Le journal DFS
Node.js
-
Paquet npm malveillant @newspage/libx-amount
P3 · Critique — Les versions 99.99.4 et 99.99.41 de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou…
-
Paquet npm malveillant @newspage/lib-ng-async-routes-ui
P3 · Critique — Les versions 99.99.4 et versions antérieures de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require`…
-
Injection de commandes dans nodejs-whisper
P3 · Critique · CVE-2026-110644 — nodejs-whisper jusqu’à la version 0.3.1 incluse est vulnérable à une injection de commandes lors de la conversion audio si un…
-
Injection de commandes dans transcribe2texts
P3 · Critique · CVE-2026-110643 — transcribe2texts jusqu’à la version 1.0.6 incluse permet une injection de commandes via la valeur `audioPath` fournie à `transcribeAudio()`. Un chemin…
-
Injection de commandes dans Whisper-node
P3 · Critique · CVE-2026-110640 — Whisper-node jusqu’à la version 1.1.1 incluse permet une injection de commandes via des valeurs contrôlées de `filePath` ou `whisperOptions.language` transmises…
-
Injection de commandes dans doc-recog
P3 · Critique · CVE-2026-110638 — doc-recog jusqu’à la version 1.1.6 incluse permet une injection de commandes via des chemins de documents transmis à `recog()` ou…
-
Injection de commandes dans office-converter
P3 · Critique · CVE-2020-37282 — La version 1.0.2 et les versions antérieures d’office-converter permettent une injection de commandes système via un nom de fichier fourni…
-
Fastify : contournement de validation d’en-têtes par différence de casse dans propertyNames
P4 · Faible · CVE-2026-107832 — Fastify ne normalise pas les noms d’en-têtes contenus dans les `enum` et `const` d’un sous-schéma `propertyNames`. Une contrainte de liste…
-
Qwik : une requête peut provoquer l’arrêt du serveur lors de la désérialisation
P3 · Élevée · CVE-2026-84994 — Avant @builder.io/qwik 1.20.0 et @qwik.dev/core 2.0.0-beta.37, la désérialisation serveur peut traiter un objet contrôlé par l’attaquant comme une promesse et…
-
CVE-2020-37279 — injection de commande dans easy-pdf-merge
P3 · Critique · CVE-2020-37279 — easy-pdf-merge utilise une commande shell construite à partir des chemins source et destination ou de l’option maxHeap ; des valeurs…