Le journal DFS
Côté navigateur
-
Paquet npm malveillant `express-javascript` exécutant du code à l’installation
P3 · Critique — L’avis signale que le paquet npm typosquattant `express-javascript` lance un script JavaScript distant lors de son installation. Le script provient d’une branche…
-
Paquet npm malveillant `exprdd` exécutant du code à l’installation
P3 · Critique — L’avis signale que le paquet npm `exprdd`, qui imite Express, exécute du JavaScript distant lors de son installation. Le script est récupéré…
-
DLA-4799-1 : faille de filtrage des URL javascript dans lxml
P4 · CVE-2026-49825 — Une faille de lxml permet au Cleaner de laisser passer des URL `javascript:` dans des attributs URL avec espace de noms, tels…
-
@grpc/grpc-js — divulgation au client des messages d’erreur du serveur
P4 · Faible · CVE-2026-101915 — Avant les versions corrigées, @grpc/grpc-js transmet au client le message d’erreur d’une exception non interceptée par un gestionnaire de méthode…
-
Book Library (Free) : XSS réfléchie dans la page de détail d’un livre
P4 · Moyenne · CVE-2026-101111 — Book Library (Free) reflétait le paramètre de requête title dans un attribut HTML sans échappement, permettant une XSS réfléchie. Les…
-
ip-address — classification incomplète des adresses IPv6 lien-local
P4 · Moyenne · CVE-2026-101913 — La méthode Address6.isLinkLocal d’ip-address reconnaît seulement fe80::/64 au lieu de l’ensemble de la plage lien-local IPv6 fe80::/10. Une adresse attaquante…
-
ip-address : contournement possible de listes d’autorisation par comparaison IPv4/IPv6
P4 · Moyenne · CVE-2026-101912 — Une erreur de vérification entre adresses IPv4 et IPv6 dans `isInSubnet()` et `isHostInSubnet()` peut faire accepter une adresse qui n’appartient…
-
ip-address — consommation excessive de ressources lors de l’analyse IPv6
P4 · Moyenne · CVE-2026-101911 — Dans `ip-address`, l’analyse de chaînes IPv6 sans limite de longueur peut construire un diagnostic proportionnel, voire très supérieur, à la…
-
ip-address — classification incorrecte d’une plage NAT64 à usage local
P4 · Moyenne · CVE-2026-101910 — La bibliothèque ip-address ne reconnaît pas la plage NAT64 à usage local 64:ff9b:1::/48 comme privée dans son classificateur IPv6. Si…
-
Dayforce Payroll — XSS réfléchie dans plusieurs points d’entrée
P4 · Moyenne · CVE-2026-73641 — Dayforce Payroll présente une XSS réfléchie sur plusieurs points d’entrée : une URL spécialement conçue peut provoquer l’exécution de JavaScript…