Le journal DFS
Node.js
-
sanitize-html : valeurs meta refresh dangereuses conservées
P4 · Moyenne · CVE-2026-113661 — Avant sanitize-html 2.18.0, une configuration non standard autorisant les éléments `meta refresh` et leurs attributs `http-equiv` et `content` pouvait conserver…
-
launch-editor : nom de fichier relatif interprété comme option d’éditeur
P4 · Moyenne · CVE-2026-112944 — launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs…
-
follow-redirects : fuite d’en-têtes d’authentification avec des en-têtes en tableau
P3 · Élevée · CVE-2026-111756 — Dans follow-redirects 1.16.0, les en-têtes sensibles n’étaient pas supprimés lors de redirections inter-hôtes ou vers un protocole moins sûr si…
-
ApostropheCMS : fichiers temporaires conservés après des uploads rejetés
P3 · Élevée · CVE-2026-113658 — Avant ApostropheCMS 4.33.0, la route publique de conversion CSV du texte riche stockait un téléversement multipart dans le répertoire temporaire…
-
launch-editor : contournement de validation de fichier sous Windows
P3 · Élevée · CVE-2026-112942 — Sur Windows, la validation du nom de fichier dans launch-editor-middleware peut être contournée lorsqu’un argument contrôlé se termine par un…
-
markdown-it : déni de service algorithmique par définition de référence multilignes
P3 · Élevée · CVE-2026-111758 — markdown-it peut traiter en temps quadratique une définition de référence Markdown multilignes dont le libellé ou le titre reste ouvert,…
-
ApostropheCMS : suppression d’un membre partagé via un chemin de projection
P3 · Élevée · CVE-2026-113666 — Avec un adaptateur SQLite, PostgreSQL ou multipostgres, un compte disposant de l’accès aux brouillons peut fournir un chemin d’exclusion de…
-
Angular SSR : épuisement mémoire provoqué par des paramètres de requête volumineux
P3 · Élevée · CVE-2026-111751 — Dans Angular, le rendu côté serveur pouvait conserver des `UrlTree` contenant des paramètres de requête contrôlés par le client lorsque…
-
Angular SSR : épuisement de ressources via des sorties auxiliaires non configurées
P3 · Élevée · CVE-2026-111752 — Dans Angular SSR, des groupes de segments d’URL de sorties auxiliaires non configurées pouvaient provoquer des évaluations répétées de la…
-
CVE-2026-109461 — Divulgation d’informations dans MSAL Node
P3 · Élevée · CVE-2026-109461 — Une erreur de validation d’origine dans le flux `auth_code` de MSAL Node peut permettre à un attaquant non autorisé de…