Le journal DFS
Node.js
-
nvm : exécution de commandes via une valeur LTS malveillante
P4 · Faible · CVE-2026-121751 — Dans nvm 0.39.6 à 0.40.8, des valeurs reçues depuis l’index d’un miroir Node.js pouvaient être évaluées comme expressions arithmétiques shell…
-
nvm : archive rejetée réutilisable depuis le cache hors ligne
P4 · Faible · CVE-2026-121750 — Dans nvm 0.40.5 à 0.40.8, une archive dont la somme de contrôle échouait pouvait rester dans le cache puis être…
-
nvm : modification de fichiers de configuration détournée par .npmrc
P4 · Faible · CVE-2026-121748 — Dans nvm 0.27.0 à 0.40.8, `nvm use –delete-prefix` pouvait laisser le fichier `.npmrc` du projet déterminer quel fichier de configuration…
-
nvm : divulgation locale du jeton NVM_AUTH_HEADER
P4 · Faible · CVE-2026-121745 — Dans nvm 0.40.0 à 0.40.8, lorsque NVM_AUTH_HEADER est défini, le jeton d’accès pouvait apparaître dans les arguments de curl ou…
-
nvm : motif de version interprété comme option de grep
P4 · Moyenne · CVE-2026-121749 — Dans nvm 0.5.0 à 0.40.8, un motif de version commençant par un tiret était transmis à grep sans protection contre…
-
nvm : affichage involontaire du contenu d’un fichier via .nvmrc symbolique
P4 · Moyenne · CVE-2026-121747 — Dans nvm 0.2.0 à 0.40.8, un `.nvmrc` symbolique pouvait amener certaines commandes à afficher le contenu du fichier visé dans…
-
nvm : écriture à travers un lien symbolique .nvmrc
P4 · Moyenne · CVE-2026-121746 — Dans nvm 0.40.0 à 0.40.8, les commandes `nvm use –save` et `nvm install –save` pouvaient suivre un lien symbolique `.nvmrc`…
-
CVE-2026-76892 : arrêt du serveur MCP par JSON malformé
P3 · Élevée · CVE-2026-76892 — Avant la version 4.3.1, une requête POST /mcp contenant un JSON malformé pouvait provoquer une exception SyntaxError non interceptée et…
-
CVE-2026-63655 : épuisement mémoire dans le serveur HTTP de @tsparticles/mcp-server
P3 · Élevée · CVE-2026-63655 — Avant la version 4.3.1, le serveur HTTP de @tsparticles/mcp-server acceptait des requêtes POST /mcp sans authentification et accumulait sans limite…
-
GHSA-f2fc-vc88-6w7q : mise à jour de l’avis sur l’injection de commandes dans @siteboon/claude-code-ui
P3 · Critique · CVE-2026-31862 — L’avis GHSA-f2fc-vc88-6w7q décrit une injection de commandes dans plusieurs API Git de @siteboon/claude-code-ui, où des paramètres contrôlés par l’utilisateur étaient…