Le journal DFS
Veille sécurité
-
CVE-2026-86002 : exécution de commandes arbitraires via Dokku
P3 · Critique · CVE-2026-86002 — Dans Dokku avant 0.38.25, un utilisateur disposant d’un accès au niveau d’une application et d’un accès SSH permettant d’exécuter les…
-
Dgraph Zero : routes administratives accessibles sans authentification
P3 · Critique · CVE-2026-102748 — Dgraph Zero expose des routes HTTP administratives sans authentification lorsque son interface d’administration est activée. Un attaquant distant pouvant joindre…
-
thumbnail : injection de commandes lors de la génération de vignettes
P3 · Critique · CVE-2026-110650 — Le paquet Python `thumbnail` présente une injection de commandes dans `generate_thumbnail()` lorsque le chemin d’un fichier contrôlé par un attaquant…
-
pypdftk : injection de commandes via les chemins de fichiers
P3 · Critique · CVE-2026-110636 — pypdftk permet une injection de commandes système lorsque les chemins fournis à certaines fonctions sont incorporés dans des commandes shell.…
-
Paquet npm malveillant @newspage/libx-amount
P3 · Critique — Les versions 99.99.4 et 99.99.41 de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou…
-
Paquet npm malveillant @newspage/lib-ng-async-routes-ui
P3 · Critique — Les versions 99.99.4 et versions antérieures de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require`…
-
Injection de commandes dans nodejs-whisper
P3 · Critique · CVE-2026-110644 — nodejs-whisper jusqu’à la version 0.3.1 incluse est vulnérable à une injection de commandes lors de la conversion audio si un…
-
Injection de commandes dans transcribe2texts
P3 · Critique · CVE-2026-110643 — transcribe2texts jusqu’à la version 1.0.6 incluse permet une injection de commandes via la valeur `audioPath` fournie à `transcribeAudio()`. Un chemin…
-
Injection de commandes dans Whisper-node
P3 · Critique · CVE-2026-110640 — Whisper-node jusqu’à la version 1.1.1 incluse permet une injection de commandes via des valeurs contrôlées de `filePath` ou `whisperOptions.language` transmises…
-
Injection de commandes dans doc-recog
P3 · Critique · CVE-2026-110638 — doc-recog jusqu’à la version 1.1.6 incluse permet une injection de commandes via des chemins de documents transmis à `recog()` ou…