Le journal DFS
Node.js
-
Apache Thrift Node.js : allocation excessive de ressources
P3 · Élevée · CVE-2026-94645 — Une validation incorrecte de quantités dans les bindings Node.js d’Apache Thrift peut provoquer une allocation de ressources excessive. Les versions…
-
Tinypool : options héritées pouvant conduire à l’exécution de code dans un worker
P3 · Critique · CVE-2026-104848 — Avant Tinypool 2.1.1, des options de worker héritées d’un prototype pollué peuvent être transmises à `worker_threads.Worker` et entraîner le chargement…
-
Debian publie l’avis de sécurité DLA-4809-1 pour Node.js
P4 — Debian a publié l’avis de sécurité DLA-4809-1 pour Node.js, signalant plusieurs vulnérabilités susceptibles d’entraîner un déni de service, une validation incorrecte de certificats ou…
-
CVE-2026-92952 : altération de l’état des WebStreams hôtes via vm2
P4 · Moyenne · CVE-2026-92952 — Une lacune dans les filtres de symboles de vm2 permet au code du bac à sable de récupérer certains symboles…
-
stream-json : blocage de la boucle d’événements lors du traitement de commentaires JSONC
P4 · Moyenne · CVE-2026-104182 — Le parseur et le vérificateur JSONC de `stream-json`, avant la version 3.6.0, peuvent effectuer un travail quadratique lorsqu’un commentaire volumineux…
-
Fastify : déni de service via les trailers de réponse HTTP/2
P4 · Moyenne · CVE-2026-92081 — Fastify pouvait terminer le processus Node.js avec une exception non interceptée lorsqu’une réponse HTTP/2 utilisait `reply.trailer()`, car l’en-tête `Transfer-Encoding: chunked`…
-
vm2 CLI : les modules requis peuvent s’exécuter hors sandbox
P3 · Élevée · CVE-2026-92950 — Le CLI vm2 peut exécuter dans le contexte hôte les modules relatifs ou absolus chargés par un script fourni en…
-
vm2 : contournement de l’interdiction fs via fs/promises
P3 · Élevée · CVE-2026-92958 — Dans les configurations wildcard de `NodeVM`, interdire `fs` ne bloque pas nécessairement `fs/promises` ni `node:fs/promises`. Un programme sandboxé peut alors…
-
Fastify : contournement possible de la validation des dépendances d’en-têtes
P3 · Élevée · CVE-2026-84428 — Fastify ne normalisait pas la casse des noms de propriétés dans certaines parties des schémas d’en-têtes, notamment `dependencies` et les…
-
vm2 : exposition de connexions HTTPS hôtes via globalAgent
P3 · Critique · CVE-2026-92940 — Autoriser `https` dans vm2 3.11.6 expose à la sandbox le `https.globalAgent` hôte partagé, dont les événements peuvent révéler des options…