Le journal DFS
Backend & données
-
ArcadeDB : remplacement non autorisé du schéma GraphQL
P4 · Moyenne · CVE-2026-119576 — Dans ArcadeDB, un utilisateur disposant uniquement du droit readRecord pouvait remplacer le schéma GraphQL partagé via un point d’accès de…
-
DBHub : contournement du mode lecture seule via une divergence d’analyse SQL sur les connecteurs MariaDB
P4 · Moyenne · CVE-2026-61789 — L’avis GHSA-j656-3hf2-fvjc signale un contournement du mode lecture seule de DBHub sur ses connecteurs MySQL et MariaDB : une différence…
-
Soft Serve — course de cache pouvant maintenir lisible un dépôt rendu privé
P4 · Moyenne — GHSA-f3fj-9625-rv3m concerne Soft Serve : une course lors du changement de visibilité pouvait laisser en cache l’état public d’un dépôt, maintenant son…
-
Soft Serve — divulgation de l’existence de dépôts privés et erreur sur certains chemins LFS
P4 · Moyenne — GHSA-fgxm-5hvv-x4vh concerne Soft Serve, écrit en Go : des requêtes pouvaient révéler l’existence, le nom et l’URL de clonage de dépôts privés,…
-
Crass : analyse superlinéaire de CSS contenant des caractères non ASCII
P4 · Moyenne · CVE-2026-61848 — Avant Crass 1.0.7, le suivi des positions de caractères multioctets peut rendre superlinéaire le temps d’analyse d’entrées CSS contenant des…
-
Crass : erreur de pile lors du traitement récursif des commentaires CSS
P4 · Moyenne · CVE-2026-61847 — Avant Crass 1.0.7, l’élimination par défaut des commentaires CSS adjacentés suit un chemin récursif qui peut déclencher une erreur SystemStackError.…
-
Copernik XML Factory : résolution XInclude insuffisamment bloquée
P3 · Élevée · CVE-2026-61586 — Copernik XML Factory ne bloquait pas la résolution de ressources XInclude avec le fournisseur JDK standard dans certaines configurations, ce…
-
Amazon Kinesis Producer Library for Java : exposition d’identifiants AWS
P3 · Élevée · CVE-2026-119117 — Amazon Kinesis Producer Library for Java exposait des identifiants AWS dans les journaux au niveau DEBUG et dans les arguments…
-
MONAI : exécution de code via Auto3DSeg algo_from_json()
P3 · Élevée · CVE-2026-119578 — MONAI présente une vulnérabilité d’exécution de code dans Auto3DSeg algo_from_json() : un fichier algo_object.json et un module algorithm_templates conçus à…
-
joserfc : épuisement CPU via un tableau JWE recipients sans limite
P3 · Élevée · CVE-2026-119283 — Le parseur JWE General JSON de joserfc accepte un tableau recipients sans limite et effectue une opération de déchiffrement avec…