Le journal DFS
Backend & données
-
Mako : traversal de répertoire lors de la résolution des templates sous Windows
P4 · Moyenne · CVE-2026-102991 — Sur Windows, Mako peut résoudre un URI de template de façon incohérente et permettre de sortir du répertoire de templates…
-
EWWW Image Optimizer : injection d’objets PHP par un auteur
P4 · Moyenne · CVE-2026-91051 — Un utilisateur authentifié disposant au moins du rôle auteur peut enregistrer une valeur sérialisée dans une métadonnée d’article, ensuite désérialisée…
-
Axios : les règles CIDR de NO_PROXY peuvent ne pas protéger les requêtes
P4 · Moyenne · CVE-2026-101899 — Dans Axios 1.15.0 à 1.19.x, les entrées CIDR de `NO_PROXY` ne sont pas évaluées comme des plages réseau, de sorte…
-
CVE-2026-15830 — Mise à jour des versions concernées par le déni de service GeoDjango
P4 · Moyenne · CVE-2026-15830 — La mise à jour de l’avis GHSA du 2026-10-12 étend les versions concernées à la série Django 6.1 en préversion.…
-
Apache MINA SSHD : épuisement de mémoire côté serveur via SFTP
P4 · Moyenne · CVE-2026-94029 — Dans l’extension SFTP v6 check-file-name/check-file-handle d’Apache MINA SSHD, le calcul de nombreux hachages pour un grand fichier pouvait conduire à…
-
Apache MINA SSHD : épuisement mémoire via les lignes du protocole SCP
P4 · Moyenne · CVE-2026-93996 — Le composant SCP d’Apache MINA SSHD ne limitait pas la longueur des lignes du protocole, permettant à un pair malveillant…
-
Apache MINA SSHD : validation insuffisante de la commande git archive
P4 · Moyenne · CVE-2026-93995 — Le composant sshd-git d’Apache MINA SSHD ne bloquait pas une variante de l’option -o pour la commande git archive, malgré…
-
La décompression asynchrone d’adm-zip contourne la limite de taille
P4 · Moyenne — Le chemin asynchrone getDataAsync() d’adm-zip ne fait pas respecter la limite maxOutputLength appliquée au chemin synchrone, ce qui peut entraîner une forte…
-
OpenClaw Windows Node : exécution de code via variables d’environnement non filtrées
P3 · Élevée · CVE-2026-101884 — OpenClaw Windows Node ne filtre pas certaines variables d’environnement transmises à des outils autorisés, dont JAVA_TOOL_OPTIONS. Un acteur disposant d’un…
-
virtualenv : injection de commandes dans l’activation Windows
P3 · Élevée · CVE-2026-102937 — Dans virtualenv, un prompt contrôlé peut injecter des commandes dans le fichier d’activation Windows, exécutées avec les privilèges de l’utilisateur…