Le journal DFS
Node.js
-
msgpack5 : interruption possible sur en-tête map32 tronqué
P3 · Élevée · CVE-2026-107302 — Avant msgpack5 6.1.0, le décodeur lit la longueur d’une valeur map32 avant de vérifier que son en-tête complet est disponible.…
-
msgpack5 : épuisement de pile par récursion du décodeur de flux
P3 · Élevée · CVE-2026-107300 — Le décodeur de flux de msgpack5 antérieur à 6.1.0 s’appelle récursivement pour chaque valeur complète restante dans un fragment. Un…
-
MariaDB Connector/Node.js : injection SQL dans le protocole texte avec NO_BACKSLASH_ESCAPES
P3 · Élevée · CVE-2026-107385 — Avec le mode SQL `NO_BACKSLASH_ESCAPES`, l’échappement des paramètres du protocole texte ne protégeait pas correctement les apostrophes, ouvrant la voie…
-
MariaDB Connector/Node.js : injection SQL dans l’expansion SET des objets
P3 · Élevée · CVE-2026-107384 — Lorsque l’option non activée par défaut `permitSetMultiParamEntries` est utilisée, des clés contenant des accents graves pouvaient sortir de l’identifiant SQL…
-
MariaDB Connector/Node.js : divulgation de mémoire non initialisée via des paramètres GeoJSON mal formés
P3 · Élevée · CVE-2026-107383 — Le traitement des anneaux Polygon et MultiPolygon mal formés pouvait réserver un tampon non initialisé et en transmettre le contenu…
-
Injection de commandes dans @enmaso/node-convert
P3 · Critique · CVE-2026-107703 — Le paquet `@enmaso/node-convert` passe des arguments de fichier non assainis à une commande ImageMagick exécutée par `child_process.exec()`, permettant une injection…
-
Injection de commandes système dans ppt2png
P3 · Critique · CVE-2026-107699 — Le paquet `ppt2png` utilise `child_process.exec()` avec des chemins d’entrée ou de sortie non assainis, ce qui permet une injection de…
-
Injection de code dans dot-access
P3 · Critique · CVE-2026-107700 — Dans `dot-access`, le chemin fourni à `get()` est incorporé dans le corps d’une fonction JavaScript construite dynamiquement, ce qui permet…
-
Paquet npm malveillant animatecss-tailwind-bridge 2.0.6 associé à des leurres de recrutement
P2 · Critique — L’avis signale que `animatecss-tailwind-bridge` 2.0.6 est utilisé dans des leurres de faux entretiens et dépend d’un paquet npm privé qui peut charger…
-
Paquet npm malveillant tailwind-animatecss-uniform 2.0.7 lié à une campagne de faux entretiens
P2 · Critique — L’avis signale que `tailwind-animatecss-uniform` 2.0.7 est associé à une campagne de faux entretiens et dépend d’un paquet privé susceptible de charger du…