Le journal DFS
Node.js
-
Axios : en-têtes hérités transmis par l’adaptateur fetch
P4 · Moyenne · CVE-2026-101908 — Dans l’adaptateur fetch d’Axios, des en-têtes hérités de `Object.prototype` peuvent être transmis à `fetch` via les options d’origine, malgré la…
-
Axios : injection d’en-têtes hérités après remplacement minimal de la configuration par un intercepteur
P4 · Moyenne · CVE-2026-101904 — Un intercepteur Axios qui remplace la configuration par un objet ordinaire sans propriété propre `headers` peut laisser la lecture de…
-
Axios : méthode HTTP héritée d’un prototype pollué dans l’instance par défaut
P4 · Moyenne · CVE-2026-101902 — Dans Axios pour Node.js, les requêtes de l’instance par défaut qui omettent la méthode peuvent hériter de `Object.prototype.method` si un…
-
Axios : injection d’en-têtes via getHeaders hérité dans l’adaptateur Fetch
P4 · Moyenne · CVE-2026-101900 — Le chemin de configuration partagé d’Axios peut accepter des en-têtes issus d’un `getHeaders` hérité et pollué lors de l’utilisation de…
-
Module mH-DEVELOPER : composants système et Node.js obsolètes dans le micrologiciel
P4 · Moyenne · CVE-2026-82935 — Le micrologiciel du module domotique mH-DEVELOPER embarquait Debian 8 et Node.js 17.0.1, tous deux en fin de vie, ce qui…
-
brace-expansion : récursion imbriquée et épuisement de pile
P3 · Élevée · CVE-2026-102278 — Dans brace-expansion, des groupes d’accolades profondément imbriqués provoquent une récursion non maîtrisée et l’épuisement de la pile native avant l’application…
-
brace-expansion : épuisement de la pile native avec des motifs forgés
P3 · Élevée · CVE-2026-102276 — La bibliothèque brace-expansion peut épuiser la pile native en traitant des motifs forgés avec de nombreux groupes d’accolades ou de…
-
Axios : la limite maxRedirects ne bloque pas les redirections avec l’adaptateur Fetch
P3 · Élevée · CVE-2026-101907 — Dans l’adaptateur Fetch d’Axios, `maxRedirects: 0` n’empêche pas le suivi des redirections, ce qui peut contourner une protection SSRF configurée…
-
Axios : déni de service par ReDoS lors du traitement des redirections et du proxy
P3 · Élevée · CVE-2026-101906 — Une redirection vers un nom d’hôte spécialement formé peut déclencher une expression régulière coûteuse dans Axios et bloquer la boucle…
-
Axios : détournement de socket possible après pollution de Object.prototype.createConnection
P3 · Élevée · CVE-2026-101905 — Dans l’adaptateur HTTP Node.js d’Axios, une pollution préalable de `Object.prototype.createConnection` peut détourner la création du socket d’une requête vers une…