Le journal DFS
Backend & données
-
Nginx Proxy Manager : tentatives illimitées sur les points d’authentification
P3 · Critique · CVE-2026-102334 — Nginx Proxy Manager jusqu’à la version 2.16.0 ne limite pas suffisamment les tentatives sur ses points d’authentification, ce qui peut…
-
Paquet npm exptrdd malveillant usurpant Express
P3 · Critique — L’avis signale exptrdd@5.2.1 comme paquet npm malveillant qui imite Express et lance du code distant à l’installation. Ne l’installez pas; retirez-le s’il…
-
Script de préinstallation malveillant dans le paquet npm express-nodejs
P3 · Critique — L’avis décrit express-nodejs@5.2.1 comme un paquet usurpant Express dont le hook de préinstallation exécute un script distant avec Node.js. Ne pas installer…
-
Paquet npm malveillant hardhat-zet, sans lien établi avec Express
P3 · Critique — L’avis signale hardhat-zet@2.0.1 comme paquet npm malveillant, sans lien établi avec le framework Express : son nom cible l’écosystème Hardhat, tandis que…
-
Multiples vulnérabilités dans MongoDB
P4 — Le CERT-FR a publié un avis signalant de multiples vulnérabilités dans MongoDB. Selon son résumé, elles peuvent porter atteinte à l’intégrité des données, contourner…
-
Langflow : exécution de code via une évaluation non sûre
P4 · Faible · CVE-2026-101861 — Langflow présente une vulnérabilité d’exécution de code liée à l’évaluation non sûre de certaines options d’entrée lors de la conversion…
-
Laravel : XSS dans les pages de débogage des exceptions
P4 · Faible · CVE-2026-102279 — Une vulnérabilité XSS basée sur le DOM affecte les pages de débogage des exceptions Laravel lorsque `APP_DEBUG=true` : une entrée…
-
jackson-databind : type de base Comparable absent de la liste de restriction du validateur
P4 · Moyenne · CVE-2026-83557 — Le validateur de types polymorphes utilisé avec `@JsonTypeInfo` sans validateur personnalisé ne bloque pas le type de base `java.lang.Comparable`. Dans…
-
jackson-databind : résolution de fournisseur de système de fichiers depuis un Path désérialisé
P4 · Moyenne · CVE-2026-19032 — La désérialisation d’un champ `java.nio.file.Path` peut transmettre une URI contrôlée à un fournisseur de système de fichiers découvert via `ServiceLoader`,…
-
jackson-databind : résolution DNS déclenchée par la désérialisation de InetAddress
P4 · Moyenne · CVE-2026-77310 — Une désérialisation JSON vers `java.net.InetAddress` déclenche une résolution DNS immédiate sur la valeur fournie, avant que l’application puisse la valider.…