Le journal DFS
Backend & données
-
fast-uri : une référence relative peut sortir de son répertoire attendu
P4 · Faible · CVE-2026-110095 — La normalisation d’une référence relative peut supprimer un segment « .. » et la faire pointer hors du répertoire attendu.…
-
ApostropheCMS : modification ou suppression non autorisée de notifications
P4 · Faible · CVE-2026-113665 — Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB…
-
uploadfs : traversée de chemin dans le backend de stockage local
P4 · Faible · CVE-2026-113651 — Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire…
-
sanitize-html : contournement de la protection des URL dans certains SVG
P4 · Faible · CVE-2026-113657 — Dans sanitize-html 2.17.7 à 2.17.x, une configuration autorisant certains éléments SVG d’animation préfixés par un espace de noms et des…
-
A2A Java SDK : fuite de clé API lors d’une redirection
P4 · Moyenne · CVE-2026-111763 — Le client JDK du SDK A2A Java peut placer une clé API dans un en-tête dont le nom est fourni…
-
A2A Java SDK : requêtes serveur vers des destinations non validées
P4 · Moyenne · CVE-2026-111761 — Avec les notifications push activées, le SDK A2A Java peut envoyer des données de tâche à une destination choisie par…
-
A2A Java SDK : identifiants de notification push exposés dans les journaux
P4 · Moyenne · CVE-2026-111762 — En cas d’échec de désérialisation protobuf d’une requête, le gestionnaire REST du SDK A2A Java journalise le corps JSON complet.…
-
aiohttp : désynchronisation de requêtes avec l’analyseur HTTP purement Python
P4 · Moyenne · CVE-2026-111750 — L’analyseur HTTP purement Python d’aiohttp est vulnérable à une attaque par désynchronisation de requêtes lorsque l’application utilise ce parseur. L’avis…
-
virtualenv : modification des permissions de la cible d’un lien symbolique
P4 · Moyenne · CVE-2026-113724 — Dans le traitement d’une erreur de suppression, virtualenv peut appliquer les permissions d’un lien symbolique à sa cible, car il…
-
virtualenv : redirection d’écritures par des liens prépositionnés
P4 · Moyenne · CVE-2026-113721 — Avant virtualenv 21.14.9, certains liens symboliques ou matériels déjà présents dans la destination pouvaient rediriger l’écriture de fichiers générés hors…