Le journal DFS
Node.js
-
Axios : erreur de session HTTP/2 non gérée pouvant arrêter le processus
P3 · Élevée · CVE-2026-101901 — Axios ne met pas en place une gestion suffisante des erreurs de session HTTP/2 lors de son initialisation ou de…
-
Axios : contournement des contrôles DNS et proxy avec HTTP/2
P3 · Élevée · CVE-2026-101898 — Avec l’adaptateur HTTP/2 de Node.js, Axios ne transmet pas certaines règles DNS personnalisées ni les contrôles de proxy configurés au…
-
Axios : déni de service par expression régulière lors de l’analyse d’URL `data:`
P3 · Élevée · CVE-2026-101903 — Axios pour Node.js peut bloquer la boucle d’événements lorsqu’il analyse une URL `data:` malformée comportant de nombreuses barres obliques, provoquant…
-
@grpc/grpc-js — contrôle RBAC incorrect par comparaison de préfixe
P4 · Moyenne · CVE-2026-101914 — Dans @grpc/grpc-js, le comparateur exact de chemin utilisé par RBAC peut effectuer une comparaison de préfixe lorsque la correspondance insensible…
-
decompress : contournement du répertoire d’extraction par liens symboliques en chaîne
P3 · Critique · CVE-2026-101894 — Le paquet Node.js decompress et son successeur maintenu @xhmikosr/decompress peuvent extraire des entrées d’archive au-delà du répertoire de destination lorsque…
-
npm : helpersutils-dev-tools injecte un beacon HTTP lors du chargement
P4 · Moyenne — helpersutils-dev-tools exécute du code dès son chargement et transmet le domaine du document consommateur vers une adresse IP externe en HTTP clair.
-
npm : hachutis distribue des exécutables opaques et un tunnel Cloudflare anonyme
P3 · Élevée — hachutis distribue plusieurs exécutables précompilés non déclarés dans son manifeste, dont un binaire Bun de 81 Mo. La documentation demande de lancer…
-
npm : godzzz collecte environnement et fichiers avant communications sortantes
P3 · Élevée — godzzz@1.0.0 regroupe la lecture de variables d’environnement et de fichiers locaux, l’encodage base64 et des requêtes HTTP/HTTPS sortantes, un comportement identifié comme…
-
npm : catplatebarcodeparser utilise des hooks d’installation pour exfiltrer l’identité de l’hôte
P3 · Élevée — catplatebarcodeparser@99.2.1 lance des hooks preinstall et postinstall qui envoient le nom d’utilisateur et le hostname vers un collecteur externe et déclenchent une…
-
npm : eslint-plugin-i18n-shreddit exfiltre des données de runner via postinstall
P3 · Élevée — eslint-plugin-i18n-shreddit@99.9.9 ne fournit pas de plugin ESLint fonctionnel et utilise uniquement un postinstall pour envoyer des informations de l’hôte vers un collecteur…