Le journal DFS
Journal technique
-
Rails : contournement de la détection de type de contenu dans Active Storage
P4 · CVE-2026-33173 — L’avis Debian DLA-4829-1 corrige un défaut dans les téléversements directs d’Active Storage. Des métadonnées fournies par le client pouvaient contourner la détection…
-
Rails : XSS via le formatage de SafeBuffer
P4 · CVE-2026-33170 — L’avis Debian DLA-4829-1 corrige un défaut de traitement des SafeBuffer dans Active Support. Le formatage avec l’opérateur % pouvait marquer comme sûre…
-
Rails : déni de service avec number_to_delimited
P4 · CVE-2026-33169 — L’avis Debian DLA-4829-1 corrige un risque de déni de service dans Active Support. Le traitement de longues chaînes de chiffres par number_to_delimited…
-
Rails : XSS via des attributs HTML au nom vide
P4 · CVE-2026-33168 — L’avis Debian DLA-4829-1 corrige une vulnérabilité XSS dans Action View, causée par l’absence d’échappement de certains attributs HTML. Elle est corrigée en…
-
Code malveillant dans css-flow-render-shim
P4 — L’avis fourni décrit css-flow-render-shim@1.0.0 comme un paquet malveillant qui imite des composants internes Wix et collecte des informations système et d’environnement avant de les…
-
Code malveillant dans wix-ssr-thunderbolt-grid-polyfill
P4 — L’avis GitHub décrit wix-ssr-thunderbolt-grid-polyfill@0.1.0 comme un paquet malveillant qui collecte des informations sur l’environnement SSR, le système de fichiers et le réseau, puis les…
-
Code malveillant dans css-reading-display-polyfill
P4 — L’avis signale que css-reading-display-polyfill@1.0.0 exécute à son chargement des commandes de collecte d’informations système et transmet notamment des variables d’environnement à un collecteur externe.…
-
AsyncHttpClient : traitement de trames malgré un handshake WebSocket invalide
P4 · Faible · CVE-2026-107284 — CVE-2026-107284 concerne AsyncHttpClient : après un handshake WebSocket invalide, le client peut tout de même installer le pipeline et transmettre…
-
AsyncHttpClient : nonce client Digest généré de manière prévisible
P4 · Faible · CVE-2026-107283 — CVE-2026-107283 affecte AsyncHttpClient : le nonce client Digest est généré par ThreadLocalRandom plutôt que par une source cryptographiquement sûre. Mettre…
-
Pydantic AI — export de prompts de nouvelle tentative dans la télémétrie
P4 · Faible · CVE-2026-107293 — Dans certaines configurations OpenTelemetry de Pydantic AI, des invites de nouvelle tentative hors appels d’outils peuvent être exportées malgré `include_content=False`.…