Le journal DFS
Node.js
-
msgpack5 : altération du tampon lors du décodage d’entiers signés négatifs
P4 · Faible · CVE-2026-107296 — Dans msgpack5, le décodage d’un entier signé négatif sur 64 bits modifiait les octets correspondants dans le tampon d’entrée fourni…
-
music-metadata — rejet de promesse non géré dans le parseur DSF
P4 · Moyenne · CVE-2026-107392 — Dans les versions antérieures à 11.15.0, le parseur DSF pouvait appeler sans attente une opération ignore avec une longueur négative…
-
music-metadata : boucle infinie dans l’analyse MP4 sur la branche master non publiée
P4 · Moyenne · CVE-2026-107391 — Une entrée MP4 `stsd` dont la taille d’échantillon est nulle peut empêcher l’avancement de la boucle d’analyse et bloquer synchroniquement…
-
msgpack5 : protection de prototype désactivée avec des options partielles
P4 · Moyenne · CVE-2026-107301 — Dans msgpack5 antérieur à 6.1.0, fournir un objet d’options vide ou partiel désactive la protection par défaut `protoAction: ‘error’`. Une…
-
msgpack5 : épuisement mémoire avec l’octet réservé 0xc1
P4 · Moyenne · CVE-2026-107299 — Dans msgpack5 antérieur à 6.1.0, le décodeur de flux traite l’octet réservé MessagePack 0xc1 comme une entrée incomplète au lieu…
-
msgpack5 : consommation quadratique du processeur dans le décodeur de flux
P4 · Moyenne · CVE-2026-107297 — Dans msgpack5 antérieur à 6.1.0, le décodeur de flux peut retraiter des conteneurs incomplets à chaque fragment, entraînant une consommation…
-
music-metadata : épuisement de mémoire ou arrêt fatal via des longueurs EBML non vérifiées
P4 · Moyenne · CVE-2026-107389 — Le parseur EBML de `music-metadata` utilisait des longueurs déclarées dans les fichiers sans vérifier qu’elles tenaient dans l’entrée ou le…
-
msgpack5 : épuisement de pile par imbrication excessive
P4 · Moyenne · CVE-2026-107298 — Les versions de msgpack5 antérieures à 6.1.0 ne limitent pas la profondeur d’imbrication des tableaux et maps décodés. Une entrée…
-
MariaDB Connector/Node.js : arrêt du client lors de l’authentification ed25519 avec TLS à configuration zéro
P4 · Moyenne · CVE-2026-107382 — Une erreur dans le chemin d’authentification ed25519 avec TLS à configuration zéro provoque une exception non interceptée, susceptible d’arrêter le…
-
Coraza — confusion de parseur de cookies pouvant contourner des règles WAF
P4 · Moyenne — Coraza ne retirait pas certains caractères de contrôle placés au bord du nom ou de la valeur d’un cookie, ce qui pouvait…