Le journal DFS
Node.js
-
Piscina : options de workers sensibles héritées de la chaîne de prototypes
P3 · Critique · CVE-2026-102992 — Avant les versions corrigées, Piscina stockait les options du pool dans un objet ordinaire, permettant à une pollution de prototype…
-
Socket.IO cluster-engine : déni de service par résolution de propriétés héritées
P3 · Élevée · CVE-2026-102600 — Dans les déploiements utilisant @socket.io/cluster-engine, des identifiants de session spécialement construits peuvent être résolus via la chaîne de prototypes plutôt…
-
Arrêt à distance d’un microservice NestJS par motif profondément imbriqué
P3 · Élevée · CVE-2026-102281 — Un message de microservice contenant un motif profondément imbriqué peut déclencher une erreur de pile lors de sa sérialisation et…
-
Electron : privilèges Node.js excessifs dans les Web Workers de contenus invités
P3 · Élevée · CVE-2026-102676 — Dans certaines configurations Electron, un contenu invité pouvait activer nodeIntegrationInWorker pour ses Web Workers malgré la désactivation de l’intégration Node.js…
-
Code malveillant dans le paquet npm hardhat-lock
P3 · Critique — L’avis décrit hardhat-lock@2.21.0 comme un paquet npm malveillant dont le code obfusqué s’exécute dès son chargement. Ne pas installer cette version; si…
-
Code malveillant dans le paquet npm mini-hardhat
P3 · Critique — L’avis signale que mini-hardhat@1.1.4 contient un code malveillant qui lance un processus détaché et récupère du code distant ensuite exécuté dans le…
-
Script de préinstallation malveillant dans le paquet npm express-nodejs
P3 · Critique — L’avis décrit express-nodejs@5.2.1 comme un paquet usurpant Express dont le hook de préinstallation exécute un script distant avec Node.js. Ne pas installer…
-
CVE-2026-85024 — arrêt du processus via le WebSocket d’undici
P4 · Moyenne · CVE-2026-85024 — CVE-2026-85024 permet à un serveur WebSocket malveillant de provoquer l’arrêt du processus Node.js lorsqu’un message compressé dépasse la limite de…
-
brace-expansion : rescans quadratiques provoquant un déni de service récupérable
P4 · Moyenne · CVE-2026-102277 — Dans brace-expansion, certains motifs malformés comportant de nombreuses accolades fermantes entraînent des rescans répétés de l’entrée et une croissance quadratique…
-
Token Optimizer MCP : lecture de fichiers sans authentification
P4 · Moyenne · CVE-2026-55156 — Avant la version 5.1.0 de Token Optimizer MCP, les endpoints du serveur HTTP du tableau de bord sont accessibles sans…