Le journal DFS
JavaScript
-
Axios — options de formulaire héritées après pollution de prototype
P3 · Élevée · CVE-2026-101909 — Axios lit plusieurs options de sérialisation de formulaire depuis un objet sans vérifier qu’elles lui appartiennent, ce qui permet à…
-
CVE-2026-101916 : authentification incorrecte d’un certificat pair dans @grpc/grpc-js
P3 · Élevée · CVE-2026-101916 — Dans @grpc/grpc-js, `getAuthContext` peut traiter un certificat pair non autorisé comme autorisé lorsque les identifiants du serveur n’exigent pas de…
-
Axios : déni de service par expression régulière lors de l’analyse d’URL `data:`
P3 · Élevée · CVE-2026-101903 — Axios pour Node.js peut bloquer la boucle d’événements lorsqu’il analyse une URL `data:` malformée comportant de nombreuses barres obliques, provoquant…
-
Tabs & Accordions Pro : XSS stockée par URL non filtrée
P3 · Élevée · CVE-2026-100751 — Tabs & Accordions Pro acceptait une URL fournie pour un élément et la transmettait à window.open() sans bloquer les schémas…
-
Exécution de code via la tâche JavaScript de Google Cloud Application Integration
P3 · Critique · CVE-2026-81867 — Une vulnérabilité de désérialisation dans la tâche JavaScript de Google Cloud Application Integration permet à un utilisateur authentifié disposant de…
-
decompress : contournement du répertoire d’extraction par liens symboliques en chaîne
P3 · Critique · CVE-2026-101894 — Le paquet Node.js decompress et son successeur maintenu @xhmikosr/decompress peuvent extraire des entrées d’archive au-delà du répertoire de destination lorsque…
-
@grpc/grpc-js — contrôle RBAC incorrect par comparaison de préfixe
P4 · Moyenne · CVE-2026-101914 — Dans @grpc/grpc-js, le comparateur exact de chemin utilisé par RBAC peut effectuer une comparaison de préfixe lorsque la correspondance insensible…
-
CVE-2026-63628 : mppx TypeScript vulnérable au drainage de frais par access list
P4 · CVE-2026-63628 — La voie de cosignature fee payer de mppx copiait sans contrôle l’access list EIP-2930 fournie par le client, laissant celui-ci gonfler les…
-
npm : helpersutils-dev-tools injecte un beacon HTTP lors du chargement
P4 · Moyenne — helpersutils-dev-tools exécute du code dès son chargement et transmet le domaine du document consommateur vers une adresse IP externe en HTTP clair.
-
CVE-2026-95624 : le plugin Updater de Tauri permet de contourner l’anti-retour de version
P3 · Moyenne · CVE-2026-95624 — Le plugin Updater de Tauri exposait au frontend un paramètre allowDowngrades permettant de transformer la vérification « version plus récente…