Le journal DFS
Backend & données
-
PyJWT — clé HMAC vide acceptée via PyJWK
P3 · Élevée · CVE-2026-102266 — PyJWT peut accepter une clé HMAC vide lorsqu’elle est fournie via un JWK symétrique `oct` au moyen de `PyJWK` ou…
-
PyJWT : contournement de la défense contre les clés JWK publiques utilisées comme secrets HMAC
P3 · Élevée · CVE-2026-102273 — PyJWT 2.13.0 peut accepter comme secret HMAC un JWK public encapsulé dans un objet JWKS, un tableau ou un conteneur…
-
Unsloth Zoo : injection de code lors du chargement d’un modèle
P3 · Élevée · CVE-2026-93348 — Unsloth Zoo est vulnérable à une injection de code dans le chemin de compilation du chargement de modèles : une…
-
PyJWT : contournement par BOM de la protection contre l’utilisation de clés JWK en HMAC
P3 · Élevée · CVE-2026-102272 — PyJWT 2.13.0 comporte un contournement par BOM de la protection contre l’utilisation de clés JWK publiques comme secrets HMAC, dans…
-
PyJWT : clé publique DER acceptée comme secret HMAC
P3 · Élevée · CVE-2026-102271 — PyJWT 2.4.0 à 2.13.0 peut accepter une clé publique au format DER comme secret HMAC, contournant une protection qui ne…
-
brace-expansion : récursion imbriquée et épuisement de pile
P3 · Élevée · CVE-2026-102278 — Dans brace-expansion, des groupes d’accolades profondément imbriqués provoquent une récursion non maîtrisée et l’épuisement de la pile native avant l’application…
-
brace-expansion : épuisement de la pile native avec des motifs forgés
P3 · Élevée · CVE-2026-102276 — La bibliothèque brace-expansion peut épuiser la pile native en traitant des motifs forgés avec de nombreux groupes d’accolades ou de…
-
Axios : la limite maxRedirects ne bloque pas les redirections avec l’adaptateur Fetch
P3 · Élevée · CVE-2026-101907 — Dans l’adaptateur Fetch d’Axios, `maxRedirects: 0` n’empêche pas le suivi des redirections, ce qui peut contourner une protection SSRF configurée…
-
Axios : déni de service par ReDoS lors du traitement des redirections et du proxy
P3 · Élevée · CVE-2026-101906 — Une redirection vers un nom d’hôte spécialement formé peut déclencher une expression régulière coûteuse dans Axios et bloquer la boucle…
-
Axios : détournement de socket possible après pollution de Object.prototype.createConnection
P3 · Élevée · CVE-2026-101905 — Dans l’adaptateur HTTP Node.js d’Axios, une pollution préalable de `Object.prototype.createConnection` peut détourner la création du socket d’une requête vers une…