Le journal DFS
Backend & données
-
Twisted : réponses DNS UDP acceptées sans validation de l’adresse source
P4 · Faible · CVE-2026-83813 — Twisted accepte une réponse DNS UDP en vérifiant l’identifiant de transaction, sans vérifier qu’elle provient du serveur interrogé, ce qui…
-
Node.js : vérifications de permissions manquantes dans fs.realpathSync()
P4 · Faible · CVE-2026-106073 — Sous Node.js 22.x, 24.x et 26.x, fs.realpathSync() peut contourner les contrôles de lecture attendus du modèle de permissions et révéler…
-
Node.js : contournement de règles génériques du modèle de permissions fichiers
P4 · Faible · CVE-2026-106071 — Dans Node.js 26.x, le modèle de permissions peut autoriser des chemins qui ne correspondent pas à une règle générique –allow-fs-read…
-
Node.js : lecture de contenu ZIP incorrect par zlib.ZipFile
P4 · Faible · CVE-2026-106070 — Dans Node.js 26.x, l’API zlib.ZipFile peut, après une erreur de validation entre l’en-tête local et le répertoire central d’une archive,…
-
pghoard — identifiants de base de données consignés dans les journaux debug
P4 · Faible · CVE-2026-54711 — Dans pghoard, l’utilisation de .pgpass pouvait entraîner l’écriture du nom d’utilisateur et du mot de passe de connexion à la…
-
FastMCP : contrôle d’autorisation omis après transformation de composants
P4 · Moyenne — Dans certains chemins d’accès directs, FastMCP appliquait une transformation à un composant sans vérifier à nouveau l’autorisation sur le composant transformé, permettant…
-
FastMCP : absence de liaison d’émetteur dans les fournisseurs OAuth
P4 · Moyenne — Les fournisseurs OAuth de FastMCP ne liaient pas les identifiants client à l’émetteur du serveur d’autorisation attendu, ce qui pouvait transmettre un…
-
vLLM : arrêt du moteur par incohérence de cache multimodal
P4 · Moyenne · CVE-2026-114050 — Dans vLLM avant 0.31.0, un UUID fourni par le client pour un contenu multimodal peut être réutilisé comme identité de…
-
AWS MCP Server : validation insuffisante des scripts Python de run_script
P4 · Moyenne · CVE-2026-115845 — Une validation incomplète des scripts Python par l’outil run_script d’AWS MCP Server peut permettre à un utilisateur distant authentifié d’exécuter…
-
Authlib : risque de requêtes sortantes non autorisées via request_uri
P4 · Moyenne · CVE-2026-114620 — Dans Authlib avant 1.9.0, le paramètre `request_uri` fourni par le client est transmis à un hook applicatif avant l’application d’une…