Le journal DFS
Sécurité
-
mcp-atlassian : exposition locale des jetons OAuth stockés en clair
P3 · Élevée · CVE-2026-77250, CVE-2026-77256 — Le stockage de secours OAuth écrivait des jetons d’accès et de rafraîchissement en clair avec des permissions dépendant de…
-
CVE-2026-77255 : Jira update_issue permet l’exfiltration de fichiers locaux
P3 · Élevée · CVE-2026-77255 — L’argument attachments de l’outil Jira update_issue pouvait être converti en chemins locaux puis transmis à l’implémentation d’upload sans validation de…
-
CVE-2026-77251 et CVE-2026-77252 : contournement des filtres Jira et Confluence de mcp-atlassian
P3 · Élevée · CVE-2026-77251, CVE-2026-77252 — Les filtres JIRA_PROJECTS_FILTER et CONFLUENCE_SPACES_FILTER pouvaient être remplacés ou neutralisés par des arguments fournis par l’appelant, donnant accès à…
-
CVE-2026-83803 : exécution de code dans la fonctionnalité Relocation de Sentry
P3 · Élevée · CVE-2026-83803 — Sentry divulgue une vulnérabilité d’exécution de code affectant les déploiements self-hosted où la fonctionnalité Relocation est activée. Un utilisateur authentifié…
-
mcp-atlassian : exfiltration de fichiers locaux par les outils de pièces jointes
P3 · Élevée · CVE-2026-77247, CVE-2026-77253 — Une série d’advisories publiés pour mcp-atlassian documente une même famille de défauts : les outils d’upload Jira et Confluence…
-
npm : hachutis distribue des exécutables opaques et un tunnel Cloudflare anonyme
P3 · Élevée — hachutis distribue plusieurs exécutables précompilés non déclarés dans son manifeste, dont un binaire Bun de 81 Mo. La documentation demande de lancer…
-
npm : godzzz collecte environnement et fichiers avant communications sortantes
P3 · Élevée — godzzz@1.0.0 regroupe la lecture de variables d’environnement et de fichiers locaux, l’encodage base64 et des requêtes HTTP/HTTPS sortantes, un comportement identifié comme…
-
npm : catplatebarcodeparser utilise des hooks d’installation pour exfiltrer l’identité de l’hôte
P3 · Élevée — catplatebarcodeparser@99.2.1 lance des hooks preinstall et postinstall qui envoient le nom d’utilisateur et le hostname vers un collecteur externe et déclenchent une…
-
npm : eslint-plugin-i18n-shreddit exfiltre des données de runner via postinstall
P3 · Élevée — eslint-plugin-i18n-shreddit@99.9.9 ne fournit pas de plugin ESLint fonctionnel et utilise uniquement un postinstall pour envoyer des informations de l’hôte vers un collecteur…
-
npm : catqrcodeconverter exécute des hooks preinstall/postinstall de reconnaissance
P3 · Élevée — catqrcodeconverter@99.2.1 exécute des scripts avant et après installation afin de transmettre le nom d’utilisateur et le nom d’hôte à un collecteur externe,…