Le journal DFS
Node.js
-
CERT-FR : multiples vulnérabilités dans Node.js
P4 — CERT-FR signale plusieurs vulnérabilités dans Node.js, dont certaines pourraient permettre une exécution de code à distance, un contournement de la politique de sécurité ou…
-
Nodemailer : déni de service lors de la signature DKIM via des en-têtes pliés
P4 · Moyenne · CVE-2026-110871 — Le parseur DKIM de Nodemailer traite les lignes de continuation d’en-tête avec une complexité quadratique. Un en-tête très long comportant…
-
stream-json : déni de service CPU via les filtres de chemin de FlexAssembler
P4 · Moyenne · CVE-2026-114129 — Une complexité quadratique dans les filtres de chemin de `FlexAssembler` peut bloquer la boucle événementielle lorsqu’un document JSON profondément imbriqué…
-
toml : déni de service quadratique via de nombreux tableaux de tables
P3 · Élevée · CVE-2026-114141 — Le compilateur TOML rescane des ensembles de chemins accumulés pour chaque en-tête de tableau de tables, donnant un coût quadratique…
-
toml : déni de service CPU via des littéraux entiers démesurément longs
P3 · Élevée · CVE-2026-114144 — `toml.parse()` convertit des entiers de longueur arbitraire en `BigInt` avant de vérifier leur plage, ce qui peut coûter beaucoup de…
-
CVE-2026-113872 — Déni de service dans multer avec un fileFilter asynchrone
P3 · Élevée · CVE-2026-113872 — Une requête non authentifiée peut faire tomber le processus Node.js lorsqu’une application utilise multer avec un `fileFilter` asynchrone et qu’une…
-
body-parser : arrêt du processus par une erreur de décompression non interceptée
P3 · Élevée · CVE-2026-111181 — Une requête HTTP comportant un encodage compressé suivi d’octets résiduels peut provoquer une exception non interceptée et arrêter le processus…
-
toml : déni de service quadratique via des clés pointées ou chemins de table longs
P3 · Élevée · CVE-2026-114143 — `toml.parse()` recalcule le préfixe complet d’une clé à chaque segment pour plusieurs formes de clés et de chemins de table.…
-
CVE-2026-114604 : modification possible de Object.prototype lors de la fusion de résultats GraphQL
P3 · Élevée · CVE-2026-114604 — Dans les versions de @graphql-tools/utils concernées, mergeIncrementalResult ne validait pas le type des segments du chemin d’un résultat GraphQL incrémental,…
-
fast-uri : une référence relative peut sortir de son répertoire attendu
P4 · Faible · CVE-2026-110095 — La normalisation d’une référence relative peut supprimer un segment « .. » et la faire pointer hors du répertoire attendu.…