Le journal DFS
Backend & données
-
Pillow : épuisement de ressources lors de l’ajout à un PDF malformé
P3 · Élevée · CVE-2026-96640 — Lors de l’ajout d’une image à un PDF existant, Pillow peut parcourir de façon répétée des références dupliquées dans un…
-
Pillow — contournement du contrôle de bombes de décompression dans les images SPIDER
P3 · Élevée · CVE-2026-96637 — Pillow avant 13.0.0 ne relance pas le contrôle de bombes de décompression lorsqu’un accès à une image SPIDER ultérieure remplace…
-
GitPython : dépôt de hook exécutable via un chemin de sous-module contrôlé
P3 · Élevée · CVE-2026-114145 — GitPython peut cloner un sous-module contrôlé par un attaquant dans un chemin sensible tel que .git/hooks avant de rejeter le…
-
virtualenv — injection de commandes dans les scripts d’activation générés
P3 · Élevée · CVE-2026-113776 — Les scripts d’activation générés par virtualenv peuvent exécuter du code lorsque le chemin de l’environnement ou le prompt contient le…
-
virtualenv : injection de commande dans le script d’activation fish
P3 · Élevée · CVE-2026-113732 — Dans les versions antérieures à 21.14.2, l’activation fish utilise un échappement POSIX incompatible avec les règles d’interprétation de fish. Une…
-
virtualenv : interprétation de valeurs d’invite dans zsh
P3 · Élevée · CVE-2026-113726 — Dans zsh avec PROMPT_SUBST activé, une valeur contrôlée de nom ou de chemin d’environnement peut être interprétée lors de l’affichage…
-
Exécution de code possible dans MongoDB Compass via une vue spécialement construite
P3 · Élevée · CVE-2026-113870 — MongoDB Compass échappait incorrectement certaines valeurs BSON lors de la conversion du pipeline d’agrégation d’une vue enregistrée en source modifiable.…
-
OpenChoreo : contournement d’autorisation lors de la mise à jour des WorkflowRun
P3 · Élevée · CVE-2026-113727 — OpenChoreo vérifiait l’autorisation de mise à jour d’un `WorkflowRun` à partir des étiquettes de projet et de composant fournies dans…
-
Moov signedxml : déni de service par allocations excessives lors de la canonicalisation XML
P3 · Élevée · CVE-2026-113729 — La canonicalisation XML exclusive de `github.com/moov-io/signedxml` pouvait consommer une quantité excessive de mémoire et de CPU sur un XML spécialement…
-
Oracle Java SE : vulnérabilité du plug-in Java (CVE-2026-91484)
P3 · Élevée · CVE-2026-91484 — Une vulnérabilité du plug-in Java d’Oracle Java SE peut permettre à un utilisateur disposant de faibles privilèges sur l’infrastructure d’altérer…