Le journal DFS
Backend & données
-
vm2 : exposition de connexions HTTPS hôtes via globalAgent
P3 · Critique · CVE-2026-92940 — Autoriser `https` dans vm2 3.11.6 expose à la sandbox le `https.globalAgent` hôte partagé, dont les événements peuvent révéler des options…
-
vm2 : contournement de la liste noire child_process par le préfixe node:
P3 · Critique · CVE-2026-92957 — Une entrée de liste noire `-node:child_process` ne bloque pas le builtin canonique `child_process` dans certaines configurations wildcard de `NodeVM`. Le…
-
vm2 : évasion de sandbox via les promesses sur Node.js 26
P3 · Critique · CVE-2026-92944 — Untrusted JavaScript in vm2 can escape the sandbox on Node.js 26 because a stale V8 protector allows `Promise.prototype.finally()` to bypass…
-
vm2 : modification de la confiance TLS de l’hôte depuis une sandbox NodeVM
P3 · Critique · CVE-2026-92941 — Dans vm2 3.11.3 à 3.11.6, un programme exécuté dans `NodeVM` peut, si les modules intégrés `tls` et `url` sont autorisés,…
-
CVE-2026-92948 : évasion du bac à sable vm2 via node:test
P3 · Critique · CVE-2026-92948 — Une configuration de vm2 qui autorise le module intégré `node:test` peut permettre à du code exécuté dans un `NodeVM` de…
-
vm2 : contournement de la garde nesting avec un require sous forme de tableau
P3 · Critique · CVE-2026-92935 — Dans vm2, le contrôle de configuration de `NodeVM` accepte un tableau comme valeur de `require`, ce qui permet de contourner…
-
vm2 : contournement de la désinfection des erreurs de promesse hôte
P3 · Critique · CVE-2026-92937 — Un contournement du correctif GHSA-m283-3h24-438v dans vm2 permet de transmettre à du code sandboxé une erreur de promesse hôte contenant…
-
vm2 : exécution de code natif via une extension node:sqlite
P3 · Critique · CVE-2026-92938 — Dans vm2 3.11.6, autoriser `node:sqlite` dans une `NodeVM` permet au code non fiable de charger une extension native SQLite depuis…
-
vm2 : chargement de code natif via crypto.setEngine
P3 · Critique · CVE-2026-92939 — Dans vm2 3.11.6, autoriser le builtin `crypto` dans une `NodeVM` permet à du code non fiable d’utiliser `crypto.setEngine()` pour charger…
-
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-56154
P4 · CVE-2026-56154 — Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre…