Le journal DFS
Backend & données
-
Token Optimizer MCP : lecture de fichiers sans authentification
P4 · Moyenne · CVE-2026-55156 — Avant la version 5.1.0 de Token Optimizer MCP, les endpoints du serveur HTTP du tableau de bord sont accessibles sans…
-
Axios : en-têtes hérités transmis par l’adaptateur fetch
P4 · Moyenne · CVE-2026-101908 — Dans l’adaptateur fetch d’Axios, des en-têtes hérités de `Object.prototype` peuvent être transmis à `fetch` via les options d’origine, malgré la…
-
Axios : injection d’en-têtes hérités après remplacement minimal de la configuration par un intercepteur
P4 · Moyenne · CVE-2026-101904 — Un intercepteur Axios qui remplace la configuration par un objet ordinaire sans propriété propre `headers` peut laisser la lecture de…
-
Axios : méthode HTTP héritée d’un prototype pollué dans l’instance par défaut
P4 · Moyenne · CVE-2026-101902 — Dans Axios pour Node.js, les requêtes de l’instance par défaut qui omettent la méthode peuvent hériter de `Object.prototype.method` si un…
-
Axios : injection d’en-têtes via getHeaders hérité dans l’adaptateur Fetch
P4 · Moyenne · CVE-2026-101900 — Le chemin de configuration partagé d’Axios peut accepter des en-têtes issus d’un `getHeaders` hérité et pollué lors de l’utilisation de…
-
Module mH-DEVELOPER : composants système et Node.js obsolètes dans le micrologiciel
P4 · Moyenne · CVE-2026-82935 — Le micrologiciel du module domotique mH-DEVELOPER embarquait Debian 8 et Node.js 17.0.1, tous deux en fin de vie, ce qui…
-
DOMSanitizer — filtrage incomplet des URL data encodées
P4 · Moyenne · CVE-2026-100370 — DOMSanitizer, bibliothèque de nettoyage DOM/SVG/MathML pour PHP, peut laisser passer des URL data dans les attributs href et xlink:href lorsque…
-
CVE-2026-101099 — gestion de conditions exceptionnelles dans le parseur SSE du SDK Kotlin ag-ui
P4 · Moyenne · CVE-2026-101099 — CVE-2026-101099 concerne le parseur SSE `SseParser.kt` du Kotlin Community SDK du projet ag-ui-protocol/ag-ui : une entrée distante peut provoquer une…
-
jackson-databind : déni de service par parsing de nombres non bornés dans les types XML
P3 · Élevée · CVE-2026-68497 — La désérialisation de chaînes vers `javax.xml.datatype.Duration` ou `XMLGregorianCalendar` peut transmettre des composantes numériques de longueur non bornée aux parseurs du…
-
PyJWT : destination de redirection JWKS non revérifiée
P3 · Élevée · CVE-2026-102267 — PyJWKClient ne revalide pas la destination d’une redirection renvoyée par un point de terminaison JWKS configuré comme fiable. Il peut…