la liste d’autorisation des modules externes de NodeVM peut accepter un nom de paquet qui…
-
vm2 : contournement de la garde nesting avec un require sous forme de tableau
P3 · Critique · CVE-2026-92935 — Dans vm2, le contrôle de configuration de `NodeVM` accepte un tableau comme valeur de `require`, ce qui permet de contourner…