Le journal DFS
Backend & données
-
Validation insuffisante de l’audience des jetons dans le SDK MCP TypeScript
P4 · Moyenne · CVE-2026-111771 — L’authentification bearer côté serveur du SDK MCP TypeScript pouvait accepter un jeton valide destiné à un autre service lorsque l’audience…
-
launch-editor : nom de fichier relatif interprété comme option d’éditeur
P4 · Moyenne · CVE-2026-112944 — launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs…
-
A2A Java SDK : contrôle d’autorisation absent par défaut sur les tâches
P3 · Élevée · CVE-2026-111764 — Dans la configuration par défaut du magasin de tâches A2A Java, la lecture d’une tâche ne vérifie pas que l’appelant…
-
A2A Java SDK Android : identifiants transférés lors de redirections
P3 · Élevée · CVE-2026-111765 — Dans les versions Android du SDK A2A Java allant de 1.3.0.Final à 1.3.1.Final, le chemin POST synchrone peut suivre des…
-
Pillow : récursion non bornée lors de l’analyse de certains PDF
P3 · Élevée · CVE-2026-112895 — Pillow peut subir une récursion non bornée lors de l’analyse d’un PDF existant auquel une application veut ajouter du contenu.…
-
virtualenv : exécution de commandes dans Bash via un nom d’environnement mal échappé
P3 · Élevée · CVE-2026-113725 — Avant la version 21.14.7, le script d’activation Bash de `virtualenv` n’échappe pas correctement le nom de l’environnement lors des deux…
-
virtualenv : injection de syntaxe dans le prompt d’activation bash
P3 · Élevée · CVE-2026-113723 — Avant virtualenv 21.14.9, le texte de prompt fourni par l’appelant pouvait être interprété comme une syntaxe exécutable dans le prompt…
-
virtualenv : injection shell dans les lanceurs POSIX générés
P3 · Élevée · CVE-2026-113722 — Les lanceurs POSIX générés par virtualenv peuvent interpréter comme syntaxe shell des métacaractères présents dans le chemin de destination de…
-
virtualenv : exécution de code via un script d’activation xonsh
P3 · Élevée · CVE-2026-113718 — Avant virtualenv 21.14.9, le script d’activation POSIX pour xonsh pouvait encoder des données non ASCII en UTF-8 alors que xonsh…
-
filelock : opérations SQLite sur des fichiers auxiliaires manipulables
P3 · Élevée · CVE-2026-112940 — Dans filelock sur POSIX, ReadWriteLock laisse SQLite rouvrir la base et ses fichiers auxiliaires par nom, ce qui peut exposer…