Le journal DFS
Backend & données
-
Injection de commandes système dans ppt2png
P3 · Critique · CVE-2026-107699 — Le paquet `ppt2png` utilise `child_process.exec()` avec des chemins d’entrée ou de sortie non assainis, ce qui permet une injection de…
-
Injection de code dans dot-access
P3 · Critique · CVE-2026-107700 — Dans `dot-access`, le chemin fourni à `get()` est incorporé dans le corps d’une fonction JavaScript construite dynamiquement, ce qui permet…
-
Paquet npm malveillant animatecss-tailwind-bridge 2.0.6 associé à des leurres de recrutement
P2 · Critique — L’avis signale que `animatecss-tailwind-bridge` 2.0.6 est utilisé dans des leurres de faux entretiens et dépend d’un paquet npm privé qui peut charger…
-
Paquet npm malveillant tailwind-animatecss-uniform 2.0.7 lié à une campagne de faux entretiens
P2 · Critique — L’avis signale que `tailwind-animatecss-uniform` 2.0.7 est associé à une campagne de faux entretiens et dépend d’un paquet privé susceptible de charger du…
-
Paquet npm malveillant animatecss-tailwind-adapter 2.0.6 dans une campagne de faux entretiens
P2 · Critique — L’avis signale que `animatecss-tailwind-adapter` 2.0.6 fait partie d’une campagne de faux entretiens et dépend d’un paquet npm privé utilisé pour charger du…
-
CVE-2026-47737 : usurpation d’adresse IP source dans Puma
P4 · CVE-2026-47737 — Debian a publié DLA-4826-1 pour une vulnérabilité de Puma qui peut permettre l’usurpation de l’adresse IP source lorsque PROXY v1 est configuré…
-
CVE-2026-47736 : croissance mémoire et coût processeur dans Puma
P4 · CVE-2026-47736 — Debian a publié DLA-4826-1 pour une vulnérabilité de Puma lorsque la prise en charge du protocole PROXY v1 est activée : l’absence…
-
AsyncHttpClient : remplacement de l’en-tête Cookie dans les clients partagés
P4 · Moyenne · CVE-2026-107228 — Dans un client partagé, le magasin de cookies activé par défaut peut remplacer un en-tête Cookie explicitement défini par setHeader…
-
AsyncHttpClient : validation insuffisante du domaine des cookies
P4 · Moyenne · CVE-2026-107229 — La validation incomplète des attributs Domain par ThreadSafeCookieStore peut permettre à une origine de déposer un cookie qui sera ensuite…
-
PraisonAI Platform : suppression non autorisée de dépendances entre problèmes
P4 · Moyenne · CVE-2026-62179 — Dans PraisonAI Platform, un membre peut supprimer une dépendance entre problèmes en ciblant dans l’URL le problème dont il est…