Le journal DFS
Backend & données
-
WWBN AVideo : des comptes délégués peuvent affecter les comptes administrateurs
P3 · Élevée · CVE-2026-114633 — Une vérification d’autorisation incorrecte dans WWBN AVideo permet à des comptes délégués disposant du rôle Users Admin de modifier ou…
-
CVE-2026-114604 : modification possible de Object.prototype lors de la fusion de résultats GraphQL
P3 · Élevée · CVE-2026-114604 — Dans les versions de @graphql-tools/utils concernées, mergeIncrementalResult ne validait pas le type des segments du chemin d’un résultat GraphQL incrémental,…
-
GraphQL-core — épuisement mémoire par commentaires contournant max_tokens
P3 · Élevée · CVE-2026-75508 — GraphQL-core ne comptabilise pas les commentaires ignorés par l’analyse lexicale dans sa limite max_tokens, alors que leurs jetons restent alloués…
-
Consommation excessive de CPU lors de la validation GraphQL dans GraphQL-core
P3 · Élevée · CVE-2026-75507 — La règle OverlappingFieldsCanBeMerged de GraphQL-core peut répéter des comparaisons coûteuses de champs et de fragments imbriqués pendant la validation d’une…
-
Neutralisation insuffisante de valeurs dans la construction des mises à jour
P3 · Élevée · CVE-2026-114652 — Une faiblesse dans la construction de certaines instructions de mise à jour du pilote C# peut faire interpréter des valeurs…
-
Comparaison incomplète des certificats TLS dans le cache de connexions
P3 · Élevée · CVE-2026-114649 — Le pilote MongoDB C# compare les certificats TLS clients à partir de l’émetteur et du numéro de série seulement lors…
-
Neutralisation insuffisante des caractères point et dollar dans les chemins LINQ
P3 · Élevée · CVE-2026-114648 — Le pilote MongoDB C# transmet certains caractères `.` et `$` dans des noms de clés et chemins de champs issus…
-
Consommation mémoire non bornée lors de la désérialisation BSON
P3 · Élevée · CVE-2026-114644 — La désérialisation BSON dans le pilote MongoDB C# peut conserver sans limite des données dérivées d’une entrée, entraînant une croissance…
-
Django REST framework : suppression de TokenProxy sans révocation effective du jeton
P3 · Élevée · CVE-2026-114137 — Dans Django REST framework, appeler delete() sur une instance TokenProxy peut ne supprimer aucun jeton tout en donnant l’impression que…
-
Django REST framework : mise à jour CISA signalant une preuve de concept pour CVE-2026-114138
P3 · Élevée · CVE-2026-114138 — Une mise à jour du 28 octobre 2026 a ajouté une évaluation CISA indiquant l’existence d’une preuve de concept pour…