Le journal DFS
Backend & données
-
snappy-java : allocation mémoire non bornée lors de la décompression
P3 · Élevée · CVE-2026-108106 — Plusieurs chemins de décompression de snappy-java se fient à la longueur décompressée déclarée dans l’entrée et peuvent tenter une allocation…
-
Guava : allocation mémoire incontrôlée lors de la désérialisation
P3 · Élevée · CVE-2026-102554 — La désérialisation de `CompactHashMap`, `CompactHashSet` et `MapMakerInternalMap` peut allouer une quantité de mémoire contrôlée par les données sérialisées, provoquant un…
-
Strands Agents : risque d’écrasement de fichier via les liens symboliques dans le stockage des sessions
P3 · Élevée — Le gestionnaire de sessions fichier de Strands Agents écrit dans un chemin temporaire prévisible et suit les liens symboliques, ce qui peut…
-
GitPython : lecture de fichiers arbitraires via un nom de branche dans Head.checkout()
P3 · Élevée — Dans GitPython, `Head.checkout()` ne contrôle pas un nom de branche positionnel pouvant être interprété comme une option, ce qui peut conduire à…
-
GitPython : exécution de commandes via un refspec non vérifié dans Remote.pull()
P3 · Élevée — GitPython `Remote.pull()` ne vérifie pas le `refspec` positionnel avec son garde-fou contre `–upload-pack`, ce qui peut permettre l’exécution de commandes si une…
-
GitPython : retour arrière quadratique lors de l’analyse de lignes d’identité malformées
P3 · Élevée — Une expression régulière de GitPython pouvait provoquer un retour arrière quadratique lors de l’analyse de lignes d’identité Git malformées, entraînant un ralentissement…
-
NLTK : chemins de modèle Weka non validés contournant le confinement de chemins
P3 · Élevée — WekaClassifier de NLTK transmet des chemins de modèle contrôlés par l’appelant à la JVM Weka sans appliquer les contrôles de confinement de…
-
Authlib : exemples RFC 7592 sans liaison du jeton au client visé
P3 · Élevée · CVE-2026-116672 — Les exemples documentés d’Authlib pour la gestion des enregistrements de clients OAuth 2.0 ne lient pas explicitement le jeton d’accès…
-
dd-trace-py : déni de service lié à l’instrumentation IAST
P3 · Élevée · CVE-2026-116589 — Une erreur dans l’instrumentation IAST de dd-trace-py peut terminer le processus lors d’opérations de traitement de chaînes sur des entrées…
-
dd-trace-py — consommation excessive de CPU lors de l’obfuscation des chaînes de requête
P3 · Élevée · CVE-2026-116588 — Dans dd-trace-py, l’expression régulière par défaut d’obfuscation des chaînes de requête peut subir un retour arrière excessif lorsqu’elle traite des…