Le journal DFS
Node.js
-
node-forge : exception TLS sur un enregistrement intercalé au handshake
P3 · Élevée · CVE-2026-119188 — Dans node-forge jusqu’à 1.4.0, un enregistrement TLS intercalé pendant un message de handshake fragmenté peut provoquer une exception TypeError non…
-
node-forge : épuisement de pile pendant le traitement des enregistrements TLS
P3 · Élevée · CVE-2026-119187 — Dans node-forge jusqu’à 1.4.0, le traitement récursif des enregistrements TLS peut épuiser la pile et faire planter un processus Node.js.…
-
node-forge : déni de service par expressions régulières lors du décodage PEM
P3 · Élevée · CVE-2026-118779 — Dans node-forge jusqu’à 1.4.0, le décodage PEM peut effectuer un traitement polynomial ou quadratique sur certaines entrées malformées. Rejeter les…
-
joi : traitement quadratique des espaces dans la validation d’adresses e-mail multiples
P3 · Élevée · CVE-2026-118772 — Dans certaines versions de joi, la validation d’une valeur contenant une longue séquence d’espaces avec string().email({ multiple: true }) peut…
-
CVE-2026-119051 : allocation de ressources non bornée dans flat
P3 · Élevée · CVE-2026-119051 — La fonction `unflatten()` de flat peut créer des tableaux creux de taille excessive à partir de clés numériques non bornées,…
-
i18next-http-backend : injection de paramètres dans les requêtes de traduction
P4 · Faible · CVE-2026-118258 — Dans i18next-http-backend avant la version 4.0.4, des valeurs contrôlées de langue ou d’espace de noms pouvaient injecter des paramètres dans…
-
@hono/node-server : contournement de middleware lors de la résolution de fichiers statiques
P4 · Moyenne · CVE-2026-118663 — Dans @hono/node-server de la version 1.19.10 à la version 2.1.2, serveStatic pouvait décoder une seconde fois un chemin déjà décodé…
-
mcp-sanitizer : contournement SSRF de la validation d’URL
P3 · Élevée — Dans mcp-sanitizer avant 1.4.0, la validation d’URL peut laisser passer des cibles localhost avec un port explicite ainsi que certaines adresses IPv6…
-
mcp-sanitizer : validation insuffisante des chemins de répertoires personnels
P3 · Élevée — Dans mcp-sanitizer avant 1.4.0, le contrôle de chemins autorise des chemins absolus sous /home/ et /Users/, ce qui peut exposer des fichiers…
-
CVE-2026-118664 : déni de service dans decode-uri-component
P3 · Élevée · CVE-2026-118664 — Une entrée malformée comportant de nombreux segments encodés distincts peut provoquer une consommation quadratique du processeur dans `decode-uri-component`, bloquant la…