Le journal DFS
Node.js
-
vm2 : contournement de la liste noire child_process par le préfixe node:
P3 · Critique · CVE-2026-92957 — Une entrée de liste noire `-node:child_process` ne bloque pas le builtin canonique `child_process` dans certaines configurations wildcard de `NodeVM`. Le…
-
vm2 : évasion de sandbox via les promesses sur Node.js 26
P3 · Critique · CVE-2026-92944 — Untrusted JavaScript in vm2 can escape the sandbox on Node.js 26 because a stale V8 protector allows `Promise.prototype.finally()` to bypass…
-
vm2 : modification de la confiance TLS de l’hôte depuis une sandbox NodeVM
P3 · Critique · CVE-2026-92941 — Dans vm2 3.11.3 à 3.11.6, un programme exécuté dans `NodeVM` peut, si les modules intégrés `tls` et `url` sont autorisés,…
-
CVE-2026-92948 : évasion du bac à sable vm2 via node:test
P3 · Critique · CVE-2026-92948 — Une configuration de vm2 qui autorise le module intégré `node:test` peut permettre à du code exécuté dans un `NodeVM` de…
-
vm2 : contournement de la garde nesting avec un require sous forme de tableau
P3 · Critique · CVE-2026-92935 — Dans vm2, le contrôle de configuration de `NodeVM` accepte un tableau comme valeur de `require`, ce qui permet de contourner…
-
vm2 : contournement de la désinfection des erreurs de promesse hôte
P3 · Critique · CVE-2026-92937 — Un contournement du correctif GHSA-m283-3h24-438v dans vm2 permet de transmettre à du code sandboxé une erreur de promesse hôte contenant…
-
vm2 : exécution de code natif via une extension node:sqlite
P3 · Critique · CVE-2026-92938 — Dans vm2 3.11.6, autoriser `node:sqlite` dans une `NodeVM` permet au code non fiable de charger une extension native SQLite depuis…
-
vm2 : chargement de code natif via crypto.setEngine
P3 · Critique · CVE-2026-92939 — Dans vm2 3.11.6, autoriser le builtin `crypto` dans une `NodeVM` permet à du code non fiable d’utiliser `crypto.setEngine()` pour charger…
-
Axios : les règles CIDR de NO_PROXY peuvent ne pas protéger les requêtes
P4 · Moyenne · CVE-2026-101899 — Dans Axios 1.15.0 à 1.19.x, les entrées CIDR de `NO_PROXY` ne sont pas évaluées comme des plages réseau, de sorte…
-
La décompression asynchrone d’adm-zip contourne la limite de taille
P4 · Moyenne — Le chemin asynchrone getDataAsync() d’adm-zip ne fait pas respecter la limite maxOutputLength appliquée au chemin synchrone, ce qui peut entraîner une forte…