Le journal DFS
Sécurité
-
Paquet npm malveillant @vitemirrorte/element-plus-vite-cli : persistance et contrôle distant
P2 · Critique — Le paquet npm @vitemirrorte/element-plus-vite-cli est signalé comme malveillant : son postinstall installe un agent persistant et contacte une infrastructure de commande et…
-
Paquet npm malveillant moidevl : Electron furtif visant les environnements de surveillance d’examens
P2 · Élevée — Le paquet npm moidevl est signalé comme malveillant : il met en œuvre une fenêtre Electron dissimulée et des mécanismes Windows visant…
-
CVE-2026-77285 : OpenBao Agent peut écrire des secrets dans stdout en cas d’échec de rendu exec
P4 · Faible · CVE-2026-77285 — Dans certaines conditions d’erreur du mode exec, OpenBao Agent peut écrire dans stdout des secrets issus de env_template, notamment lorsque…
-
CVE-2026-76805 : Nuclei peut divulguer ses variables d’environnement en mode DAST/fuzz
P4 · Moyenne · CVE-2026-76805 — Le chemin d’évaluation d’expressions DAST/fuzz de Nuclei peut divulguer des variables d’environnement de l’hôte de scan à un serveur cible…
-
CVE-2026-77637 : Cloudreve corrige un contournement de périmètre OAuth Admin.Read
P4 · Faible · CVE-2026-77637 — Cloudreve a publié ou mis à jour l’avis CVE-2026-77637 concernant un contournement de séparation des scopes OAuth dans son API…
-
CVE-2026-77272 : XSS réfléchie dans le callback OAuth de mcp-atlassian
P4 · Moyenne · CVE-2026-77272 — Le paramètre error d’un callback OAuth était inséré dans une réponse HTML sans encodage, permettant l’injection de balisage ou de…
-
LightRAG : CVE-2026-85709, fuite d’informations par messages d’erreur API bruts
P3 · Moyenne · CVE-2026-85709 — Avant 1.5.5, des handlers de l’API LightRAG retournaient directement les chaînes d’exception Python dans les réponses HTTP. Cela peut exposer…
-
CVE-2026-91129 : SSRF mDNS dans l’intégration IPP de Home Assistant
P3 · Moyenne · CVE-2026-91129 — Home Assistant Green peut effectuer des requêtes HTTP vers des hôtes arbitraires à la suite d’une annonce mDNS IPP forgée…
-
CVE-2026-88010 : Traefik corrige une énumération d’utilisateurs via BasicAuth concurrent
P3 · Moyenne · CVE-2026-88010 — Traefik BasicAuth est affecté par une oracle temporelle permettant l’énumération non authentifiée de noms d’utilisateur lorsque des vérifications d’identifiants sont…
-
CVE-2026-77528 : Autobahn Python contourne la limite de taille après décompression WebSocket
P3 · Moyenne · CVE-2026-77528 — Autobahn Python contrôlait maxMessagePayloadSize sur la taille compressée des trames WebSocket permessage-deflate, sans vérifier de nouveau la taille du message…