Le journal DFS
Python
-
GitPython : exécution de commandes via un refspec non vérifié dans Remote.pull()
P3 · Élevée — GitPython `Remote.pull()` ne vérifie pas le `refspec` positionnel avec son garde-fou contre `–upload-pack`, ce qui peut permettre l’exécution de commandes si une…
-
GitPython : retour arrière quadratique lors de l’analyse de lignes d’identité malformées
P3 · Élevée — Une expression régulière de GitPython pouvait provoquer un retour arrière quadratique lors de l’analyse de lignes d’identité Git malformées, entraînant un ralentissement…
-
NLTK : chemins de modèle Weka non validés contournant le confinement de chemins
P3 · Élevée — WekaClassifier de NLTK transmet des chemins de modèle contrôlés par l’appelant à la JVM Weka sans appliquer les contrôles de confinement de…
-
Authlib : exemples RFC 7592 sans liaison du jeton au client visé
P3 · Élevée · CVE-2026-116672 — Les exemples documentés d’Authlib pour la gestion des enregistrements de clients OAuth 2.0 ne lient pas explicitement le jeton d’accès…
-
dd-trace-py : déni de service lié à l’instrumentation IAST
P3 · Élevée · CVE-2026-116589 — Une erreur dans l’instrumentation IAST de dd-trace-py peut terminer le processus lors d’opérations de traitement de chaînes sur des entrées…
-
dd-trace-py — consommation excessive de CPU lors de l’obfuscation des chaînes de requête
P3 · Élevée · CVE-2026-116588 — Dans dd-trace-py, l’expression régulière par défaut d’obfuscation des chaînes de requête peut subir un retour arrière excessif lorsqu’elle traite des…
-
NLTK : les contrôles de sécurité de pathsec sont désactivés par défaut
P3 · Élevée · CVE-2026-62388 — NLTK ne bloque pas par défaut les violations détectées par les contrôles de sécurité de `pathsec` : les fonctions concernées…
-
Agno : exécution de code via le champ `field_type` de FunctionCall
P3 · Critique · CVE-2026-35002 — Agno utilisait `eval()` sur le champ `field_type` de données FunctionCall pouvant être influencées par un utilisateur, ce qui peut permettre…
-
MONAI : valeurs DICOM invalides pouvant perturber ou interrompre l’inférence
P3 · Critique · CVE-2026-48705 — Un fichier DICOM conçu à cet effet peut provoquer un plantage de MONAILabel ou fausser silencieusement les résultats d’inférence en…
-
Désérialisation de scorers tiers pouvant permettre l’exécution de code dans MLflow
P3 · Critique · CVE-2026-116692 — MLflow acceptait des descendants de modules Python autorisés au lieu de vérifier une correspondance exacte lors de la désérialisation de…