Le journal DFS
Backend & données
-
CVE-2026-7679 : précision NVD sur le chemin de compatibilité OAuth conservé
P3 · Moyenne · CVE-2026-7679 — La mise à jour NVD de CVE-2026-7679 précise que l’application conserve volontairement un chemin de compatibilité acceptant un jeton de…
-
Agno : exécution de code via le champ `field_type` de FunctionCall
P3 · Critique · CVE-2026-35002 — Agno utilisait `eval()` sur le champ `field_type` de données FunctionCall pouvant être influencées par un utilisateur, ce qui peut permettre…
-
MONAI : valeurs DICOM invalides pouvant perturber ou interrompre l’inférence
P3 · Critique · CVE-2026-48705 — Un fichier DICOM conçu à cet effet peut provoquer un plantage de MONAILabel ou fausser silencieusement les résultats d’inférence en…
-
Désérialisation de scorers tiers pouvant permettre l’exécution de code dans MLflow
P3 · Critique · CVE-2026-116692 — MLflow acceptait des descendants de modules Python autorisés au lieu de vérifier une correspondance exacte lors de la désérialisation de…
-
Contournement de middleware Express monté sur un chemin dans @fastify/express
P3 · Critique · CVE-2026-112362 — Dans @fastify/express 4.0.5 à 4.0.8, une requête HTTP en forme absolue, combinée à l’option Fastify ignoreDuplicateSlashes, peut faire exécuter une…
-
LeRobot : instanciation dynamique non sûre de classes
P4 · CVE-2026-115533 — Le chargement de certaines configurations de processeur dans LeRobot peut instancier dynamiquement des classes Python définies par la configuration. Cette résolution dynamique…
-
Debian publie une mise à jour de sécurité pour OpenJDK 17
P4 — Debian a publié le 26 octobre 2026 un avis de mise à jour de sécurité pour OpenJDK 17, après la découverte de plusieurs vulnérabilités…
-
astron-agent : contournement d’autorisation dans la liste des connaissances
P4 · Faible · CVE-2026-116340 — La fiche NVD publiée le 26 octobre signale un contournement d’autorisation dans l’endpoint de liste des connaissances d’astron-agent. La description…
-
Tornado : redirection ouverte via les substitutions de RedirectHandler
P4 · Faible · CVE-2026-116578 — Avant Tornado 6.6, certains modèles d’URL de `RedirectHandler` permettent à des substitutions de captures d’expression régulière de modifier le schéma…
-
Sony Neural Network Libraries : injection de code dans le convertisseur NNP
P4 · Faible · CVE-2026-116104 — Sony Neural Network Libraries présente une injection de code dans la fonction `func_set_nnabla_version_decorate` du convertisseur NNP. Les versions concernées vont…