Le journal DFS
Backend & données
-
Apache MINA SSHD : contournement d’authentification asynchrone
P3 · Critique · CVE-2026-77185 — Apache MINA SSHD comporte un défaut dans son mécanisme d’authentification asynchrone, susceptible de faire omettre la vérification d’une signature ou…
-
Paquet PyPI malveillant bfox-build-utils 1.0.997 : vol d’identifiants GitHub et injection de workflow
P3 · Critique — Le paquet malveillant `bfox-build-utils` version 1.0.997 exécute du code à l’installation pour récupérer des identifiants GitHub disponibles dans l’environnement et les utiliser…
-
Avis de code suspect dans cleanup-string sur PyPI
P3 · Critique — L’avis GHSA-r9mq-4q39-vw6h signale que cleanup-string 1.0.0 distribue un module natif Windows Python 3.13 protégé par VMProtect, qui s’exécute lors de l’importation du…
-
Apache Karaf — contournement du contrôle d’accès JMX pouvant mener à l’exécution de code
P3 · Élevée · CVE-2026-92142 — Dans Apache Karaf, les opérations JMX `createMBean`, `registerMBean` et `unregisterMBean` échappaient au contrôle d’accès fondé sur les rôles, ce qui…
-
Contournement du contrôle des caractères de contrôle dans Flysystem par UTF-8 mal formé
P4 · Faible · CVE-2026-102601 — Un chemin contenant des octets UTF-8 mal formés pouvait contourner le contrôle des caractères de contrôle de Flysystem, parce que…
-
GitLab : lecture non autorisée de traces CI/CD via GraphQL
P4 · Faible · CVE-2026-4523 — Une vérification incorrecte des autorisations dans l’API GraphQL de GitLab pouvait permettre, sous certaines conditions, à un utilisateur non authentifié…
-
CVE-2026-97688 — urllib3 : boucle infinie lors du décodage de réponses Deflate
P4 · Moyenne · CVE-2026-97688 — Dans urllib3, une réponse Deflate fragmentée contenant des octets après la fin du flux peut faire tourner indéfiniment `HTTPResponse.stream` ou…
-
kykms : injection SQL dans QueryGenerator.doMultiFieldsOrder
P4 · Moyenne · CVE-2026-102491 — Une injection SQL dans `QueryGenerator.doMultiFieldsOrder` peut être déclenchée à distance via l’argument `column`. La source indique que les versions affectées…
-
TacoMall : contournement d’autorisation dans OrgStaffServiceImpl.add
P4 · Moyenne · CVE-2026-102293 — Une vérification d’autorisation incorrecte dans `OrgStaffServiceImpl.add` permet à distance de manipuler les paramètres `isAdmin` et `jobId`. La source indique la…
-
CVE-2026-97689 — urllib3 : épuisement mémoire via une ligne de fragment HTTP non terminée
P3 · Élevée · CVE-2026-97689 — Dans urllib3, le parseur des réponses HTTP fragmentées peut conserver en mémoire une ligne de taille de fragment très longue…