Le journal DFS
Côté navigateur
-
Plane : XSS via les descriptions des tickets d’intake
P3 · Élevée · CVE-2026-104979 — Plane ne validait pas le contenu HTML de la description d’un ticket créé via l’endpoint d’intake public, permettant à un…
-
adm-zip : élévation de privilèges possible lors de l’extraction d’archives ZIP
P3 · Élevée · CVE-2026-102282 — Une archive ZIP spécialement conçue peut faire créer par adm-zip un fichier extrait avec les bits setuid/setgid/sticky lorsque `keepOriginalPermission=true` est…
-
Paquet npm malveillant se faisant passer pour une bibliothèque Nuxt
P3 — L’avis signale un paquet npm malveillant se présentant comme une bibliothèque d’internationalisation Nuxt, dont le code ne fournit pas les fonctionnalités attendues et transmet…
-
locutus : pollution de prototype dans parse_str
P3 · Critique · CVE-2026-25521 — locutus présente une pollution de prototype dans parse_str : une entrée spécialement construite peut contourner le contrôle de clé interdite…
-
Code malveillant dans le paquet npm hardhat-spack
P3 · Critique — Le paquet npm `hardhat-spack` version 3.0.2 lance un processus enfant qui contacte un service distant et transmet la réponse à une fonction…
-
Code malveillant dans le paquet npm @angulr/core
P3 · Critique — L’avis signale que `@angulr/core@22.2.1` se fait passer pour le paquet Angular officiel et exécute un script JavaScript distant lors de l’installation. Ce…
-
Code malveillant dans le paquet npm @angjlar/core
P3 · Critique — L’avis signale que `@angjlar/core@22.2.1` usurpe l’identité de `@angular/core` et lance un script JavaScript distant pendant l’installation npm. Le code distant est mutable…
-
Code malveillant dans le paquet npm @anfular/core
P3 · Critique — L’avis signale que `@anfular/core@22.2.1` imite le paquet officiel `@angular/core` et exécute un script JavaScript distant via un hook `postinstall`. Le script n’est…
-
Paquet npm malveillant chai-as-testmode
P3 · Critique — L’avis décrit `chai-as-testmode` 1.4.7 comme paquet malveillant qui transmet l’environnement du processus à un serveur distant, puis exécute le JavaScript reçu. Retirez…
-
Paquet npm malveillant tailwindcss-forms-styles
P3 · Critique — L’avis identifie `tailwindcss-forms-styles` 0.5.1 comme paquet npm malveillant : du code exécuté au chargement du module récupère un payload distant puis l’exécute.…