Le journal DFS
debian
-
Python : injection de balisage via `Morsel.js_output()`
P4 · CVE-2026-6019 — `http.cookies.Morsel.js_output()` produisait une séquence intégrée dans une page sans neutraliser les valeurs de cookie contrôlées par un attaquant. Ces valeurs pouvaient donc…
-
Python : consommation excessive de CPU lors de la normalisation Unicode
P4 · CVE-2026-3276 — `unicodedata.normalize()` pouvait consommer un temps processeur excessif lors du traitement de séquences Unicode spécialement conçues comportant de longues séries de caractères combinatoires…
-
Python : injection d’en-têtes HTTP dans les tunnels proxy
P4 · CVE-2026-1502 — `http.client` ne rejetait pas les octets CR/LF dans le nom d’hôte du tunnel proxy ni dans ses en-têtes de requête. Un attaquant…
-
Python : déni de service via des déclarations HTML malformées
P4 · CVE-2025-69534 — Un défaut de `html.parser.HTMLParser` permettait à des déclarations de balisage malformées de provoquer une `AssertionError` non interceptée. Une application analysant du HTML…
-
GStreamer RTSP : déni de service via les en-têtes Digest
P4 · CVE-2026-85150 — L’avis Debian DLA-4828-1 corrige un déréférencement de pointeur nul dans la bibliothèque RTSP de GStreamer lors de l’analyse d’en-têtes d’authentification Digest. Une…
-
GStreamer : dépassement de tampon dans le décodeur OPUS
P4 · CVE-2026-18297 — L’avis Debian DLA-4828-1 corrige un dépassement de tampon dans le décodeur audio OPUS de GStreamer. Le traitement d’un fichier audio malformé pouvait…
-
Rails : suppression de fichiers non visés dans Active Storage
P4 · CVE-2026-33202 — L’avis Debian DLA-4829-1 corrige un défaut dans delete_prefixed du service disque d’Active Storage. Les métacaractères glob du préfixe n’étaient pas échappés et…
-
Rails : traversée de répertoires dans Active Storage
P4 · CVE-2026-33195 — L’avis Debian DLA-4829-1 corrige une traversée de répertoires dans le service disque d’Active Storage. Des clés contenant « ../ » pouvaient sortir…
-
Rails : déni de service via les helpers numériques d’Action View
P4 · CVE-2026-33176 — L’avis Debian DLA-4829-1 corrige un risque de déni de service dans les helpers numériques d’Action View. La conversion d’une notation scientifique, par…
-
Rails : contournement de la détection de type de contenu dans Active Storage
P4 · CVE-2026-33173 — L’avis Debian DLA-4829-1 corrige un défaut dans les téléversements directs d’Active Storage. Des métadonnées fournies par le client pouvaient contourner la détection…