Le journal DFS
Sécurité
-
jackson-databind : déni de service par parsing de nombres non bornés dans les types XML
P3 · Élevée · CVE-2026-68497 — La désérialisation de chaînes vers `javax.xml.datatype.Duration` ou `XMLGregorianCalendar` peut transmettre des composantes numériques de longueur non bornée aux parseurs du…
-
PyJWT : destination de redirection JWKS non revérifiée
P3 · Élevée · CVE-2026-102267 — PyJWKClient ne revalide pas la destination d’une redirection renvoyée par un point de terminaison JWKS configuré comme fiable. Il peut…
-
PyJWT — clé HMAC vide acceptée via PyJWK
P3 · Élevée · CVE-2026-102266 — PyJWT peut accepter une clé HMAC vide lorsqu’elle est fournie via un JWK symétrique `oct` au moyen de `PyJWK` ou…
-
PyJWT : contournement de la défense contre les clés JWK publiques utilisées comme secrets HMAC
P3 · Élevée · CVE-2026-102273 — PyJWT 2.13.0 peut accepter comme secret HMAC un JWK public encapsulé dans un objet JWKS, un tableau ou un conteneur…
-
Unsloth Zoo : injection de code lors du chargement d’un modèle
P3 · Élevée · CVE-2026-93348 — Unsloth Zoo est vulnérable à une injection de code dans le chemin de compilation du chargement de modèles : une…
-
PyJWT : contournement par BOM de la protection contre l’utilisation de clés JWK en HMAC
P3 · Élevée · CVE-2026-102272 — PyJWT 2.13.0 comporte un contournement par BOM de la protection contre l’utilisation de clés JWK publiques comme secrets HMAC, dans…
-
PyJWT : clé publique DER acceptée comme secret HMAC
P3 · Élevée · CVE-2026-102271 — PyJWT 2.4.0 à 2.13.0 peut accepter une clé publique au format DER comme secret HMAC, contournant une protection qui ne…
-
brace-expansion : récursion imbriquée et épuisement de pile
P3 · Élevée · CVE-2026-102278 — Dans brace-expansion, des groupes d’accolades profondément imbriqués provoquent une récursion non maîtrisée et l’épuisement de la pile native avant l’application…
-
brace-expansion : épuisement de la pile native avec des motifs forgés
P3 · Élevée · CVE-2026-102276 — La bibliothèque brace-expansion peut épuiser la pile native en traitant des motifs forgés avec de nombreux groupes d’accolades ou de…
-
Axios — options de formulaire héritées après pollution de prototype
P3 · Élevée · CVE-2026-101909 — Axios lit plusieurs options de sérialisation de formulaire depuis un objet sans vérifier qu’elles lui appartiennent, ce qui permet à…