Le journal DFS
Backend & données
-
msgpack-python : fuite mémoire et défaut de références sur des décodages rejetés
P3 · Élevée · CVE-2026-114613 — Le module C de msgpack-python peut conserver en mémoire une valeur décodée lorsqu’il rejette une clé de map invalide avec…
-
dnspython — consommation excessive de CPU par pointeurs DNS de compression
P3 · Élevée · CVE-2026-114605 — dnspython peut effectuer un nombre excessif de parcours de pointeurs de compression contrôlés par l’émetteur lors du décodage d’un nom…
-
Flexible GraphRAG — injection Cypher via le backend FalkorDB
P3 · Élevée · CVE-2026-114510 — Flexible GraphRAG permet une injection Cypher lorsque des contenus influencés par un attaquant sont ingérés avec le backend FalkorDB concerné.…
-
toml : déni de service quadratique via de nombreux tableaux de tables
P3 · Élevée · CVE-2026-114141 — Le compilateur TOML rescane des ensembles de chemins accumulés pour chaque en-tête de tableau de tables, donnant un coût quadratique…
-
toml : déni de service CPU via des littéraux entiers démesurément longs
P3 · Élevée · CVE-2026-114144 — `toml.parse()` convertit des entiers de longueur arbitraire en `BigInt` avant de vérifier leur plage, ce qui peut coûter beaucoup de…
-
CVE-2026-113872 — Déni de service dans multer avec un fileFilter asynchrone
P3 · Élevée · CVE-2026-113872 — Une requête non authentifiée peut faire tomber le processus Node.js lorsqu’une application utilise multer avec un `fileFilter` asynchrone et qu’une…
-
body-parser : arrêt du processus par une erreur de décompression non interceptée
P3 · Élevée · CVE-2026-111181 — Une requête HTTP comportant un encodage compressé suivi d’octets résiduels peut provoquer une exception non interceptée et arrêter le processus…
-
toml : déni de service quadratique via des clés pointées ou chemins de table longs
P3 · Élevée · CVE-2026-114143 — `toml.parse()` recalcule le préfixe complet d’une clé à chaque segment pour plusieurs formes de clés et de chemins de table.…
-
Strands Agents SDK : exposition de conversations entre sessions A2A
P3 · Élevée · CVE-2026-115419 — Le serveur A2A de Strands Agents SDK peut partager l’historique de conversation entre des appelants ayant des context_id différents, permettant…
-
Roundcube Webmail : primitive d’injection d’objet dans la désérialisation de session
P3 · Élevée · CVE-2026-114724 — Une primitive d’injection d’objet PHP a été identifiée dans rcube_session::unserialize() de Roundcube Webmail. Les versions antérieures à 1.6.20 ainsi que…