Le journal DFS
Express
-
WooCommerce Stripe Payment Gateway : mots de passe enregistrés en clair
P4 · Moyenne · CVE-2026-123145 — WooCommerce Stripe Payment Gateway en version 10.9.0 enregistrait en clair dans les métadonnées de commande le mot de passe choisi…
-
@eeacms/volto-chatbot : proxy non authentifié vers l’API Danswer
P3 · Élevée — Une route middleware non authentifiée de `@eeacms/volto-chatbot` relaie des requêtes vers l’API Danswer avec les identifiants de service configurés, permettant d’appeler des…
-
Contournement de middleware Express monté sur un chemin dans @fastify/express
P3 · Critique · CVE-2026-112362 — Dans @fastify/express 4.0.5 à 4.0.8, une requête HTTP en forme absolue, combinée à l’option Fastify ignoreDuplicateSlashes, peut faire exécuter une…
-
Validation insuffisante de l’audience des jetons dans le SDK MCP TypeScript
P4 · Moyenne · CVE-2026-111771 — L’authentification bearer côté serveur du SDK MCP TypeScript pouvait accepter un jeton valide destiné à un autre service lorsque l’audience…
-
Express Gateway : clé cryptographique codée en dur exposant les secrets OAuth
P3 · Élevée · CVE-2026-107177 — Express Gateway jusqu’à la version 1.16.11 incluse utilise une clé cryptographique codée en dur pour protéger des secrets de jetons…
-
Express Gateway : contournement d’authentification par jeton de rafraîchissement
P3 · Élevée · CVE-2026-107162 — Express Gateway jusqu’à la version 1.16.11 incluse présente un contournement d’authentification dans le flux OAuth 2.0 `refresh_token` : la validation…
-
Paquet npm exptrdd malveillant usurpant Express
P3 · Critique — L’avis signale exptrdd@5.2.1 comme paquet npm malveillant qui imite Express et lance du code distant à l’installation. Ne l’installez pas; retirez-le s’il…
-
Script de préinstallation malveillant dans le paquet npm express-nodejs
P3 · Critique — L’avis décrit express-nodejs@5.2.1 comme un paquet usurpant Express dont le hook de préinstallation exécute un script distant avec Node.js. Ne pas installer…
-
Paquet npm malveillant hardhat-zet, sans lien établi avec Express
P3 · Critique — L’avis signale hardhat-zet@2.0.1 comme paquet npm malveillant, sans lien établi avec le framework Express : son nom cible l’écosystème Hardhat, tandis que…