Le journal DFS
Journal technique
-
Logiciel malveillant signalé dans @airbnb-extended/typescript-config
P3 · Critique — GitHub Advisory Database signale comme malveillant le paquet npm `@airbnb-extended/typescript-config`. L’avis recommande de retirer le paquet et de considérer comme compromis tout…
-
Mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 : paquet npm malveillant usurpant une intégration NestJS Swagger
P3 · Critique — Une mise à jour de l’avis GHSA-7hxg-fr5p-9hp5 signale un paquet npm malveillant se faisant passer pour une intégration NestJS Swagger. Lors de…
-
Square Squash : désérialisation YAML non sûre via l’API de symbolication
P3 · Critique · CVE-2026-109391 — Square Squash permet à un utilisateur non authentifié d’enregistrer des données YAML contrôlées via l’API de symbolication; ces données peuvent…
-
Python : plantage ou usage d’un pointeur libéré dans un serveur TLS
P4 · CVE-2026-19445 — Un client TLS distant et non authentifié pouvait provoquer le plantage d’un serveur ou un appel via un pointeur libéré si son…
-
Python : déni de service par expressions régulières dans `csv.Sniffer`
P4 · CVE-2026-18503 — Des échantillons CSV contrôlés par un attaquant pouvaient déclencher une correspondance superlinéaire par expression régulière dans `csv.Sniffer.sniff()`. Le traitement de tels échantillons…
-
Python : vérification incorrecte de tables Unicode dans `stringprep`
P4 · CVE-2026-17084 — Le module `stringprep` utilisait les propriétés Unicode actuelles des points de code au lieu de celles de Unicode 3.2.0, exigées par la…
-
Python : transmission d’identifiants HTTPS sur une connexion HTTP
P4 · CVE-2026-15806 — `urllib.request.HTTPPasswordMgr` et ses sous-classes ne tenaient pas compte du schéma de l’URL lors de la recherche des identifiants enregistrés. Des identifiants destinés…
-
Python : épuisement de mémoire lors de la décompression d’archives ZIP
P4 · CVE-2026-15310 — Lors de la décompression d’archives ZIP utilisant bzip2 ou LZMA, `zipfile` pouvait se servir d’une taille contrôlée par l’attaquant pour préallouer de…
-
Python : déni de service par analyse quadratique de HTML incomplet
P4 · CVE-2026-15308 — L’analyse incrémentale par `html.parser.HTMLParser` de constructions longues et non terminées, telles que des balises ou des commentaires, pouvait prendre un temps quadratique.…
-
Python : écritures hors limites après réutilisation d’un décompresseur bz2
P4 · CVE-2026-9669 — Après une erreur de décompression, un objet `bz2.BZ2Decompressor` pouvait être réutilisé. Si l’application interceptait l’`OSError` puis relançait la décompression avec le même…