Le journal DFS
Veille sécurité
-
Code malveillant dans css-reading-display-polyfill
P4 — L’avis signale que css-reading-display-polyfill@1.0.0 exécute à son chargement des commandes de collecte d’informations système et transmet notamment des variables d’environnement à un collecteur externe.…
-
AsyncHttpClient : traitement de trames malgré un handshake WebSocket invalide
P4 · Faible · CVE-2026-107284 — CVE-2026-107284 concerne AsyncHttpClient : après un handshake WebSocket invalide, le client peut tout de même installer le pipeline et transmettre…
-
AsyncHttpClient : nonce client Digest généré de manière prévisible
P4 · Faible · CVE-2026-107283 — CVE-2026-107283 affecte AsyncHttpClient : le nonce client Digest est généré par ThreadLocalRandom plutôt que par une source cryptographiquement sûre. Mettre…
-
Pydantic AI — export de prompts de nouvelle tentative dans la télémétrie
P4 · Faible · CVE-2026-107293 — Dans certaines configurations OpenTelemetry de Pydantic AI, des invites de nouvelle tentative hors appels d’outils peuvent être exportées malgré `include_content=False`.…
-
Pydantic AI — fuite de contenu sensible dans la télémétrie OpenTelemetry
P4 · Faible · CVE-2026-107291 — Avec l’instrumentation OpenTelemetry configurée avec `include_content=False`, Pydantic AI peut encore exporter du contenu sensible de l’agent dans des événements d’exception,…
-
CVE-2026-107288 — Pydantic AI : contournement de la comparaison des domaines bloqués
P4 · Faible · CVE-2026-107288 — Dans certaines versions de Pydantic AI, le contrôle des domaines bloqués compare des noms d’hôte avant normalisation, ce qui peut…
-
msgpack5 : altération du tampon lors du décodage d’entiers signés négatifs
P4 · Faible · CVE-2026-107296 — Dans msgpack5, le décodage d’un entier signé négatif sur 64 bits modifiait les octets correspondants dans le tampon d’entrée fourni…
-
SMS Alert : divulgation de numéros de téléphone dans un réseau multisite
P4 · Faible · CVE-2026-94258 — SMS Alert avant 4.0.1 ne vérifie pas que l’administrateur qui demande les numéros de téléphone est autorisé à gérer les…
-
Appointment Booking Plugin : suppression non autorisée d’enregistrements
P4 · Faible · CVE-2026-105197 — Avant la version 5.6.5, Appointment Booking Plugin ne vérifie pas qu’un utilisateur du personnel est autorisé à supprimer l’enregistrement ciblé.…
-
Appointment Booking Plugin : contrôle d’accès insuffisant dans l’API AI Abilities
P4 · Faible · CVE-2026-105196 — Avant la version 5.6.9, Appointment Booking Plugin ne vérifie pas correctement l’autorisation sur les enregistrements visés par plusieurs actions de…