Le journal DFS
Backend & données
-
La résolution de références de schéma dans le SDK MCP Python peut accéder au réseau et aux fichiers locaux
P4 · Moyenne · CVE-2026-116686 — La validation des documents `outputSchema` annoncés par un serveur pouvait résoudre des références `$ref` avec le résolveur par défaut de…
-
Le SDK Python MCP peut transmettre des identifiants lors d’une redirection inter-origines
P4 · Moyenne · CVE-2026-116685 — Le SDK Python MCP suivait les redirections vers une autre origine en transmettant les en-têtes d’identification personnalisés et, pour les…
-
SDK Python MCP — acceptation possible de jetons bearer destinés à une autre ressource
P4 · Moyenne · CVE-2026-116684 — Dans le SDK Python MCP, l’authentification serveur par jeton bearer peut accepter un jeton valide destiné à une autre ressource…
-
NLTK : absence de vérification d’intégrité du paquet téléchargé avant extraction
P4 · Moyenne · CVE-2026-12259 — Le téléchargeur de NLTK, selon l’avis, n’effectue pas de vérification d’intégrité après le téléchargement et avant l’extraction du paquet. Les…
-
Nodemailer : déni de service par parsing quadratique des réponses SMTP
P4 · Moyenne — Une réponse SMTP malveillante contenant de nombreuses lignes de continuation peut faire traiter le parseur de Nodemailer avec une complexité quadratique et…
-
systeminformation : pollution de prototype via networkStats()
P4 · Moyenne · CVE-2026-116674 — Dans systeminformation avant 5.33.13, l’appel à networkStats() avec un nom d’interface contrôlé égal à __proto__ peut modifier Object.prototype sur FreeBSD,…
-
Nodemailer : déni de service par retour arrière quadratique des expressions SMTP AUTH
P4 · Moyenne — Des expressions régulières utilisées pour détecter les mécanismes SMTP AUTH dans la réponse EHLO peuvent subir un retour arrière quadratique lorsqu’une ligne…
-
SiYuan — accès MCP à des fichiers sensibles du workspace
P4 · Moyenne · CVE-2026-60083 — L’outil MCP de fichiers de SiYuan n’appliquait pas plusieurs protections de chemins sensibles présentes dans l’API HTTP, ce qui pouvait…
-
CVE-2026-7678 : précision NVD sur l’absence de correctif pour la fonctionnalité SQL
P3 · Faible · CVE-2026-7678 — La fiche NVD de CVE-2026-7678 a été substantiellement mise à jour pour préciser que la fonctionnalité d’exécution SQL et la…
-
snappy-java : débordement de tampon lors de la décompression de tableaux typés
P3 · Élevée · CVE-2026-93451 — Les méthodes de décompression de tableaux typés pouvaient dimensionner le tableau de destination par division de la longueur déclarée, tandis…