Le journal DFS
Veille sécurité
-
CVE-2026-101769 : déni de service et accès aux données dans MySQL Cluster
P3 · Élevée · CVE-2026-101769 — Une vulnérabilité de MySQL Cluster peut être exploitée à distance sans authentification pour provoquer un déni de service et permettre…
-
CVE-2026-101679 — déni de service dans MySQL Client programs
P3 · Élevée · CVE-2026-101679 — Une vulnérabilité du composant Client programs de MySQL Server et MySQL Cluster peut permettre à un attaquant distant non authentifié…
-
Pillow : injection d’arguments dans l’appel à Ghostscript lors du rendu EPS
P3 · Critique · CVE-2026-112900 — Lors du rendu d’une image EPS, Pillow transmet le nom du fichier à Ghostscript sans neutraliser les noms interprétables comme…
-
Pillow : corruption mémoire lors du chargement de certaines images multi-images
P3 · Critique · CVE-2026-96639 — Pillow peut réutiliser un tampon natif d’une image précédente après un changement de mode dans certains chargeurs multi-images, entraînant une…
-
Amazon SageMaker Python SDK : validation insuffisante du compartiment S3 par défaut
P3 · Critique · CVE-2026-112408 — La fonction default_bucket() du SDK Python Amazon SageMaker ne vérifie pas suffisamment la propriété du compartiment S3 utilisé, ce qui…
-
vLLM : exécution de code via code_revision contrôlable dans les requêtes multimodales
P3 · Élevée · CVE-2026-114053 — Dans certaines configurations vLLM, un client peut contrôler `mm_processor_kwargs.code_revision` et faire charger du code Python provenant d’une révision contrôlée du…
-
Sentry JavaScript : contournement du middleware avec tunnelRoute et webpack
P3 · Critique · CVE-2026-114139 — Avec tunnelRoute et une compilation webpack, l’exclusion du middleware peut couvrir des chemins plus larges que ceux réellement traités par…
-
Lagoon — exécution de code arbitraire via le service ssh
P3 · Critique · CVE-2026-113788 — Une vulnérabilité du service ssh de Lagoon core permet à un utilisateur disposant d’un compte Lagoon d’exécuter du code arbitraire,…
-
CVE-2026-114108 — absence d’authentification sur l’interface FastAPI de HKUDS Vibe-Trading
P3 · Critique · CVE-2026-114108 — CVE-2026-114108 concerne HKUDS Vibe-Trading, et non le paquet ou le projet FastAPI lui-même : une absence d’authentification sur son interface…
-
PHP : état global périmé pouvant mener à une exécution de code à distance (CVE-2026-109619)
P1 · Critique · CVE-2026-109619 — PHP peut conserver un état global qui pointe vers la mémoire d’une requête après sa libération, ou le repeupler après…