Le journal DFS
Veille sécurité
-
@neo4j/graphql : contournement de l’authentification sur des champs @cypher
P3 · Critique · CVE-2026-92681 — Dans @neo4j/graphql jusqu’à la version 7.6.3, les directives @authentication au niveau du schéma ou des types Query/Mutation ne protégeaient pas…
-
Rapyd Admin : identifiants super-administrateur codés en dur
P3 · Critique · CVE-2026-109566 — Rapyd Admin contient des identifiants super-administrateur codés en dur, permettant à un attaquant distant non authentifié d’obtenir un accès privilégié.…
-
py2ops : paquet PyPI malveillant exécutant du code téléchargé
P3 · Critique — L’avis signale un paquet PyPI malveillant qui installe la commande `python2` et communique avec un serveur distant pour récupérer puis exécuter du…
-
CVE-2020-37279 — injection de commande dans easy-pdf-merge
P3 · Critique · CVE-2020-37279 — easy-pdf-merge utilise une commande shell construite à partir des chemins source et destination ou de l’option maxHeap ; des valeurs…
-
Logiciel malveillant signalé dans @airbnb-extended/typescript-config
P3 · Critique — GitHub Advisory Database signale comme malveillant le paquet npm `@airbnb-extended/typescript-config`. L’avis recommande de retirer le paquet et de considérer comme compromis tout…
-
Mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 : paquet npm malveillant usurpant une intégration NestJS Swagger
P3 · Critique — Une mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 signale un paquet npm malveillant se faisant passer pour une intégration NestJS Swagger. Lors de…
-
Square Squash : désérialisation YAML non sûre via l’API de symbolication
P3 · Critique · CVE-2026-109391 — Square Squash permet à un utilisateur non authentifié d’enregistrer des données YAML contrôlées via l’API de symbolication; ces données peuvent…
-
Python : plantage ou usage d’un pointeur libéré dans un serveur TLS
P4 · CVE-2026-19445 — Un client TLS distant et non authentifié pouvait provoquer le plantage d’un serveur ou un appel via un pointeur libéré si son…
-
Python : déni de service par expressions régulières dans `csv.Sniffer`
P4 · CVE-2026-18503 — Des échantillons CSV contrôlés par un attaquant pouvaient déclencher une correspondance superlinéaire par expression régulière dans `csv.Sniffer.sniff()`. Le traitement de tels échantillons…
-
Python : vérification incorrecte de tables Unicode dans `stringprep`
P4 · CVE-2026-17084 — Le module `stringprep` utilisait les propriétés Unicode actuelles des points de code au lieu de celles de Unicode 3.2.0, exigées par la…