Le journal DFS
Backend & données
-
vLLM : exécution de code via code_revision contrôlable dans les requêtes multimodales
P3 · Élevée · CVE-2026-114053 — Dans certaines configurations vLLM, un client peut contrôler `mm_processor_kwargs.code_revision` et faire charger du code Python provenant d’une révision contrôlée du…
-
CVE-2026-114108 — absence d’authentification sur l’interface FastAPI de HKUDS Vibe-Trading
P3 · Critique · CVE-2026-114108 — CVE-2026-114108 concerne HKUDS Vibe-Trading, et non le paquet ou le projet FastAPI lui-même : une absence d’authentification sur son interface…
-
PHP : état global périmé pouvant mener à une exécution de code à distance (CVE-2026-109619)
P1 · Critique · CVE-2026-109619 — PHP peut conserver un état global qui pointe vers la mémoire d’une requête après sa libération, ou le repeupler après…
-
PHP : risque d’exécution de code à distance lors du traitement d’erreurs mémoire (CVE-2026-109618)
P1 · Critique · CVE-2026-109618 — PHP peut, dans certains chemins de gestion d’erreur mémoire insuffisamment réinitialisés, laisser une mémoire de requête dans un état non…
-
Pillow : lecture hors limites à l’encodage TIFF avec une ColorMap incompatible
P4 · CVE-2026-112896 — Pillow peut provoquer une lecture hors limites lors de l’enregistrement en TIFF d’une image 16 bits dont les métadonnées conservées contiennent une…
-
Shortcutter 2 App : exportation incorrecte de composants Android
P4 · Faible · CVE-2026-113385 — Une mauvaise exportation de composants Android dans Shortcutter 2 App peut être déclenchée localement par la fonction Class.forName de ToggleGeneric.java.…
-
virtualenv : contournement de la comparaison de condensat lors du téléchargement par pip
P4 · Faible · CVE-2026-113717 — Avant virtualenv 21.14.9, le chemin d’installation utilisant `–seeder pip –download` pouvait contourner la vérification du condensat SHA-256 de PyPI pour…
-
virtualenv : injection de paramètres lors de la relecture de configuration
P4 · Faible · CVE-2026-113715 — Avec le créateur venv de virtualenv, un chemin de destination contenant un séparateur de ligne reconnu peut être réinterprété lors…
-
virtualenv : vérification insuffisante de certains paquets téléchargés
P4 · Faible · CVE-2026-113714 — Avant virtualenv 21.14.9, le téléchargement d’un paquet pouvait laisser dans le cache un fichier rejeté sans vérification, dans certaines conditions…
-
filelock : redirection d’écritures dans l’arborescence SoftReadWriteLock
P4 · Faible · CVE-2026-112941 — Dans filelock, SoftReadWriteLock et AsyncSoftReadWriteLock réutilisent une vérification antérieure de l’arborescence `.rw`, puis résolvent de nouveau ses noms lors des…