Le journal DFS
Backend & données
-
Pillow : fuite de mémoire obsolète lors de l’export Arrow
P4 · Moyenne · CVE-2026-114501 — Lorsque PILLOW_ALIGNMENT est supérieur à 1, l’export Arrow de Pillow peut inclure des données mémoire non initialisées ou des pixels…
-
fpdf2 : épuisement de ressources par expansion exponentielle de références SVG
P4 · Moyenne · CVE-2026-114610 — La résolution de références SVG imbriquées par fpdf2 peut dupliquer de façon exponentielle les objets graphiques et épuiser le processeur…
-
fpdf2 : chargement de ressources externes et de chemins locaux depuis un contenu contrôlé
P4 · Moyenne · CVE-2026-114609 — Lors du rendu de contenu non fiable, fpdf2 peut charger automatiquement des URL externes ou tenter d’ouvrir des chemins locaux…
-
Pylint — exécution de code via un cache de statistiques pickle modifiable
P4 · Moyenne · CVE-2026-114608 — Pylint peut charger avec pickle des fichiers de statistiques stockés dans un répertoire de cache prévisible. Un attaquant capable d’écrire…
-
OpenTelemetry Python — déni de service par analyse coûteuse de tracestate
P4 · Moyenne · CVE-2026-114603 — OpenTelemetry Python peut subir une forte consommation CPU lors de l’analyse d’un en-tête tracestate W3C malformé contenant une longue séquence…
-
Nodemailer : déni de service lors de la signature DKIM via des en-têtes pliés
P4 · Moyenne · CVE-2026-110871 — Le parseur DKIM de Nodemailer traite les lignes de continuation d’en-tête avec une complexité quadratique. Un en-tête très long comportant…
-
stream-json : déni de service CPU via les filtres de chemin de FlexAssembler
P4 · Moyenne · CVE-2026-114129 — Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué…
-
Grav : exposition possible des identifiants HTTP Basic via le contenu Twig
P4 · Moyenne · CVE-2026-114657 — Du contenu Twig fourni par un auteur de page peut exposer les identifiants HTTP Basic des visiteurs dans Grav. Les…
-
php-travel-agency-system : injection SQL dans le gestionnaire d’insertion
P4 · Moyenne · CVE-2026-114577 — Une injection SQL à distance a été signalée dans le gestionnaire d’insertion de php-travel-agency-system, via plusieurs paramètres de requête. La…
-
GitLab : contournement de restrictions de portée via un champ GraphQL
P4 · Moyenne · CVE-2026-12664 — Une application insuffisante des permissions à un champ GraphQL pouvait permettre à un utilisateur authentifié doté d’un jeton `read_api` de…