Le journal DFS
Deno
-
Zuke : suivi de liens symboliques dans les commandes d’échafaudage
P4 · Moyenne · CVE-2026-119291 — Avant la version 1.4.0, @zuke/cli inspectait certains noms d’échafaudage sans empêcher ensuite les opérations de lecture, d’écriture ou de changement…
-
Zuke : exposition possible de secrets dans le résumé GitHub Actions
P3 · Élevée · CVE-2026-119290 — Avant la version 1.51.0, @zuke/core pouvait écrire des notes de résumé GitHub Actions sans appliquer le masquage des valeurs sensibles…
-
Zuke : validation insuffisante d’un workflow GitHub déclenché
P3 · Élevée · CVE-2026-119289 — Avant la version 1.10.0, la vérification de workflow de @zuke/gh pouvait accepter un résultat de workflow_dispatch en se fondant seulement…
-
Zuke : injection de commande lors du lancement de shims Windows
P3 · Élevée · CVE-2026-119288 — Avant la version 1.51.0, @zuke/core pouvait lancer certains exécutables Windows `.cmd` et `.bat` en assemblant une ligne de commande que…
-
Zuke : contournement de l’autorisation d’exécution dans le registre MCP
P3 · Élevée · CVE-2026-119287 — Avant la version 1.51.0, le mode registre MCP de @zuke/core pouvait accepter des descripteurs de commande sans appliquer la restriction…
-
Injection de commandes dans `node:child_process` sous Windows
P3 · Critique · CVE-2026-103473 — Une injection de commandes affecte `node:child_process` sous Windows lorsque des arguments non fiables sont utilisés avec l’option `shell`. L’attaquant peut…
-
Déni de service possible via le fallback JavaScript de `pbkdf2` utilisé par Deno
P4 · Moyenne · CVE-2026-102414 — Une vulnérabilité de déni de service dans le fallback JavaScript de `pbkdf2` peut rendre le calcul coûteux lorsqu’un mot de…
-
Axios : la limite maxRedirects ne bloque pas les redirections avec l’adaptateur Fetch
P3 · Élevée · CVE-2026-101907 — Dans l’adaptateur Fetch d’Axios, `maxRedirects: 0` n’empêche pas le suivi des redirections, ce qui peut contourner une protection SSRF configurée…
-
CVE-2026-94038 : SSRF dans l’application Deno dim-sum-app
P3 · Moyenne · CVE-2026-94038 — Une SSRF distante dans NonceGeek dim-sum-app affecte le gestionnaire textSearchV2Handler du fichier deno/main.tsx. La correction référencée est le commit 8389032e5d52c28c4855c6126ca7d0eae8af346a.