Le journal DFS
Côté navigateur
-
Redirections inter-origines susceptibles de divulguer des données du client MCP
P4 · Moyenne · CVE-2026-111769 — Les transports HTTP et certaines requêtes OAuth pouvaient suivre une redirection vers une autre origine en conservant des en-têtes personnalisés…
-
Vitest sous Windows : lecture de fichiers hors des chemins autorisés
P4 · Moyenne · CVE-2026-112950 — Sous Windows, Vitest interprète différemment les antislashs dans le contrôle d’accès aux fichiers et dans leur lecture. Un client pouvant…
-
Vitest : injection de code via l’enregistrement non authentifié de mocks manuels
P4 · Moyenne · CVE-2026-112949 — Le plugin d’interception de mocks de Vitest accepte des enregistrements manuels non authentifiés par WebSocket et insère une URL de…
-
Angular : fuite possible du jeton XSRF via une URL mal normalisée
P4 · Moyenne · CVE-2026-111753 — Lorsque la protection XSRF est activée, l’intercepteur `xsrfInterceptorFn` d’Angular peut traiter à tort certaines URL contrôlées par un attaquant comme…
-
Angular SSR : redirection vers une origine externe par normalisation d’URL
P4 · Moyenne · CVE-2026-111754 — Dans Angular SSR, la normalisation d’une URL peut permettre de contourner une vérification préalable et de produire un chemin commençant…
-
Vite : divulgation des premiers octets de fichiers hors des règles server.fs
P4 · Moyenne · CVE-2026-112947 — Vite présente une divulgation de données hors des chemins autorisés par `server.fs` via le traitement des requêtes `?vite-wasm-instance`. Dans certaines…
-
Vite : divulgation possible d’un fichier hôte via safeModulePaths
P4 · Moyenne · CVE-2026-112946 — Dans Vite, l’analyse des imports peut inscrire une URL navigateur root-relative dans safeModulePaths au lieu de l’identifiant de module résolu…
-
launch-editor : nom de fichier relatif interprété comme option d’éditeur
P4 · Moyenne · CVE-2026-112944 — launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs…
-
ApostropheCMS : épuisement de ressources non authentifié via l’import par blocs
P3 · Élevée · CVE-2026-113711 — Une vulnérabilité de consommation incontrôlée de ressources dans le traitement des imports par blocs de `@apostrophecms/import-export` permet à un attaquant…
-
markdown-it : déni de service algorithmique par définition de référence multilignes
P3 · Élevée · CVE-2026-111758 — markdown-it peut traiter en temps quadratique une définition de référence Markdown multilignes dont le libellé ou le titre reste ouvert,…