Backend & données

P4 · CVE-2026-17084 — Le module `stringprep` utilisait les propriétés Unicode actuelles des points de code au lieu de celles de Unicode 3.2.0, exigées par la…

P4 · CVE-2026-15806 — `urllib.request.HTTPPasswordMgr` et ses sous-classes ne tenaient pas compte du schéma de l’URL lors de la recherche des identifiants enregistrés. Des identifiants destinés…

P4 · CVE-2026-15310 — Lors de la décompression d’archives ZIP utilisant bzip2 ou LZMA, `zipfile` pouvait se servir d’une taille contrôlée par l’attaquant pour préallouer de…

P4 · CVE-2026-15308 — L’analyse incrémentale par `html.parser.HTMLParser` de constructions longues et non terminées, telles que des balises ou des commentaires, pouvait prendre un temps quadratique.…

P4 · CVE-2026-9669 — Après une erreur de décompression, un objet `bz2.BZ2Decompressor` pouvait être réutilisé. Si l’application interceptait l’`OSError` puis relançait la décompression avec le même…

P4 · CVE-2026-8328 — `ftplib.ftpcp()` transmettait au serveur cible l’adresse fournie par le serveur FTP source pour la connexion de données PASV. Un serveur source malveillant…

P4 · CVE-2026-6019 — `http.cookies.Morsel.js_output()` produisait une séquence intégrée dans une page sans neutraliser les valeurs de cookie contrôlées par un attaquant. Ces valeurs pouvaient donc…

P4 · CVE-2026-3276 — `unicodedata.normalize()` pouvait consommer un temps processeur excessif lors du traitement de séquences Unicode spécialement conçues comportant de longues séries de caractères combinatoires…

P4 · CVE-2026-1502 — `http.client` ne rejetait pas les octets CR/LF dans le nom d’hôte du tunnel proxy ni dans ses en-têtes de requête. Un attaquant…

P4 · CVE-2025-69534 — Un défaut de `html.parser.HTMLParser` permettait à des déclarations de balisage malformées de provoquer une `AssertionError` non interceptée. Une application analysant du HTML…