Le journal DFS
Python
-
Code malveillant dans le paquet PyPI claudeopuseni
P3 · Critique — Les versions 0.1.0 et 0.1.1 du paquet PyPI `claudeopuseni` contiennent un code malveillant qui récupère, à l’installation, un voleur d’informations dissimulé dans…
-
Code malveillant dans le paquet PyPI claudeopusfile
P3 · Critique — Les versions 0.1.1 et 0.1.2 du paquet PyPI `claudeopusfile` contiennent un code malveillant qui récupère, à l’installation, un voleur d’informations dissimulé dans…
-
Code malveillant dans le paquet PyPI claudeopusenifile
P3 · Critique — Le paquet PyPI `claudeopusenifile` version 0.1.3 contient un code malveillant qui, à l’installation, récupère et exécute un voleur d’informations dissimulé dans une…
-
MLflow : SSRF via l’invocation de scorers tiers
P4 · Moyenne · CVE-2026-115886 — Une désérialisation de scorer MLflow peut permettre, sans authentification, des requêtes HTTP sortantes vers une destination contrôlée par l’attaquant, sous…
-
Python corrige le traitement de certificats intermédiaires compromis (CVE-2026-115557)
P3 · Critique · CVE-2026-115557 — Le 24 octobre, Python a publié CVE-2026-115557 à la suite de la compromission de certificats intermédiaires eMudhra/emSign. Le module `ssl`…
-
setuptools : échappement de chemin Windows lors de l’installation legacy d’une wheel
P4 · Faible — Sur Windows, une entrée contrôlée dans namespace_packages.txt d’une wheel pouvait conduire setuptools à créer un fichier __init__.py hors du répertoire d’installation prévu.…
-
Twisted : réponses DNS UDP acceptées sans validation de l’adresse source
P4 · Faible · CVE-2026-83813 — Twisted accepte une réponse DNS UDP en vérifiant l’identifiant de transaction, sans vérifier qu’elle provient du serveur interrogé, ce qui…
-
FastMCP : contrôle d’autorisation omis après transformation de composants
P4 · Moyenne — Dans certains chemins d’accès directs, FastMCP appliquait une transformation à un composant sans vérifier à nouveau l’autorisation sur le composant transformé, permettant…
-
FastMCP : absence de liaison d’émetteur dans les fournisseurs OAuth
P4 · Moyenne — Les fournisseurs OAuth de FastMCP ne liaient pas les identifiants client à l’émetteur du serveur d’autorisation attendu, ce qui pouvait transmettre un…
-
vLLM : arrêt du moteur par incohérence de cache multimodal
P4 · Moyenne · CVE-2026-114050 — Dans vLLM avant 0.31.0, un UUID fourni par le client pour un contenu multimodal peut être réutilisé comme identité de…