Le journal DFS
Node.js
-
GHSA-vx3p-fwmg-p7g8 : le paquet test-react-app-out est identifié comme malware
P2 · Critique — test-react-app-out est répertorié comme malware npm. L’avis demande de considérer un système ayant installé ou exécuté le paquet comme entièrement compromis.
-
GHSA-wm2w-4m2r-mv73 : le paquet test-react-app-in est identifié comme malware
P2 · Critique — GitHub Advisory Database identifie test-react-app-in comme un paquet npm malveillant et indique que toute machine l’ayant installé ou exécuté doit être considérée…
-
GHSA-48qc-pw85-j8gf : catwrestlingbird ouvre un shell distant sur les hôtes npm
P2 · Critique — Le paquet npm catwrestlingbird@1.0.0, publié dans la fenêtre, exécute un postinstall de reconnaissance système puis maintient un processus capable d’ouvrir un shell…
-
Paquet npm malveillant hardhat-base : charge RCE récupérée à distance
P2 · Critique — GitHub Advisory Database identifie hardhat-base comme un paquet npm malveillant se présentant comme un logger compatible pino mais intégrant un chargeur d’exécution…
-
CVE-2026-58271 : contournement du verrouillage TOTP dans @sync-in/server
P3 · Moyenne · CVE-2026-58271 — @sync-in/server ne comptabilisait pas correctement les échecs TOTP sur l’endpoint d’enregistrement du client de synchronisation, permettant des tentatives répétées.
-
Sync-in Server : ReDoS bloquant l’event loop Node.js dans sync diff (CVE-2026-58270)
P4 · Moyenne · CVE-2026-58270 — Sync-in Server corrige un déni de service par expression régulière catastrophique dans son endpoint de synchronisation différentielle.
-
Chartbrew : contournement du mode lecture seule de runQuery (CVE-2026-61851)
P3 · Moyenne · CVE-2026-61851 — Chartbrew corrige un contrôle insuffisant des requêtes SQL dans son outil IA runQuery. La liste de blocage destinée à limiter…
-
Chartbrew : injection SQL via row_limit dans l’outil IA runQuery (CVE-2026-61852)
P3 · Moyenne · CVE-2026-61852 — Chartbrew a publié un correctif pour une injection SQL dans l’outil IA runQuery. Un utilisateur authentifié disposant de l’accès aux…
-
CVE-2026-61647 : traversal et écriture arbitraire dans @roomi-fields/notebooklm-mcp
P2 · Élevée · CVE-2026-61647 — L’outil vault.batch et l’endpoint HTTP équivalent de @roomi-fields/notebooklm-mcp acceptent un répertoire de coffre contrôlé par le client sans contrôle de…
-
GHSA-pjjj-2389-rwj6 : bytepack-probe-a7x3 charge une archive distante mutable à l’installation npm
P3 · Élevée — bytepack-probe-a7x3 référence une dépendance tarball distante non épinglée, permettant à l’opérateur du serveur de modifier le code récupéré et exécuté lors d’une…