Le journal DFS
JavaScript
-
Paquet npm malveillant moidevl : Electron furtif, vol de cookies et exfiltration
P2 · Critique — Le paquet npm moidevl 1.0.0 contient un logiciel malveillant Electron capable de se dissimuler, de persister sous Windows, de déchiffrer des cookies…
-
GHSA-w55g-75g8-c4wj : pf25262 exfiltre une session via une redirection navigateur
P3 · Élevée — pf25262 contient un script navigateur qui effectue une requête authentifiée vers /profile puis redirige vers un collecteur webhook.site avec les données capturées.
-
GHSA-j2x3-5g59-p27j : pflag14570 exfiltre cookies et données de routes authentifiées
P3 · Élevée — pflag14570 contient un script navigateur qui consulte plusieurs chemins authentifiés, collecte des données et transmet le résultat à un collecteur webhook.site.
-
hardhat-devkit : avis de paquet npm malveillant
P3 · Critique — L’avis GHSA décrit hardhat-devkit comme un paquet npm malveillant dont le code JavaScript fortement obfusqué s’exécute dès le chargement du module. Éviter…
-
Sync-in Server : ReDoS bloquant l’event loop Node.js dans sync diff (CVE-2026-58270)
P4 · Moyenne · CVE-2026-58270 — Sync-in Server corrige un déni de service par expression régulière catastrophique dans son endpoint de synchronisation différentielle.
-
CVE-2026-46650 : contournement javascript: dans les liens de notes Joplin avant 3.7.2
P4 · Moyenne · CVE-2026-46650 — Une expression régulière non ancrée dans la validation des URL de ressources internes de Joplin peut accepter une URL javascript:…
-
CVE-2026-58504 : XSS lors de l’import d’un fichier draw.io avant 30.2.5
P3 · Moyenne · CVE-2026-58504 — L’ouverture ou l’importation d’un fichier .drawio spécialement construit peut exécuter du JavaScript contrôlé par un attaquant dans l’origine draw.io. Le…
-
CVE-2026-55105 : XSS dans le rendu Fountain de Joplin avant 3.6.15 et 3.7.2
P3 · Élevée · CVE-2026-55105 — Le rendu de blocs Fountain par Joplin insère du HTML généré par fountain.js sans assainissement. Une note malveillante peut ainsi…
-
CVE-2026-78847 : exécution de code via le moteur JavaScript de gray-matter
P3 · Élevée · CVE-2026-78847 — gray-matter utilise eval() pour analyser le front matter déclaré en JavaScript. Lorsqu’une application traite un contenu front matter non fiable…
-
CVE-2026-94277 : XSS stockée dans la vue de statistiques Galaxy de MISP
P4 · Moyenne · CVE-2026-94277 — Une vulnérabilité XSS stockée affecte la vue de statistiques Galaxy de MISP. Un utilisateur authentifié disposant de la permission perm_galaxy_editor…