Le journal DFS
Node.js
-
Snowflake Connector for Python : interférence possible avec le rappel SSO externalbrowser
P4 · Moyenne · CVE-2026-114456 — Le 4 novembre 2026, Snowflake a publié un avis concernant une faiblesse du flux SSO `externalbrowser` : pendant une connexion…
-
Moleculer : déni de service via longueur de paquet TCP négative
P3 · Élevée · CVE-2026-97705 — Dans Moleculer, une longueur de paquet TCP négative pouvait déclencher une boucle synchrone infinie et bloquer la boucle d’événements Node.js.…
-
bitcoinjs-lib : validation de racine de Merkle insuffisante
P3 · Critique · CVE-2026-107846 — Une validation de racine de Merkle dans bitcoinjs-lib peut accepter un bloc dont la liste de transactions contient des doublons…
-
isomorphic-git : écriture de fichiers hors de la racine de travail via une entrée `..`
P4 · Moyenne · CVE-2026-63478 — isomorphic-git avant 1.38.6 pouvait accepter une entrée d’arbre `..` lors d’un clone ou d’un checkout depuis une source Git malveillante,…
-
Épuisement de mémoire par taille de delta non bornée dans isomorphic-git
P4 · Moyenne · CVE-2026-63476 — Lors de l’application d’un delta de pack Git, isomorphic-git peut utiliser une taille `targetSize` fournie par le serveur sans la…
-
Déni de service persistant par références symboliques circulaires dans isomorphic-git
P4 · Moyenne · CVE-2026-63475 — isomorphic-git peut persister des références symboliques circulaires reçues d’un dépôt distant, puis les suivre sans limite de profondeur ni détection…
-
Écriture de fichiers hors dépôt via des liens symboliques dans isomorphic-git
P3 · Élevée · CVE-2026-63395 — Lors d’un `checkout`, isomorphic-git peut écrire un fichier à travers des composants de chemin symboliques sans les vérifier. Un dépôt…
-
Désynchronisation du pool de connexions du pilote MongoDB Node.js
P3 · Élevée · CVE-2026-119179 — Le pilote MongoDB Node.js peut réutiliser une connexion du pool alors qu’une réponse à l’opération précédente est encore attendue, si…
-
Elo : évasion du bac à sable par accès non filtré à `constructor`
P3 · Critique · CVE-2026-44267 — L’émetteur JavaScript Elo permettait l’accès non filtré à des propriétés comme `constructor`, ce qui pouvait transformer une entrée Elo contrôlée…
-
node-opcua : contournement des contrôles d’accès par défaut d’un espace de noms
P3 · Critique · CVE-2026-95860 — Dans node-opcua, les permissions par défaut configurées au niveau d’un espace de noms pouvaient ne pas être appliquées aux nœuds…