Le journal DFS
Backend & données
-
Authlib : vérification incorrecte du périmètre OpenID dans le flux implicite
P4 · Moyenne · CVE-2026-114619 — Dans Authlib avant 1.9.0, le flux OpenID implicite vérifie la présence de `openid` dans le périmètre brut fourni par le…
-
Authlib : validation insuffisante de l’audience des assertions JWT Bearer
P4 · Moyenne · CVE-2026-114618 — Dans Authlib avant 1.9.0, l’audience par défaut du flux JWT Bearer RFC 7523 est vide et la validation exige seulement…
-
Authlib : contournement de la liaison nonce-session dans certains flux OpenID Connect
P4 · Moyenne · CVE-2026-114617 — Dans Authlib avant 1.9.0, la validation des ID tokens peut faire confiance à un indicateur `nonce_supported` contrôlé par le jeton…
-
Twisted : requêtes HTTP désynchronisées par des CR ou LF isolés
P4 · Moyenne · CVE-2026-115877 — Twisted accepte des retours chariot ou sauts de ligne isolés dans les valeurs d’en-tête HTTP, ce qui peut faire interpréter…
-
Twisted : blocage du serveur IMAP par une taille de littéral négative
P4 · Moyenne · CVE-2026-115774 — Une taille de littéral négative dans une commande SEARCH IMAP peut entraîner une boucle infinie et bloquer le réacteur Twisted.…
-
Node.js : caches d’entropie réutilisés dans les snapshots et exécutables uniques
P4 · Moyenne · CVE-2026-106074 — Lorsque certaines fonctions cryptographiques sont appelées pendant la création d’un snapshot de démarrage ou d’une application exécutable unique, leurs caches…
-
Node.js : SAN DNS accepté pour une connexion à une adresse IPv4 non canonique
P4 · Moyenne · CVE-2026-106072 — La vérification TLS peut accepter un certificat contenant uniquement un SAN DNS pour un point de terminaison IPv4 lorsque le…
-
Node.js : réponse HTTP anticipée acceptée lors de la réutilisation d’une connexion
P4 · Moyenne · CVE-2026-105481 — Un défaut de réutilisation des connexions HTTP Agent peut faire accepter au client une réponse reçue avant l’envoi de sa…
-
CGM CLININET expose des identifiants RabbitMQ dans un fichier lisible localement
P4 · Moyenne · CVE-2025-30051 — Dans CGM CLININET, le fichier SysIO.pl contient les identifiants de la base de production et du broker RabbitMQ, et ses…
-
Echo v5 : falsification de l’adresse IP via X-Real-IP
P4 · Moyenne — Dans Echo v5, ExtractIPFromRealIPHeader vérifiait l’adresse fournie par X-Real-IP au lieu de vérifier l’adresse du pair réseau direct. Un client non fiable…