Le journal DFS
Veille sécurité
-
OWASP Coraza WAF : contournement de règles avec des échappements octaux JavaScript
P4 · Moyenne · CVE-2026-104774 — OWASP Coraza WAF traite incorrectement certaines séquences d’échappement octales JavaScript avec la transformation t:jsDecode. Un attaquant non authentifié peut ainsi…
-
Coraza : collision de clés dans le processeur JSON pouvant contourner l’inspection du WAF
P4 · Moyenne — Le processeur JSON de Coraza a une collision de clés lors de l’aplatissement des propriétés : un nom de propriété contenant un…
-
moby/sys/user : déni de service par analyse non bornée de fichiers de comptes
P4 · Moyenne · CVE-2026-61801 — Le parseur de github.com/moby/sys/user peut consommer une quantité excessive de mémoire lorsqu’il traite des fichiers de comptes utilisateur ou de…
-
AsyncHttpClient : réutilisation inter-identités de connexions NTLM et Negotiate
P3 · Élevée · CVE-2026-107281 — CVE-2026-107281 affecte AsyncHttpClient : le pool HTTP/1.1 peut réutiliser une connexion authentifiée par NTLM ou Negotiate pour une requête portant…
-
AsyncHttpClient : vérification Digest mutuelle omise avec auth-int
P3 · Élevée · CVE-2026-107279 — CVE-2026-107279 concerne AsyncHttpClient 3.0.12 : une réponse Digest utilisant uniquement qop=auth-int peut faire accepter une authentification mutuelle qui n’a pas…
-
AsyncHttpClient : requête et identifiants envoyés après un CONNECT rejeté
P3 · Élevée · CVE-2026-107232 — CVE-2026-107232 affecte AsyncHttpClient : après le rejet d’un tunnel CONNECT, le client peut envoyer une requête destinée à l’origine, avec…
-
AsyncHttpClient : rétrogradation d’un défi Digest vers Basic
P3 · Élevée · CVE-2026-107231 — CVE-2026-107231 affecte AsyncHttpClient : un défi Digest sans nonce exploitable peut être interprété comme Basic et provoquer l’envoi du nom…
-
AsyncHttpClient : partage de connexions entre identités authentifiées
P3 · Élevée · CVE-2026-107230 — CVE-2026-107230 affecte AsyncHttpClient : des connexions authentifiées peuvent être réutilisées entre identités, notamment avec Kerberos, SPNEGO, NTLM ou des proxys…
-
PraisonAI : exécution de scripts hors du répertoire de travail par SkillTools
P3 · Élevée · CVE-2026-61443 — SkillTools pouvait exécuter un script désigné par un chemin absolu ou extérieur au répertoire de travail sans vérifier le confinement…
-
PraisonAI : exécution de code via le chargement dynamique de tools.py
P3 · Élevée · CVE-2026-61437 — Lors de l’exécution d’un workflow, la résolution d’une sortie structurée pouvait importer et exécuter un fichier tools.py voisin sans bac…