Le journal DFS
Backend & données
-
AsyncHttpClient : traitement de trames malgré un handshake WebSocket invalide
P4 · Faible · CVE-2026-107284 — CVE-2026-107284 concerne AsyncHttpClient : après un handshake WebSocket invalide, le client peut tout de même installer le pipeline et transmettre…
-
AsyncHttpClient : nonce client Digest généré de manière prévisible
P4 · Faible · CVE-2026-107283 — CVE-2026-107283 affecte AsyncHttpClient : le nonce client Digest est généré par ThreadLocalRandom plutôt que par une source cryptographiquement sûre. Mettre…
-
Pydantic AI — export de prompts de nouvelle tentative dans la télémétrie
P4 · Faible · CVE-2026-107293 — Dans certaines configurations OpenTelemetry de Pydantic AI, des invites de nouvelle tentative hors appels d’outils peuvent être exportées malgré `include_content=False`.…
-
Pydantic AI — fuite de contenu sensible dans la télémétrie OpenTelemetry
P4 · Faible · CVE-2026-107291 — Avec l’instrumentation OpenTelemetry configurée avec `include_content=False`, Pydantic AI peut encore exporter du contenu sensible de l’agent dans des événements d’exception,…
-
CVE-2026-107288 — Pydantic AI : contournement de la comparaison des domaines bloqués
P4 · Faible · CVE-2026-107288 — Dans certaines versions de Pydantic AI, le contrôle des domaines bloqués compare des noms d’hôte avant normalisation, ce qui peut…
-
msgpack5 : altération du tampon lors du décodage d’entiers signés négatifs
P4 · Faible · CVE-2026-107296 — Dans msgpack5, le décodage d’un entier signé négatif sur 64 bits modifiait les octets correspondants dans le tampon d’entrée fourni…
-
Pilote PHP MongoDB : dépassement de tampon lors de l’encodage BSON
P4 · Faible · CVE-2026-106432 — Le pilote PHP MongoDB pouvait tronquer à 32 bits la longueur d’une chaîne BSON sans validation, ce qui peut entraîner…
-
AsyncHttpClient : fuite de l’authentification proxy dans une requête WebSocket
P4 · Moyenne · CVE-2026-107285 — CVE-2026-107285 affecte AsyncHttpClient : une requête WebSocket ws passant par un proxy peut transmettre au serveur d’origine la valeur Proxy-Authorization…
-
AsyncHttpClient : attribut Domain de cookie non validé contre les suffixes publics
P4 · Moyenne · CVE-2026-107280 — CVE-2026-107280 affecte AsyncHttpClient : le magasin de cookies partagé n’écarte pas les suffixes publics, ce qui peut permettre à un…
-
PraisonAI : lecture de fichiers hors projet dans les invites de commandes personnalisées
P4 · Moyenne · CVE-2026-60088 — Les modèles de commandes personnalisées pouvaient lire des fichiers désignés par des chemins absolus ou traversant le répertoire du projet,…