Le journal DFS
Sécurité
-
Kobako : évasion critique de la sandbox mruby
P3 · Critique · CVE-2026-55107 — Kobako présente une évasion de sandbox permettant à un script mruby invité d’exécuter du Ruby dans le processus hôte. Les…
-
Apache MINA SSHD : contournement d’authentification par injection LDAP
P3 · Critique · CVE-2026-94053 — Le composant optionnel sshd-ldap d’Apache MINA SSHD n’échappait pas les caractères spéciaux des filtres LDAP, ce qui permettait un contournement…
-
Apache MINA SSHD : contournement d’authentification LDAP
P3 · Critique · CVE-2026-94052 — Un contrôle manquant dans LdapPasswordAuthenticator d’Apache MINA SSHD pouvait contourner l’authentification par mot de passe. Le problème concerne uniquement les…
-
Apache MINA SSHD : contournement d’authentification asynchrone
P3 · Critique · CVE-2026-77185 — Apache MINA SSHD comporte un défaut dans son mécanisme d’authentification asynchrone, susceptible de faire omettre la vérification d’une signature ou…
-
XSS stockée non authentifiée dans Kiteworks Core
P3 · Critique · CVE-2026-102147 — Kiteworks Core présente une XSS stockée exploitable sans authentification, qui peut exécuter du JavaScript dans la session d’un administrateur consultant…
-
Obot : démarrage rapide Docker exposé sans authentification
P3 · Critique · CVE-2026-101065 — CVE-2026-101065 concerne la configuration de démarrage Docker documentée pour Obot, qui exposait le service sur toutes les interfaces avec l’authentification…
-
Injection de commandes dans `node:child_process` sous Windows
P3 · Critique · CVE-2026-103473 — Une injection de commandes affecte `node:child_process` sous Windows lorsque des arguments non fiables sont utilisés avec l’option `shell`. L’attaquant peut…
-
Paquet PyPI malveillant bfox-build-utils 1.0.997 : vol d’identifiants GitHub et injection de workflow
P3 · Critique — Le paquet malveillant `bfox-build-utils` version 1.0.997 exécute du code à l’installation pour récupérer des identifiants GitHub disponibles dans l’environnement et les utiliser…
-
Avis de code suspect dans cleanup-string sur PyPI
P3 · Critique — L’avis GHSA-r9mq-4q39-vw6h signale que cleanup-string 1.0.0 distribue un module natif Windows Python 3.13 protégé par VMProtect, qui s’exécute lors de l’importation du…
-
Code malveillant dans le paquet npm contoso-login-sim-loader
P3 · Critique — Un avis publié le 2026-09-30 signale du code malveillant dans contoso-login-sim-loader 1.0.1, distribué sous la forme d’un script navigateur chiffré et exécuté…