Le journal DFS
Backend & données
-
AsyncHttpClient : vérification Digest mutuelle omise avec auth-int
P3 · Élevée · CVE-2026-107279 — CVE-2026-107279 concerne AsyncHttpClient 3.0.12 : une réponse Digest utilisant uniquement qop=auth-int peut faire accepter une authentification mutuelle qui n’a pas…
-
AsyncHttpClient : requête et identifiants envoyés après un CONNECT rejeté
P3 · Élevée · CVE-2026-107232 — CVE-2026-107232 affecte AsyncHttpClient : après le rejet d’un tunnel CONNECT, le client peut envoyer une requête destinée à l’origine, avec…
-
AsyncHttpClient : rétrogradation d’un défi Digest vers Basic
P3 · Élevée · CVE-2026-107231 — CVE-2026-107231 affecte AsyncHttpClient : un défi Digest sans nonce exploitable peut être interprété comme Basic et provoquer l’envoi du nom…
-
AsyncHttpClient : partage de connexions entre identités authentifiées
P3 · Élevée · CVE-2026-107230 — CVE-2026-107230 affecte AsyncHttpClient : des connexions authentifiées peuvent être réutilisées entre identités, notamment avec Kerberos, SPNEGO, NTLM ou des proxys…
-
PraisonAI : exécution de scripts hors du répertoire de travail par SkillTools
P3 · Élevée · CVE-2026-61443 — SkillTools pouvait exécuter un script désigné par un chemin absolu ou extérieur au répertoire de travail sans vérifier le confinement…
-
PraisonAI : exécution de code via le chargement dynamique de tools.py
P3 · Élevée · CVE-2026-61437 — Lors de l’exécution d’un workflow, la résolution d’une sortie structurée pouvait importer et exécuter un fichier tools.py voisin sans bac…
-
datamodel-code-generator — écriture de fichiers hors du répertoire temporaire via Protobuf
P3 · Élevée · CVE-2026-107377 — Lors du traitement d’un schéma Protobuf contrôlé par un attaquant, `datamodel-code-generator` peut écrire des fichiers hors du répertoire temporaire prévu…
-
Pydantic AI — requêtes navigateur non validées vers le chat local
P3 · Élevée · CVE-2026-107295 — Le serveur de chat local de développement de Pydantic AI ne valide pas le type de contenu des requêtes, ce…
-
CVE-2026-107286 — Pydantic AI : places de concurrence retenues après des flux interrompus
P3 · Élevée · CVE-2026-107286 — Dans Pydantic AI, certains flux de requêtes limités par `ConcurrencyLimitedModel` ou `limit_model_concurrency` peuvent conserver des places de capacité après une…
-
msgpack5 : interruption possible sur en-tête map32 tronqué
P3 · Élevée · CVE-2026-107302 — Avant msgpack5 6.1.0, le décodeur lit la longueur d’une valeur map32 avant de vérifier que son en-tête complet est disponible.…