Le journal DFS
Backend & données
-
python-aiohttp : désynchronisation de requêtes liée aux trailers HTTP
P4 · CVE-2025-53643 — Debian a publié un avis de sécurité pour python-aiohttp couvrant cette vulnérabilité de désynchronisation de requêtes, causée par l’absence d’analyse des sections…
-
glob : le parcours du système de fichiers continue après annulation
P4 · Moyenne · CVE-2026-118773 — Dans glob jusqu’à 14.0.1, l’annulation d’un parcours asynchrone peut rejeter l’opération sans interrompre le travail récursif en arrière-plan. Mettre à…
-
Coop : création non authentifiée d’organisations via GraphQL
P4 · Moyenne · CVE-2026-63399 — Avant la version 1.0.0, la mutation GraphQL `createOrg` permettait à un acteur non authentifié de créer des organisations sur une…
-
TAKO AI Agent for Okta — exécution de code Python par un utilisateur authentifié
P3 · Élevée · CVE-2026-63378 — TAKO AI Agent for Okta permet à un utilisateur authentifié disposant d’un cookie `fctr_session` d’envoyer du code Python qui contourne…
-
Aedes : arrêt du broker par topic MQTT excessivement profond
P3 · Élevée · CVE-2026-63341 — Aedes avant 1.1.1 ne limite pas la profondeur ni la complexité des topics MQTT, ce qui peut provoquer une exception…
-
Coop : divulgation de données par l’API GraphQL
P3 · Élevée · CVE-2026-63396 — Avant la version 1.0.0, un acteur non authentifié pouvait interroger `Query.allOrgs` sur une instance Coop publiquement accessible et obtenir des…
-
Fickling — confiance injustifiée envers des appels de la bibliothèque standard
P3 · Élevée · CVE-2026-16760 — Fickling jusqu’à la version 0.1.12 peut considérer comme sûres certaines fonctions dangereuses issues de modules de la bibliothèque standard, sans…
-
Fickling — contournement de l’analyse de sécurité des pickles
P3 · Élevée · CVE-2026-118938 — Fickling jusqu’à la version 0.1.12 peut laisser passer un pickle malveillant utilisant un nom d’attribut qualifié avec un point, puis…
-
pypi-publish : mise à jour liée à la révocation d’une autorité de certification
P4 — Une mise à jour de sécurité de l’action pypi-publish traite la révocation d’une autorité de certification emSign présente dans le magasin de confiance fourni…
-
Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB
P4 — Le CERT-FR signale de multiples vulnérabilités dans les produits MongoDB, susceptibles notamment de porter atteinte à l’intégrité des données, de permettre une injection SQL…