Le journal DFS
Backend & données
-
Fastify : déni de service via les trailers de réponse HTTP/2
P4 · Moyenne · CVE-2026-92081 — Fastify pouvait terminer le processus Node.js avec une exception non interceptée lorsqu’une réponse HTTP/2 utilisait `reply.trailer()`, car l’en-tête `Transfer-Encoding: chunked`…
-
ZongXR SuperMarket : défaut d’authentification dans l’achat immédiat
P3 · Faible · CVE-2026-103539 — Dans ZongXR SuperMarket 1.0.0.0, la fonction d’achat immédiat ne vérifie pas correctement l’authentification associée au paramètre Username. Le défaut peut…
-
jackson-core — déni de service par accumulation non bornée dans le message d’erreur du parseur
P3 · Élevée · CVE-2026-89425 — Dans le parseur JSON utilisant DataInput, un jeton malformé peut entraîner la construction d’un message d’erreur non borné, consommant mémoire…
-
jackson-core — déni de service par retour arrière quadratique d’une expression régulière
P3 · Élevée · CVE-2026-89407 — Une expression régulière de jackson-core peut subir un retour arrière quadratique lors de la validation de certaines chaînes numériques malformées,…
-
Tornado : épuisement mémoire via une réponse décompressée sans limite
P3 · Élevée — Un avis Tornado signale que CurlAsyncHTTPClient ne limite pas la taille de la réponse décompressée et peut accumuler suffisamment de données pour…
-
Tornado : accès à des fichiers hors de la racine statique via un lien symbolique
P3 · Élevée — L’avis Tornado affirme que StaticFileHandler peut suivre un lien symbolique placé sous la racine statique et servir une cible située en dehors…
-
Amazon Ion Python : récursion incontrôlée pouvant faire planter l’application
P3 · Élevée · CVE-2026-104020 — Dans Amazon Ion Python, une valeur Ion profondément imbriquée et spécialement construite peut provoquer une erreur ou faire planter l’application…
-
vm2 CLI : les modules requis peuvent s’exécuter hors sandbox
P3 · Élevée · CVE-2026-92950 — Le CLI vm2 peut exécuter dans le contexte hôte les modules relatifs ou absolus chargés par un script fourni en…
-
vm2 : contournement de l’interdiction fs via fs/promises
P3 · Élevée · CVE-2026-92958 — Dans les configurations wildcard de `NodeVM`, interdire `fs` ne bloque pas nécessairement `fs/promises` ni `node:fs/promises`. Un programme sandboxé peut alors…
-
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56449
P4 · CVE-2026-56449 — Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre…