Le journal DFS
Sécurité
-
Book Library (Free) : injection SQL dans les paramètres de tri
P3 · Critique · CVE-2026-101110 — Book Library (Free) construisait une clause ORDER BY avec des paramètres field et direction contrôlés par la requête ; le…
-
Vehicle Manager (Free) : injection SQL non authentifiée
P3 · Critique · CVE-2026-101108 — Vehicle Manager (Free) utilisait des paramètres de tri contrôlables dans une clause ORDER BY non délimitée, rendant possible une injection…
-
Real Estate Manager (Free) : injection SQL non authentifiée
P3 · Critique · CVE-2026-100752 — Real Estate Manager (Free) construisait des clauses ORDER BY à partir du paramètre de requête order_field sans liste d’autorisation ni…
-
PyJWT : une clé publique PEM peut être utilisée comme secret HMAC
P3 · Critique · CVE-2026-102268 — Dans certaines configurations mêlant algorithmes HMAC et asymétriques, une représentation PEM de clé publique acceptée par la bibliothèque cryptographique peut…
-
Exécution de code via la tâche JavaScript de Google Cloud Application Integration
P3 · Critique · CVE-2026-81867 — Une vulnérabilité de désérialisation dans la tâche JavaScript de Google Cloud Application Integration permet à un utilisateur authentifié disposant de…
-
CVE-2026-98109 — condition de course dans l’enregistrement des périphériques Bluetooth
P4 · CVE-2026-98109 — Une condition de course liée à l’enregistrement des périphériques Bluetooth dans le noyau Linux a été publiée le 28 septembre 2026. Les…
-
Avis de sécurité Linux AV26-970 — vulnérabilité du noyau non identifiée par CVE
P4 — Le Centre canadien pour la cybersécurité a publié un avis signalant une vulnérabilité du noyau Linux, sans préciser de CVE ni décrire son impact.…
-
Authlib : vérification JWS contournée avec un tableau de signatures vide
P3 · Critique · CVE-2026-96760 — Authlib peut traiter comme vérifié un JWS JSON dont le tableau `signatures` est vide, sans vérifier de signature cryptographique. Les…
-
decompress : contournement du répertoire d’extraction par liens symboliques en chaîne
P3 · Critique · CVE-2026-101894 — Le paquet Node.js decompress et son successeur maintenu @xhmikosr/decompress peuvent extraire des entrées d’archive au-delà du répertoire de destination lorsque…
-
@grpc/grpc-js — contrôle RBAC incorrect par comparaison de préfixe
P4 · Moyenne · CVE-2026-101914 — Dans @grpc/grpc-js, le comparateur exact de chemin utilisé par RBAC peut effectuer une comparaison de préfixe lorsque la correspondance insensible…