Le journal DFS
Node.js
-
Ghost : exécution de commandes possible via le traitement d’images SVG
P3 · Élevée · CVE-2026-105642 — Dans Ghost, la création d’une carte bookmark vers un site contrôlé par un attaquant pouvait déclencher l’exécution de commandes sur…
-
Collecte de données système par a11y-tabindex-manager
P3 · Critique — Le paquet npm `a11y-tabindex-manager` (version 1.0.0) exécute du code à son chargement pour recueillir des informations locales et les envoyer à un…
-
Paquet npm malveillant @angulra/cli
P3 · Critique — Le paquet npm `@angulra/cli` (version 22.2.1), qui imite Angular CLI, exécute à l’installation un script préinstallation qui récupère un JavaScript distant non…
-
Paquet npm malveillant @angulra/core
P3 · Critique — Le paquet npm malveillant `@angulra/core` version 1.0.67 exécute un script `preinstall` qui récupère du JavaScript distant et le transmet directement à Node.js.…
-
Mammoth.js : déni de service par analyse de chaînes de style malformées
P3 · Élevée · CVE-2026-105219 — Mammoth.js présente une vulnérabilité de déni de service par expression régulière dans l’analyse des jetons de style : un fichier…
-
probe-image-size : consommation CPU excessive lors de l’analyse de SVG
P3 · Élevée · CVE-2026-104861 — Avant probe-image-size 7.4.0, l’analyse de SVG contrôlé par un attaquant peut entraîner un coût CPU élevé et bloquer la boucle…
-
Apache Thrift Node.js : allocation mémoire excessive dans le transport WebSocket
P3 · Élevée · CVE-2026-83745 — Le transport serveur WebSocket d’Apache Thrift pour Node.js peut allouer de la mémoire selon une longueur de charge utile déclarée…
-
Apache Thrift Node.js : exception non interceptée
P3 · Élevée · CVE-2026-96294 — Les bindings Node.js d’Apache Thrift sont affectés par une exception non interceptée liée à la gestion de conditions exceptionnelles. Les…
-
Apache Thrift Node.js : exception non interceptée et pollution de prototype
P3 · Élevée · CVE-2026-94646 — Les bindings Node.js d’Apache Thrift présentent une exception non interceptée, une validation incorrecte de quantité et une pollution de prototype.…
-
Apache Thrift Node.js : boucle infinie et pollution de prototype
P3 · Élevée · CVE-2026-86535 — Les bindings Node.js d’Apache Thrift utilisant TJSONProtocol sont vulnérables à une boucle infinie et à une pollution de prototype. Les…