Le journal DFS
Backend & données
-
Hugging Face Datasets : exécution de code via un jeu de données pickle malveillant
P3 · Élevée · CVE-2026-57845 — Hugging Face Datasets jusqu’à la version 5.1.0 incluse présente une désérialisation pickle non sécurisée dans le constructeur pandas déprécié. Lors…
-
Node.js : divergence de normalisation IPv4 lors de la vérification TLS
P3 · Élevée · CVE-2026-106069 — La vérification d’identité TLS peut comparer le certificat à une adresse IPv4 différente de celle utilisée pour la connexion lorsque…
-
Node.js : validation TLS incorrecte d’adresses IPv4 écrites en caractères non ASCII
P3 · Élevée · CVE-2026-105483 — La vérification TLS peut accepter un certificat DNS ne correspondant pas à l’adresse IP lorsqu’un hôte IPv4 est écrit avec…
-
Node.js : troncature de noms d’hôte contenant un octet NUL dans les API DNS
P3 · Élevée · CVE-2026-105482 — Les fonctions dns.resolve*() et dns.reverse() peuvent tronquer silencieusement un nom d’hôte contenant un octet NUL et résoudre un nom différent…
-
CGM CLININET : exécution de code via désérialisation Java non fiable
P3 · Critique · CVE-2025-30047 — L’API HTTP administrative de CGM CLININET désérialise des données Java non fiables, ce qui permet à un attaquant du réseau…
-
AgenticSeek : exécution de code à distance via le débogueur Flask exposé
P3 · Critique · CVE-2026-115727 — AgenticSeek avant le commit 409840c active le mode debug de Flask tout en exposant le serveur sur toutes les interfaces.…
-
Echo : contournement des contrôles d’accès de route via une mise à niveau WebSocket rejetée
P3 · Critique — Dans Echo, une mise à niveau WebSocket rejetée par l’upstream pouvait laisser les requêtes HTTP suivantes contourner le routeur et les contrôles…
-
CERT-FR : multiples vulnérabilités dans Node.js
P4 — CERT-FR signale plusieurs vulnérabilités dans Node.js, dont certaines pourraient permettre une exécution de code à distance, un contournement de la politique de sécurité ou…
-
Authlib : contournement possible de l’exigence TLS lors de contrôles d’URL
P4 · Faible · CVE-2026-114614 — Dans Authlib de 0.13 à avant 1.8.0, une comparaison textuelle incorrecte peut faire accepter comme sécurisé un URL HTTP dont…
-
Un JSON profondément imbriqué peut faire échouer le parseur android-json
P4 · Moyenne · CVE-2026-110974 — Une entrée JSON profondément imbriquée peut provoquer un StackOverflowError lors de son analyse et faire échouer le thread qui la…