Le journal DFS
Veille sécurité
-
GHSA-259h-r4vh-ph5j : paquet npm malveillant tailwindcss-effect-lab
P3 · Critique — L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 0.0.0-stage et 1.6.7 requièrent une dépendance privée…
-
GHSA-6hg9-v89p-9w82 : paquet npm malveillant tailwindcss-animate-catalog
P3 · Critique — L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : ses versions 2.0.6 et 2.0.7 requièrent une dépendance privée…
-
PHP : nouvelle vulnérabilité RCE divulguée
P4 — Le 23 octobre, le CERT-EU a relayé la divulgation par PHP d’une nouvelle vulnérabilité d’exécution de code à distance, concernant des applications configurées d’une…
-
DB-GPT expose une instance MySQL avec des identifiants root statiques
P3 · Critique · CVE-2026-77933 — La configuration Docker par défaut de DB-GPT jusqu’à la version 0.8.2 fixe un mot de passe root MySQL et expose…
-
TinyMCE Thumbnail Gallery : traversée de répertoires et lecture de fichiers
P2 · Élevée · CVE-2012-20002 — TinyMCE Thumbnail Gallery contient une traversée de répertoires dans les versions antérieures à 1.1.0, susceptible de permettre la lecture de…
-
Paquet PyPI malveillant déclenché au chargement de Python
P2 · Critique — Un paquet PyPI malveillant, `security-research-startup-snapshot-810764b303` version 0.1.0, a été signalé le 2026-10-20. Son fichier `.pth` s’exécute au chargement de Python et collecte…
-
Apache Kylin : désérialisation Java non sûre via un service de cache externe
P4 · CVE-2026-64610 — Apache Kylin est affecté par une désérialisation Java non sûre pouvant survenir à partir d’un service de cache externe défaillant. Les versions…
-
Debian publie une mise à jour de sécurité pour Chromium
P4 — Debian a publié DLA-4838-1 pour corriger des problèmes de sécurité dans Chromium. Les conséquences indiquées comprennent l’exécution de code, le déni de service ou…
-
Debian corrige plusieurs vulnérabilités dans gst-plugins-bad1.0
P4 — Debian a publié DLA-4839-1 pour corriger plusieurs vulnérabilités dans gst-plugins-bad1.0. Le traitement de fichiers multimédias spécialement conçus ou de données réseau pouvait entraîner un…
-
DLA-4840-1 : correctifs d’erreurs mémoire dans jq sans CVE indiqué
P4 — DLA-4840-1 corrige également deux erreurs mémoire dans jq sans identifiant CVE indiqué. L’une concerne une double libération dans args2obj() lors de l’utilisation de jq_compile_args()…