Le journal DFS
Backend & données
-
Axios : erreur de session HTTP/2 non gérée pouvant arrêter le processus
P3 · Élevée · CVE-2026-101901 — Axios ne met pas en place une gestion suffisante des erreurs de session HTTP/2 lors de son initialisation ou de…
-
Axios : contournement des contrôles DNS et proxy avec HTTP/2
P3 · Élevée · CVE-2026-101898 — Avec l’adaptateur HTTP/2 de Node.js, Axios ne transmet pas certaines règles DNS personnalisées ni les contrôles de proxy configurés au…
-
Axios : déni de service par expression régulière lors de l’analyse d’URL `data:`
P3 · Élevée · CVE-2026-101903 — Axios pour Node.js peut bloquer la boucle d’événements lorsqu’il analyse une URL `data:` malformée comportant de nombreuses barres obliques, provoquant…
-
FreePBX : injection de commande via le générateur de documentation API
P3 · Élevée · CVE-2026-75600 — Dans FreePBX, un utilisateur authentifié autorisé à accéder au module API peut provoquer l’exécution de commandes shell via le générateur…
-
PyJWT : une clé publique PEM peut être utilisée comme secret HMAC
P3 · Critique · CVE-2026-102268 — Dans certaines configurations mêlant algorithmes HMAC et asymétriques, une représentation PEM de clé publique acceptée par la bibliothèque cryptographique peut…
-
Authlib : vérification JWS contournée avec un tableau de signatures vide
P3 · Critique · CVE-2026-96760 — Authlib peut traiter comme vérifié un JWS JSON dont le tableau `signatures` est vide, sans vérifier de signature cryptographique. Les…
-
decompress : contournement du répertoire d’extraction par liens symboliques en chaîne
P3 · Critique · CVE-2026-101894 — Le paquet Node.js decompress et son successeur maintenu @xhmikosr/decompress peuvent extraire des entrées d’archive au-delà du répertoire de destination lorsque…
-
PyJWT : plusieurs vulnérabilités dans le traitement des clés et des signatures
P4 · CVE-2026-102274, CVE-2026-102273 — Cinq vulnérabilités de PyJWT ont été publiées, touchant notamment le traitement de jeux de clés JWK et les opérations HMAC/JWS. Les…
-
DLA-4819-1 : lecture hors limites dans la vérification de nom TLS
P4 · CVE-2026-91767 — Debian a publié le 5 octobre 2026 une mise à jour de sécurité pour php8.2 corrigeant une lecture hors limites lors de…
-
DLA-4819-1 : déni de service par imbrication XML SOAP
P4 · CVE-2026-91765 — Debian a publié le 5 octobre 2026 une mise à jour de sécurité pour php8.2 corrigeant la récursion sans limite de profondeur…