Le journal DFS
Côté navigateur
-
Injection de code dans le backend Python d’Elo via son API AST
P3 · Élevée · CVE-2026-44265 — L’API AST programmatique d’Elo laisse plusieurs champs non validés être interpolés directement dans le code généré, notamment pour son backend…
-
cordova-plugin-advanced-http : divulgation de cookies lors de redirections
P3 · Élevée · CVE-2026-121554 — Les versions 1.5.0 à 3.3.1 de cordova-plugin-advanced-http peuvent divulguer des cookies à un hôte tiers lors de redirections. La couche…
-
Elo : évasion du bac à sable par accès non filtré à `constructor`
P3 · Critique · CVE-2026-44267 — L’émetteur JavaScript Elo permettait l’accès non filtré à des propriétés comme `constructor`, ce qui pouvait transformer une entrée Elo contrôlée…
-
node-opcua : contournement des contrôles d’accès par défaut d’un espace de noms
P3 · Critique · CVE-2026-95860 — Dans node-opcua, les permissions par défaut configurées au niveau d’un espace de noms pouvaient ne pas être appliquées aux nœuds…
-
Elo : exécution de code Ruby dans le backend de compilation
P3 · Critique · CVE-2026-44266 — Avant Elo 1.0.1, le backend Ruby insère sans échappement certains textes contrôlés par l’attaquant dans des chaînes Ruby entre guillemets…
-
Malware signalé dans le paquet npm scdn-jquery
P3 · Critique — L’avis GHSA-hvpp-rx4h-crg5 signale un logiciel malveillant dans le paquet npm `scdn-jquery`, et non une vulnérabilité de la bibliothèque jQuery elle-même. Il recommande…
-
GHSA-q54x-hhg5-963x : paquet npm malveillant @mobile-platform/magnetic-components
P4 — L’avis porte sur un paquet npm malveillant, @mobile-platform/magnetic-components, dont l’installation exécute un script preinstall. Les versions 0.0.1 et 0.0.2 écrivent un fichier marqueur, tandis…
-
Paquet npm scdn-jquery 0.1.6 malveillant
P4 — Un paquet npm malveillant nommé scdn-jquery, distinct du projet officiel jQuery, contient en version 0.1.6 un chargeur obfusqué qui, lorsqu’il est servi comme script…
-
QuickJS-NG : fuite mémoire dans Atomics.store
P4 · Moyenne · CVE-2026-120440 — QuickJS-NG antérieur à 0.16.0 comportait une fuite mémoire dans js_atomics_store() lorsque la conversion d’une valeur échouait avec RangeError, pouvant permettre…
-
wrensec-commons : XSS réfléchie via le paramètre _mimeType
P4 · Moyenne · CVE-2026-2102 — Une faille XSS réfléchie dans le binding HTTP CREST de wrensec-commons permettait à un paramètre _mimeType de faire interpréter une…