Le journal DFS
Sécurité
-
npm : internallib_v550, un squat de dépendance interne, exécute des commandes
P3 · Élevée — internallib_v550 est publié sur le registre npm public sous un nom évoquant une bibliothèque interne. Sa fonction exportée lance une commande shell…
-
npm : eslint-config-compact-utils exfiltre le contexte des postes et runners CI à l’import
P3 · Élevée — eslint-config-compact-utils collecte des informations d’hôte et des variables de contexte CI ou GitHub dès son import, puis les transmet à un endpoint…
-
PyPI : snap-queue tente d’exécuter du code à l’installation
P3 · Élevée — Le paquet malveillant snap-queue modifie la commande d’installation dans setup.py pour tenter une exécution silencieuse de code. Dans les versions analysées, le…
-
npm : internallib_v497 exécute un script distant via curl | sh
P3 · Élevée — internallib_v497@1.0.3 expose une fonction qui télécharge un script depuis une adresse HTTP RFC1918 et le transmet directement à un shell Bash.
-
npm : turbo-ws charge une dépendance GitHub mutable non intègre au postinstall
P3 · Élevée — turbo-ws déclare node-net-pool comme archive GitHub pointant vers la branche main d’un compte tiers, sans version figée ni contrôle d’intégrité, puis charge…
-
CVE-2026-77256 : jetons OAuth Atlassian lisibles localement dans MCP Atlassian avant 0.22.0
P3 · Élevée · CVE-2026-77256 — MCP Atlassian stocke avant la version 0.22.0 une copie de secours en clair des jetons d’accès et de rafraîchissement OAuth…
-
CVE-2026-80148 : SSRF non authentifiée via WebSSH/WebTelnet sur Lantronix SLC8000 et EMG
P3 · Élevée · CVE-2026-80148 — Une SSRF publiée dans la fenêtre affecte les listeners WebSSH/WebTelnet de plusieurs équipements Lantronix. Un attaquant non authentifié peut amener…
-
CVE-2026-80149 : paramètre rooturl détournable dans WebSSH/WebTelnet Lantronix
P3 · Élevée · CVE-2026-80149 — Une seconde SSRF, publiée dans la fenêtre, touche les interfaces WebSSH/WebTelnet Lantronix. Le paramètre rooturl peut modifier la destination de…
-
CVE-2026-93345 : un paquet BGP malformé peut interrompre le service de routage MikroTik RouterOS
P3 · Élevée · CVE-2026-93345 — Une vulnérabilité publiée dans la fenêtre affecte le traitement des NLRI labelled-VPN par RouterOS. Un attaquant placé sur le chemin…
-
CVE-2026-84027 : création de paiements arbitraires dans Directorist
P3 · Élevée · CVE-2026-84027 — Directorist avant 8.9.5 permet à des utilisateurs Subscriber ou supérieurs de créer via REST des enregistrements de commandes et paiements…