Le journal DFS
Backend & données
-
Bouncy Castle : validation incorrecte de sous-clés OpenPGP
P3 · Élevée · CVE-2026-71887 — Bouncy Castle for Java avant 1.86 pouvait accepter, via son API OpenPGP de haut niveau, une signature faite par une…
-
GHSA-v853-p72q-4cfw — Quart 0.23.0 divulgue les corps de requête dans stdout
P3 · Élevée — Quart 0.23.0 affiche sur stdout le corps brut de toute requête dont le corps est lu, ce qui peut exposer dans les…
-
Langflow : exécution de code via Smart Transform
P3 · Élevée · CVE-2026-7700 — Langflow 1.3.0 à 1.10.2 permet à un auteur de flux de provoquer l’exécution de code dans le processus via Smart…
-
Hydra : résolution non sûre de fabriques Python dans la configuration de journalisation
P3 · Élevée · CVE-2026-106441 — Hydra transmettait sa configuration de journalisation à `logging.config.dictConfig()`, qui peut résoudre et invoquer des classes ou fabriques Python définies dans…
-
Hydra Optuna Sweeper : exécution de fonctions choisies par une configuration non fiable
P3 · Élevée · CVE-2026-106440 — `hydra-optuna-sweeper` résolvait un chemin de méthode fourni par la configuration avec `get_method()`, puis appelait la fonction obtenue sans appliquer la…
-
Hydra : modification de la politique mutable d’instanciation pour contourner le blocage de cibles
P3 · Élevée · CVE-2026-106439 — Les politiques d’exécution de Hydra reposaient sur des collections mutables au niveau du module, qu’une configuration pouvait modifier avant de…
-
openapi-python-client — injection de code dans le client Python généré (CVE-2026-105801)
P3 · Élevée · CVE-2026-105801 — openapi-python-client ne neutralisait pas correctement certains contenus malveillants d’un document OpenAPI avant de générer du code Python. Le client généré…
-
Scrapy — une valeur Referrer-Policy malveillante peut arrêter un crawler (CVE-2026-105782)
P3 · Élevée · CVE-2026-105782 — Le RefererMiddleware de Scrapy pouvait interpréter une valeur malveillante de Referrer-Policy comme un chemin d’import Python, puis appeler l’objet correspondant.…
-
Quasar Framework : blocage de la boucle d’événements lors de requêtes SSR
P3 · Élevée · CVE-2026-106104 — Dans Quasar Framework avant 2.23.3, l’analyse d’un en-tête `User-Agent` non borné pendant les requêtes SSR pouvait provoquer un backtracking superlinéaire…
-
Kiota : injection de code via les commentaires de documentation générés
P3 · Élevée · CVE-2026-105796 — Kiota versions 0.5.0 à 1.35.0 présente une faille dans l’assainissement des commentaires de documentation Java générés à partir de descriptions…