Le journal DFS
Journal technique
-
Injection de commandes dans @enmaso/node-convert
P3 · Critique · CVE-2026-107703 — Le paquet `@enmaso/node-convert` passe des arguments de fichier non assainis à une commande ImageMagick exécutée par `child_process.exec()`, permettant une injection…
-
Injection de commandes système dans ppt2png
P3 · Critique · CVE-2026-107699 — Le paquet `ppt2png` utilise `child_process.exec()` avec des chemins d’entrée ou de sortie non assainis, ce qui permet une injection de…
-
Paquet npm hardhat-pack 2.0.1 signalé comme malveillant
P3 · Critique — L’avis signale du code malveillant dans `hardhat-pack` version 2.0.1 : l’importation du paquet charge une grande charge utile JavaScript obfusquée sans justification…
-
Injection de code dans dot-access
P3 · Critique · CVE-2026-107700 — Dans `dot-access`, le chemin fourni à `get()` est incorporé dans le corps d’une fonction JavaScript construite dynamiquement, ce qui permet…
-
Bricksforge : téléversement de fichier arbitraire sans authentification
P3 · Critique · CVE-2026-85097 — Bricksforge jusqu’à la version 3.1.8.9 incluse permet le téléversement non authentifié de fichiers arbitraires en raison d’une validation insuffisante d’un…
-
Super Forms : suppression arbitraire de répertoires
P3 · Critique · CVE-2026-17609 — Super Forms jusqu’à la version 6.3.316 incluse comporte une faille dans submit_form permettant à un attaquant non authentifié de supprimer…
-
Paquet npm malveillant animatecss-tailwind-bridge 2.0.6 associé à des leurres de recrutement
P2 · Critique — L’avis signale que `animatecss-tailwind-bridge` 2.0.6 est utilisé dans des leurres de faux entretiens et dépend d’un paquet npm privé qui peut charger…
-
Paquet npm malveillant tailwind-animatecss-uniform 2.0.7 lié à une campagne de faux entretiens
P2 · Critique — L’avis signale que `tailwind-animatecss-uniform` 2.0.7 est associé à une campagne de faux entretiens et dépend d’un paquet privé susceptible de charger du…
-
Paquet npm malveillant animatecss-tailwind-adapter 2.0.6 dans une campagne de faux entretiens
P2 · Critique — L’avis signale que `animatecss-tailwind-adapter` 2.0.6 fait partie d’une campagne de faux entretiens et dépend d’un paquet npm privé utilisé pour charger du…
-
CISA ajoute CVE-2023-22894 de Strapi au catalogue KEV
P1 · Moyenne · CVE-2023-22894 — CISA a ajouté CVE-2023-22894 à son catalogue Known Exploited Vulnerabilities le 2026-10-08. La faille permet à un utilisateur ayant accès…