Le journal DFS
Backend & données
-
Divulgation de variables d’environnement dans une application Laravel configurée en mode debug
P3 · Critique · CVE-2026-102628 — La publication de CVE-2026-102628 signale que l’application Cadmos LTI exposait des variables de configuration lorsque Laravel, déployé publiquement avec le…
-
SiYuan : injection SQL dans la recherche de documents en mode publication
P3 · Critique · CVE-2026-69085 — Un avis publié le 2026-10-01 décrit une injection SQL non authentifiée dans la recherche de documents de SiYuan en mode…
-
Debian DSA-6569-1 : mise à jour de sécurité d’apache2 — CVE-2026-59797
P4 · CVE-2026-59797 — Debian a publié le 16 octobre un avis de sécurité concernant Apache HTTP Server et citant cette CVE. L’avis recommande de mettre…
-
OpenClaw Windows Node : contournement du filtrage des variables d’environnement
P2 · Élevée · CVE-2026-101884 — OpenClaw Windows Node avant 2026.7.1 ne filtre pas certaines variables d’environnement, dont JAVA_TOOL_OPTIONS, dans system.run. Un utilisateur ayant accès à…
-
Traversée de répertoires dans l’API d’envoi de fichiers Python de DB-GPT
P4 · CVE-2026-51864 — DB-GPT v0.7.5 et v0.8.0 présentent une traversée de répertoires dans l’API `python_file_upload`, susceptible de permettre à un attaquant distant d’écrire hors de…
-
camel-ai : exécution de code généré par le modèle sans approbation
P4 · CVE-2026-51857 — Dans camel-ai camel 0.2.91a1, v0.2.91a2 et v0.2.91a3, CodeExecutionToolkit peut exécuter le code Python produit par le modèle via SubprocessInterpreter sans étape d’approbation.…
-
agentscope : exécution de code Python par un appel d’outil RealtimeAgent
P4 · CVE-2026-51856 — Dans les versions d’agentscope citées, un utilisateur distant via WebSocket peut amener l’agent à appeler execute_python_code lorsque cet outil est disponible dans…
-
agent-zero : accès sans restriction aux fichiers de l’hôte via FileBrowser
P4 · CVE-2026-51853 — Dans agent-zero 1.7 à 1.10, FileBrowser initialise l’espace de travail à la racine de l’hôte, permettant à l’agent d’accéder aux fichiers du…
-
agent-zero : traversal de répertoire dans save_file_b64
P4 · CVE-2026-51852 — Dans agent-zero 1.7 à 1.10, save_file_b64 accepte des chemins contrôlés sans normalisation ni validation, ce qui permet un traversal de répertoire. Les…
-
virtualenv : injection de paramètres dans pyvenv.cfg
P4 · Moyenne · CVE-2026-102938 — Dans virtualenv, un prompt contrôlé peut ajouter des lignes et des clés à pyvenv.cfg, notamment une valeur home qui détourne…